Bezpieczne udostępnianie haseł dla zespołów i firm

SSO zabezpiecza zintegrowane aplikacje enterprise, pozostawiając otwarte inne wektory dostępu. Badania pokazują, że 96% logowań e-mail i 91% narzędzi AI działa poza obrębem SSO. Konta usługowe, infrastruktura legacy, portale dostawców i shadow SaaS wymagają dedykowanego magazynu poświadczeń. Dane branżowe potwierdzają, że 74% specjalistów ds. bezpieczeństwa uważa samo SSO za niekompletne rozwiązanie kontroli dostępu.

NIS2 zabrania niezaszyfrowanego i nieprześledzalnego udostępniania poświadczeń. Zgodnie z art. 21 ust. 2 lit. j i g organizacje muszą zabezpieczyć kontrolę dostępu i utrzymywać ścisłą higienę cyberbezpieczeństwa. Wymaga to, aby wszystkie współdzielone poświadczenia firmowe były szyfrowane, ograniczone do autoryzowanych użytkowników na zasadzie najmniejszych uprawnień i w pełni audytowane. Udostępnianie haseł za pośrednictwem kanałów jawnych — takich jak aplikacje do czatu czy arkusze kalkulacyjne — narusza te wymagania, ponieważ uniemożliwia audytorom ustalenie, która osoba faktycznie uzyskała dostęp do systemu.

Art. 9 ust. 4 lit. c i d rozporządzenia DORA wymaga od podmiotów finansowych i ich kluczowych dostawców ICT stosowania zasady najmniejszych uprawnień, silnego uwierzytelniania oraz wyraźnych mechanizmów kontroli przeciwko współdzielonym poświadczeniom dla dostępu uprzywilejowanego. Organy regulacyjne wymagają udokumentowanych dowodów tych kontroli dostępu. Wdrożenie scentralizowanego sejfu z dostępem opartym na rolach, MFA i dziennikami audytu zapewnia wymaganą dokumentację zgodności.

Załącznik A.5.17 stanowi, że informacje uwierzytelniające muszą pozostać poufne, bezpieczne i chronione przed nieautoryzowanym udostępnianiem. Gdy współdzielenie poświadczeń dla podmiotów nieosobowych jest nieuniknione, organizacje muszą ograniczyć je do autoryzowanego personelu poprzez udokumentowane mechanizmy kontroli. Audytorzy wymagają weryfikowalnych dowodów — w tym dzienników uprawnień, przeglądów dostępu i podpisanych polityk dopuszczalnego użytkowania — których statyczne dokumenty i historie czatów nie są w stanie wygenerować.

Tak. Passwork obsługuje wdrożenie on-premises we własnym prywatnym centrum danych, w tym środowiska odizolowane (air-gapped) dla branż regulowanych. Oferujemy również bezpieczną opcję chmurową hostowaną w Niemczech oraz wieloregionalną platformę cloud enterprise z podstawowym wdrożeniem w UE. Wszystkie trzy opcje są zgodne z RODO i wspierają wymogi ram zgodności ISO 27001.

Wyłączenie użytkownika w dostawcy tożsamości lub oznaczenie go jako odchodzącego w Passwork natychmiast cofa cały dostęp do sejfów. Platforma natychmiast kończy aktywne sesje i rejestruje zdarzenie w dzienniku audytu, podając szczegóły dotyczące tego, kto miał dostęp i kiedy został on cofnięty. Ten zautomatyzowany przepływ pracy bezpośrednio eliminuje luki w offboardingu ujawnione podczas incydentów bezpieczeństwa Coupang i KiranaPro.

Wiadomości czatu, wątki e-mail i magazyny przeglądarek nie mają kontroli dostępu ani standardów szyfrowania. Poświadczenia zapisane w przeglądarce to główny cel złośliwego oprogramowania infostealer — poświadczenia firmowe pojawiają się na 30% zarządzanych i 46% niezarządzanych naruszonych urządzeń. Te nieformalne kanały nie egzekwują zasady najmniejszych uprawnień, nie rejestrują zdarzeń dostępu ani nie obsługują natychmiastowego cofnięcia dostępu, co bezpośrednio narusza normę ISO 27001 A.5.17.