Ein einzelner Mitarbeiter, der einen Lieferantendatensatz erstellen und dann die Rechnung dieses Lieferanten genehmigen kann, braucht keine Hilfe von anderen, um eine unzulässige Zahlung durchzusetzen. Keine Absprache ist erforderlich, und nichts muss gefälscht werden: Ein Login mit zu viel Reichweite reicht allein aus. Funktionstrennung (SoD) ist die Kontrolle, die diese Lücke schließt. Sie teilt einen sensiblen Prozess in Schritte auf, die verschiedene Personen ausführen müssen, sodass keine einzelne Person eine Transaktion von Anfang bis Ende unkontrolliert abwickeln kann.

Das Prinzip liegt den meisten internen Kontrollrahmenwerken in den Bereichen Finanzen, IT und Sicherheitsbetrieb zugrunde. Prüfer fragen gezielt danach. Regulierungsbehörden zitieren es in spezifischen Klauseln. Und die Kosten für das Auslassen steigen weiter: Der Median bei Fällen von Betrug am Arbeitsplatz betrug 104.000 $ im Jahr 2026, und der durchschnittliche Fall lief etwa 12 Monate, bevor ihn jemand entdeckte, laut dem Bericht ACFE's Occupational Fraud 2026: A Report to the Nations.

Kernpunkte

• SoD trennt Autorisierung, Verwahrung und Aufzeichnung auf verschiedene Personen, sodass ein einzelnes Konto einen sensiblen Prozess nicht allein abschließen kann.
• Es unterscheidet sich von Least Privilege und RBAC. Least Privilege begrenzt, wie viel Zugriff eine Person hat, RBAC ist der Mechanismus, und SoD ist die Designregel, die entscheidet, welche Rollenkombination ein einzelnes Konto innehaben darf.
• Der Median bei Fällen von Betrug am Arbeitsplatz betrug 104.000 $ im Jahr 2026 und lief etwa 12 Monate, bevor ihn jemand entdeckte (ACFE).
• NIST AC-5, ISO 27001 Annex A 5.3 und NIS2 Art. 21(2)(i) erwarten alle dokumentierte SoD-Kontrollen, obwohl das rechtliche Gewicht je nach Branche variiert.
• Teams ohne dedizierte Identity Governance and Administration (IGA)- oder Governance, Risk, and Compliance (GRC)-Plattform können SoD durch kompensierende Kontrollen umsetzen: nicht entfernbare Admin-Rollen, Genehmigungsrouting, Audit-Protokollierung und regelmäßige Überprüfung.

Was ist Funktionstrennung (SoD)?

Funktionstrennung (SoD) ist eine interne Kontrolle, die einen sensiblen Prozess in Phasen unterteilt — typischerweise Autorisierung, Verwahrung oder Ausführung und Aufzeichnung oder Abstimmung — und jede Phase einer anderen Person zuweist. Keine einzelne Person initiiert und genehmigt dieselbe Transaktion oder handhabt einen Vermögenswert und erfasst dessen eigene Bewegung. Das Ziel ist es, Betrug oder Fehler so zu gestalten, dass sie Absprache statt nur Gelegenheit erfordern.

SoD ist nicht dasselbe wie ein Organigramm. Eine Berichtslinie zeigt, wer wen führt, sagt aber nichts darüber aus, wer einen Lieferanten erstellen, dessen Zahlung genehmigen und das Hauptbuch abstimmen kann, ohne dass jemals eine zweite Person die Transaktion prüft. Zwei Personen können demselben Manager unterstellt sein und trotzdem SoD erfüllen, solange keine von beiden den vollständigen Prozess allein abschließen kann. Das Vier-Augen-Prinzip — das mindestens zwei Personen für die Freigabe einer sensiblen Aktion erfordert — ist der einfachste Ausdruck dieser Idee.

Funktionstrennung vs. Least Privilege vs. RBAC

SoD ist nicht Least Privilege, und Least Privilege ist nicht RBAC. Least Privilege begrenzt, wie viel Zugriff eine Person hat. SoD begrenzt, ob eine Person einen gesamten sensiblen Prozess allein abschließen kann, selbst innerhalb ihres erlaubten Zugriffs. RBAC (Role-Based Access Control) ist der Mechanismus, der normalerweise beides durchsetzt, indem er Berechtigungen an Rollen statt an Einzelpersonen bindet.

Die drei Konzepte versagen unterschiedlich, wenn sie allein angewendet werden. Least Privilege ohne SoD erlaubt immer noch, dass ein eng begrenztes Konto sowohl denselben Datensatztyp erstellt als auch genehmigt, weil eng nicht isoliert bedeutet. RBAC ohne SoD kann stillschweigend einer Person zwei Rollen zuweisen, die nie überlappen sollten — wie ein Kreditorenbuchhalter, der während einer Urlaubswoche für einen Genehmiger einspringt. Die Rollendefinitionen sehen sauber aus, die Kombination hebelt die Kontrolle aus.

Nichts davon macht RBAC überflüssig. Es ist das Werkzeug, das SoD in großem Maßstab durchsetzbar macht. Siehe wie RBAC Zugriff nach Rolle zuweist für das zugrunde liegende Modell: Anstatt individuelle Berechtigungen zu verfolgen, definiert ein Administrator Rollen, und SoD-Regeln entscheiden, welche Rollen ein einzelnes Konto gleichzeitig innehaben darf.

Häufige Funktionstrennungskonflikte (mit Beispielen)

Ein Funktionstrennungskonflikt besteht immer dann, wenn ein Konto oder eine Person zwei Rollen innehat, die kombiniert ermöglichen, einen sensiblen Prozess ohne Beteiligung einer zweiten Partei abzuschließen. Die deutlichsten Beispiele finden sich in Finanzen und Beschaffung, aber dasselbe Fehlermuster zeigt sich in DevOps-Pipelines, HR-Systemen und Credential-Tresoren.

Formalisierte SoD-Anforderungen lassen sich auf die Buchhaltungsskandale bei Enron und WorldCom Anfang der 2000er Jahre zurückführen, die direkt zum Sarbanes-Oxley Act und seinem Section 404 Internal-Controls-Mandat führten. Diese Geschichte prägt noch heute, wie Prüfer die Kontrolle angehen: SoD existiert, weil informelles Vertrauen ab einer bestimmten Unternehmensgröße nicht mehr skaliert.

Wenn eine Person sowohl einen Lieferanten erstellen als auch dessen Zahlung genehmigen kann, erfordert Betrug überhaupt keine Absprache.

Wenn eine Zeile in dieser Tabelle beschreibt, wie Ihr Tresor heute funktioniert, ist diese Lücke behebbar. Testen Sie Passwork kostenlos und sehen Sie, wie Tresor-Richtlinien sie schließen.

Wie man eine Funktionstrennungsmatrix erstellt

Eine Funktionstrennungsmatrix bildet Rollen gegen die Aktionen ab, die diese Rollen ausführen können, sodass Konflikte sichtbar werden, bevor sie ein Problem verursachen. Die Erstellung erfordert fünf Schritte.

1. Identifizieren Sie die kritischen Prozesse. Beginnen Sie mit allem, was Geld bewegt, Zugriff ändert oder Produktion betrifft: Lieferantenzahlungen, Gehaltsänderungen, Code-Bereitstellung, Credential- und Tresor-Administration.
2. Listen Sie jede beteiligte Rolle auf. Schließen Sie Jobtitel-Rollen (Kreditorenbuchhalter, DevOps-Engineer) und Systemrollen (Tresor-Administrator, Genehmiger) nebeneinander ein.
3. Ordnen Sie Rollen Aktionen zu. Erstellen Sie ein Raster mit Rollen auf einer Achse und Aktionen — wie Erstellen, Genehmigen, Ausführen und Aufzeichnen — auf der anderen. Markieren Sie jede Aktion, die jede Rolle derzeit ausführen kann.
4. Kennzeichnen Sie die Überschneidungen. Jede Rolle, die denselben Prozess sowohl initiieren als auch genehmigen kann oder sowohl ausführen als auch aufzeichnen kann, ist ein Konflikt.
5. Lösen Sie jeden Konflikt. Weisen Sie die Rolle neu zu, teilen Sie den Prozess auf zwei Rollen auf, oder dokumentieren Sie — wo eine Neuzuweisung nicht praktikabel ist — eine kompensierende Kontrolle.

Ein kleines Arbeitsbeispiel — drei Rollen gegen drei Aktionen in einem Kreditorenprozess:

Keine einzelne Zeile kann jede Spalte abhaken. Das ist die Matrix, die wie beabsichtigt funktioniert.

Präventive vs. detektive SoD-Kontrollen (und kompensierende Kontrollen für kleine Teams)

Präventive SoD-Kontrollen stoppen eine konfligierende Zuweisung, bevor sie passiert — normalerweise durch Blockieren einer Rollenkombination im Zugriffssystem selbst. Detektive Kontrollen erkennen Konflikte im Nachhinein durch Audit-Trails und regelmäßige Zugriffsüberprüfung. Kompensierende Kontrollen ersetzen beide, wenn ein Team zu klein ist, um einen Prozess vollständig zu trennen.

Präventive Kontrollen sind die stärksten, weil sie die Gelegenheit vollständig beseitigen. Ein Rollensystem, das einem Konto nicht erlaubt, gleichzeitig „Genehmiger" und „Antragsteller" für denselben Workflow zu sein, lässt den Konflikt gar nicht erst entstehen.

Detektive Kontrollen akzeptieren, dass eine gewisse Überschneidung unvermeidlich ist, und erkennen sie stattdessen. Ein Audit-Trail, der aufzeichnet, wer einen Datensatz erstellt hat, wer ihn genehmigt hat und wer danach darauf zugegriffen hat, lässt einen Prüfer einen Konflikt während einer Zugriffszertifizierung erkennen, selbst wenn das System ihn zugelassen hat.

Die meisten SoD-Richtlinien setzen eine dedizierte Identity Governance and Administration (IGA)- oder GRC-Plattform voraus, die kontinuierliche Konfliktprüfungen durchführt. Kleine IT-Teams haben selten dieses Budget, und die meisten Richtlinien überspringen, was stattdessen zu tun ist.

Vier kompensierende Kontrollen decken den größten Teil der Lücke ab. Nennen Sie es die Vier-Kontrollen-SoD-Basis:

• Trennen Sie Rollen, wo immer die Personalstärke es erlaubt
• Leiten Sie alles, was nicht getrennt werden kann, durch einen zweiten Genehmiger
• Protokollieren Sie jede privilegierte Aktion in einem exportierbaren Audit-Trail
• Überprüfen Sie den Zugriff nach einem festen Zeitplan statt nie

Keine der vier erfordert eine GRC-Plattform. Alle vier erfordern jemanden, der den Zeitplan verantwortet.

Funktionstrennung und Compliance-Rahmenwerke

Funktionstrennung erscheint namentlich oder als Anforderung in den meisten großen Compliance-Rahmenwerken, obwohl das rechtliche Gewicht je nach Branche und Rechtsordnung variiert. SOX bindet sie an Kontrollen für die Finanzberichterstattung, NIST und ISO rahmen sie als allgemeine Sicherheitskontrolle, und NIS2 integriert sie in die Anforderungen an Zugriffskontrollrichtlinien für wesentliche und wichtige Einrichtungen in der EU.

Keines dieser Rahmenwerke liefert eine fertige SoD-Matrix. Sie verlangen, dass die Organisation eine hat und zeigen kann, wie Konflikte gelöst werden.

Das Section-404-Mandat von SOX ist dasjenige, auf das die meisten compliance-getriebenen SoD-Programme reflexartig verweisen, obwohl es spezifisch für die Finanzberichterstattungskontrollen börsennotierter Unternehmen gilt, nicht für jedes Rahmenwerk in dieser Tabelle. Ob SoD für eine bestimmte Organisation rechtlich erforderlich ist, hängt von Branche, Rechtsordnung und den anwendbaren Rahmenwerken ab. Ein Compliance- oder Rechtsteam ist die richtige Quelle für diese Bestimmung. Diese Tabelle ist eine Übersicht, keine Rechtsberatung.

Wie Passwork Funktionstrennung im Tresor durchsetzt

Passwork integriert Funktionstrennung über vier Mechanismen in den Tresor: nicht entfernbare Admin-Rollen, benutzerdefinierte RBAC-Rollen, AD/LDAP-Gruppensynchronisation und einen exportierbaren Audit-Trail. Zusammen trennen sie, wer einen Tresor erstellt, von dem, wer ihn dauerhaft kontrolliert, und verwandeln die Zugriffsüberprüfung von einer manuellen Nachverfolgung in einen geplanten Export.

Tresor-Richtlinien weisen Administratoren auf Tresor-Typ-Ebene zu, nicht demjenigen, der den Tresor zufällig erstellt. Eine Tresor-Richtlinie definiert, welche Unternehmensadministratoren automatischen, nicht entfernbaren Zugriff auf jeden Tresor dieses Typs erhalten, sodass die Person, die einen neuen Abteilungstresor erstellt, später nicht stillschweigend die Aufsicht entfernen kann. Das ist eine präventive Kontrolle: Der Konflikt zwischen „Ersteller" und „dauerhafter Admin" bekommt nie die Chance, sich zu bilden.

Benutzerdefinierte RBAC-Rollen trennen Konto- und Benutzerverwaltung vom täglichen Tresorzugriff. Passwork bietet drei integrierte Rollen — Besitzer, Administrator und Mitglied — und unterstützt unbegrenzte benutzerdefinierte Rollen mit Geltungsbereich über Kontoeinstellungen, Tresorverwaltung, Benutzerverwaltung, Authentifizierungsmethoden und API-Zugriff. Siehe Entwurf einer Enterprise-RBAC-Richtlinie für die Strukturierung von Rollen vor dem Rollout. Eine für einen Helpdesk-Techniker erstellte Rolle benötigt keine Tresor-Richtlinien-Berechtigung und muss sie auch nicht tragen.

AD/LDAP-Gruppensynchronisation setzt die präventive Kontrolle in großem Maßstab durch. Anstatt dass ein Administrator manuell überprüft, wer zu welcher Passwork-Gruppe gehört, steuert die Verzeichnisgruppenmitgliedschaft dies. Wenn HR jemanden in Active Directory in ein anderes Team versetzt, folgt der Passwork-Zugriff automatisch, und das Entziehen konfligierender Zugriffsrechte bei Rollenwechseln hängt nicht mehr davon ab, dass jemand daran denkt, ein Ticket zu erstellen.

Das Aktivitätsprotokoll ist die detektive Schicht. Es zeichnet Tresor-, Ordner-, Passwort- und Kontoebenen-Ereignisse auf, filterbar nach Datum, Benutzer und Aktionstyp und exportierbar nach Syslog, Windows Event Viewer oder ein SIEM. Für einen Prüfer, der Nachweise einer Zugriffsüberprüfung sehen möchte, ist ein exportierbares Protokoll der Unterschied zwischen einer echten Antwort und einem Versprechen. Vollständige Details zu Passworks Zugriffsverwaltungsfunktionen zeigen, wie diese Teile zusammenpassen.

Checkliste für Funktionstrennung

Verwenden Sie diese Checkliste, um von einer Ad-hoc-Zugriffskonfiguration zu einem dokumentierten Funktionstrennungsprogramm zu gelangen — mit oder ohne dedizierte GRC-Plattform.

1. Erfassen Sie jeden kritischen Prozess, der Geld bewegt, Zugriff ändert oder Produktion betrifft.
2. Erstellen Sie eine Funktionstrennungsmatrix und kennzeichnen Sie jede Rolle, die dieselbe Aktion sowohl initiieren als auch genehmigen kann.
3. Weisen Sie nicht entfernbare Administratoren pro Tresor- oder Richtlinientyp zu, sodass die Aufsicht nicht davon abhängt, wer die Ressource erstellt hat.
4. Aktivieren Sie die AD/LDAP-Gruppensynchronisation, damit Zugriffsänderungen Verzeichnisaktualisierungen folgen statt manuellen Tickets.
5. Aktivieren Sie exportierbare Audit-Protokollierung für jede privilegierte Aktion.
6. Planen Sie regelmäßige Zugriffsüberprüfungen — häufiger für Hochrisiko-Rollen als für Standard-Rollen.
7. Dokumentieren Sie kompensierende Kontrollen überall dort, wo eine strikte Trennung nicht machbar ist, und erfassen Sie, wer für jede verantwortlich ist.

Das Fazit

Funktionstrennung funktioniert als fortlaufende Designdisziplin: Jedes Mal, wenn sich eine Rolle ändert, ein Tresor erstellt wird oder eine neue Pipeline in Produktion geht, ist die Frage dieselbe. Kann ein Konto dies allein abschließen? Wenn ja, ist das ein Konflikt, der auf einen Vorfall wartet, der ihn aufdeckt.

Die Matrix und die Compliance-Verweise sind wichtig, aber die tägliche Arbeit ist operativ: nicht entfernbare Admins, synchronisierte Gruppen, ein Audit-Trail, den tatsächlich jemand liest. Dort hält SoD — oder hört stillschweigend auf, relevant zu sein.

Beginnen Sie damit, Ihren sensibelsten Tresor aufzurufen und zu prüfen, wer dort unkontrolliert erstellen, genehmigen und den Zugriff prüfen kann.

Wenn ein Admin in diesem Tresor unkontrolliert erstellen, genehmigen und den Zugriff prüfen kann, beheben Sie das, bevor ein Audit es für Sie findet. Starten Sie eine kostenlose Testversion von Passwork und richten Sie Tresor-Richtlinien ein, die diese Rollen von Anfang an trennen.

Häufig gestellte Fragen zur Funktionstrennung

Was ist RBAC und wie es Ihr Zugriffsproblem löst

Berechtigungs-Wildwuchs passiert nicht über Nacht — er sammelt sich mit jeder ungeprüften Einstellung an. Dieser Leitfaden erklärt, wie rollenbasierte Zugriffskontrolle (RBAC) Onboarding, Offboarding und Audits verbessert, und wie Passwork dasselbe Modell auf gemeinsam genutzte Passwörter und Geheimnisse anwendet.

PassworkAlex Muntyan

Passworks Tresor-Richtlinien: Ein CIO-Leitfaden für Unternehmenssicherheit

Passworks Tresortypen binden Admin-Rechte an die Tresor-Richtlinie selbst, nicht an denjenigen, der sie erstellt hat, und schließen so eine Lücke, von der die meisten Unternehmen nicht einmal wissen. Dieser Leitfaden bietet CIOs und CISOs ein funktionierendes Modell für Tresor-Governance, abgestimmt auf NIS2- und ISO 27001-Anforderungen.

