企业常常面临许多小风险，例如重复使用的密码、已离职员工仍处于启用状态的帐户，以及已不再使用的服务的帐户。这些风险单独看似乎并不可怕，但随着不断累积，它们会营造出一个更难建立信任的凭证环境。

解决这一问题的良方是定期进行密码健康度检查。一次性审计可以显示当下需要修复的内容，但随着员工创建新帐户、团队采用新软件，以及新的违反数据不断出现在网上，密码风险也在持续变化。

密码健康度监控让凭证安全成为企业可以依赖的长期实践。管理员无需等待下一次年度审查，即可随时掌握整个企业中薄弱、重复、已遭违反和处于非活动状态的凭证，并在最紧急的风险成为攻击入口之前予以修复。

对于中小企业 (SME) 而言，这种可见性尤其有用，因为员工常常需要跨多个职能和部门工作。他们可能会分享访问权限以加快工作速度，重复使用密码以减少需要记住的内容，或者让旧帐户保持启用状态，即使已无人使用。如果没有持续的监控和完善的数据违反防护流程，这些看似便利却暗藏风险的习惯可能会隐藏数月之久。

什么是密码健康度监控？

密码健康度监控是指持续检查企业凭证是否存在风险迹象。在现代企业密码管理器中，它是一项内置功能，而非团队必须手动执行的流程。

与一次性密码审计不同，监控是持续进行的，而不仅限于年度安全审查或合规要求。这让管理员能够定期了解凭证健康状况，使薄弱密码检测和违反响应成为日常快速操作的一部分。

在实际应用中，密码健康度监控让管理员能够在凭证问题尚可控时及时发现。薄弱和重复的密码、暴露的登录信息，或者没有明确归属者的帐户，看起来可能都是孤立的问题。但综合起来，它们能反映出企业是在控制凭证风险，还是在任其悄然累积。

像 Proton Pass for Business 这样安全可靠的企业密码管理器能为团队提供所需的可见性。它会持续检查密码强度、检测跨帐户的密码重复使用情况，并监控暗网以查找已泄露的凭证，让管理员无需手动审查即可发现问题。

英国的 Cyber Security Breaches Survey 2024（新窗口）（《2024 年网络安全违反情况调查》）发现，半数英国企业报告在过去 12 个月中发现了网络安全违反或攻击事件。并非每起事件都始于密码，但这一发现进一步表明，基础安全卫生必须持续维护。

对凭证而言，这意味着要足够频繁地检查密码健康度，以便在薄弱、重复、已遭违反、被遗忘或处于非活动状态的帐户成为更大问题的一部分之前及时发现它们。

密码健康度的四个维度

密码健康度报告显示的内容不应仅限于凭证是否存储在正确的位置。密码保险库可以防止密码散落在聊天记录和电子表格中（使用 Proton Pass 还可以在团队内安全地分享保险库），但凭证被安全地存储并不代表它本身是安全的。

有些密码可能仍然过于薄弱、在多个服务中重复使用、已出现在违反数据中，或者关联着企业已不再需要的帐户。对这些信号进行监控，正是让密码管理从被动的保险库转变为主动安全工具的关键。

因此，最好从以下四个方面来理解密码健康度：

  • 强度
  • 唯一性
  • 违反暴露
  • 帐户活动

密码强度

一个强密码应当足够长、不可预测，且难以猜测或破解。薄弱密码往往源于习惯：公司名称加年份、熟悉短语加数字，或是为了好记而稍作改动的旧密码。

Proton 的密码强度测试工具可以帮助人们了解什么样的密码更安全，但对企业而言，同样重要的是了解企业网络中是否正在创建和存储薄弱凭证。

如果薄弱密码不断出现，企业可能需要更严格的密码策略、更清晰的入职流程，或者更好的员工指导。Proton Pass for Business 让这一切变得更容易：其内置的密码生成器可以在员工需要时创建强随机密码，因此遵守策略不会带来额外负担。

密码唯一性

密码重复使用是最常见的凭证风险之一，因为它看起来很方便。为新服务创建帐户、重复使用密码然后继续其他工作，这一切都很轻松。但问题在于，一个暴露的密码可能会打开不止一扇门。

