Condivisione sicura delle password per team e aziende

L'SSO protegge le applicazioni enterprise integrate, ma lascia aperti altri vettori di accesso. Le ricerche mostrano che il 96% degli accessi e-mail e il 91% degli strumenti di IA operano al di fuori del perimetro SSO. Gli account di servizio, le infrastrutture legacy, i portali dei fornitori e la SaaS ombra richiedono un archivio di credenziali dedicato. I dati di settore confermano che il 74% dei professionisti della sicurezza considera il solo SSO una soluzione incompleta di controllo degli accessi.

La NIS2 vieta la condivisione di credenziali non crittografate e non tracciabili. Ai sensi dell'articolo 21(2)(j) e (g), le organizzazioni devono proteggere il controllo degli accessi e mantenere una rigorosa igiene informatica. Ciò richiede che tutte le credenziali aziendali condivise siano crittografate, limitate agli utenti autorizzati tramite il privilegio minimo e completamente sottoposte ad audit. La condivisione di password tramite canali in chiaro, come app di chat o fogli di calcolo, viola questi requisiti poiché impedisce ai revisori di identificare quale individuo ha effettivamente avuto accesso al sistema.

L'articolo 9(4)(c) e (d) della DORA richiede agli enti finanziari e ai loro fornitori ICT critici di applicare il privilegio minimo, un'autenticazione forte e controlli espliciti contro le credenziali condivise per l'accesso privilegiato. I regolatori richiedono prove documentate di questi controlli di accesso. L'implementazione di una cassaforte centralizzata con accesso basato sui ruoli, MFA e log di audit fornisce la documentazione di conformità necessaria.

L'Annex A.5.17 stabilisce che le informazioni di autenticazione devono rimanere riservate, sicure e protette da condivisioni non autorizzate. Quando le credenziali condivise sono inevitabili per entità non personali, le organizzazioni devono limitarle al personale autorizzato tramite controlli documentati. I revisori richiedono prove verificabili, inclusi log delle autorizzazioni, revisioni degli accessi e policy di utilizzo accettabile firmate, che i documenti statici e le cronologie delle chat non possono generare.

Sì. Passwork supporta la distribuzione on-premises nel tuo data center privato, inclusi ambienti air-gapped per settori regolamentati. Offriamo anche un'opzione cloud sicura ospitata in Germania e una piattaforma cloud enterprise multi-regione con distribuzione primaria nell'UE. Tutte e tre le opzioni sono conformi al GDPR e supportano i requisiti del framework di conformità ISO 27001.

Disabilitare un utente nel tuo identity provider o contrassegnarlo come in uscita in Passwork revoca istantaneamente tutti gli accessi alle cassaforti. La piattaforma termina immediatamente le sessioni attive e registra l'evento nel log di audit, dettagliando chi aveva l'accesso e quando è stato revocato. Questo flusso automatizzato affronta direttamente le lacune di offboarding emerse negli incidenti di sicurezza di Coupang e KiranaPro.

I messaggi di chat, i thread e-mail e gli archivi del browser non dispongono di controlli di accesso né di standard di crittografia. Le credenziali salvate nel browser sono il bersaglio principale dei malware infostealer: le credenziali aziendali compaiono nel 30% dei dispositivi gestiti e nel 46% dei dispositivi non gestiti compromessi. Questi canali informali non riescono ad applicare il privilegio minimo, a registrare gli eventi di accesso o a supportare la revoca istantanea, violando direttamente la ISO 27001 A.5.17.