密碼管理工具（password manager）是一款把登入資料存放在加密保險庫的應用程式，它會為每個帳戶產生不同的高強度密碼，並在登入時自動填寫。用戶只需記住一個主密碼（再加上第二重驗證），不用再記住電郵、網站寄存、社交媒體、銀行網上平台和各種業務軟件的幾十個密碼。
對企業來說，更大的好處是管理權：誰可以看到哪些登入資料、帳戶如何共用，以及員工離職時怎樣處理。
重複使用密碼有甚麼問題
要記住的密碼太多，用戶往往會重複使用同一個密碼，或只作少許改動。一旦某個網站資料外洩，攻擊者便會拿同一組電郵和密碼去登入其他服務。這種手法稱為撞庫攻擊（credential stuffing），只要密碼曾被重複使用，就有機會得逞。
公司共用帳戶又是另一個問題。域名註冊商、社交媒體專頁或供應商平台的登入資料，經常存放在試算表、聊天紀錄或某位同事手機的備忘錄裏。沒有人清楚誰手上有一份，員工離職後密碼也很少更改。
密碼管理工具如何運作
- 加密保險庫：登入資料、備註和其他機密資料都以加密方式儲存。不少企業版產品的設計令供應商本身也無法讀取保險庫內容，但應查閱個別供應商的保安文件，不宜自行假設。
- 密碼產生器：產生又長又隨機的密碼，讓每個帳戶都用獨立密碼。
- 自動填寫：瀏覽器擴充功能和手機應用程式會在相符的網站填寫登入資料。遇上仿冒的釣魚網站時，因為網址不相符，工具不會自動填寫，有助用戶察覺異樣。
- 同步：同一個保險庫可在用戶的電腦和手機上使用。
- 保安檢查：很多工具會標示強度不足、重複使用或已外洩的密碼。
企業應留意的功能
個人版或瀏覽器內置的密碼管理功能，個人使用已經足夠。如果是團隊使用，應留意以下功能：
- 共用保險庫或資料夾，並可設定權限。例如市場部看到社交媒體帳戶，財務部看到銀行平台，雙方都不會看到全部內容。這和角色權限控制的概念一致。
- 管理員控制：強制啟用 MFA、設定密碼規則，以及限制可使用的裝置或瀏覽器。
- 入職和離職流程：把新同事加入合適的保險庫，並可一次過收回離職員工的權限。
- 活動紀錄：顯示誰曾查看、修改或分享某項資料。
- 帳戶復原：由管理員處理，避免有人忘記主密碼後公司無法存取資料。
- SSO 整合：如果公司已透過單一身分供應商登入各個工作應用程式，這項功能會有幫助。
- 匯出和資料存放地點：如果公司對業務資料的存放地點有政策要求，應一併確認。
密碼管理工具、MFA 和 SSO
這三樣工具各自處理同一個問題的不同部分：
- 單一登入（SSO）讓員工用一個公司身分登入多個應用程式，部分密碼因此不再需要。
- 多重身分驗證（MFA）加上第二重檢查，單靠被盜的密碼並不足以登入。
- 密碼管理工具處理 SSO 未能涵蓋的帳戶，例如共用帳戶、較舊的系統和第三方平台。
大部分企業三樣都用得着。密碼管理工具本身一定要啟用 MFA，因為保險庫存放着其他所有帳戶的登入資料。
小型企業如何開始使用
- 列出最重要的帳戶：電郵、域名和 DNS、網站寄存、網站管理後台、付款和銀行平台、社交媒體及主要軟件。
- 選用企業方案，並為每位用戶啟用 MFA，先由管理員開始。
- 按團隊或職能設定共用保險庫，把登入資料從試算表和聊天紀錄搬進去。
- 搬移時順道更改密碼，尤其是曾被廣泛分享或重複使用的密碼。
- 把密碼管理工具加入離職清單，同時更改離職員工知道的共用密碼。
- 定期檢視權限，例如每季一次，刪除不再需要的項目和人員。
常見問題
把所有密碼放在同一個地方會不會有風險？
風險會集中起來，所以保險庫需要嚴密保護：較長的主密碼、MFA，以及保持應用程式更新。對大部分團隊而言，這仍比重複使用密碼、把登入資料放在試算表或聊天紀錄安全，因為後者難以追蹤，也很少更改。
瀏覽器內置的密碼管理功能夠用嗎？
個人使用或許足夠。團隊使用時，它通常缺少共用保險庫、權限設定、集中管理和離職控制，而這些正是企業採用密碼管理工具的主要原因。
通行密鑰（passkey）會取代密碼管理工具嗎？
在支援通行密鑰的服務上，用戶可以不用密碼登入，而很多密碼管理工具也能儲存和同步通行密鑰。在所有服務都支援之前，大部分團隊仍需要一個地方管理密碼。
如需協助檢視團隊如何儲存和分享業務系統的存取權限，可參考我們的網絡安全及合規服務。