PassworkPasswork Team

Mitarbeiter-Offboarding: Leitfaden zur sicheren Zugriffsentziehung in 2026

Das Deaktivieren eines SSO-Kontos entzieht keinen Zugriff. API-Schlüssel, KI-Agenten-Credentials und gemeinsam genutzte Passwörter überleben es. Dieser Leitfaden behandelt das vollständige Offboarding-Playbook — von Zero-Hour-Triggern bis zur NHI-Bereinigung.

PassworkAlex Muntyan

Un único empleado que puede crear un registro de proveedor y luego aprobar la factura de ese proveedor no necesita la ayuda de nadie más para procesar un pago indebido. No se requiere colusión y no hay que falsificar nada: un solo inicio de sesión con demasiado alcance es suficiente por sí mismo. La segregación de funciones (SoD) es el control que cierra esa brecha. Divide un proceso sensible en pasos que diferentes personas deben completar, de modo que ninguna persona pueda ejecutar una transacción de principio a fin sin supervisión.

El principio sustenta la mayoría de los marcos de control interno en finanzas, TI y operaciones de seguridad. Los auditores lo preguntan por su nombre. Los reguladores lo citan en cláusulas específicas. Y el costo de omitirlo sigue aumentando: el caso medio de fraude ocupacional costó 104.000 dólares en 2026, y el caso promedio se prolongó durante unos 12 meses antes de que alguien lo detectara, según el informe de la ACFE Occupational Fraud 2026: A Report to the Nations.

Puntos clave

• La SoD divide la autorización, la custodia y el registro entre diferentes personas para que una sola cuenta no pueda completar un proceso sensible por sí sola.
• Es distinta del privilegio mínimo y RBAC. El privilegio mínimo limita cuánto acceso tiene una persona, RBAC es el mecanismo, y la SoD es la regla de diseño que decide qué combinación de roles puede tener una sola cuenta.
• El caso medio de fraude ocupacional costó 104.000 dólares en 2026 y se prolongó unos 12 meses antes de que alguien lo detectara (ACFE).
• NIST AC-5, ISO 27001 Anexo A 5.3 y NIS2 Art. 21(2)(i) esperan controles de SoD documentados, aunque el peso legal varía según el sector.
• Los equipos sin una plataforma dedicada de gobernanza y administración de identidades (IGA) o de gobernanza, riesgo y cumplimiento (GRC) pueden implementar la SoD mediante controles compensatorios: roles de administrador no eliminables, enrutamiento de aprobaciones, registro de auditoría y revisión periódica.

¿Qué es la segregación de funciones (SoD)?

La segregación de funciones (SoD) es un control interno que divide un proceso sensible en etapas — típicamente autorización, custodia o ejecución, y registro o conciliación — y asigna cada etapa a una persona diferente. Ningún individuo inicia y aprueba la misma transacción, ni maneja un activo y registra su propio movimiento. El objetivo es hacer que el fraude o el error requieran colusión en lugar de solo oportunidad.

La SoD no es lo mismo que un organigrama. Una línea de reporte muestra quién gestiona a quién, pero no dice nada sobre quién puede crear un proveedor, aprobar su pago y conciliar el libro mayor sin que una segunda persona revise la transacción. Dos personas pueden reportar al mismo gerente y aun así cumplir con la SoD, siempre que ninguna pueda completar el proceso completo por sí sola. El principio de los cuatro ojos, que requiere que al menos dos personas aprueben una acción sensible, es la expresión más simple de la idea.

Segregación de funciones vs. privilegio mínimo vs. RBAC

La SoD no es privilegio mínimo, y el privilegio mínimo no es RBAC. El privilegio mínimo limita cuánto acceso tiene una persona. La SoD limita si una persona puede completar un proceso sensible completo por sí sola, incluso dentro de su acceso permitido. RBAC (control de acceso basado en roles) es el mecanismo que generalmente aplica ambos, al vincular permisos a roles en lugar de individuos.

Las tres ideas fallan de manera diferente cuando se aplican por separado. El privilegio mínimo sin SoD todavía permite que una cuenta con alcance limitado cree y apruebe el mismo tipo de registro, porque limitado no significa aislado. RBAC sin SoD puede silenciosamente otorgar a una persona dos roles que nunca debían superponerse, como un empleado de cuentas por pagar cubriendo a un aprobador durante una semana de vacaciones. Las definiciones de roles parecen correctas, pero la combinación anula el control.

Nada de esto hace que RBAC sea innecesario. Es la herramienta que hace que la SoD sea aplicable a escala. Consulte cómo RBAC asigna acceso por rol para el modelo subyacente: en lugar de rastrear permisos individuales, un administrador define roles, y las reglas de SoD deciden qué roles puede tener una sola cuenta a la vez.

Conflictos comunes de segregación de funciones (con ejemplos)

Un conflicto de segregación de funciones existe cuando una cuenta o una persona tiene dos roles que, combinados, le permiten completar un proceso sensible sin que intervenga una segunda parte. Los ejemplos más claros se encuentran en finanzas y adquisiciones, pero el mismo patrón de fallo aparece en pipelines de DevOps, sistemas de RRHH y bóvedas de credenciales.

Los requisitos formalizados de SoD se remontan a los escándalos contables de Enron y WorldCom a principios de la década de 2000, que condujeron directamente a la Ley Sarbanes-Oxley y su mandato de controles internos de la Sección 404. Esa historia todavía moldea cómo los auditores abordan el control hoy: la SoD existe porque la confianza informal deja de escalar una vez que una empresa supera cierto tamaño.

Cuando una persona puede tanto crear un proveedor como aprobar su pago, el fraude no requiere colusión en absoluto.

Si una fila de esa tabla describe cómo funciona su bóveda hoy, esa brecha se puede solucionar. Pruebe Passwork gratis y vea cómo las políticas de bóveda la cierran.

Cómo construir una matriz de segregación de funciones

Una matriz de segregación de funciones mapea los roles contra las acciones que esos roles pueden realizar, para que los conflictos sean visibles antes de que causen un problema. Construir una requiere cinco pasos.

1. Identifique los procesos críticos. Comience con todo lo que mueve dinero, cambia accesos o toca producción: pagos a proveedores, cambios de nómina, despliegue de código, administración de credenciales y bóvedas.
2. Liste todos los roles involucrados. Incluya roles por título de trabajo (empleado de cuentas por pagar, ingeniero DevOps) y roles de sistema (administrador de bóveda, aprobador) lado a lado.
3. Mapee los roles contra las acciones. Construya una cuadrícula con roles en un eje y acciones — como crear, aprobar, ejecutar y registrar — en el otro. Marque cada acción que cada rol puede realizar actualmente.
4. Señale las superposiciones. Cualquier rol que pueda tanto iniciar como aprobar el mismo proceso, o tanto ejecutar como registrarlo, es un conflicto.
5. Resuelva cada conflicto. Reasigne el rol, divida el proceso entre dos roles o, cuando la reasignación no sea práctica, documente un control compensatorio.

Un pequeño ejemplo práctico — tres roles contra tres acciones en un proceso de cuentas por pagar:

Ninguna fila puede marcar todas las columnas. Así es como debe funcionar la matriz.

Controles de SoD preventivos vs. detectivos (y controles compensatorios para equipos pequeños)

Los controles de SoD preventivos detienen una asignación conflictiva antes de que ocurra, generalmente bloqueando una combinación de roles en el propio sistema de acceso. Los controles detectivos capturan conflictos después del hecho, a través de registros de auditoría y revisión periódica de accesos. Los controles compensatorios sustituyen a cualquiera de los dos cuando un equipo es demasiado pequeño para separar completamente un proceso.

Los controles preventivos son los más fuertes, porque eliminan la oportunidad por completo. Un sistema de roles que se niega a permitir que una cuenta tenga tanto «aprobador» como «solicitante» para el mismo flujo de trabajo nunca permite que se forme el conflicto en primer lugar.

Los controles detectivos aceptan que alguna superposición es inevitable y la capturan en su lugar. Un registro de auditoría que documenta quién creó un registro, quién lo aprobó y quién accedió a él después permite a un revisor detectar un conflicto durante una certificación de acceso, incluso si el sistema permitió que ocurriera.

La mayoría de las guías de SoD asumen una plataforma dedicada de gobernanza y administración de identidades (IGA) o GRC ejecutando verificaciones continuas de conflictos. Los equipos de TI pequeños rara vez tienen ese presupuesto, y la mayoría de las guías omiten qué hacer en su lugar.

Cuatro controles compensatorios cubren la mayor parte de la brecha. Llámelo la línea base de SoD de cuatro controles:

• Separar roles donde el tamaño del equipo lo permita
• Enrutar todo lo que no se pueda separar a través de un segundo aprobador
• Registrar cada acción privilegiada en un registro de auditoría exportable
• Revisar accesos en un calendario fijo en lugar de nunca

Ninguno de los cuatro requiere una plataforma GRC. Los cuatro requieren que alguien sea responsable del calendario.

Segregación de funciones y marcos de cumplimiento

La segregación de funciones aparece por nombre o por requisito en la mayoría de los principales marcos de cumplimiento, aunque el peso legal varía según el sector y la jurisdicción. SOX la vincula a los controles de informes financieros, NIST e ISO la enmarcan como un control de seguridad general, y NIS2 la incluye en los requisitos de política de control de acceso para entidades esenciales e importantes en la UE.

Ninguno de estos marcos proporciona una matriz de SoD lista para usar. Requieren que la organización tenga una y pueda demostrar cómo se resuelven los conflictos.

El mandato de la Sección 404 de SOX es el que la mayoría de los programas de SoD impulsados por cumplimiento citan por reflejo, aunque se aplica específicamente a los controles de informes financieros de empresas públicas, no a todos los marcos de esta tabla. Si la SoD es legalmente requerida para una organización determinada depende del sector, la jurisdicción y qué marcos aplican. Un equipo de cumplimiento o legal es la fuente correcta para esa determinación. Esta tabla es un mapa, no una opinión legal.

Cómo Passwork aplica la segregación de funciones en la bóveda

Passwork incorpora la segregación de funciones en la bóveda a través de cuatro mecanismos: roles de administrador no eliminables, roles RBAC personalizados, sincronización de grupos AD/LDAP y un registro de auditoría exportable. Juntos separan quién crea una bóveda de quién la controla permanentemente, y convierten la revisión de acceso de una búsqueda manual en una exportación programada.

Las políticas de bóveda asignan administradores a nivel de tipo de bóveda, no a quien resulte crear la bóveda. Una política de bóveda define qué administradores corporativos obtienen acceso automático y no eliminable a cada bóveda de ese tipo, para que la persona que crea una nueva bóveda departamental no pueda eliminar silenciosamente la supervisión después. Ese es un control preventivo: el conflicto entre «creador» y «administrador permanente» nunca tiene la oportunidad de formarse.

Los roles RBAC personalizados separan la administración de cuentas y usuarios del acceso diario a la bóveda. Passwork incluye tres roles integrados — Propietario, Administrador y Miembro — y admite roles personalizados ilimitados con alcance en configuración de cuenta, gestión de bóvedas, gestión de usuarios, métodos de autenticación y acceso API. Consulte diseñar una política RBAC empresarial para saber cómo estructurar los roles antes del despliegue. Un rol creado para un técnico de soporte no necesita autoridad sobre políticas de bóveda, y no tiene que tenerla.

La sincronización de grupos AD/LDAP aplica el control preventivo a escala. En lugar de que un administrador verifique manualmente quién pertenece a qué grupo de Passwork, la membresía del grupo del directorio lo impulsa. Cuando RRHH mueve a alguien a un equipo diferente en Active Directory, su acceso a Passwork sigue automáticamente, y revocar acceso conflictivo cuando cambian los roles deja de depender de que alguien recuerde crear un ticket.

El registro de actividad es la capa detectiva. Registra eventos a nivel de bóveda, carpeta, contraseña y cuenta, filtrable por fecha, usuario y tipo de acción, y exportable a Syslog, Visor de eventos de Windows o un SIEM. Para un auditor que pide ver evidencia de revisión de acceso, un registro exportable es la diferencia entre una respuesta real y una promesa. Los detalles completos sobre las capacidades de gestión de acceso de Passwork cubren cómo encajan estas piezas.

Lista de verificación de segregación de funciones

Use esta lista de verificación para pasar de una configuración de acceso ad hoc a un programa documentado de segregación de funciones, con o sin una plataforma GRC dedicada.

1. Mapee cada proceso crítico que mueve dinero, cambia accesos o toca producción.
2. Construya una matriz de segregación de funciones y señale cada rol que puede tanto iniciar como aprobar la misma acción.
3. Asigne administradores no eliminables por tipo de bóveda o política, para que la supervisión no dependa de quién creó el recurso.
4. Habilite la sincronización de grupos AD/LDAP para que los cambios de acceso sigan las actualizaciones del directorio en lugar de tickets manuales.
5. Active el registro de auditoría exportable para cada acción privilegiada.
6. Programe revisiones periódicas de acceso, más frecuentes para roles de alto riesgo que para los estándar.
7. Documente controles compensatorios donde la separación estricta no sea factible, y registre quién es responsable de cada uno.

Conclusión

La segregación de funciones funciona como una disciplina de diseño continua: cada vez que cambia un rol, se crea una bóveda o un nuevo pipeline entra en producción, la pregunta es la misma. ¿Puede una cuenta completar esto sola? Si la respuesta es sí, ese es un conflicto esperando que un incidente lo exponga.

La matriz y las citas de cumplimiento importan, pero el trabajo diario es operacional: administradores no eliminables, grupos sincronizados, un registro de auditoría que alguien realmente lee. Ahí es donde la SoD se mantiene, o silenciosamente deja de importar.

Comience abriendo su bóveda más sensible y verificando quién puede crear, aprobar y auditar acceso allí sin supervisión.

Si un administrador en esa bóveda puede crear, aprobar y auditar acceso sin supervisión, solucione eso antes de que una auditoría lo encuentre por usted. Inicie una prueba gratuita de Passwork y configure políticas de bóveda que separen esos roles desde el primer día.

Preguntas frecuentes sobre segregación de funciones

Qué es RBAC y cómo soluciona su problema de acceso

La proliferación de permisos no ocurre de la noche a la mañana — se acumula con cada contratación sin auditar. Esta guía explica cómo el control de acceso basado en roles (RBAC) soluciona la incorporación, la desvinculación y las auditorías, además de cómo Passwork aplica el mismo modelo a contraseñas y secretos compartidos.

PassworkAlex Muntyan

Políticas de bóveda de Passwork: guía para CIOs sobre seguridad empresarial

Los tipos de bóveda de Passwork vinculan los derechos de administrador a la propia política de bóveda, no a quien la creó, cerrando una brecha que la mayoría de las empresas ni siquiera saben que existe. Esta guía proporciona a CIOs y CISOs un modelo de trabajo para la gobernanza de bóvedas, mapeado a los requisitos de NIS2 e ISO 27001.

PassworkPasswork Team

Desvinculación de empleados: guía para revocación segura de acceso en 2026

Deshabilitar una cuenta SSO no revoca el acceso. Las claves API, las credenciales de agentes de IA y las contraseñas compartidas sobreviven. Esta guía cubre el manual completo de desvinculación — desde disparadores de hora cero hasta limpieza de NHI.

PassworkAlex Muntyan

A single employee who can create a vendor record and then approve that vendor's invoice doesn't need anyone else's help to push an improper payment through. No collusion is required, and nothing has to be forged: one login with too much reach is enough on its own. Segregation of duties (SoD) is the control that closes that gap. It splits a sensitive process into steps that different people must complete, so no one person can execute a transaction from start to finish unchecked.

The principle sits underneath most internal-control frameworks in finance, IT, and security operations. Auditors ask about it by name. Regulators cite it in specific clauses. And the cost of skipping it keeps climbing: the median case of occupational fraud cost $104,000 in 2026, and the average case ran for about 12 months before anyone caught it, according to the ACFE's Occupational Fraud 2026: A Report to the Nations.

Key takeaways

• SoD splits authorization, custody, and recordkeeping across different people so a single account can't complete a sensitive process alone.
• It's distinct from least privilege and RBAC. Least privilege limits how much access one person has, RBAC is the mechanism, and SoD is the design rule that decides which combination of roles a single account may hold.
• The median occupational fraud case cost $104,000 in 2026 and ran about 12 months before anyone caught it (ACFE).
• NIST AC-5, ISO 27001 Annex A 5.3, and NIS2 Art. 21(2)(i) all expect documented SoD controls, though the legal weight varies by sector.
• Teams without a dedicated identity governance and administration (IGA) or governance, risk, and compliance (GRC) platform can run SoD through compensating controls: non-removable admin roles, approval routing, audit logging, and periodic review.

What is segregation of duties (SoD)?

Segregation of duties (SoD) is an internal control that divides a sensitive process into stages, typically authorization, custody or execution, and recordkeeping or reconciliation, and assigns each stage to a different person. No single individual initiates and approves the same transaction, or handles an asset and records its own movement. The goal is to make fraud or error require collusion instead of opportunity.

SoD is not the same as an org chart. A reporting line shows who manages whom, but it says nothing about who can create a vendor, approve its payment, and reconcile the ledger without a second person ever reviewing the transaction. Two people can report to the same manager and still satisfy SoD, as long as neither can complete the full process alone. The four-eyes principle, requiring at least two people to sign off on a sensitive action, is the simplest expression of the idea.

Segregation of duties vs. least privilege vs. RBAC

SoD is not least privilege, and least privilege is not RBAC. Least privilege limits how much access one person has. SoD limits whether one person can complete an entire sensitive process alone, even within their allowed access. RBAC (role-based access control) is the mechanism that usually enforces both, by attaching permissions to roles instead of individuals.

The three ideas fail differently when applied alone. Least privilege without SoD still lets one narrowly scoped account both create and approve the same type of record, because narrow doesn't mean isolated. RBAC without SoD can quietly hand one person two roles that were never meant to overlap, like an accounts-payable clerk covering for an approver during a vacation week. The role definitions look clean, the combination defeats the control.

None of this makes RBAC unnecessary. It's the tool that makes SoD enforceable at scale. See how RBAC assigns access by role for the underlying model: instead of tracking individual permissions, an administrator defines roles, and SoD rules decide which roles a single account can hold at once.

Common segregation of duties conflicts (with examples)

A segregation of duties conflict exists whenever one account or one person holds two roles that, combined, let them complete a sensitive process without a second party involved. The clearest examples sit in finance and procurement, but the same failure pattern shows up in DevOps pipelines, HR systems, and credential vaults.

Formalized SoD requirements trace back to the accounting scandals at Enron and WorldCom in the early 2000s, which led directly to the Sarbanes-Oxley Act and its Section 404 internal-controls mandate. That history still shapes how auditors approach the control today: SoD exists because informal trust stops scaling once a company passes a certain size.

When one person can both create a vendor and approve its payment, fraud requires no collusion at all.

If one row in that table describes how your vault works today, that gap is fixable. Try Passwork free and see how vault policies close it.