在企业中，密码重复使用可能发生在各个工作工具之间、个人帐户与工作帐户之间，或者共享凭证之间。监控能帮助管理员发现同一个密码在哪些地方出现了多次，以及哪些帐户需要优先修改。

这一点对于管理门户、财务帐户、电子邮件、CRM 系统、云服务以及任何存储客户或员工信息的工具尤为重要。如果同一个密码还保护着敏感帐户，那么低风险工具中被重复使用的密码可能会变得严重得多。

违反状态

密码在创建时可能既强且唯一，但之后可能因为出现在违反数据中而变得有风险。定期进行密码监控有助于您在这个问题发生时及时发现。

新的违反事件不断被发现，而凭证暴露并不总是在事件发生时就显现出来。密码可能在数月后才出现在公开数据集中，员工可能在与公司无关的服务中使用了企业电子邮件地址，或者上次审查时被标记为安全的凭证可能因违反暴露而不再安全。

Proton 的 Data Breach Observatory（数据违反观测站）展示了暴露的凭证如何在公司、团队和行业之间制造风险。持续监控可以缩短从暴露到采取行动之间的时间，还能帮助管理员判断紧急程度。旧邮件订阅平台的凭证遭到违反可能需要更换，但其严重程度远不及与薪资、云托管、域名注册商或任何拥有管理员权限的帐户相关的暴露。

帐户活动

帐户活动不同于密码质量。无论帐户使用频率如何，密码都可能强度高、被重复使用或已暴露；这一维度关注的是帐户本身是否仍然处于活动状态、有明确归属者且仍有存在的必要。非活动帐户是指最近未曾使用的帐户，而被遗忘的帐户则是无人认领归属、甚至无人记得其存在的帐户。

这两类帐户都容易被忽视。它们可能属于已离职的员工、临时承包商、旧版软件，或者团队已停止使用的工具。即使已无人使用，只要凭证仍然有效，它们就可能带来风险。

健康度监控可以发现长期未使用的帐户，但决定如何处置这些帐户则是一项管理工作。根据审查结果，管理员可以从保险库中移除凭证、指定归属者、调整访问权限，或直接在相应服务中关闭帐户。其他帐户可能需要指定归属者、审查访问权限，或直接在相应服务中关闭。

帐户不活跃本身并不总是危险的。有些凭证很少使用，是因为它们属于备份系统、紧急帐户或年度续订门户。但如果企业无法解释某个帐户为何存在、归属者是谁、是否仍然需要，那么这个帐户就值得审查。

企业应持续监控哪些凭证和帐户

并非每个密码问题的风险程度都相同。持续监控应有助于区分紧急问题和优先级较低的清理工作。

实用的密码健康度检查应监控以下内容：

  • 低于策略阈值的薄弱密码。应使用生成的强密码予以替换，尤其是对于与客户数据、财务、管理员设置或基础架构相关联的帐户。
  • 跨多个服务的重复密码。当重复使用影响到敏感系统或拥有广泛访问权限的帐户时，应尽快消除。
  • 与违反暴露相关联的凭证。已遭违反的凭证应按紧急事项处理，即使帐户看起来风险较低。同一个密码可能已在其他地方被使用。
  • 未启用 MFA 的帐户。当重要帐户受到多因素身份验证 (MFA) 保护时，密码健康度会更高。监控应突出显示仍仅依靠密码保护的高价值帐户。
  • 非活动或归属不明的帐户。没有明确归属者或当前用途的凭证应予以审查、重新分配、归档，或在适当情况下移除。
  • 特权凭证。管理员帐户、财务门户、HR 系统、备份服务和基础架构登录凭证应比日常运营帐户执行更严格的标准。

清晰的策略正是在这一点上发挥作用。Proton 的创建密码策略指南介绍了企业如何为密码创建、安全分享、MFA 和访问管理制定规则。监控则能将这些规则转化为持续实践。如果没有监控，策略可能只是纸上谈兵，而薄弱或重复的密码仍会不断出现在日常工作中。

