许多企业直到问题出现才意识到自己存在密码问题，例如管理员密码保存在电子表格中，或多年前离职团队成员的登录凭证仍然有效。
这种情况很常见。在英国，政府发布的 2024 年网络安全违反调查（新窗口）发现，50% 的企业在过去 12 个月内遭遇过网络安全违反或攻击，中型企业的这一比例升至 70%，大型企业为 74%。
在这种情况下，密码审计是企业保障安全的最有价值的举措之一。这是一种实用的方法，可以发现那些通过弱密码、未经授权的访问、休眠帐户以及已存储在获批系统之外的登录信息而悄然累积的凭证风险。
对于中小型组织而言，这类审查无需花费资金或开展复杂的转型计划，就能帮助实现有意义的安全改进。
本文介绍如何为企业开展密码审计、需要关注哪些内容，以及如何将这一流程从一次性的清理工作转变为持续一致的安全实践。
什么是密码审计？
密码审计是对企业中使用的密码、帐户和访问权限进行的系统性审查。其目的是识别与凭证相关的风险，例如弱密码、重复使用的密码、过期的登录信息、不活跃的帐户、过度的访问权限，以及已存储在获批系统之外的凭证。
在实践中，密码审计不仅仅是检查密码是否足够强大。它还会审视以下方面：
- 整个组织中如何管理密码
- 谁有权访问什么，以及这些访问是否仍然必要
- 密码如何存储和分享
- 企业是否有足够的可见性，能在风险演变为安全问题之前发现它
正是这种广泛的范围让密码审计发挥作用。在大多数组织中，凭证风险并非源于单个糟糕的密码，而是通过监督上的小疏漏、不一致的访问控制、不良的存储习惯，以及早已应审查或移除却仍处于活跃状态的帐户逐渐累积而成。
有效的密码审计有助于让这些问题浮出水面。它能让企业更清楚地了解当前的密码卫生状况，并为改进访问控制、收紧凭证管理和逐步减少可避免的暴露风险奠定实用基础。如果使用带有管理员工具的企业密码管理器，能够支持可见性、访问审查和策略执行，此类审查就会容易得多。
如何开展密码安全审计：实用的五步框架
一次有用的密码审计不必从绘制企业中每个帐户、工具和访问路径的完美图谱开始。它只需要清晰的结构和一个受控的凭证管理系统。缺少这两点，流程很快就会变得过于宽泛，也更容易被一再拖延。
打破回避密码审计这一循环的方法是：集中管理密码、明确归属权，并通过一个获批的工作流程审查访问。
以下是自行开展密码审计的深入指南：
第 1 步：建立完整的凭证清单
首先为您企业所依赖的系统建立一份可用清单。其中包括显而易见的核心平台，例如：
还应包括网络中运行的不太显眼的工具和服务：
- 共享的社交媒体帐户
- 休眠的 SaaS 订阅
- 承包商工具
- 测试环境
- 各团队在缺乏集中监督的情况下自行采用的服务
对所有工具进行编目十分重要，因为大多数凭证风险都始于可见性不足。如果不清楚哪些工具正在使用中，就无法审查各工具之间的访问是如何管理的。
已经在使用诸如 Proton Pass for Business 之类的企业密码管理器的企业，在开始密码审计时便拥有实用优势，因为凭证保存在已加密的保险库中。
第 2 步：对照业务需求梳理访问
在对系统有了更清晰的了解后，下一步是检查访问。您需要审查是否仍然是合适的人员以合适的级别访问合适的工具。
首先审视每个关键系统，询问当前谁拥有访问权限、这些权限是否符合其现有职责，以及是否有任何帐户拥有超出所需的更广泛权限。
在许多企业中，访问权限会随时间逐渐扩大。例如，为图方便授予的宽泛管理员权限可能从未被移除；承包商在项目结束后可能仍保留访问权限；团队成员可能换了角色却仍保留以前的权限。
即使密码本身很强，这种权限蔓延也会增加风险。NCSC 关于访问控制的指南（新窗口）建议仅将帐户分配给获授权的人员，并给予用户所需的最小访问权限，因为任何人都可能成为隐患。因此，密码审计应审视每个访问级别背后的原因。
第 3 步：进行密码健康度检查
密码审计的这一阶段旨在找出重复使用或薄弱的密码、未启用的双因素身份验证 (2FA)、过期的登录信息，以及让泄露更容易发生的不安全存储习惯。
此时，审查应聚焦于以下几个实际问题：
- 每个帐户的密码是否都是唯一的？
- 是否有密码薄弱或容易被猜到？
- 旧的凭证是否仍在使用且无人过问？
- 员工是否将密码记录在浏览器存储或笔记应用中，而不是企业批准的系统中？
- 所有可以启用 2FA 的地方是否都已启用？