How to build a segregation of duties matrix

A segregation of duties matrix maps roles against the actions those roles can take, so conflicts become visible before they cause a problem. Building one takes five steps.

1. Identify the critical processes. Start with anything that moves money, changes access, or touches production: vendor payments, payroll changes, code deployment, credential and vault administration.
2. List every role involved. Include job-title roles (accounts-payable clerk, DevOps engineer) and system roles (vault administrator, approver) side by side.
3. Map roles against actions. Build a grid with roles on one axis and actions, such as create, approve, execute, and record, on the other. Mark every action each role can currently perform.
4. Flag the overlaps. Any role that can both initiate and approve the same process, or both execute and record it, is a conflict.
5. Resolve each conflict. Reassign the role, split the process across two roles, or, where reassignment isn't practical, document a compensating control.

A small worked example, three roles against three actions in an accounts-payable process:

No single row can check every column. That's the matrix working as intended.

Preventive vs. detective SoD controls (and compensating controls for lean teams)

Preventive SoD controls stop a conflicting assignment before it happens, usually by blocking a role combination in the access system itself. Detective controls catch conflicts after the fact, through audit trails and periodic access review. Compensating controls substitute for either when a team is too small to fully separate a process.

Preventive controls are the strongest, because they remove the opportunity entirely. A role system that refuses to let one account hold both "approver" and "requester" for the same workflow never lets the conflict form in the first place.

Detective controls accept that some overlap is unavoidable and catch it instead. An audit trail that logs who created a record, who approved it, and who accessed it afterward lets a reviewer spot a conflict during an access certification, even if the system allowed it to happen.

Most SoD guidance assumes a dedicated identity governance and administration (IGA) or GRC platform running continuous conflict checks. Small IT teams rarely have that budget, and most guidance skips what to do instead.

Four compensating controls cover most of the gap. Call it the four-control SoD baseline:

• Separate roles wherever headcount allows
• Route anything that can't be separated through a second approver
• Log every privileged action to an exportable audit trail
• Review access on a fixed schedule instead of never

None of the four requires a GRC platform. All four require someone to own the schedule.

Segregation of duties and compliance frameworks

Segregation of duties shows up by name or by requirement in most major compliance frameworks, though the legal weight varies by sector and jurisdiction. SOX ties it to financial reporting controls, NIST and ISO frame it as a general security control, and NIS2 folds it into access control policy requirements for essential and important entities in the EU.

None of these frameworks hand over a ready-made SoD matrix. They require that the organization has one and can show how conflicts get resolved.

SOX's Section 404 mandate is the one most compliance-driven SoD programs cite by reflex, though it applies specifically to public companies' financial reporting controls, not to every framework in this table. Whether SoD is legally required for a given organization depends on sector, jurisdiction, and which frameworks apply. A compliance or legal team is the right source for that determination. This table is a map, not a legal opinion.

How Passwork enforces segregation of duties in the vault

Passwork builds segregation of duties into the vault through four mechanisms: non-removable admin roles, custom RBAC roles, AD/LDAP group sync, and an exportable audit trail. Together they separate who creates a vault from who permanently controls it, and they turn access review from a manual chase into a scheduled export.

Vault policies assign administrators at the vault-type level, not to whoever happens to create the vault. A vault policy defines which corporate administrators get automatic, non-removable access to every vault of that type, so the person who spins up a new department vault can't quietly strip out oversight later. That's a preventive control: the conflict between "creator" and "permanent admin" never gets the chance to form.

Custom RBAC roles separate account and user administration from day-to-day vault access. Passwork ships three built-in roles, Owner, Administrator, and Member, and supports unlimited custom roles scoped across account settings, vault management, user management, authentication methods, and API access. See designing an enterprise RBAC policy for how to structure roles before rollout. A role built for a helpdesk technician doesn't need vault-policy authority, and it doesn't have to carry it.

AD/LDAP group sync enforces the preventive control at scale. Instead of an administrator manually rechecking who belongs in which Passwork group, directory group membership drives it. When HR moves someone to a different team in Active Directory, their Passwork access follows automatically, and revoking conflicting access when roles change stops depending on someone remembering to file a ticket.

The Activity log is the detective layer. It records vault, folder, password, and account-level events, filterable by date, user, and action type, and exportable to Syslog, Windows Event Viewer, or a SIEM. For an auditor asking to see evidence of access review, an exportable log is the difference between a real answer and a promise. Full detail on Passwork's access management capabilities covers how these pieces fit together.

Segregation of duties checklist

Use this checklist to move from an ad hoc access setup to a documented segregation of duties program, with or without a dedicated GRC platform.

1. Map every critical process that moves money, changes access, or touches production.
2. Build a segregation of duties matrix and flag every role that can both initiate and approve the same action.
3. Assign non-removable administrators per vault or policy type, so oversight doesn't depend on who created the resource.
4. Enable AD/LDAP group sync so access changes follow directory updates instead of manual tickets.
5. Turn on exportable audit logging for every privileged action.
6. Schedule periodic access review, more often for high-risk roles than for standard ones.
7. Document compensating controls wherever strict separation isn't feasible, and record who owns each one.

The bottom line

Segregation of duties runs as an ongoing design discipline: every time a role changes, a vault gets created, or a new pipeline goes into production, the question is the same. Can one account complete this alone? If yes, that's a conflict waiting for an incident to expose it.

The matrix and the compliance citations matter, but the daily work is operational: non-removable admins, synced groups, an audit trail someone actually reads. That's where SoD holds, or quietly stops mattering.

Start by pulling up your most sensitive vault and checking who can create, approve, and audit access there unchecked.

If one admin on that vault can create, approve, and audit access unchecked, fix that before an audit finds it for you. Start a free trial of Passwork and set up vault policies that separate those roles from day one.

Frequently asked questions about segregation of duties

What is RBAC and how it fixes your access problem

Permission sprawl doesn’t happen overnight, it accumulates one unaudited hire at a time. This guide breaks down how role-based access control (RBAC) fixes onboarding, offboarding, and audits, plus how Passwork applies the same model to shared passwords and secrets.

PassworkAlex Muntyan

Passwork’s vault policies: a CIO’s guide to enterprise security

Passwork’s Vault Types bind admin rights to the vault policy itself, not to whoever created it, closing a gap most enterprises don’t even know exists. This guide gives CIOs and CISOs a working model for vault governance, mapped to NIS2 and ISO 27001 requirements.

PassworkPasswork Team

Employee offboarding: Guide to secure access revocation in 2026

Disabling an SSO account doesn’t revoke access. API keys, AI agent credentials, and shared passwords survive it. This guide covers the full offboarding playbook — from zero-hour triggers to NHI cleanup.

PassworkAlex Muntyan

O Passwork armazena cada credencial numa estrutura de três níveis: cofres, pastas e registos de palavras-passe, cifrados com AES-256 do lado do cliente para uma proteção zero-knowledge. O local onde uma credencial reside, e quem lhe pode aceder, depende do tipo de cofre em que se encontra. Um cofre de utilizador pessoal, controlado pelo proprietário, ou um cofre da empresa ou personalizado, sobre o qual os administradores mantêm supervisão permanente.

Esta distinção é importante porque as credenciais raramente ficam onde começaram. Um engenheiro guarda a palavra-passe de uma base de dados no seu cofre pessoal, partilha-a com dois colegas através da Caixa de entrada e, seis meses depois, ninguém se lembra de quem é o responsável por ela nem se a lista de acessos ainda corresponde à equipa. O mesmo padrão cria três riscos recorrentes:

• uma conta crítica pode depender de um único colaborador que, por acaso, a detém
• o acesso pode perdurar para além do motivo pelo qual foi concedido
• a empresa perde o rasto de quem é o responsável por uma determinada credencial e de quem a utiliza

O modelo de armazenamento do Passwork resolve este problema ao fazer da estrutura de cofres e das regras de acesso a fonte de verdade, em vez da partilha ad hoc entre colegas. Este guia explica como funciona essa estrutura, desde os tipos de cofre até à cifragem ao nível do registo, e onde se enquadram a cifragem do lado do servidor e a do lado do cliente.

A hierarquia de armazenamento: Cofre, pasta, registo

O Passwork organiza cada credencial em três níveis. 

1. Um cofre é o contentor cifrado de nível superior e o ponto onde o acesso é concedido pela primeira vez
2. Uma pasta fica dentro de um cofre, pode ser aninhada para refletir uma equipa ou um projeto reais e herda, por predefinição, o acesso do cofre, embora seja possível restringir o acesso a uma pasta específica para isolar uma subárvore sensível sem criar um novo cofre
3. Um registo é o próprio cartão da credencial

Um quarto objeto, o atalho, permite reutilizar um registo noutro cofre ou noutra pasta. Funciona como ligação ao original em vez de o copiar, pelo que editar o registo atualiza todos os atalhos associados. A possibilidade de alguém editar efetivamente através de um atalho depende do nível de acesso que lhe foi atribuído: um atalho pode ser partilhado com acesso «Só de leitura», por exemplo, o que permite consultar o registo sem o poder alterar.

Um cofre «Infraestrutura de TI» pode conter uma pasta «Servidores de produção» com um registo vpn-gateway-admin. A estrutura reflete a equipa real, pelo que as decisões de acesso tomadas ao nível do cofre se propagam de forma lógica.

Registos: O cartão da credencial por trás da palavra-passe

Dos três níveis, o registo é onde reside a credencial propriamente dita, mas contém mais do que uma palavra-passe. No Passwork, uma entrada de palavra-passe chama-se registo e pode incluir:

• um nome de utilizador
• uma palavra-passe
• um ou mais URLs
• etiquetas
• uma nota
• um ficheiro anexo
• campos personalizados para nomes de utilizador adicionais, palavras-passe adicionais ou códigos TOTP (palavra-passe de utilização única baseada no tempo)

A palavra-passe é um dos campos desse cartão. Um registo de uma base de dados de produção, por exemplo, pode conter o nome de utilizador e a palavra-passe principais, uma nota sobre o responsável pelo servidor, uma etiqueta de ambiente e um campo personalizado TOTP para o início de sessão com dois fatores, tudo num único objeto pesquisável em vez de notas dispersas. Se um sistema tiver uma conta de administração break-glass, adicione-a como segundo campo personalizado na mesma entrada, em vez de criar um registo isolado de que é fácil perder o rasto.

Funções e grupos: Duas camadas de permissões

O Passwork divide as permissões em dois sistemas que controlam aspetos diferentes.

• Uma função determina o que um utilizador pode fazer ao nível do sistema: convidar pessoas, ligar o LDAP (Lightweight Directory Access Protocol), consultar o registo de atividade, gerir licenças.
• Um grupo determina o que esse mesmo utilizador pode ver ou editar dentro de um cofre ou de uma pasta específicos.

Cada utilizador tem exatamente uma função. As funções predefinidas são Proprietário, Administrador e Membro. Os administradores podem também criar funções personalizadas, como um Auditor que pode consultar logs e permissões, mas não pode criar, editar nem eliminar registos. As funções regem as definições e as funcionalidades, incluindo os separadores de gestão de cofres, a configuração do LDAP e o acesso à API. Por si só, não dão acesso a nenhum cofre.

Um grupo é a forma como um conjunto de pessoas obtém acesso a um cofre ou a uma pasta, com um nível que vai de Leitura até Acesso total e Administrador. Um utilizador pode pertencer a vários grupos em simultâneo, e o seu acesso efetivo a qualquer entrada resulta do nível do grupo, não da função.

Os grupos são o principal mecanismo de acesso no dia a dia

O padrão eficiente é centrado em grupos: colocar as pessoas em grupos e deixar que o acesso já atribuído a cada grupo faça o trabalho, em vez de adicionar utilizadores individuais um a um, o que deixa de ser escalável a partir de meia dúzia de pessoas. Um utilizador adicionado a um grupo herda imediatamente o respetivo acesso. Se o grupo for desativado, todos os membros perdem esse acesso de uma só vez. Se for reativado, o acesso é reposto automaticamente.

Nas organizações que utilizam Active Directory ou LDAP, o mesmo padrão vai mais longe: um grupo de segurança do AD ou do LDAP é mapeado para um grupo do Passwork já ligado aos cofres certos, pelo que adicionar alguém ao grupo do AD concede acesso ao Passwork sem um passo manual separado.

Tipos de cofre: Política para uma categoria de cofres

Um tipo de cofre é um modelo de política para uma categoria de cofres, não uma função nem um grupo. Controla dois aspetos: quem pode criar um cofre desse tipo e que administradores são adicionados automaticamente a cada cofre criado com base nele. Também é possível restringir o que o criador pode fazer dentro dos cofres desse tipo, por exemplo, permitir que alguém crie um cofre sem poder convidar outros utilizadores.

O Passwork inclui dois tipos predefinidos. 

• Um cofre de utilizador é privado por predefinição para o seu criador e passa a ser partilhado no momento em que o proprietário concede acesso a outra pessoa. 
• Um cofre da empresa está disponível para o seu criador e para os administradores corporativos, que são adicionados automaticamente e não podem ser removidos nem despromovidos, o que mantém o cofre sob o controlo da organização mesmo que o criador saia. 

Os tipos de cofre personalizados, como Finanças, RH ou TI, aplicam o mesmo mecanismo com nomes que correspondem ao organograma da organização, e é a organização que decide quem pode criar cada tipo: utilizadores específicos, grupos, funções ou todos.

Localização do cofre: Porque importa tanto como a robustez da palavra-passe

Um cofre de utilizador destina-se a credenciais pessoais que pertencem a uma pessoa. Um cofre da empresa destina-se a tudo aquilo de que uma equipa precisa para continuar a trabalhar. Confundir os dois é o erro mais comum na fase de integração.

Quando uma conta de serviço partilhada, a credencial de acesso de um fornecedor ou uma credencial de um departamento acaba no cofre privado de alguém, toda a equipa passa a depender, sem dar por isso, dessa única pessoa. Se essa pessoa estiver de licença, mudar de função ou sair da empresa, a credencial fica inacessível até que um administrador intervenha. A solução é processual: qualquer credencial de que mais de uma pessoa precise vai para um cofre da empresa desde o primeiro dia, com acesso concedido através de um grupo e não a título individual.

Menor privilégio: Aplicá-lo ao nível do cofre e da pasta

O princípio do menor privilégio significa dar às pessoas o acesso mínimo de que precisam e, no Passwork, aplica-se ao nível do cofre e da pasta, não registo a registo.

• Conceda acesso através de grupos, e não a utilizadores individuais, sempre que mais de uma pessoa precise dele
• Atribua aos novos membros o nível Leitura e aumente o acesso apenas quando o trabalho o exigir
• Utilize substituições ao nível da pasta, incluindo a definição Proibido, para bloquear uma subárvore sensível mesmo para membros com acesso mais amplo ao cofre
• Limite os direitos de Administrador do cofre ao proprietário e a um substituto documentado
• Reserve a partilha direta de palavras-passe para exceções controladas, e não como substituto habitual do acesso ao cofre ou à pasta

Cifragem: O modelo de duas camadas

Os cofres, as pastas e os grupos definem onde as credenciais devem estar e quem as deve poder utilizar. A cifragem protege os dados dentro desse modelo. 

O Passwork utiliza duas camadas de cifragem: 

• A cifragem do lado do servidor (SSE) não requer instalação nem configuração. Cada objeto é adicionalmente cifrado com AES-256 antes de chegar à base de dados. 
• A cifragem do lado do cliente (CSE) acrescenta uma camada zero-knowledge. Os dados são cifrados no navegador ou na aplicação antes de saírem do dispositivo, com chaves derivadas da palavra-passe mestra do utilizador. O servidor vê apenas texto cifrado e não o consegue decifrar, mesmo com acesso total à base de dados. 

A CSE deriva as suas chaves inteiramente no cliente, e é isso que torna real a garantia zero-knowledge: a palavra-passe mestra desbloqueia uma chave privada, que desbloqueia a chave do cofre, que por sua vez desbloqueia a própria entrada. Os servidores do Passwork nunca detêm uma chave capaz de ler essa cadeia, pelo que adicionar um membro implica transferir a chave do cofre através de cifragem RSA diretamente entre utilizadores, e cada nova ligação passa, por conceção, por um passo de aprovação.

A mesma arquitetura condiciona a recuperação. Sem uma cópia da palavra-passe mestra ou das respetivas chaves no servidor, ninguém consegue decifrar um cofre a partir do lado do servidor. Uma conta cuja palavra-passe mestra foi esquecida é reposta por um administrador e depois novamente aprovada pelos administradores do cofre, um ponto de controlo que impede que uma conta comprometida recupere discretamente o acesso. A CSE protege desta forma as palavras-passe, os campos personalizados e os anexos.

A cifragem assegura a confidencialidade. Quem está autorizado a utilizar esses dados é uma camada distinta, regida por controlos como o NIST SP 800-53 Rev. 5, AC-6. As duas camadas funcionam em conjunto: a cifragem mantém uma credencial ilegível em repouso, enquanto a localização no cofre e o acesso por grupo decidem quem lhe deve aceder.

Partilha: Envio direto, atalhos e ligações

O Passwork permite três formas de partilhar uma credencial fora da pertença normal a um cofre. Enviar uma palavra-passe diretamente dá a alguém acesso permanente a uma entrada, com o nível Leitura ou Ler e editar, sem o adicionar ao cofre. As edições aplicam-se ao registo original.

Um atalho, já descrito anteriormente, reutiliza um registo noutro local sem o duplicar. Uma ligação partilha o acesso com alguém totalmente externo ao Passwork, sem necessidade de conta, e pode ser reutilizável até expirar ou de utilização única (deixa de estar disponível três minutos após ser aberta), com prazos de validade entre uma hora e ilimitado.

Nenhuma destas três formas concede direitos sobre todo o cofre, e nenhuma é automaticamente temporária, exceto a janela curta de uma ligação de utilização única. Revogue as palavras-passe enviadas, os atalhos e as ligações quando a necessidade de negócio terminar, segundo um calendário definido, por exemplo após o encerramento de um projeto.

Integração e saída de colaboradores: Pôr o modelo em prática

O verdadeiro teste desta estrutura é o que acontece quando alguém entra ou sai.

• Novo colaborador. Adicione a pessoa ao grupo correspondente ao seu departamento. A pessoa herda de imediato o acesso aos cofres desse grupo, ou depois de um administrador aprovar o pedido de ligação.
• Saída. Remova a pessoa dos respetivos grupos ou desative a conta. O acesso associado a esses grupos desaparece de imediato. Antes de encerrar o processo, confirme que tudo o que a pessoa geria a título pessoal, como uma conta de serviço que tenha configurado, está efetivamente num cofre da empresa, e verifique no Registo de atividade as suas ações recentes em cofres partilhados.

A localização correta nos cofres e o acesso centrado em grupos são o que transforma uma saída numa lista de verificação curta e repetível.