如何建立密码健康度监控节奏

持续监控并不意味着每个问题都需要每天审查。对大多数企业而言，合适的节奏是将定期报告与针对重大事件的快速响应相结合。

以下是一个简单的监控节奏起点：

  • 尽快发出关键警报：已泄露的凭证、敏感帐户上重复使用的密码，或与管理员、财务、人事、客户或基础架构系统相关联的弱密码。
  • 每月密码健康度报告：总体得分、弱密码数量、重复使用的密码数量、已泄露的凭证、不活跃的帐户、MFA 覆盖率，以及与上月相比的进展。
  • 每季度全面审查：深入审查分享的凭证、特权保险库、不活跃的帐户以及部门级别的访问权限。
  • 基于事件的检查：新员工入职、员工离职、角色变更、供应商变更、并购、采用新软件，或重大数据泄露公告。

这样的节奏让密码健康度保持可见，同时不会使其成为持续的手动负担。它还为责任落实建立了规律。IT 团队能够了解风险在何处上升，经理可以审查其团队拥有的凭证，管理层则可以跟踪凭证卫生状况是在改善还是在退步。

一份实用的密码健康度报告应显示哪些内容

密码健康度报告应帮助人们决定优先修复什么。如果它只显示原始数字，就很容易被忽视；如果它对每个问题一视同仁，可能会将团队引向错误的方向。

最有用的视图是将状态、紧急程度和进展结合在一起。管理员需要了解弱密码、重复使用的密码、已泄露的密码或不活跃的凭证存在于何处，同时也要理解哪些问题会给企业带来最大风险。旧测试帐户上的弱密码仍值得注意，但不应与关联工资单、云托管、电子邮件或域名注册商的已泄露凭证相提并论。

Proton Pass for Business 中的群组管理支持这种优先级排序。IT 团队可以创建与部门、团队或客户帐户相对应的群组，并在群组级别分配保险库访问权限，这样当有成员加入或离开团队时，其保险库访问权限会自动更新，健康度报告也能反映与实际业务运作方式相符的结构。

报告还应显示凭证安全性是否在改善。重复使用的密码数量不断上升，可能表明密码管理器的使用情况不佳；已泄露凭证的修复进展缓慢，可能表明责任人不够明确；不活跃的帐户过多，则可能提示离职和软件审查流程需要改进。

总体而言，密码健康度应当是衡量贵企业凭证卫生状况的清晰指标：风险在何处积聚、团队的响应速度有多快，以及密码策略是否在长期内改变行为。

Proton Pass Monitor 如何让凭证风险可见

Proton Pass for Business 是一款安全的企业密码管理器，帮助团队安全地存储、生成、自动填充和分享凭证。企业可以使用 Pass Monitor 来监控密码健康度。

Pass Monitor 让管理员能够全面了解团队中弱、重复使用和已泄露的凭证。企业无需等待人工审查，即可查看哪些密码需要关注以及最严重的风险在哪里。这使得密码健康度更易于作为日常安全运营的一部分进行管理。

对于团队不断壮大的企业来说，这种可见性非常重要，因为凭证风险很少集中在一处。有些问题源于旧的分享密码，有些则源于个人习惯、仓促的入职流程、被弃用的帐户，或未经 IT 参与就采用的工具。Pass Monitor 有助于发现这些问题，让团队在弱密码或暴露的凭证演变成更大事故之前采取行动。

Proton Pass for Business 为团队提供更强大的凭证管理基础：加密保险库、安全分享、强密码生成、自动填充、内置双因素身份验证、通行密钥、管理员策略、日志、基于角色的访问控制、SCIM 配置以及 SSO 集成。IT 团队可访问 Proton 的Pass for IT teams 页面，了解这些功能如何支持整个企业的集中式凭证管理。

Pass Monitor 不应取代策略、培训、MFA 或访问审查。它让这些控制措施更易于执行，因为管理员不再依赖猜测。它还能缩小策略与实践之间的差距：原本只停留在纸面上的规则变得可衡量、可执行，分散在数十个平台上的凭证也不再积累无形风险。管理员可以查看哪些凭证是弱密码、重复使用或已泄露，然后利用这些信息指导修复工作。

使用企业密码管理器持续监控团队的凭证健康度。