Partage sécurisé de mots de passe pour les équipes et les entreprises

Le SSO sécurise les applications d'entreprise intégrées, laissant d'autres vecteurs d'accès ouverts. Les recherches montrent que 96 % des connexions e-mail et 91 % des outils d'IA fonctionnent en dehors du périmètre SSO. Les comptes de service, l'infrastructure existante, les portails fournisseurs et les SaaS fantômes nécessitent un stockage d'identifiants dédié. Les données sectorielles confirment que 74 % des professionnels de la sécurité considèrent le SSO seul comme une solution de contrôle d'accès incomplète.

La NIS2 interdit le partage d'identifiants non chiffré et non traçable. En vertu des articles 21(2)(j) et (g), les organisations doivent sécuriser le contrôle d'accès et maintenir une hygiène stricte en matière de cybersécurité. Cela exige que tous les identifiants d'entreprise partagés soient chiffrés, limités aux utilisateurs autorisés via le moindre privilège, et entièrement audités. Le partage de mots de passe par des canaux en clair — tels que les applications de chat ou les tableurs — viole ces exigences, car il empêche les auditeurs d'identifier la personne qui a réellement accédé au système.

Les articles 9(4)(c) et (d) de DORA exigent des entités financières et de leurs fournisseurs critiques de TIC qu'ils appliquent le moindre privilège, une authentification forte et des contrôles explicites contre les identifiants partagés pour les accès privilégiés. Les régulateurs exigent des preuves documentées de ces contrôles d'accès. La mise en place d'un coffre-fort centralisé avec accès basé sur les rôles, MFA et journaux d'audit fournit la documentation de conformité nécessaire.

L'annexe A.5.17 stipule que les informations d'authentification doivent rester confidentielles, sécurisées et protégées contre tout partage non autorisé. Lorsque des identifiants partagés sont inévitables pour des entités non personnelles, les organisations doivent les restreindre au personnel autorisé par des contrôles documentés. Les auditeurs exigent des preuves vérifiables — notamment des journaux d'autorisations, des revues d'accès et des politiques d'utilisation acceptable signées — que les documents statiques et les historiques de chat ne peuvent pas générer.

Oui. Passwork prend en charge le déploiement sur site dans votre centre de données privé, y compris les environnements à air gap pour les secteurs réglementés. Nous proposons également une option cloud sécurisée hébergée en Allemagne et une plateforme cloud d'entreprise multi-régions avec un déploiement principal dans l'UE. Ces trois options sont conformes au RGPD et prennent en charge les exigences du cadre de conformité ISO 27001.

La désactivation d'un utilisateur dans votre fournisseur d'identité ou son marquage comme sortant dans Passwork révoque instantanément tout accès aux coffres-forts. La plateforme met immédiatement fin aux sessions actives et enregistre l'événement dans le journal d'audit, en détaillant qui détenait l'accès et quand il a été révoqué. Ce flux automatisé répond directement aux lacunes d'offboarding exposées lors des incidents de sécurité de Coupang et KiranaPro.

Les messages de chat, les fils de discussion e-mail et les stockages navigateur manquent de contrôles d'accès et de normes de chiffrement. Les identifiants enregistrés dans le navigateur sont la cible principale des infostealers, des identifiants d'entreprise apparaissant sur 30 % des appareils gérés et 46 % des appareils non gérés compromis. Ces canaux informels ne parviennent pas à appliquer le moindre privilège, à journaliser les événements d'accès ou à prendre en charge la révocation instantanée, violant directement l'ISO 27001 A.5.17.