API, logs, computador e dispositivos móveis: As mesmas regras à escala

A API e a CLI (interface de linha de comandos) operam sobre os mesmos registos, cofres e regras de acesso que a interface web, pelo que o acesso por script segue a mesma lógica de função/grupo/tipo de cofre que as ações feitas na interface.

Todas as ações sobre um cofre, uma pasta ou uma entrada ficam registadas no Registo de atividade, e o que um determinado utilizador pode ver aí depende da sua própria função e do seu acesso aos cofres, a mesma divisão descrita acima.

A extensão do navegador, as aplicações de computador e as aplicações móveis leem a partir da mesma estrutura de cofres. Não existe um armazenamento separado, exclusivo dos dispositivos móveis, que seja preciso aprender.

Configurar uma nova categoria de credenciais passo a passo

1. Decida se a credencial é pessoal ou pertence à equipa
2. Coloque as credenciais da equipa num cofre da empresa, não num cofre privado
3. Crie pastas em torno de fronteiras reais: ambiente, projeto ou serviço
4. Preencha no registo o nome de utilizador, o URL, as etiquetas e os campos personalizados
5. Conceda acesso através de um grupo, não a utilizadores individuais
6. Atribua inicialmente ao grupo o nível Leitura e aumente o acesso apenas quando necessário
7. Defina um tipo de cofre se a categoria precisar das suas próprias regras de criação e de administração
8. Limite os direitos de Administrador do cofre ao proprietário e a um substituto
9. Decida sobre a CSE com base no modelo de ameaças da organização e na disponibilidade para assumir o esforço adicional de recuperação
10. Reveja a pertença aos grupos e as ligações de partilha segundo um calendário regular

Conclusão

Manter a função, o grupo e o tipo de cofre em vias separadas, colocar as credenciais partilhadas em cofres da empresa desde o início e decidir de forma ponderada se a garantia zero-knowledge da CSE compensa o custo na recuperação: é essa a disciplina por trás de todo este modelo. Comece por auditar um departamento: verifique se as respetivas credenciais partilhadas estão num cofre da empresa, confirme que o acesso é feito através de um grupo e avance a partir daí.

Se a equipa gere contas de serviço partilhadas ou credenciais de departamento, o Passwork oferece a estrutura de cofres, o acesso baseado em grupos e as opções de cifragem necessárias para as manter sob controlo. Começar a utilizar o Passwork.

Perguntas frequentes

Políticas de cofres do Passwork: um guia para CIOs sobre segurança empresarial

Os tipos de cofre do Passwork associam os direitos de administrador à própria política do cofre, e não a quem o criou, o que fecha uma lacuna cuja existência a maioria das empresas nem sequer conhece. Este guia oferece a CIOs e CISOs um modelo de trabalho para a governação de cofres, alinhado com os requisitos da NIS2 e da ISO 27001.

PassworkPasswork Team

Lista de verificação de cibersegurança para pequenas empresas em 2026

Uma lista de verificação de segurança prática e alinhada com o NIST para pequenas empresas: 18 passos que abrangem políticas, MFA, gestão de palavras-passe, segurança de rede, cópias de segurança e resposta a incidentes, ordenados por custo e impacto.

PassworkPasswork Team

Passwork distinguido como Best for User Interface e reconhecido como FrontRunner 2026

O Passwork foi distinguido como Best for User Interface na seleção de software de gestão de palavras-passe de 2026 da Software Advice. O Passwork recebeu também o distintivo FrontRunners 2026. O reconhecimento baseia-se em avaliações verificadas de utilizadores e em estudos de mercado independentes. O Passwork tem uma classificação global de 4,7 em 5, com base em mais de 79 avaliações verificadas. A Software Advice distinguiu o Passwork pela sua interface de utilizador e incluiu o produto na sua seleção FrontRunners 2026. A metodologia FrontRunners avalia

PassworkPasswork Team

Passwork speichert jede Anmeldeinformation in einer dreistufigen Struktur: Tresore, Ordner und Passwort-Einträge, die clientseitig mit AES-256 für Zero-Knowledge-Schutz verschlüsselt werden. Wo sich eine Anmeldeinformation befindet und wer darauf zugreifen kann, hängt vom Tresortyp ab. Ein persönlicher Benutzertresor, den der Besitzer kontrolliert, oder ein Unternehmens- oder benutzerdefinierter Tresor, bei dem Administratoren dauerhaft die Kontrolle behalten.

Diese Unterscheidung ist wichtig, weil Anmeldeinformationen selten dort bleiben, wo sie ursprünglich gespeichert wurden. Ein Entwickler speichert ein Datenbankpasswort in seinem persönlichen Tresor, teilt es über den Posteingang mit zwei Kollegen, und sechs Monate später erinnert sich niemand mehr daran, wem es gehört oder ob die Zugriffsliste noch zum Team passt. Dasselbe Muster erzeugt drei wiederkehrende Risiken:

• Ein kritisches Konto kann von einem Mitarbeiter abhängen, der es zufällig besitzt.
• Der Zugriff kann den ursprünglichen Grund überdauern.
• Das Unternehmen verliert den Überblick darüber, wem eine bestimmte Anmeldeinformation gehört und wer sie nutzt.

Passworks Speichermodell löst dieses Problem, indem die Tresorstruktur und Zugriffsregeln als zentrale Informationsquelle dienen — nicht das spontane Teilen zwischen Kollegen. Dieser Leitfaden erklärt, wie diese Struktur funktioniert: von Tresortypen über die Verschlüsselung auf Eintrag-Ebene bis hin zur Rolle der server- und clientseitigen Verschlüsselung.

Die Speicherhierarchie: Tresor, Ordner, Eintrag

Passwork organisiert jede Anmeldeinformation in drei Ebenen. 

1. Ein Tresor ist der oberste verschlüsselte Container und der Punkt, an dem der Zugang erstmals gewährt wird.
2. Ein Ordner befindet sich innerhalb eines Tresors, kann verschachtelt werden, um ein echtes Team oder Projekt abzubilden, und erbt standardmäßig den Zugang des Tresors. Sie können jedoch den Zugang auf einen bestimmten Ordner einschränken, um einen sensiblen Teilbaum zu isolieren, ohne einen neuen Tresor zu erstellen.
3. Ein Eintrag ist die Anmeldekarte selbst.

Ein viertes Objekt, der Shortcut, ermöglicht die Wiederverwendung eines Eintrags in einem anderen Tresor oder Ordner. Er verweist auf das Original, anstatt es zu kopieren, sodass das Bearbeiten des Eintrags jeden Shortcut aktualisiert. Ob jemand über einen Shortcut tatsächlich bearbeiten kann, hängt vom vergebenen Zugangslevel ab — ein Shortcut kann beispielsweise als „Nur Lesen" geteilt werden, sodass jemand den Eintrag ansehen, aber nicht ändern kann.

Ein IT-Infrastruktur-Tresor könnte einen Ordner „Produktionsserver" enthalten, der einen Eintrag „vpn-gateway-admin" speichert. Die Struktur bildet das tatsächliche Team ab, sodass Zugangsentscheidungen auf Tresorebene sinnvoll nach unten durchgereicht werden.

Einträge: Die Anmeldekarte hinter dem Passwort

Von den drei Ebenen befindet sich die eigentliche Anmeldeinformation im Eintrag, aber er enthält mehr als nur ein Passwort. Ein Passworteintrag in Passwork wird als Eintrag bezeichnet und kann Folgendes enthalten:

• einen Login
• ein Passwort
• eine oder mehrere URLs
• Tags
• eine Notiz
• eine angehängte Datei
• benutzerdefinierte Felder für zusätzliche Logins, zusätzliche Passwörter oder TOTP-Codes (zeitbasierte Einmalpasswörter)

Das Passwort ist ein Feld auf dieser Karte. Ein Produktionsdatenbank-Eintrag kann beispielsweise den Haupt-Login und das Passwort, eine Notiz zur Server-Zuständigkeit, einen Umgebungs-Tag und ein benutzerdefiniertes TOTP-Feld für die Zwei-Faktor-Anmeldung enthalten — alles in einem durchsuchbaren Objekt statt in verstreuten Notizen. Wenn ein System ein Notfall-Admin-Konto hat, fügen Sie es als zweites benutzerdefiniertes Feld zum selben Eintrag hinzu, anstatt einen separaten Eintrag zu erstellen, der leicht verloren gehen kann.

Rollen und Gruppen: Zwei Berechtigungsebenen

Passwork teilt Berechtigungen in zwei Systeme auf, die verschiedene Dinge steuern.

• Eine Rolle legt fest, was ein Benutzer auf Systemebene tun kann: Personen einladen, LDAP (Lightweight Directory Access Protocol) verbinden, das Aktivitätsprotokoll einsehen, Lizenzen verwalten.
• Eine Gruppe legt fest, was derselbe Benutzer in einem bestimmten Tresor oder Ordner sehen oder bearbeiten kann.

Jeder Benutzer hat genau eine Rolle. Die integrierten Rollen sind Besitzer, Administrator und Mitglied. Admins können auch benutzerdefinierte Rollen erstellen, z. B. einen Prüfer, der Protokolle und Berechtigungen einsehen, aber keine Einträge erstellen, bearbeiten oder löschen kann. Rollen steuern Einstellungen und Funktionen, einschließlich Tresor-Verwaltungs-Tabs, LDAP-Konfiguration und API-Zugriff. Sie öffnen für sich genommen keinen einzigen Tresor.

Eine Gruppe ist die Art und Weise, wie eine Gruppe von Personen Zugang zu einem Tresor oder Ordner erhält, mit einem Level von „Lesen" bis „Vollständiger Zugang" und „Administrator". Ein Benutzer kann mehreren Gruppen gleichzeitig angehören, und sein tatsächlicher Zugriff auf jeden Eintrag ergibt sich aus dem Level seiner Gruppe, nicht aus seiner Rolle.

Gruppen sind der Hebel für den täglichen Zugriff

Das effiziente Muster ist Gruppe zuerst: Fügen Sie Personen zu Gruppen hinzu und lassen Sie den bestehenden Tresorzugang jeder Gruppe die Arbeit erledigen, anstatt einzelne Benutzer nacheinander hinzuzufügen, was bei mehr als einer Handvoll Personen nicht mehr skaliert. Ein Benutzer, der einer Gruppe hinzugefügt wird, erbt deren Zugang sofort. Deaktivieren Sie die Gruppe, und jedes Mitglied verliert diesen Zugang auf einmal. Reaktivieren Sie sie, und der Zugang wird automatisch wiederhergestellt.

Für Organisationen mit Active Directory oder LDAP lässt sich dasselbe Muster weiter ausbauen: Eine AD- oder LDAP-Sicherheitsgruppe wird einer Passwork-Gruppe zugeordnet, die bereits mit den richtigen Tresoren verbunden ist. Das Hinzufügen einer Person zur AD-Gruppe gewährt so den Passwork-Zugang ohne einen separaten manuellen Schritt.

Tresortypen: Richtlinien für eine Kategorie von Tresoren

Ein Tresortyp ist eine Richtlinienvorlage für eine Kategorie von Tresoren, keine Rolle und keine Gruppe. Er steuert zwei Dinge: wer einen Tresor dieses Typs erstellen kann und welche Administratoren automatisch zu jedem unter diesem Typ erstellten Tresor hinzugefügt werden. Sie können auch einschränken, was der Ersteller in Tresoren dieses Typs tun darf, z. B. jemandem erlauben, einen Tresor zu erstellen, ohne andere Benutzer einladen zu können.

Passwork wird mit zwei integrierten Typen geliefert. 

• Ein Benutzertresor ist standardmäßig privat für seinen Ersteller und wird in dem Moment geteilt, in dem der Besitzer jemand anderem Zugang gewährt. 
• Ein Unternehmens-Tresor steht seinem Ersteller und den Unternehmens-Administratoren zur Verfügung, die automatisch hinzugefügt werden und nicht entfernt oder herabgestuft werden können. So bleibt der Tresor unter organisatorischer Kontrolle, auch wenn der Ersteller das Unternehmen verlässt. 

Benutzerdefinierte Tresortypen, wie Finanzen, HR oder IT, wenden denselben Mechanismus unter Namen an, die zu Ihrem Organigramm passen. Sie entscheiden, wer jeden Typ erstellen darf: bestimmte Benutzer, Gruppen, Rollen oder alle.

Tresorplatzierung: Warum sie genauso wichtig ist wie die Passwortstärke

Ein Benutzertresor ist für persönliche Anmeldeinformationen, die einer Person gehören. Ein Unternehmens-Tresor ist für alles, was ein Team benötigt, um arbeitsfähig zu bleiben. Diese Unterscheidung zu verwechseln ist der häufigste Onboarding-Fehler.

Wenn ein gemeinsames Dienstkonto, ein Anbieter-Login oder Abteilungs-Anmeldeinformationen im privaten Tresor einer Person landen, hängt das gesamte Team stillschweigend von dieser einen Person ab. Wenn diese Person im Urlaub ist, die Rolle wechselt oder das Unternehmen verlässt, ist die Anmeldeinformation gesperrt, bis ein Administrator eingreift. Die Lösung ist prozessual: Jede Anmeldeinformation, die mehr als eine Person benötigt, gehört von Anfang an in einen Unternehmens-Tresor, wobei der Zugang über eine Gruppe und nicht an Einzelpersonen vergeben wird.

Prinzip der geringsten Rechte: Anwendung auf Tresor- und Ordnerebene

Das Prinzip der geringsten Rechte bedeutet, Personen den minimalen Zugriff zu geben, den sie benötigen. In Passwork wird dies auf der Tresor- und Ordnerebene angewendet, nicht pro Eintrag.

• Gewähren Sie Zugang über Gruppen, nicht über einzelne Benutzer, wenn mehr als eine Person ihn benötigt.
• Starten Sie neue Mitglieder mit „Lesen" und erhöhen Sie den Zugang nur, wenn die Aufgabe es erfordert.
• Verwenden Sie Überschreibungen auf Ordnerebene, einschließlich der Einstellung „Verboten", um einen sensiblen Teilbaum auch für Mitglieder mit breiterem Tresorzugang zu sperren.
• Beschränken Sie Tresor-Administrator-Rechte auf den Besitzer plus eine dokumentierte Vertretung.
• Reservieren Sie direktes Passwort-Teilen für kontrollierte Ausnahmen, nicht als Routine-Ersatz für Tresor- oder Ordnerzugang.

Verschlüsselung: Das Zwei-Schichten-Modell

Tresore, Ordner und Gruppen definieren, wohin Anmeldeinformationen gehören und wer sie verwenden können sollte. Die Verschlüsselung schützt die Daten innerhalb dieses Modells. 

Passwork verwendet zwei Verschlüsselungsschichten: 

• Serverseitige Verschlüsselung (SSE) erfordert keine Einrichtung oder Konfiguration. Jedes Objekt wird zusätzlich mit AES-256 verschlüsselt, bevor es die Datenbank erreicht. 
• Clientseitige Verschlüsselung (CSE) fügt eine Zero-Knowledge-Schicht hinzu. Die Daten werden im Browser oder in der App verschlüsselt, bevor sie das Gerät verlassen, mit Schlüsseln, die vom Masterpasswort des Benutzers abgeleitet werden. Der Server sieht nur Chiffretext und kann ihn nicht entschlüsseln, selbst mit vollem Datenbankzugriff. 

CSE leitet seine Schlüssel vollständig auf dem Client ab, was die Zero-Knowledge-Garantie real macht: Das Masterpasswort entsperrt einen privaten Schlüssel, der den Tresorschlüssel entsperrt, der wiederum den Eintrag selbst entsperrt. Passworks Server halten niemals einen Schlüssel, der diese Kette lesen könnte. Das Hinzufügen eines Mitglieds bedeutet daher die Übertragung des Tresorschlüssels über RSA-Verschlüsselung direkt zwischen Benutzern, und jede neue Verbindung durchläuft konstruktionsbedingt einen Genehmigungsschritt.

Dasselbe Design prägt die Wiederherstellung. Da keine Kopie des Masterpassworts oder seiner Schlüssel auf dem Server vorhanden ist, kann niemand einen Tresor serverseitig entschlüsseln. Ein vergessenes Konto wird von einem Administrator zurückgesetzt und dann von Tresor-Admins erneut genehmigt — ein Kontrollpunkt, der verhindert, dass ein kompromittiertes Login stillschweigend wieder Zugang erhält. CSE schützt auf diese Weise Passwörter, benutzerdefinierte Felder und Anhänge.

Verschlüsselung behandelt Vertraulichkeit. Wer berechtigt ist, diese Daten zu verwenden, ist eine separate Schicht, die durch Kontrollen wie NIST SP 800-53 Rev. 5, AC-6 geregelt wird. Beide arbeiten zusammen: Verschlüsselung hält Anmeldeinformationen im Ruhezustand unlesbar, Tresorplatzierung und Gruppenzugang bestimmen, wer darauf zugreifen sollte.

Teilen: Direktes Senden, Shortcuts und Links

Passwork unterstützt drei Wege, um Anmeldeinformationen außerhalb der normalen Tresor-Mitgliedschaft zu teilen. Das direkte Senden eines Passworts gibt jemandem dauerhaften Zugriff auf einen Eintrag, mit „Lesen" oder „Lesen und Bearbeiten", ohne ihn zum Tresor hinzuzufügen. Änderungen gelten für den Originaleintrag.

Ein Shortcut, der bereits behandelt wurde, verwendet einen Eintrag an anderer Stelle wieder, ohne ihn zu duplizieren. Ein Link teilt den Zugriff mit jemandem außerhalb von Passwork, ohne dass ein Konto erforderlich ist — entweder wiederverwendbar bis zum Ablauf oder zur einmaligen Verwendung und drei Minuten nach dem Öffnen verschwunden, mit Ablaufzeiträumen von einer Stunde bis unbegrenzt.

Keiner dieser drei Wege gewährt tresorweite Rechte, und keiner ist automatisch zeitlich begrenzt, außer dem kurzen Fenster eines Einmal-Links. Widerrufen Sie gesendete Passwörter, Shortcuts und Links, sobald der geschäftliche Bedarf endet, nach einem Zeitplan wie z. B. nach Projektabschluss.

Onboarding und Offboarding: Das Modell in der Praxis

Der eigentliche Test dieser Struktur ist, was passiert, wenn jemand hinzukommt oder geht.

• Neuer Mitarbeiter. Fügen Sie ihn der Gruppe hinzu, die seiner Abteilung entspricht. Er erbt den Tresorzugang dieser Gruppe sofort oder nachdem ein Admin die Verbindungsanfrage genehmigt hat.
• Ausscheiden. Entfernen Sie ihn aus seinen Gruppen oder deaktivieren Sie das Konto. Der mit diesen Gruppen verbundene Zugang verschwindet sofort. Vor dem Abschluss bestätigen Sie, dass alles, was er persönlich verwaltet hat — wie ein von ihm eingerichtetes Dienstkonto — tatsächlich in einem Unternehmens-Tresor liegt, und überprüfen Sie das Aktivitätsprotokoll auf seine letzten Aktionen in geteilten Tresoren.

