小型企业对密码管理器存在哪些误解

中小型企业的运营方式已发生永久性改变——攻击方式也随之改变。团队分布各地，SaaS 工具处理着从薪酬到项目管理的各项事务，承包商和供应商定期进出系统。每增加一个新工具或一名拥有访问权限的新员工，潜在入口点的数量就会随之增加。

不断扩大的攻击面之所以重要，是因为基于凭证的攻击（包括网络钓鱼、帐户接管和密码窃取）已成为企业遭到入侵的最常见方式之一。这类攻击之所以得逞，正是因为访问范围不断蔓延，导致难以追踪。如今攻击者只需找到一组有效凭证，就能绕过贵企业的防御。

在此背景下，超过半数的小型企业现在都在使用企业密码管理器，这理应令人鼓舞。但 Proton 的《2026 年中小企业网络安全报告》——一项针对 3,000 名中小企业决策者的全球调查——发现，每四家企业中仍有一家在去年遭遇过泄露。

这一切都表明，工具的采用方式与实际使用方式之间存在差距。

中小企业如今如何使用密码管理器

大多数密码管理器的设计目的只有一个：帮助您记住密码。实际上，这意味着创建复杂且唯一的密码，并将其管理在已加密的保险库中。比起在多个帐户和平台上重复使用相同凭证的常见做法，这已是显著的进步。

但密码是攻击者最容易的入侵切入点，中小企业需要密码管理器做的远不止解决记忆和便利问题，还需要它来保障访问安全。

访问是一个更广泛的问题。合适的人是否拥有合适的凭证——您是否知道它们能解锁什么，或者它们是否已落入不法之徒手中？随着团队壮大、订阅不断累积、承包商来来去去，贵组织的考量需要从仅仅强化密码，转向应对现实世界的安全威胁。

大多数企业往往要等到出事之后才会做出这一转变。

我们报告的关键发现是：采用密码管理器的企业并未持续一致地使用它们。

不安全的凭证分享仍以惊人的高比例存在：

这描绘的是忙碌的人们在当下选择最快路径的情形。他们没有切换到密码管理器应用，将新凭证分享到相应的保险库中，而是可能直接将其粘贴到 Slack 或电子邮件里。

变通做法单独来看似乎无害。但随着时间推移，凭证会散落在收件箱、聊天记录和共享文档中，难以理清。当员工离职时，您日后无法撤销其访问权限。而在数据泄露后需要立即更新密码时，除非密码存储在集中式安全位置，否则根本无从下手。

通过培训来强化安全策略会有所帮助，但我们的研究发现，即便如此也还不够……

我们的报告发现，39% 的中小企业曾经历过由人为错误引发的安全事件。这一数据很容易被误读：人们往往会想当然地认为，员工越谨慎，安全事件就越少。

但这种视角忽略了一个重要事实：依赖人们在日常压力下始终表现完美的安全系统，终究会被现实辜负。错误的发生并非因为人们不在意，而是因为安全选项往往需要比典型中小企业所能承受的更多精力和时间。即使是出于善意的团队，在资源紧张时也会寻找变通办法。

长久之计不是更多的培训。而是设计出让安全选项同时也是便捷选项的系统。

当安全地分享访问所需的工作量不超过把密码丢进一条聊天消息时，人们就会使用它。

随着团队壮大，凭证问题也在不断加剧。

如今 86% 的中小企业依靠基于云的服务开展日常运营。这通常意味着凭证散布在项目管理工具、财务平台、营销软件、文件存储空间和客户系统中，每个系统都有自己的权限和访问历史。

访问不仅散布于各系统之间，还扩散到整个组织，在团队、外部合作伙伴和承包商之间流动，甚至包括可能仍保留着某种进入方式的前员工。

这意味着在现实中，凭证不断累积，旧有的访问持续存在，而曾经或正在掌握您最敏感系统钥匙的人数，会增长到难以轻松追踪的程度。

去年遭遇泄露的中小企业并非偷工减料：92% 都在积极投资安全工具。它们配备了密码管理器、加密电子邮件、培训计划和成文的策略。换言之，它们的设置在纸面上看起来很稳固。

许多企业缺乏的是一贯的执行。多因素身份验证 (MFA) 虽已开启，却并非强制要求；密码管理器虽已部署，却未融入日常习惯；而入职和离职流程的处理也较为随意，而非系统化。鉴于浏览器密码管理器的流行，我们怀疑许多企业甚至根本没有使用集中式的团队平台，而是各自依赖一堆安全性较低的拼凑方案。

每一个都是小缺口，一直隐而不现，直到某天突然爆发。

衡量安全设置优劣的真正标准，不在于清单上有哪些工具，而在于这些工具能否在人们实际工作方式的日常压力下经受住考验。

以下是一些实用做法，可帮助贵企业更接近这一现实：

使用专为团队打造的密码管理器。 浏览器密码管理器不仅安全性较低，还缺少管理者为完全掌控您的帐户所需的管理员工具。除非您拥有一款易于使用的企业级密码管理器，否则难以奏效。
审核当前哪些人拥有哪些访问权限。 检查您最敏感工具上的用户列表，看看其中是否有令您意外的名字。
用个人帐户取代共享登录。虽然在密码管理器中分享登录信息很容易，但这并非最佳实践：共享登录会降低帐户级别的可见性，使识别和应对泄露变得更加困难。
将多因素身份验证设为强制要求。MFA 是目前最有效的保护措施之一——但只有在默认强制执行、而非留作可选设置时才有效。
让离职流程系统化。无论是员工、承包商还是供应商，每次人员离开都应立即触发访问权限审查，而不是事后才想起。

想知道从我们对六个关键市场 3,000 位企业领导者的调查中还能了解到什么吗？请在我们的《2026 年中小企业网络安全报告》中阅读更多内容。您将了解泄露的成因及其实际代价、人为错误最常出现在哪里，以及云和 AI 的采用如何造成新的盲区。报告还包含在实际条件下行之有效的强化防护实用步骤。