Proton Pass for Business 通过 Pass Monitor 为您提供帮助，其中包括：
- 密码健康度检查工具，可自动检测重复或薄弱的密码以及未启用的 2FA
- 暗网监测，当您的凭证牵涉违反事件时向您发出警报
- Proton Sentinel，用于检测和阻止可能导致帐户接管的可疑登录活动
第 4 步：审查不活跃的帐户
降低凭证风险最快的方法之一，就是直接移除不再需要存在的内容。大多数企业都会随时间积累不活跃的帐户。例如：
- 仍能访问贵公司工具的前员工
- 使用早已减少却仍与有效公司凭证绑定的旧 SaaS 平台
- 本为短期使用而设计的共享帐户，却因无人知道归谁所有而持续活跃数月甚至数年
这些帐户不像活跃帐户那样引人注意，因此特别容易被忽视。这项审查也与更广泛的合规纪律密切相关。
一场彻底的企业密码审查需要有意识地做到以下几点：
- 移除休眠的访问权限
- 关闭废弃的帐户
- 确认保留系统的明确归属
Proton Pass for Business 通过让归属更清晰、访问更易于审查，以及在人员离职或角色变动时更易于管理凭证变更，帮助减少让这些帐户长期存续的阻力。
第 5 步：整改并标准化
最后一步是将发现转化为行动。只有以结构化的方式解决所发现的问题，密码审计才能真正提升组织的安全性。
确定差距后，您可以制定一个系统性而非被动应对的计划。以下是一份简单的密码审计清单：
- 立即更改薄弱或已暴露的凭证。
- 用唯一的密码替换重复使用的密码。
- 在所有地方启用 2FA，从关键帐户开始。
- 移除不活跃或不必要的帐户。
- 撤销过多的特权。
- 将凭证移出电子表格、文档或浏览器存储。
- 将密码存储整合到企业批准的系统中。
- 更新您的密码和访问策略。
这也是让技术行动与策略保持一致的最佳时机。如果您当前的密码策略模糊、未被执行或不切实际，审计只会在六个月后让同样的问题再次浮现。
密码审计与密码策略相辅相成：Proton 的创建密码策略指南是极佳的配套资源。您还可以借助我们的密码策略模板轻松上手。
整改应按风险而非整洁程度排定优先级。首先处理管理员帐户、包含敏感数据的系统、对外暴露的服务，以及归属不明的共享凭证，然后逐步向外扩展。
企业为何跳过密码审计？
既然密码审计如此有用，为什么这么多企业不愿花功夫去执行？这是因为开始这一流程给人的感觉比实际更难。
在许多组织中，凭证存储的位置过于分散，难以审查。有些员工将密码保存在浏览器中，有些则将其存放在电子表格、共享文档、笔记应用或内部消息中。
不同团队可能使用各自的工具、自行购买软件，或以非正式方式管理访问。结果，企业可能无法掌握哪些系统正在使用以及谁有权访问这些系统，从而难以识别和解决安全风险。
缺乏集中式系统会让情况更加困难。没有一个统一的位置来管理企业凭证，即使是最基本的密码安全审计也可能变成一项依靠猜测、截图和个人记忆的手工作业。许多中小企业推迟审查其密码管理方式，因为他们认为这需要开展一个全面的安全项目。实际上，第一步只是围绕现有情况建立结构。
密码审计之所以经常被忽视，还因为凭证风险往往悄然累积。与软件故障或网络钓鱼事件不同，不良的密码卫生并不总是显而易见。弱密码、不必要的访问、休眠帐户以及非正式的分享做法可能连续数月无人注意。等到被发现时，它们往往已深深嵌入日常运营之中。
密码审计能让这一隐藏风险浮出水面。它收集证据，让组织获得所需的可见性和明确的归属，从而加强访问控制、改进存储做法，并做出更加一致的安全决策。
将密码审计转变为持续的管控措施
当密码审计成为持续实践的一部分，而非一次性审查时，其价值会大大提升。如果不加以解决，凭证风险会持续增长。随着人员加入、离职、更换角色、采用新工具或与外部合作伙伴短期合作，访问需求也在不断变化。如果审查只进行一次，其发现几乎马上就会过时。
集中式密码管理是最好的投资。它为 IT 团队提供的不仅是一个安全存放凭证的场所，还创造了更持续一致地审查访问、执行更严格标准，以及在出现需要关注的情况时更快响应所需的可见性和控制力。
选择一款面向 IT 团队的密码管理器，可通过高效的管理员仪表板、集中管理、团队策略、基于角色的访问、SCIM 配置、SSO 和审计日志来支持这一运营模式，让密码管理成为更强有力的运营与合规管控。