Korrekte Tresorplatzierung und gruppenbasierter Zugang sind es, die ein Ausscheiden in eine kurze, wiederholbare Checkliste verwandeln.

API, Protokolle, Desktop- und Mobilzugriff: Dieselben Regeln im großen Maßstab

Die API und CLI (Kommandozeilenschnittstelle) arbeiten mit denselben Einträgen, Tresoren und Zugriffsregeln wie die Weboberfläche, sodass skriptgesteuerter Zugriff derselben Rolle/Gruppen/Tresortyp-Logik folgt wie das Klicken durch die Benutzeroberfläche.

Jede Aktion an einem Tresor, Ordner oder Eintrag wird im Aktivitätsprotokoll aufgezeichnet, und was ein bestimmter Benutzer dort sehen kann, hängt von seiner eigenen Rolle und seinem Tresorzugang ab — dieselbe Aufteilung, die oben behandelt wurde.

Die Browser-Erweiterung, Desktop- und Mobile-Apps lesen aus derselben Tresorstruktur. Es gibt keinen separaten Nur-Mobil-Speicher, den man lernen müsste.

Einrichten einer neuen Anmeldeinformations-Kategorie: Schritt für Schritt

1. Entscheiden Sie, ob die Anmeldeinformation persönlich oder teambasiert ist.
2. Platzieren Sie teambasierte Anmeldeinformationen in einem Unternehmens-Tresor, nicht in einem privaten.
3. Erstellen Sie Ordner nach realen Grenzen: Umgebung, Projekt oder Dienst.
4. Füllen Sie Login, URL, Tags und benutzerdefinierte Felder im Eintrag aus.
5. Gewähren Sie Zugang über eine Gruppe, nicht über einzelne Benutzer.
6. Starten Sie die Gruppe mit „Lesen" und erhöhen Sie den Zugang nur bei Bedarf.
7. Legen Sie einen Tresortyp fest, wenn die Kategorie eigene Erstellungs- und Admin-Regeln benötigt.
8. Beschränken Sie Tresor-Administrator-Rechte auf den Besitzer plus eine Vertretung.
9. Entscheiden Sie sich für CSE basierend auf Ihrem Bedrohungsmodell und Ihrer Bereitschaft für den Wiederherstellungsaufwand.
10. Überprüfen Sie regelmäßig die Gruppenmitgliedschaft und geteilte Links.

Fazit

Rolle, Gruppe und Tresortyp getrennt zu halten, geteilte Anmeldeinformationen von Anfang an in Unternehmens-Tresoren zu platzieren und bewusst zu entscheiden, ob die Zero-Knowledge-Garantie von CSE den Wiederherstellungs-Kompromiss wert ist: Das ist die Disziplin hinter diesem gesamten Modell. Beginnen Sie mit einem Audit einer Abteilung: Prüfen Sie, ob ihre geteilten Anmeldeinformationen in einem Unternehmens-Tresor liegen, bestätigen Sie, dass der Zugang über eine Gruppe läuft, und gehen Sie von dort aus weiter.

Wenn Ihr Team gemeinsame Dienstkonten oder Abteilungs-Anmeldeinformationen verwaltet, bietet Passwork die Tresorstruktur, gruppenbasierten Zugang und Verschlüsselungsoptionen, um sie unter Kontrolle zu halten. Starten Sie mit Passwork.

Häufig gestellte Fragen

Passworks Tresorrichtlinien: Ein CIO-Leitfaden zur Unternehmenssicherheit

Passworks Tresortypen binden Admin-Rechte an die Tresorrichtlinie selbst, nicht an denjenigen, der sie erstellt hat. Dieser Leitfaden gibt CIOs und CISOs ein funktionierendes Modell für Tresor-Governance, abgestimmt auf NIS2- und ISO 27001-Anforderungen.

PassworkPasswork Team

Cybersicherheits-Checkliste für kleine Unternehmen 2026

Eine praktische, NIST-konforme Sicherheits-Checkliste für kleine Unternehmen: 18 Schritte zu Richtlinien, MFA, Passwortverwaltung, Netzwerksicherheit, Backups und Incident Response, bewertet nach Kosten und Wirkung.

PassworkPasswork Team

Passwork als „Best for User Interface" ausgezeichnet und als FrontRunner 2026 anerkannt

Passwork wurde in der Passwortverwaltungssoftware-Auswahl 2026 von Software Advice als „Best for User Interface" ausgezeichnet. Passwork erhielt außerdem das FrontRunners 2026-Badge. Die Anerkennung basiert auf verifizierten Nutzerbewertungen und unabhängiger Marktforschung. Passwork hat eine Gesamtbewertung von 4,7 von 5 aus mehr als 79 verifizierten Bewertungen. Software Advice zeichnete Passwork für seine Benutzeroberfläche aus und nahm das Produkt in seine FrontRunners-Auswahl 2026 auf.

PassworkPasswork Team

Passwork almacena cada credencial en una estructura de tres niveles: bóvedas, carpetas y registros de contraseñas, cifrados con AES-256 en el lado del cliente para una protección de conocimiento cero. Dónde reside una credencial y quién puede acceder a ella depende del tipo de bóveda en la que se encuentra. Una bóveda de usuario personal que controla el propietario, o una bóveda de empresa o personalizada donde los administradores mantienen supervisión permanente.

Esta distinción importa porque las credenciales rara vez permanecen donde empezaron. Un ingeniero almacena una contraseña de base de datos en su bóveda personal, la comparte con dos colegas a través de la bandeja de entrada, y seis meses después nadie recuerda quién es el propietario o si la lista de acceso todavía coincide con el equipo. El mismo patrón genera tres riesgos recurrentes:

• Una cuenta crítica puede depender de un empleado que casualmente la posee.
• El acceso puede durar más que la razón por la que fue otorgado en primer lugar.
• La empresa pierde el rastro de quién posee y utiliza una credencial determinada.

El modelo de almacenamiento de Passwork aborda esto haciendo que la estructura de bóvedas y las reglas de acceso sean la fuente de verdad, no el intercambio ad hoc entre colegas. Esta guía explica cómo funciona esa estructura, desde los tipos de bóveda hasta el cifrado a nivel de registro, y dónde encajan el cifrado del lado del servidor y del lado del cliente.

La jerarquía de almacenamiento: Bóveda, carpeta, registro

Passwork organiza cada credencial en tres niveles. 

1. Una bóveda es el contenedor cifrado de nivel superior y el punto donde se otorga acceso por primera vez.
2. Una carpeta se encuentra dentro de una bóveda, puede anidarse para reflejar un equipo o proyecto real, y hereda el acceso de la bóveda por defecto, aunque puede restringir el acceso en una carpeta específica para aislar un subárbol sensible sin separarlo en una nueva bóveda.
3. Un registro es la tarjeta de credencial en sí.

Un cuarto objeto, el acceso directo, permite reutilizar un registro en una bóveda o carpeta diferente. Enlaza al original en lugar de copiarlo, por lo que editar el registro actualiza cada acceso directo asociado. Si alguien puede realmente editar a través de un acceso directo depende del nivel de acceso que se le otorgó — un acceso directo puede compartirse como solo lectura, por ejemplo, permitiendo que alguien vea el registro sin poder modificarlo.

Una bóveda de Infraestructura de TI podría contener una carpeta de Servidores de producción que alberga un registro vpn-gateway-admin. La estructura refleja el equipo real, por lo que las decisiones de acceso tomadas a nivel de bóveda se propagan de manera coherente.

Registros: La tarjeta de credencial detrás de la contraseña

De los tres niveles, el registro es donde reside la credencial real, pero contiene más que solo una contraseña. Una entrada de contraseña en Passwork se llama registro, y puede incluir:

• un inicio de sesión
• una contraseña
• una o más URLs
• etiquetas
• una nota
• un archivo adjunto
• campos personalizados para inicios de sesión adicionales, contraseñas adicionales o códigos TOTP (contraseña de un solo uso basada en tiempo)

La contraseña es un campo en esa tarjeta. Un registro de base de datos de producción, por ejemplo, puede contener el inicio de sesión principal y la contraseña, una nota sobre la propiedad del servidor, una etiqueta de entorno y un campo personalizado TOTP para inicio de sesión con dos factores, todo en un objeto con capacidad de búsqueda en lugar de notas dispersas. Si un sistema tiene una cuenta de administrador de emergencia, añádala como un segundo campo personalizado en la misma entrada en lugar de crear un registro desconectado que es fácil de perder de vista.

Roles y grupos: Dos capas de permisos

Passwork divide los permisos en dos sistemas que controlan cosas diferentes.

• Un rol decide lo que un usuario puede hacer a nivel del sistema: invitar personas, conectar LDAP (Protocolo Ligero de Acceso a Directorios), ver el registro de actividad, gestionar licencias.
• Un grupo decide lo que ese mismo usuario puede ver o editar dentro de una bóveda o carpeta específica.

Cada usuario tiene exactamente un rol. Los roles integrados son Propietario, Administrador y Miembro. Los administradores también pueden crear roles personalizados, como un Auditor que puede ver registros y permisos pero no puede crear, editar o eliminar registros. Los roles gobiernan configuraciones y funciones, incluyendo pestañas de gestión de bóvedas, configuración de LDAP y acceso a la API. Por sí solos, no abren ninguna bóveda.

Un grupo es cómo un conjunto de personas obtiene acceso a una bóveda o carpeta, en un nivel que va desde Lectura hasta Acceso completo y Administrador. Un usuario puede pertenecer a varios grupos a la vez, y su acceso real a cualquier entrada proviene del nivel de su grupo, no de su rol.

Los grupos son la palanca para el acceso diario

El patrón eficiente es primero el grupo: ponga a las personas en grupos y deje que el acceso existente a la bóveda de cada grupo haga el trabajo, en lugar de añadir usuarios individuales uno por uno, lo cual deja de escalar pasadas unas pocas personas. Un usuario añadido a un grupo hereda su acceso inmediatamente. Desactive el grupo y todos los miembros pierden ese acceso de una vez. Reactívelo y el acceso se restaura automáticamente.

Para organizaciones con Active Directory o LDAP, el mismo patrón se extiende más: un grupo de seguridad de AD o LDAP se mapea a un grupo de Passwork ya conectado a las bóvedas correctas, por lo que añadir a alguien al grupo de AD otorga acceso a Passwork sin un paso manual separado.

Tipos de bóveda: Política para una categoría de bóvedas

Un tipo de bóveda es una plantilla de política para una categoría de bóvedas, no un rol ni un grupo. Controla dos cosas: quién puede crear una bóveda de este tipo, y qué administradores se añaden automáticamente a cada bóveda creada bajo él. También puede restringir lo que el creador puede hacer dentro de las bóvedas de ese tipo, como permitir que alguien cree una bóveda sin permitirle invitar a otros usuarios.

Passwork viene con dos tipos integrados. 

• Una bóveda de usuario es privada por defecto para su creador y se convierte en compartida en el momento en que el propietario otorga acceso a otra persona. 
• Una bóveda de empresa está disponible para su creador y para los administradores corporativos, que se añaden automáticamente y no pueden ser eliminados ni degradados, lo que mantiene la bóveda bajo control organizacional incluso si el creador se va. 

Los tipos de bóveda personalizados, como Finanzas, RRHH o TI, aplican el mismo mecanismo bajo nombres que coinciden con su organigrama, y usted decide quién puede crear cada tipo: usuarios específicos, grupos, roles o todos.

Ubicación de la bóveda: Por qué importa tanto como la fortaleza de la contraseña

Una bóveda de usuario es para credenciales personales que pertenecen a una persona. Una bóveda de empresa es para todo lo que un equipo necesita para seguir trabajando. Confundir esto es el error más común en la incorporación.

Cuando una cuenta de servicio compartida, un inicio de sesión de proveedor o una credencial de departamento termina en la bóveda privada de alguien, todo el equipo depende silenciosamente de esa persona. Si está de vacaciones, cambia de rol o deja la empresa, la credencial queda bloqueada hasta que un administrador interviene. La solución es procedimental: cualquier credencial que necesite más de una persona va a una bóveda de empresa desde el primer día, con acceso otorgado a través de un grupo en lugar de al individuo.

Privilegio mínimo: Aplicándolo a nivel de bóveda y carpeta

El privilegio mínimo significa dar a las personas el acceso mínimo que necesitan, y en Passwork esto se aplica en la capa de bóveda y carpeta, no por registro.

• Otorgue acceso a través de grupos, no usuarios individuales, siempre que más de una persona lo necesite.
• Comience a los nuevos miembros en Lectura y aumente el acceso solo cuando el trabajo lo requiera.
• Use anulaciones a nivel de carpeta, incluyendo una configuración de Prohibido, para bloquear un subárbol sensible incluso para miembros con acceso más amplio a la bóveda.
• Limite los derechos de Administrador de bóveda al propietario más un respaldo documentado.
• Reserve el intercambio directo de contraseñas para excepciones controladas, no como sustituto rutinario del acceso a bóveda o carpeta.

Cifrado: El modelo de dos capas

Las bóvedas, carpetas y grupos definen dónde pertenecen las credenciales y quién debería poder usarlas. El cifrado protege los datos dentro de ese modelo. 

Passwork utiliza dos capas de cifrado: 

• El cifrado del lado del servidor (SSE) no requiere configuración. Cada objeto se cifra adicionalmente con AES-256 antes de llegar a la base de datos. 
• El cifrado del lado del cliente (CSE) añade una capa de conocimiento cero. Los datos se cifran en el navegador o la aplicación antes de salir del dispositivo, utilizando claves derivadas de la contraseña maestra del usuario. El servidor solo ve texto cifrado y no puede descifrarlo, incluso con acceso completo a la base de datos. 

CSE deriva sus claves completamente en el cliente, que es lo que hace real la garantía de conocimiento cero: la contraseña maestra desbloquea una clave privada, que desbloquea la clave de la bóveda, que desbloquea la entrada en sí. Los servidores de Passwork nunca tienen una clave que pueda leer esa cadena, por lo que añadir un miembro significa transferir la clave de la bóveda mediante cifrado RSA directamente entre usuarios, y cada nueva conexión pasa por un paso de aprobación por diseño.

El mismo diseño determina la recuperación. Sin copia de la contraseña maestra o sus claves en el servidor, nadie puede descifrar una bóveda desde el lado del servidor. Una cuenta olvidada es restablecida por un administrador, luego re-aprobada por los administradores de la bóveda, un punto de control que evita que un inicio de sesión comprometido recupere silenciosamente el acceso. CSE protege contraseñas, campos personalizados y archivos adjuntos de esta manera.

El cifrado maneja la confidencialidad. Quién está autorizado a usar esos datos es una capa separada, gobernada por controles como NIST SP 800-53 Rev. 5, AC-6. Los dos trabajan juntos: el cifrado mantiene una credencial ilegible en reposo, la ubicación de la bóveda y el acceso del grupo deciden quién debería alcanzarla.

Compartir: Envío directo, accesos directos y enlaces

Passwork admite tres formas de compartir una credencial fuera de la membresía normal de la bóveda. Enviar una contraseña directamente da a alguien acceso permanente a una entrada, en Lectura o Leer y editar, sin añadirlo a la bóveda. Las ediciones se aplican al registro original.

Un acceso directo, cubierto anteriormente, reutiliza un registro en otro lugar sin duplicarlo. Un enlace comparte acceso con alguien fuera de Passwork completamente, sin necesidad de cuenta, ya sea reutilizable hasta que expire o de un solo uso y desaparecido tres minutos después de abrirse, con ventanas de expiración desde una hora hasta ilimitado.

Ninguno de estos tres otorga derechos a nivel de bóveda, y ninguno es automáticamente temporal excepto la breve ventana de un enlace de un solo uso. Revoque las contraseñas enviadas, accesos directos y enlaces una vez que termine la necesidad empresarial, según un cronograma como después del cierre de un proyecto.

Incorporación y desvinculación: Poniendo el modelo en práctica

La prueba real de esta estructura es lo que sucede cuando alguien se une o se va.

• Nueva contratación. Añádala al grupo que coincide con su departamento. Hereda el acceso a la bóveda de ese grupo inmediatamente, o después de que un administrador apruebe la solicitud de conexión.
• Salida. Elimínela de sus grupos o desactive la cuenta. El acceso vinculado a esos grupos desaparece de inmediato. Antes de cerrar, confirme que todo lo que gestionaba personalmente, como una cuenta de servicio que configuró, realmente reside en una bóveda de empresa, y verifique el registro de actividad para sus acciones recientes en bóvedas compartidas.

La ubicación correcta de la bóveda y el acceso basado en grupos son lo que convierte una salida en una lista de verificación breve y repetible.

API, registros, acceso de escritorio y móvil: Las mismas reglas a escala

La API y la CLI (interfaz de línea de comandos) operan sobre los mismos registros, bóvedas y reglas de acceso que la interfaz web, por lo que el acceso mediante scripts sigue la misma lógica de rol/grupo/tipo de bóveda que navegar por la interfaz de usuario.

Cada acción contra una bóveda, carpeta o entrada se registra en el registro de actividad, y lo que un usuario determinado puede ver allí depende de su propio rol y acceso a la bóveda, la misma división cubierta anteriormente.

La extensión del navegador, las aplicaciones de escritorio y móviles leen de la misma estructura de bóveda. No hay un almacenamiento separado solo para móvil que aprender.

Configuración de una nueva categoría de credenciales paso a paso

1. Decida si la credencial es personal o propiedad del equipo.
2. Coloque las credenciales propiedad del equipo en una bóveda de empresa, no en una privada.
3. Construya carpetas alrededor de límites reales: entorno, proyecto o servicio.
4. Complete el inicio de sesión, URL, etiquetas y campos personalizados en el registro.
5. Otorgue acceso a través de un grupo, no usuarios individuales.
6. Comience el grupo en Lectura y aumente el acceso solo cuando sea necesario.
7. Establezca un tipo de bóveda si la categoría necesita sus propias reglas de creación y administración.
8. Limite los derechos de Administrador de bóveda al propietario más un respaldo.
9. Decida sobre CSE según su modelo de amenazas y disposición para la sobrecarga de recuperación.
10. Revise la membresía del grupo y los enlaces compartidos en un cronograma regular.

Conclusión

Mantener rol, grupo y tipo de bóveda en carriles separados, colocar las credenciales compartidas en bóvedas de empresa desde el inicio, y decidir deliberadamente si la garantía de conocimiento cero de CSE vale su compensación de recuperación: esa es la disciplina detrás de todo este modelo. Comience auditando un departamento: verifique si sus credenciales compartidas están en una bóveda de empresa, confirme que el acceso funciona a través de un grupo, y continúe desde allí.

Si su equipo gestiona cuentas de servicio compartidas o credenciales de departamento, Passwork le proporciona la estructura de bóveda, el acceso basado en grupos y las opciones de cifrado para mantenerlas bajo control. Comience con Passwork.

Preguntas frecuentes

Políticas de bóveda de Passwork: una guía para CIO sobre seguridad empresarial

Los tipos de bóveda de Passwork vinculan los derechos de administrador a la política de la bóveda en sí, no a quien la creó, cerrando una brecha que la mayoría de las empresas ni siquiera saben que existe. Esta guía proporciona a CIO y CISO un modelo de trabajo para la gobernanza de bóvedas, mapeado a los requisitos de NIS2 e ISO 27001.

PassworkEquipo de Passwork

Lista de verificación de ciberseguridad para pequeñas empresas en 2026

Una lista de verificación de seguridad práctica y alineada con NIST para pequeñas empresas: 18 pasos que cubren políticas, MFA, gestión de contraseñas, seguridad de red, copias de seguridad y respuesta a incidentes, clasificados por costo e impacto.

PassworkEquipo de Passwork

Passwork nombrado Mejor por Interfaz de Usuario y reconocido como FrontRunner 2026

Passwork ha sido nombrado Mejor por Interfaz de Usuario en la selección de software de gestión de contraseñas 2026 de Software Advice. Passwork también recibió la insignia FrontRunners 2026. El reconocimiento se basa en reseñas de usuarios verificados e investigación de mercado independiente. Passwork tiene una calificación general de 4.7 de 5 de más de 79 reseñas verificadas. Software Advice reconoció a Passwork por su interfaz de usuario e incluyó el producto en su selección FrontRunners 2026. La metodología FrontRunners evalúa productos elegibles

PassworkEquipo de Passwork

Passwork stores every credential in a three-level structure: vaults, folders, and password records, encrypted with AES-256 on client-side for zero-knowledge protection. Where a credential lives, and who can reach it, depends on the vault type it sits in. A personal User vault the owner controls, or a Company or custom vault where administrators keep permanent oversight.

That distinction matters because credentials rarely stay where they started. An engineer stores a database password in their personal vault, shares it with two colleagues through Inbox, and six months later nobody remembers who owns it or whether the access list still matches the team. The same pattern creates three recurring risks:

• a critical account can depend on one employee who happens to hold it
• access can outlive the reason it was granted in the first place
• the company loses track of who owns and uses a given credential

Passwork's storage model addresses this by making vault structure and access rules the source of truth, not ad hoc sharing between colleagues. This guide walks through how that structure works, from vault types down to record-level encryption, and where server-side and client-side encryption fit.

The storage hierarchy: Vault, folder, record

Passwork organizes every credential in three levels. 

1. A vault is the top-level encrypted container and the point where access is first granted.
2. A folder sits inside a vault, can nest to mirror a real team or project, and inherits the vault's access by default, though you can tighten access on a specific folder to isolate a sensitive subtree without splitting off a new vault.
3. A record is the credential card itself.

A fourth object, the shortcut, lets you reuse one record in a different vault or folder. It links to the original instead of copying it, so editing the record updates every shortcut with it. Whether someone can actually edit through a shortcut depends on the access level it was given — a shortcut can be shared as Read-only, for example, letting someone view the record without being able to change it.

An IT Infrastructure vault might contain a Production servers folder holding a vpn-gateway-admin record. The structure mirrors the actual team, so access decisions made at the vault level cascade down sensibly.

Records: The credential card behind the password

Of the three levels, the record is where the actual credential lives but it holds more than just a password. A password entry in Passwork is called a record, and it can include:

• a login
• a password
• one or more URLs
• tags
• a note
• an attached file
• custom fields for extra logins, extra passwords, or TOTP (time-based one-time password) codes

The password is one field on that card. A production database record, for example, can carry the main login and password, a note on server ownership, an environment tag, and a TOTP custom field for two-factor login, all in one searchable object instead of scattered notes. If a system has a break-glass admin account, add it as a second custom field on the same entry instead of creating a disconnected record that's easy to lose track of.

Roles and group: Two permission layers

Passwork splits permissions into two systems that control different things.

• A role decides what a user can do at the system level: inviting people, connecting LDAP (Lightweight Directory Access Protocol), viewing the activity log, managing licenses.
• A group decides what that same user can see or edit inside a specific vault or folder.

Every user holds exactly one role. The built-in roles are Owner, Administrator, and Member. Admins can also create custom roles, such as an Auditor who can view logs and permissions but can't create, edit, or delete records. Roles govern settings and features, including vault-management tabs, LDAP configuration, and API access. They don't, by themselves, open a single vault.

A group is how a set of people gets access to a vault or folder, at a level ranging from Read up to Full access and Administrator. A user can belong to several groups at once, and their real access to any entry comes from their group's level, not their role.

Groups are the lever for everyday access

The efficient pattern is group-first: put people into groups and let each group's existing vault access do the work, rather than adding individual users one at a time, which stops scaling past a handful of people. A user added to a group inherits its access immediately. Disable the group, and every member loses that access at once. Re-enable it, and access returns automatically.

For organizations on Active Directory or LDAP, the same pattern extends further: an AD or LDAP security group maps to a Passwork group already connected to the right vaults, so adding someone to the AD group grants Passwork access without a separate manual step.

Vault types: Policy for a category of vaults

A vault type is a policy template for a category of vaults, not a role and not a group. It controls two things: who can create a vault of this type, and which administrators get added automatically to every vault created under it. You can also restrict what the creator is allowed to do inside vaults of that type, such as letting someone create a vault without letting them invite other users.

Passwork ships with two built-in types. 

• A user vault is private by default to its creator and becomes shared the moment the owner grants someone else access. 
• A company vault is available to its creator and to corporate administrators, who are added automatically and can't be removed or demoted, which keeps the vault under organizational control even if the creator leaves. 

Custom vault types, such as Finance, HR, or IT, apply the same mechanism under names that match your org chart, and you decide who's allowed to create each type: specific users, groups, roles, or everyone.

Vault placement: Why it matters as much as password strength

A user vault is for personal credentials that belong to one person. A company vault is for anything a team needs to keep working. Mixing this up is the most common onboarding mistake.

When a shared service account, a vendor login, or a department credential ends up in someone's private vault, the whole team quietly depends on that one person. If they're on leave, switch roles, or leave the company, the credential is locked away until an administrator intervenes. The fix is procedural: any credential more than one person needs goes into a company vault from day one, with access granted through a group rather than to the individual.

Least privilege: Applying it at the vault and folder level

Least privilege means giving people the minimum access they need, and in Passwork that's applied at the vault and folder layer, not per record.

• Grant access through groups, not individual users, whenever more than one person needs it.
• Start new members at Read and raise access only when the job requires it.
• Use folder-level overrides, including a Forbidden setting, to block a sensitive subtree even for members with broader vault access.
• Limit vault Administrator rights to the owner plus one documented backup.
• Reserve direct password sharing for controlled exceptions, not as a routine substitute for vault or folder access.

Encryption: The two-layer model

Vaults, folders, and groups define where credentials belong and who should be able to use them. Encryption protects the data inside that model. 

Passwork uses two encryption layers: 

• Server-side encryption (SSE) requires no setup or configuration. Every object is additionally encrypted with AES-256 before it reaches the database. 
• Client-side encryption (CSE) adds a zero-knowledge layer. Data is encrypted in the browser or app before it leaves the device, using keys derived from the user’s master password. The server sees only ciphertext and cannot decrypt it, even with full database access. 

CSE derives its keys entirely on the client, which is what makes the zero-knowledge guarantee real: the master password unlocks a private key, which unlocks the vault key, which unlocks the entry itself. Passwork's servers never hold a key that can read that chain, so adding a member means transferring the vault key over RSA encryption directly between users, and every new connection passes through an approval step by design.

The same design shapes recovery. With no copy of the master password or its keys on the server, nobody can decrypt a vault from the server side. A forgotten account gets reset by an administrator, then re-approved by vault admins, a checkpoint that stops a compromised login from quietly reclaiming access. CSE protects passwords, custom fields, and attachments this way.

Encryption handles confidentiality. Who's authorized to use that data is a separate layer, governed by controls like NIST SP 800-53 Rev. 5, AC-6. The two work together: encryption keeps a credential unreadable at rest, vault placement and group access decide who should reach it.

Sharing: Direct send, shortcuts, and links

Passwork supports three ways to share a credential outside normal vault membership. Sending a password directly gives someone standing access to one entry, at Read or Read and edit, without adding them to the vault. Edits apply to the original record.

A shortcut, covered earlier, reuses a record elsewhere without duplicating it. A link shares access with someone outside Passwork entirely, no account required, either reusable until it expires or single-use and gone three minutes after opening, with expiration windows from one hour to unlimited.

None of these three grant vault-wide rights, and none are automatically temporary except a single-use link's short window. Revoke sent passwords, shortcuts, and links once the business need ends, on a schedule such as after a project closes.

Onboarding and offboarding: Putting the model to work

The real test of this structure is what happens when someone joins or leaves.

• New hire. Add them to the group matching their department. They inherit that group's vault access immediately, or after an admin approves the connection request.
• Departure. Remove them from their groups or disable the account. Access tied to those groups disappears at once. Before closing out, confirm anything they managed personally, like a service account they set up, actually lives in a company vault, and check the Activity log for their recent actions on shared vaults.

Correct vault placement and group-first access are what turn a departure into a short, repeatable checklist.

API, logs, desktop and mobile access: The same rules at scale

The API and CLI (command-line interface) operate on the same records, vaults, and access rules as the web interface, so scripted access follows the same role/group/vault-type logic as clicking through the UI.

Every action against a vault, folder, or entry is recorded in the Activity log, and what a given user can see there depends on their own role and vault access, the same split covered above.

The browser extension, desktop and mobile apps read from the same vault structure. There's no separate mobile-only storage to learn.

Setting up a new credential category step-by-step

1. Decide if the credential is personal or team-owned.
2. Place team-owned credentials in a company vault, not a private one.
3. Build folders around real boundaries: environment, project, or service.
4. Fill in login, URL, tags, and custom fields on the record.
5. Grant access through a group, not individual users.
6. Start the group at Read and raise access only when needed.
7. Set a vault type if the category needs its own creation and admin rules.
8. Limit vault Administrator rights to the owner plus one backup.
9. Decide on CSE based on your threat model and appetite for recovery overhead.
10. Review group membership and sharing links on a regular schedule.

Conclusion

Keeping role, group, and vault type in separate lanes, placing shared credentials in company vaults from the start, and deciding deliberately whether CSE's zero-knowledge guarantee is worth its recovery trade-off: that's the discipline behind this whole model. Start by auditing one department: check whether its shared credentials sit in a company vault, confirm access runs through a group, and go from there.

If your team manages shared service accounts or department credentials, Passwork gives you the vault structure, group-based access, and encryption options to keep them under control. Get started with Passwork.

Frequently asked questions

Passwork’s vault policies: a CIO’s guide to enterprise security

Passwork’s Vault Types bind admin rights to the vault policy itself, not to whoever created it, closing a gap most enterprises don’t even know exists. This guide gives CIOs and CISOs a working model for vault governance, mapped to NIS2 and ISO 27001 requirements.

PassworkPasswork Team

Cybersecurity checklist for small business in 2026

A practical, NIST-aligned security checklist for small businesses: 18 steps covering policies, MFA, password management, network security, backups, and incident response, ranked by cost and impact.

PassworkPasswork Team

Passwork named Best for User Interface and recognized as a 2026 FrontRunner

Passwork has been named Best for User Interface in Software Advice’s 2026 password management software selection. Passwork also received the FrontRunners 2026 badge. The recognition is based on verified user reviews and independent market research. Passwork has an overall rating of 4.7 out of 5 from more than 79 verified reviews. Software Advice recognized Passwork for its user interface and included the product in its 2026 FrontRunners selection. The FrontRunners methodology evaluates eligible

PassworkPasswork Team

Criar um programa de segurança sólido exige uma abordagem sistemática: começar pelos fundamentos, acrescentar controlos pela ordem certa e melhorar continuamente. A dimensão do orçamento e da equipa importa menos do que a sequência. É isso que esta lista de verificação de cibersegurança para PMEs oferece.

Esta lista de verificação segue o National Institute of Standards and Technology (NIST) Cybersecurity Framework, a mesma estrutura utilizada por organismos públicos e grandes empresas. Percorre todas as etapas, desde a redação de uma política de segurança até ao teste do plano de resposta a incidentes, com passos concretos que podem ser aplicados já esta semana.

NIST Cybersecurity Framework

O NIST Cybersecurity Framework organiza o trabalho de segurança em seis funções principais: Governar, Identificar, Proteger, Detetar, Responder e Recuperar. Oferece às pequenas empresas sem departamento de segurança uma estrutura comprovada e não proprietária para organizar esse trabalho.

Cada função responde a uma pergunta diferente:

• GOVERNAR: quem decide em matéria de segurança e quais são as regras?
• IDENTIFICAR: que ativos e riscos existem de facto?
• PROTEGER: que salvaguardas impedem a ocorrência de um incidente?
• DETETAR: como se deteta que algo correu mal?
• RESPONDER: o que fazer assim que se tem conhecimento?
• RECUPERAR: como regressar à operação normal?

A lista de verificação seguinte respeita esta ordem. Dezoito passos, associados a seis funções:

GOVERNAR: Estabelecer a base da cibersegurança

É na função Governar que a maioria das pequenas empresas salta logo para a compra de ferramentas. É um erro. Sem uma política, uma avaliação de riscos e uma atribuição clara da responsabilidade pelas decisões de segurança, todos os outros controlos ficam sem direção e sem responsabilização.

Passo 1. Criar uma política de cibersegurança

Uma política de cibersegurança é o regulamento interno da organização. Define o comportamento aceitável e indica a cada colaborador o que se espera dele.

Deve abranger, no mínimo, quatro áreas:

• Utilização aceitável: o que os colaboradores podem e não podem fazer com os dispositivos, as redes e os dados da empresa, incluindo a utilização pessoal de equipamento e de software aprovado
• Política de palavras-passe: palavras-passe únicas por conta, sem credenciais partilhadas, armazenamento apenas num gestor de palavras-passe aprovado
• Tratamento de dados: como classificar, armazenar, partilhar e eliminar os dados da empresa e dos clientes
• Comunicação de incidentes: a quem recorrer e que informações fornecer quando algo parece errado

Uma política concisa, de três a cinco páginas, que os colaboradores realmente leiam vale mais do que um documento de cinquenta páginas esquecido numa unidade partilhada.

Passo 2. Realizar uma avaliação de riscos

Uma avaliação de riscos identifica os ativos mais valiosos e as maiores fragilidades, para que se saiba onde aplicar primeiro um orçamento de segurança limitado.

Importa responder a quatro perguntas:

• Que dados causariam mais danos se fossem roubados ou destruídos?
• Que sistemas são críticos para as operações diárias?
• Quais são as maiores lacunas? (Sem MFA, software desatualizado, pessoal sem formação, cópias de segurança deficientes)
• Qual é o impacto no negócio de um ataque de ransomware, de uma violação de dados ou de um tempo de inatividade prolongado?

O Small Biz Cyber Planner da FCC oferece uma avaliação guiada e gratuita, concebida especificamente para pequenas empresas. Demora cerca de 30 minutos e produz um plano de ação personalizado.

Passo 3. Cumprir os requisitos de conformidade

Consoante o setor de atividade e a localização dos clientes, a empresa pode já estar legalmente obrigada a proteger os dados que detém.

• O RGPD, no seu artigo 33.º, concede às empresas da UE 72 horas para comunicar uma violação de dados. As empresas da UE devem também consultar os requisitos de gestão de acessos da NIS2, que acrescentam expectativas específicas de registo de auditoria.
• A Security Rule da HIPAA abrange as informações de saúde dos pacientes.
• A PCI DSS rege os dados dos titulares de cartões.
• A Lei SOX exige controlos sobre a exatidão e a segurança dos dados financeiros e dos sistemas que os tratam.

O incumprimento implica um risco financeiro real. As coimas do RGPD podem atingir 20 milhões de euros ou 4 % do volume de negócios anual a nível mundial, consoante o valor mais elevado, nos termos do artigo 83.º.

Passo 4. Ponderar um ciberseguro

Um ciberseguro ajuda a cobrir os custos de uma violação de dados: investigação forense, despesas jurídicas, notificação de clientes, monitorização de crédito e perdas por interrupção da atividade.

As boas práticas de segurança continuam a ser a principal defesa. O seguro cobre apenas as consequências financeiras após um incidente. As seguradoras exigem cada vez mais prova de controlos básicos, como a MFA, a formação dos colaboradores e as cópias de segurança regulares, antes de emitirem a cobertura, e os prémios aumentaram acentuadamente nos últimos anos. 

Antes de contratar uma apólice, confirme exatamente o que está excluído. Muitas apólices limitam ou excluem os pagamentos de resgates de ransomware e a cobertura de interrupção da atividade.

IDENTIFICAR: Saber o que é preciso proteger

A função Identificar constrói o trabalho de inventário e de classificação de que dependem todos os controlos seguintes. É necessário saber o que se está a proteger antes de o poder proteger.

Passo 5. Inventariar o hardware e o software

Deve manter-se um inventário atualizado de todos os dispositivos e aplicações ligados à rede: no lado do hardware, computadores, servidores, dispositivos móveis, routers e dispositivos IoT; no lado do software, sistemas operativos, aplicações de negócio, serviços na cloud e extensões de navegador.

Registe o responsável pelo dispositivo, a versão do sistema operativo, a versão do software e a data da última atualização. Este inventário cumpre três funções em simultâneo: assinala sistemas desatualizados ou sem suporte, permite localizar os dispositivos quando os colaboradores saem e mapeia a superfície de ataque real. 

As ferramentas de gestão de endpoints (dispositivos terminais) automatizam esta tarefa em parques maiores; para equipas mais pequenas, basta uma folha de cálculo atualizada trimestralmente.

Passo 6. Classificar os dados

Nem todos os dados merecem o mesmo nível de proteção. Organizá-los por níveis permite concentrar o investimento em segurança onde é mais relevante.

• Públicos: materiais de marketing, conteúdos publicados
• Internos: documentos empresariais gerais cuja divulgação não causaria danos graves
• Confidenciais: dados de clientes, registos financeiros, informações de colaboradores, segredos comerciais
• Restritos: dados de cartões de pagamento, registos de saúde e outros dados sujeitos a requisitos regulamentares

Os dados confidenciais e restritos devem ser cifrados, com acesso limitado às pessoas que tenham uma necessidade de negócio documentada, e tratados de acordo com procedimentos escritos.

PROTEGER: Implementar as defesas essenciais

A função Proteger é a mais extensa desta lista de verificação, e com razão: é nela que se concentra a maioria dos controlos de segurança do dia a dia, da higiene das palavras-passe às cópias de segurança.

Passo 7. Proteger as palavras-passe

As credenciais fracas e reutilizadas continuam a ser um dos problemas mais fáceis de corrigir e, ao mesmo tempo, um dos mais explorados. O DBIR 2026 da Verizon concluiu que o abuso de credenciais representa agora 13 % das violações de dados, contra 20 % anteriormente, uma vez que a exploração de vulnerabilidades o ultrapassou, com 31 %.

A solução: um gestor de palavras-passe. Ferramentas como o Passwork geram palavras-passe únicas com 15 ou mais carateres, armazenam-nas num cofre cifrado, partilham credenciais sem as expor, assinalam as fracas ou reutilizadas através de um painel de segurança e registam quem acedeu a quê.

Mesmo com um gestor implementado, convém manter o rigor nos fundamentos: comprimento em vez de complexidade, uma palavra-passe por conta, nada digitado manualmente. Consulte o guia de higiene de palavras-passe e o artigo sobre porque é que as regras de complexidade já não funcionam. 

Passo 8. Impor a autenticação multifator (MFA)

A MFA exige dois ou mais métodos de verificação: algo que se sabe (uma palavra-passe), algo que se possui (um telemóvel ou uma chave de segurança) ou algo que se é (uma impressão digital ou um reconhecimento facial).

Ativá-la de imediato em: 

• Contas de e-mail (a caixa de entrada permite repor todas as outras palavras-passe)
• Sistemas financeiros
• Armazenamento na cloud
• Contas administrativas
• Qualquer sistema que contenha dados sensíveis

A investigação da Microsoft sobre segurança de identidades concluiu que a MFA bloqueia a grande maioria das tentativas de comprometimento de contas. Mesmo que um atacante roube uma palavra-passe através de phishing ou de uma violação de dados, a MFA detém-no no segundo fator.

Passo 9. Formar os colaboradores

O DBIR 2026 da Verizon concluiu que o fator humano está presente em 62 % das violações de dados: cliques em mensagens de phishing, engenharia social ou erros de configuração. As pessoas precisam de formação específica para reconhecer estas ameaças e saber como reagir quando surgem na caixa de entrada.

Convém estruturar a formação em três níveis: integração na primeira semana, uma ação de atualização anual sobre novas ameaças e alterações de políticas, e simulações de phishing trimestrais. Quando alguém falha uma simulação, a resposta deve ser um acompanhamento construtivo. As sessões devem ser curtas (15 a 20 minutos) e baseadas em cenários reais.

Temas essenciais a abordar: reconhecimento de phishing, engenharia social, higiene de palavras-passe, segurança física e comunicação de incidentes. O guia sobre engenharia social vs. ataques de phishing explica como estes conceitos se sobrepõem e onde os ataques impulsionados por IA em 2026 mudaram as regras.

Passo 10. Proteger a rede

A rede é a base sobre a qual tudo o resto funciona. Configure as firewalls com regras baseadas no princípio do menor privilégio, utilize WPA3 no Wi-Fi (WPA2 se o WPA3 não estiver disponível) e exija uma VPN para qualquer acesso remoto a dados sensíveis. O trabalho remoto introduz a maioria das lacunas. A análise sobre 10 falhas de segurança no trabalho remoto mostra o que costuma correr mal, desde palavras-passe predefinidas nos routers até VPNs não utilizadas. Se os colaboradores usarem dispositivos pessoais, consulte o guia de segurança BYOD para conhecer os controlos ao nível do dispositivo.

Passo 11. Proteger os endpoints

Os endpoints (computadores, portáteis, dispositivos móveis) são o ponto onde os colaboradores acedem aos dados e onde o malware mais frequentemente obtém um ponto de apoio.

As ferramentas de deteção e resposta em endpoints (EDR) passaram a ser o requisito mínimo: identificam comportamentos suspeitos, contêm ameaças automaticamente e acrescentam detalhe forense que o antivírus simples não oferece. Vários fornecedores já praticam preços de EDR adaptados ao orçamento de pequenas empresas.

No mínimo, cada dispositivo necessita de:

• Análise anti-malware em tempo real
• Atualizações automáticas
• Análises completas agendadas

A aplicação de patches é mais importante do que a maioria das PMEs supõe. A exploração de vulnerabilidades sem correção é agora a forma mais comum de os atacantes entrarem, segundo o DBIR 2026 citado acima. Ative as atualizações automáticas sempre que o software o permita, aplique os patches críticos no prazo de 48 horas após o lançamento e mantenha um inventário das versões de software para saber o que continua exposto.

Se os colaboradores utilizarem dispositivos móveis para trabalhar, acrescente a gestão de dispositivos móveis (MDM) para aplicar políticas, cifrar dados e permitir o apagamento remoto.

Passo 12. Fazer cópias de segurança dos dados

A regra 3-2-1: 3 cópias dos dados, 2 tipos de suporte (por exemplo, disco local e cloud), 1 cópia fora das instalações. Deve fazer-se cópia de segurança de todos os dados críticos para o negócio, do e-mail, dos registos financeiros e das configurações de sistemas, diariamente nos sistemas críticos e semanalmente nos restantes.

Conserve várias versões que abranjam pelo menos 30 dias; o ransomware permanece frequentemente inativo antes de ser ativado, pelo que são necessárias cópias de segurança limpas, anteriores à infeção. Torne as cópias de segurança imutáveis durante um período definido, para que o ransomware não as possa cifrar juntamente com os dados de produção.

Teste a restauração trimestralmente: confirme que as cópias de segurança são concluídas, que os dados são restaurados em prazos aceitáveis e que os dados restaurados são utilizáveis.

Passo 13. Controlar o acesso aos dados

O princípio do menor privilégio significa que os utilizadores recebem apenas o acesso mínimo de que as suas funções necessitam.

O controlo de acesso baseado em funções (RBAC) atribui permissões a funções. Quando alguém muda de cargo, basta alterar a atribuição de função e as permissões são atualizadas automaticamente. Um gestor de palavras-passe como o Passwork inclui este controlo de origem: o seu sistema baseado em funções permite aos administradores definir quem acede a que credenciais e impor a segregação de funções ao nível do cofre.

Reveja os acessos trimestralmente: remova de imediato os colaboradores que saíram, ajuste as funções que mudaram e revogue tudo o que seja desnecessário.

Gestão de contas privilegiadas: nas contas de administração, limite o seu número, mantenha-as separadas das contas de utilização diária, exija a MFA, registe toda a atividade e utilize acesso just-in-time sempre que possível.

Elimine as contas partilhadas. Quando uma for inevitável, controle-a através de um gestor de palavras-passe que registe quem lhe acedeu e quando.

DETETAR: Monitorizar atividade suspeita

Deve partir-se do princípio de que um atacante determinado acaba por conseguir entrar. A função Detetar serve para o perceber antes que cause danos reais.

Passo 14. Monitorizar os sistemas

Registe e monitorize: 

• Tentativas de início de sessão falhadas (possível ataque de força bruta ou credenciais comprometidas), 
• Padrões de acesso invulgares (inícios de sessão a partir de locais inesperados ou a horas pouco habituais), 
• Alterações inesperadas nos sistemas (novas contas, edições de permissões, novo software) e 
• Tráfego de rede anómalo (ligações de saída invulgares ou grandes transferências).

Para as empresas que dependem de pessoal de TI generalista em vez de uma equipa de segurança dedicada, duas opções colmatam essa lacuna: 

• As ferramentas de gestão de informações e eventos de segurança (SIEM) baseadas na cloud agregam logs e assinalam anomalias, com escalões de preços concebidos para PMEs 
• A deteção e resposta geridas (MDR) subcontrata a monitorização 24/7 a um fornecedor, o que permite obter deteção de nível empresarial sem criar um centro de operações de segurança interno

Passo 15. Implementar a deteção de intrusões (para PMEs avançadas)

À medida que a maturidade de segurança aumenta, convém ponderar sistemas de deteção de intrusões (IDS) ou sistemas de prevenção de intrusões (IPS). O IDS alerta para padrões de tráfego malicioso, o IPS bloqueia-o automaticamente. A maioria das pequenas empresas deve encarar estes sistemas como um investimento de segunda fase, depois de as palavras-passe, a MFA, as cópias de segurança e a formação estarem consolidadas e monitorizadas.

RESPONDER: Planear a resposta a um incidente de segurança

Um plano documentado, elaborado antes de ocorrer um incidente, reduz o tempo de resposta e limita os danos. Sem este passo, todas as decisões durante um incidente real são tomadas sob pressão e, normalmente, mal.

Passo 16. Criar um plano de resposta a incidentes (IR)

Um plano de resposta a incidentes define quem faz o quê, para que ninguém improvise quando é necessário. O ciclo de vida de seis etapas: 

• Preparação: documentar o plano, atribuir funções, realizar exercícios tabletop (simulação em mesa) 
• Deteção e análise: confirmar o âmbito e a gravidade
• Contenção: isolar sistemas, desativar contas comprometidas 
• Erradicação: eliminar a ameaça, corrigir a causa raiz
• Recuperação: restaurar a partir de cópias de segurança limpas, repor os sistemas gradualmente 
• Lições aprendidas: rever no prazo de duas semanas, atualizar o plano

Mantenha níveis de gravidade, uma lista de contactos atualizada (TI, jurídico, seguradora, autoridades policiais) e procedimentos de comunicação com clientes e meios de comunicação social. Conheça os prazos: o RGPD exige a notificação no prazo de 72 horas (artigo 33.º); muitas leis estaduais dos EUA permitem 30 a 60 dias.

RECUPERAR: Garantir a continuidade do negócio

Um plano de resposta a incidentes limpa o ambiente técnico; um plano de continuidade de negócio mantém a empresa em funcionamento enquanto isso acontece.

Passo 17. Desenvolver um plano de continuidade de negócio (BCP)

O BCP deve identificar que funções de negócio são essenciais e têm de continuar durante um incidente, como o apoio ao cliente, o processamento de encomendas ou o processamento de salários. Defina um objetivo de tempo de recuperação (RTO) para a rapidez com que cada sistema tem de ser reposto e um objetivo de ponto de recuperação (RPO) para a perda de dados aceitável, uma vez que este valor determina a frequência das cópias de segurança. O guia de planeamento de contingência do NIST constitui uma referência detalhada para desenvolver esta área.

Documente procedimentos alternativos para executar manualmente as funções críticas se os sistemas principais estiverem indisponíveis, um plano de comunicação para colaboradores, clientes e fornecedores durante uma interrupção prolongada e um plano de sucessão para as decisões, caso pessoas-chave não estejam disponíveis.

Passo 18. Testar os procedimentos de recuperação

• Realize exercícios tabletop pelo menos uma vez por ano: reúna a equipa, percorra um cenário realista e identifique as lacunas do plano antes que um incidente real o faça 
• Realize testes técnicos trimestrais nos sistemas críticos: restaure efetivamente a partir de uma cópia de segurança, execute o failover para sistemas alternativos e confirme que a recuperação funciona conforme documentado 
• As organizações mais maduras acrescentam periodicamente simulações à escala real, que exigem muitos recursos, mas revelam problemas que mais nenhum teste revelará

Documente todos os resultados dos testes e atualize os planos com base no que for encontrado.

Conclusão

Uma lista de verificação de cibersegurança para PMEs compensa quando é implementada por ordem: primeiro a governação e a avaliação de riscos, depois a identificação e, a seguir, os controlos de proteção que travam a maioria dos incidentes antes de começarem. A deteção, a resposta e a recuperação fecham o ciclo para os incidentes que, ainda assim, passam.

Comece esta semana pelas medidas de maior impacto e menor custo: implementar um gestor de palavras-passe, ativar a MFA em todos os sistemas e agendar a primeira sessão de formação dos colaboradores. Tudo o resto nesta lista de verificação assenta nessa base.

Perguntas frequentes

O que é a gestão centralizada de palavras-passe para PMEs em 2026?

As folhas de cálculo e o armazenamento no navegador não são gestão de palavras-passe, são apenas armazenamento sem registo de auditoria nem controlo da saída de colaboradores. Este artigo explica o que exige uma verdadeira centralização: cofres partilhados, RBAC, registos de auditoria, MFA e o que verificar antes de escolher uma plataforma.

PassworkPasswork Team

Verizon DBIR 2026: 10 estatísticas que devem mudar a estratégia de segurança

O DBIR 2026 da Verizon analisou mais de 22 000 violações de dados em 145 países. A exploração de vulnerabilidades ultrapassou o abuso de credenciais como principal vetor de ataque, enquanto o ransomware, o risco de terceiros e os ataques assistidos por IA aumentaram acentuadamente. Eis os 10 números que importam.

PassworkAlex Muntyan

Gestão de palavras-passe para equipas: A solução de que todas as PMEs precisam

Guardar palavras-passe no Slack e em navegadores expõe a empresa a violações de dados. Saiba por que razão as ferramentas pessoais falham nas equipas, como retirar em segurança, com um clique, o acesso dos colaboradores que saem e por que motivo as diretrizes mais recentes do NIST desaconselham a rotação forçada de palavras-passe.

PassworkAlex Muntyan

Der Aufbau eines ernsthaften Sicherheitsprogramms erfordert einen systematischen Ansatz: mit den Grundlagen beginnen, Kontrollen in der richtigen Reihenfolge aufbauen und kontinuierlich verbessern. Budgetgröße und Mitarbeiterzahl sind weniger wichtig als die richtige Reihenfolge. Genau das bietet diese Cybersicherheits-Checkliste für kleine Unternehmen.

Diese Checkliste folgt dem National Institute of Standards and Technology (NIST) Cybersecurity Framework, derselben Struktur, die von Behörden und großen Unternehmen verwendet wird. Sie führt durch jede Phase — vom Erstellen einer Sicherheitsrichtlinie bis zum Testen Ihres Incident-Response-Plans — mit konkreten Schritten, die Sie diese Woche umsetzen können.

NIST Cybersecurity Framework

Das NIST Cybersecurity Framework organisiert Sicherheitsarbeit in sechs Kernfunktionen: Govern, Identify, Protect, Detect, Respond und Recover. Es bietet kleinen Unternehmen ohne Sicherheitsabteilung eine bewährte, herstellerunabhängige Struktur zur Organisation ihrer Sicherheitsarbeit.

Jede Funktion beantwortet eine andere Frage:

• GOVERN — Wer ist für Sicherheitsentscheidungen verantwortlich, und was sind die Regeln?
• IDENTIFY — Welche Assets und Risiken haben wir tatsächlich?
• PROTECT — Welche Schutzmaßnahmen verhindern einen Vorfall?
• DETECT — Wie bemerken wir, dass etwas schiefgelaufen ist?
• RESPOND — Was tun wir, sobald wir es wissen?
• RECOVER — Wie kehren wir zum Normalbetrieb zurück?

Die folgende Checkliste folgt dieser Reihenfolge. Achtzehn Schritte, zugeordnet zu sechs Funktionen:

GOVERN: Das Fundament Ihrer Cybersicherheit legen

Bei Govern überspringen die meisten kleinen Unternehmen direkt zum Kauf von Tools. Das ist ein Fehler. Ohne eine Richtlinie, eine Risikobewertung und klare Verantwortlichkeiten für Sicherheitsentscheidungen fehlt allen anderen Kontrollen die Richtung und Rechenschaftspflicht.

Schritt 1. Cybersicherheitsrichtlinie erstellen

Eine Cybersicherheitsrichtlinie ist das Regelwerk Ihrer Organisation. Sie definiert akzeptables Verhalten und informiert jeden Mitarbeiter über die Erwartungen.

Decken Sie mindestens vier Bereiche ab:

• Akzeptable Nutzung: Was Mitarbeiter mit Unternehmensgeräten, Netzwerken und Daten tun dürfen und was nicht, einschließlich privater Nutzung von Geräten und genehmigter Software.
• Passwortrichtlinie: Einzigartige Passwörter pro Konto, keine gemeinsam genutzten Anmeldedaten, Speicherung nur in einem genehmigten Passwort-Manager.
• Datenhandhabung: Wie Unternehmens- und Kundendaten klassifiziert, gespeichert, geteilt und entsorgt werden.
• Vorfallmeldung: Wen man kontaktiert und welche Informationen man bereitstellt, wenn etwas verdächtig erscheint.

Eine prägnante Richtlinie von drei bis fünf Seiten, die Mitarbeiter tatsächlich lesen, ist besser als ein fünfzigseitiges Dokument, das ungelesen in einem gemeinsamen Laufwerk liegt.

Schritt 2. Risikobewertung durchführen

Eine Risikobewertung identifiziert Ihre wertvollsten Assets und Ihre größten Schwachstellen, damit Sie wissen, wo Sie das begrenzte Sicherheitsbudget zuerst einsetzen sollten.

Stellen Sie vier Fragen:

• Welche Daten würden den größten Schaden verursachen, wenn sie gestohlen oder zerstört würden?
• Welche Systeme sind für den täglichen Betrieb kritisch?
• Was sind unsere größten Lücken? (Kein MFA, veraltete Software, ungeschulte Mitarbeiter, schwache Backups)
• Was sind die geschäftlichen Auswirkungen von Ransomware, einer Datenschutzverletzung oder längeren Ausfallzeiten?

Der Small Biz Cyber Planner der FCC bietet eine kostenlose, geführte Bewertung, die speziell für kleine Unternehmen entwickelt wurde. Die Durchführung dauert etwa 30 Minuten und erzeugt einen individuellen Aktionsplan.

Schritt 3. Compliance-Anforderungen erfüllen

Abhängig von Ihrer Branche und dem Standort Ihrer Kunden sind Sie möglicherweise bereits gesetzlich verpflichtet, die von Ihnen gespeicherten Daten zu schützen.

• DSGVO Artikel 33 gibt EU-Unternehmen 72 Stunden Zeit, eine Datenschutzverletzung zu melden. EU-Unternehmen sollten auch die NIS2-Anforderungen für das Zugriffsmanagement prüfen, die spezifische Erwartungen an die Audit-Protokollierung hinzufügen.
• HIPAAs Security Rule behandelt Gesundheitsdaten von Patienten.
• PCI DSS regelt Karteninhaberdaten.
• SOX erfordert Kontrollen über die Genauigkeit und Sicherheit von Finanzdaten und den Systemen, die diese verarbeiten.

Nichteinhaltung birgt echtes finanzielles Risiko. DSGVO-Bußgelder können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist, gemäß Artikel 83.

Schritt 4. Cyberversicherung in Betracht ziehen

Eine Cyberversicherung hilft, die Kosten einer Datenschutzverletzung zu decken: forensische Untersuchung, Anwaltskosten, Kundenbenachrichtigung, Kreditüberwachung und Verluste durch Betriebsunterbrechung.

Gute Sicherheitspraktiken bleiben die primäre Verteidigung. Die Versicherung deckt nur die finanziellen Folgen nach einem Vorfall ab. Versicherer verlangen zunehmend den Nachweis grundlegender Kontrollen wie MFA, Mitarbeiterschulungen und regelmäßige Backups, bevor sie eine Police ausstellen, und die Prämien sind in den letzten Jahren stark gestiegen.

Klären Sie vor dem Abschluss einer Police genau, was ausgeschlossen ist. Viele Policen begrenzen oder schließen Lösegeldzahlungen und Deckung bei Betriebsunterbrechung aus.

IDENTIFY: Wissen, was geschützt werden muss

Identify bildet die Grundlage für Inventarisierung und Klassifizierung, von der alle späteren Kontrollen abhängen. Sie müssen wissen, was Sie schützen, bevor Sie es schützen können.

Schritt 5. Hardware und Software inventarisieren

Führen Sie ein laufendes Inventar aller Geräte und Anwendungen, die mit Ihrem Netzwerk verbunden sind: Computer, Server, mobile Geräte, Router und IoT-Geräte auf der Hardware-Seite; Betriebssysteme, Geschäftsanwendungen, Cloud-Dienste und Browser-Erweiterungen auf der Software-Seite.

Erfassen Sie den Gerätebesitzer, die Betriebssystemversion, die Softwareversion und das Datum des letzten Updates. Dieses Inventar erfüllt drei Aufgaben gleichzeitig: Es kennzeichnet veraltete oder nicht unterstützte Systeme, verfolgt Geräte beim Ausscheiden von Mitarbeitern und bildet Ihre tatsächliche Angriffsfläche ab.

Endpoint-Management-Tools automatisieren dies für größere Geräteflotten; eine vierteljährlich aktualisierte Tabelle funktioniert für kleinere Teams.

Schritt 6. Daten klassifizieren

Nicht alle Daten verdienen dasselbe Schutzniveau. Die Sortierung in Stufen ermöglicht es, Sicherheitsausgaben dort zu konzentrieren, wo es wichtig ist.

• Öffentlich: Marketingmaterialien, veröffentlichte Inhalte.
• Intern: Allgemeine Geschäftsdokumente, die bei Offenlegung keinen ernsthaften Schaden verursachen würden.
• Vertraulich: Kundendaten, Finanzunterlagen, Mitarbeiterinformationen, Geschäftsgeheimnisse.
• Eingeschränkt: Zahlungskartendaten, Gesundheitsdaten und andere Daten, die regulatorischen Anforderungen unterliegen.

Vertrauliche und eingeschränkte Daten sollten verschlüsselt sein, der Zugriff auf Personen mit dokumentiertem geschäftlichen Bedarf beschränkt und unter schriftlichen Verfahren behandelt werden.

PROTECT: Kernmaßnahmen implementieren

Protect ist die größte Funktion in dieser Checkliste, und das aus gutem Grund: Hier befinden sich die meisten täglichen Sicherheitskontrollen, von der Passworthygiene bis zu Backups.

Schritt 7. Passwörter absichern

Schwache und wiederverwendete Anmeldedaten gehören zu den am einfachsten zu behebenden Problemen — und zu den am häufigsten ausgenutzten. Der DBIR 2026 von Verizon ergab, dass der Missbrauch von Anmeldedaten jetzt 13 % der Sicherheitsverletzungen ausmacht, gegenüber 20 %, da die Ausnutzung von Schwachstellen mit 31 % überholt hat.

Die Lösung: Ein Passwort-Manager. Tools wie Passwork generieren einzigartige Passwörter mit mehr als 15 Zeichen, speichern sie in einem verschlüsselten Tresor, teilen Anmeldedaten ohne sie preiszugeben, kennzeichnen schwache oder wiederverwendete über ein Sicherheits-Dashboard und protokollieren, wer auf was zugegriffen hat.

Auch mit einem Manager sollten Sie an den Grundlagen festhalten: Länge vor Komplexität, ein Passwort pro Konto, nichts von Hand eintippen. Siehe unseren Leitfaden zur Passworthygiene und warum Komplexitätsregeln nicht mehr funktionieren.

Schritt 8. Multi-Faktor-Authentifizierung (MFA) erzwingen

MFA erfordert zwei oder mehr Verifizierungsmethoden: etwas, das Sie wissen (ein Passwort), etwas, das Sie haben (ein Telefon oder Sicherheitsschlüssel), oder etwas, das Sie sind (ein Fingerabdruck oder Gesichtsscan).

Aktivieren Sie es sofort für:

• E-Mail-Konten (Ihr Posteingang setzt jedes andere Passwort zurück)
• Finanzsysteme
• Cloud-Speicher
• Administrative Konten
• Jedes System, das sensible Daten enthält

Die Identitätssicherheitsforschung von Microsoft hat ergeben, dass MFA die überwiegende Mehrheit der Kontoübernahmeversuche blockiert. Selbst wenn ein Angreifer ein Passwort durch Phishing oder eine Datenschutzverletzung stiehlt, stoppt MFA ihn beim zweiten Faktor.

Schritt 9. Mitarbeiter schulen

Der DBIR 2026 von Verizon ergab, dass der menschliche Faktor bei 62 % der Sicherheitsverletzungen eine Rolle spielt: Phishing-Klicks, Social Engineering oder Fehlkonfigurationen. Mitarbeiter brauchen explizite Schulungen, um diese Bedrohungen zu erkennen und zu wissen, wie sie reagieren sollen, wenn sie in ihrem Posteingang auftauchen.

Strukturieren Sie Schulungen in drei Ebenen: Onboarding innerhalb der ersten Woche, eine jährliche Auffrischung zu neuen Bedrohungen und Richtlinienaktualisierungen sowie vierteljährliche Phishing-Simulationen. Wenn jemand bei einer Simulation durchfällt, reagieren Sie mit konstruktivem Coaching. Halten Sie die Sitzungen kurz (15-20 Minuten) und praxisnah mit realen Szenarien.

Wichtige Themen: Phishing-Erkennung, Social Engineering, Passworthygiene, physische Sicherheit und Vorfallmeldung. Unser Leitfaden zu Social Engineering vs. Phishing-Angriffen behandelt Überschneidungen und wie KI-gestützte Angriffe 2026 die Spielregeln verändert haben.

Schritt 10. Netzwerk absichern

Ihr Netzwerk ist das Fundament, auf dem alles andere läuft. Konfigurieren Sie Firewalls mit Least-Privilege-Regeln, verwenden Sie WPA3 für WLAN (WPA2, falls nicht verfügbar) und verlangen Sie ein VPN für jeden Fernzugriff auf sensible Daten. Remote-Arbeit verursacht die meisten Lücken. Unsere Analyse von 10 Sicherheitsfehlern bei Remote-Arbeit zeigt, was typischerweise schiefgeht — von Standard-Router-Passwörtern bis zu übersprungenen VPNs. Wenn Mitarbeiter private Geräte nutzen, finden Sie in unserem BYOD-Sicherheitsleitfaden Kontrollen auf Geräteebene.

Schritt 11. Endgeräte schützen

Endgeräte (Computer, Laptops, mobile Geräte) sind der Punkt, an dem Mitarbeiter mit Ihren Daten arbeiten — und wo Malware am häufigsten Fuß fasst.

Endpoint Detection and Response (EDR)-Tools sind zur Grundausstattung geworden: Sie erkennen verdächtiges Verhalten, isolieren Bedrohungen automatisch und liefern forensische Details, die einfache Antivirenprogramme nicht bieten. Mehrere Anbieter bieten inzwischen EDR zu Preisen für kleine Unternehmen an.

Mindestens muss jedes Gerät haben:

• Echtzeit-Anti-Malware-Scanning
• Automatische Updates
• Geplante vollständige Scans

Patchen ist wichtiger, als die meisten KMU annehmen. Die Ausnutzung ungepatchter Schwachstellen ist laut dem oben zitierten DBIR 2026 jetzt die häufigste Methode, mit der Angreifer eindringen. Aktivieren Sie automatische Updates, wo immer Ihre Software es erlaubt, wenden Sie kritische Patches innerhalb von 48 Stunden nach Veröffentlichung an und führen Sie ein Inventar der Softwareversionen, damit Sie wissen, was noch exponiert ist.

Wenn Mitarbeiter mobile Geräte für die Arbeit nutzen, fügen Sie Mobile Device Management (MDM) hinzu, um Richtlinien durchzusetzen, Daten zu verschlüsseln und Fernlöschung zu ermöglichen.

Schritt 12. Daten sichern

Die 3-2-1-Regel: 3 Kopien Ihrer Daten, 2 Medientypen (z. B. lokale Festplatte und Cloud), 1 Kopie extern. Sichern Sie alle geschäftskritischen Daten — E-Mails, Finanzunterlagen und Systemkonfigurationen — täglich für kritische Systeme, wöchentlich für den Rest.

Bewahren Sie mehrere Versionen über mindestens 30 Tage auf; Ransomware bleibt oft inaktiv, bevor sie aktiviert wird, sodass Sie saubere Backups von vor der Infektion benötigen. Machen Sie Backups unveränderlich für einen festgelegten Zeitraum, damit Ransomware sie nicht zusammen mit den Produktionsdaten verschlüsseln kann.

Testen Sie die Wiederherstellung vierteljährlich: Bestätigen Sie, dass Backups vollständig sind, Daten innerhalb akzeptabler Zeitrahmen wiederhergestellt werden und die wiederhergestellten Daten nutzbar sind.

Schritt 13. Datenzugriff kontrollieren

Das Least-Privilege-Prinzip bedeutet, dass Benutzer nur den minimalen Zugriff erhalten, den ihre Tätigkeit erfordert.

Role-Based Access Control (RBAC) weist Berechtigungen Rollen zu. Wenn jemand die Position wechselt, tauschen Sie die Rollenzuweisung aus und die Berechtigungen werden automatisch aktualisiert. Ein Passwort-Manager wie Passwork bietet diese Kontrolle integriert: Sein rollenbasiertes System ermöglicht es Administratoren zu definieren, wer auf welche Anmeldedaten zugreifen kann, und Funktionstrennung auf Tresor-Ebene durchzusetzen.

Überprüfen Sie den Zugriff vierteljährlich: Entfernen Sie ausgeschiedene Mitarbeiter sofort, passen Sie geänderte Rollen an und widerrufen Sie alles Unnötige.

Privileged Account Management: Begrenzen Sie bei Admin-Konten deren Anzahl, halten Sie sie von Konten für den täglichen Gebrauch getrennt, verlangen Sie MFA, protokollieren Sie alle Aktivitäten und verwenden Sie nach Möglichkeit Just-in-Time-Zugriff.

Eliminieren Sie gemeinsam genutzte Konten. Wo eines unvermeidlich ist, kontrollieren Sie es über einen Passwort-Manager, der protokolliert, wer wann darauf zugegriffen hat.

DETECT: Verdächtige Aktivitäten überwachen

Gehen Sie davon aus, dass ein entschlossener Angreifer irgendwann eindringt. Bei Detect geht es darum, dies zu bemerken, bevor echter Schaden entsteht.

Schritt 14. Systeme überwachen

Protokollieren und überwachen Sie auf:

• Fehlgeschlagene Anmeldeversuche (möglicher Brute-Force-Angriff oder kompromittierte Anmeldedaten)
• Ungewöhnliche Zugriffsmuster (Anmeldungen von unerwarteten Standorten oder zu ungewöhnlichen Zeiten)
• Unerwartete Systemänderungen (neue Konten, Berechtigungsänderungen, neue Software)
• Abnormaler Netzwerkverkehr (ungewöhnliche ausgehende Verbindungen oder große Übertragungen)

Für Unternehmen, die sich auf allgemeines IT-Personal statt auf ein dediziertes Sicherheitsteam verlassen, füllen zwei Optionen die Lücke:

• Cloud-basierte Security Information and Event Management (SIEM)-Tools aggregieren Protokolle und kennzeichnen Anomalien, mit Preisstufen für KMU.
• Managed Detection and Response (MDR) lagert die 24/7-Überwachung an einen Anbieter aus und bietet Unternehmensklasse-Erkennung, ohne ein internes Security Operations Center aufbauen zu müssen.

Schritt 15. Intrusion Detection implementieren (für fortgeschrittene KMU)

Mit wachsender Sicherheitsreife sollten Sie Intrusion Detection Systems (IDS) oder Intrusion Prevention Systems (IPS) in Betracht ziehen. IDS warnt Sie vor bösartigen Verkehrsmustern, IPS blockiert sie automatisch. Die meisten kleinen Unternehmen sollten dies als Investition der zweiten Phase betrachten — sobald Passwörter, MFA, Backups und Schulungen solide und überwacht sind.

RESPOND: Für einen Sicherheitsvorfall planen

Ein dokumentierter Plan, der vor einem Vorfall erstellt wird, verkürzt die Reaktionszeit und begrenzt den Schaden. Überspringen Sie diesen Schritt, und jede Entscheidung während eines echten Vorfalls wird unter Druck getroffen — meist schlecht.

Schritt 16. Incident-Response-Plan (IR-Plan) erstellen

Ein Incident-Response-Plan definiert, wer was tut, damit niemand improvisiert, wenn es darauf ankommt. Der sechsstufige Lebenszyklus:

• Vorbereitung: Plan dokumentieren, Rollen zuweisen, Tabletop-Übungen durchführen.
• Erkennung und Analyse: Umfang und Schweregrad bestätigen.
• Eindämmung: Systeme isolieren, kompromittierte Konten deaktivieren.
• Beseitigung: Bedrohung entfernen, Ursache beheben.
• Wiederherstellung: Aus sauberen Backups wiederherstellen, Systeme schrittweise wieder in Betrieb nehmen.
• Lessons Learned: Innerhalb von zwei Wochen überprüfen, Plan aktualisieren.

Pflegen Sie Schweregrade, eine aktualisierte Kontaktliste (IT, Rechtsabteilung, Versicherer, Strafverfolgungsbehörden) und Kommunikationsverfahren für Kunden und Medien. Kennen Sie Ihre Fristen: Die DSGVO verlangt eine Benachrichtigung innerhalb von 72 Stunden (Artikel 33); viele US-amerikanische Landesgesetze erlauben 30-60 Tage.

RECOVER: Geschäftskontinuität sicherstellen

Ein Incident-Response-Plan bringt Ihre technische Umgebung wieder in Ordnung, ein Business-Continuity-Plan hält das Unternehmen am Laufen, während das geschieht.

Schritt 17. Business-Continuity-Plan (BCP) entwickeln

Ihr BCP sollte identifizieren, welche Geschäftsfunktionen essentiell sind und während eines Vorfalls weiterlaufen müssen, wie Kundenservice, Auftragsabwicklung oder Gehaltsabrechnung. Definieren Sie ein Recovery Time Objective (RTO) dafür, wie schnell jedes System wieder verfügbar sein muss, und ein Recovery Point Objective (RPO) dafür, wie viel Datenverlust akzeptabel ist — da diese Zahl Ihre Backup-Häufigkeit bestimmt. Der Leitfaden zur Notfallplanung von NIST bietet eine detaillierte Referenz für den Aufbau.

Dokumentieren Sie alternative Verfahren für die manuelle Durchführung kritischer Funktionen, wenn Primärsysteme ausgefallen sind, einen Kommunikationsplan für Mitarbeiter, Kunden und Lieferanten während eines längeren Ausfalls sowie einen Nachfolgeplan für Entscheidungen, wenn Schlüsselpersonen nicht verfügbar sind.

Schritt 18. Wiederherstellungsverfahren testen

• Führen Sie mindestens jährlich Tabletop-Übungen durch: Versammeln Sie das Team, gehen Sie ein realistisches Szenario durch und finden Sie die Lücken in Ihrem Plan, bevor es ein echter Vorfall tut.
• Führen Sie vierteljährlich technische Tests für kritische Systeme durch: Stellen Sie tatsächlich aus Backups wieder her, führen Sie Failover zu alternativen Systemen durch und bestätigen Sie, dass die Wiederherstellung wie dokumentiert funktioniert.
• Reifere Organisationen führen zusätzlich regelmäßig Vollsimulationen durch — ressourcenintensiv, aber sie decken Probleme auf, die nichts anderes findet.

Dokumentieren Sie jedes Testergebnis und aktualisieren Sie Ihre Pläne basierend auf den Erkenntnissen.

Fazit

Eine Cybersicherheits-Checkliste für kleine Unternehmen zahlt sich aus, wenn sie in der richtigen Reihenfolge umgesetzt wird: zuerst Governance und Risikobewertung, dann Identifizierung, dann die Schutzkontrollen, die die meisten Vorfälle verhindern, bevor sie auftreten. Erkennung, Reaktion und Wiederherstellung schließen den Kreislauf für die Vorfälle, die dennoch durchkommen.

Beginnen Sie diese Woche mit den wirkungsvollsten und kostengünstigsten Maßnahmen: Setzen Sie einen Passwort-Manager ein, aktivieren Sie überall MFA und planen Sie Ihre erste Mitarbeiterschulung. Alles andere in dieser Checkliste baut auf diesem Fundament auf.

Häufig gestellte Fragen

Was ist zentralisierte Passwortverwaltung für KMU im Jahr 2026?

Tabellenkalkulationen und Browser-Speicher sind keine Passwortverwaltung — sie sind nur Speicher ohne Audit-Trail oder Offboarding-Kontrolle. Dieser Artikel behandelt, was echte Zentralisierung erfordert: gemeinsam genutzte Tresore, RBAC, Audit-Logs, MFA und worauf Sie vor der Auswahl einer Plattform achten sollten.

PassworkPasswork Team

Verizon DBIR 2026: 10 Statistiken, die Ihre Sicherheitsstrategie ändern sollten

Der DBIR 2026 von Verizon analysierte mehr als 22.000 Sicherheitsverletzungen in 145 Ländern. Die Ausnutzung von Schwachstellen überholte den Missbrauch von Anmeldedaten als wichtigsten Angriffsvektor, während Ransomware, Drittanbieterrisiken und KI-gestützte Angriffe stark zunahmen. Hier sind die 10 Zahlen, die zählen.

PassworkAlex Muntyan

Passwortverwaltung für Teams: Die Lösung, die jedes KMU braucht

Das Speichern von Passwörtern in Slack und Browsern setzt Ihr Unternehmen Datenschutzverletzungen aus. Erfahren Sie, warum persönliche Tools für Teams versagen, wie Sie ausscheidende Mitarbeiter mit einem Klick sicher offboarden und warum die neuesten NIST-Richtlinien von erzwungener Passwortrotation abraten.

PassworkAlex Muntyan

Construir un programa de seguridad serio requiere un enfoque sistemático: comience con los fundamentos, añada controles en el orden correcto y siga mejorando. El tamaño del presupuesto y el número de empleados importan menos que la secuencia. Eso es lo que esta lista de verificación de ciberseguridad para pequeñas empresas le ofrece.

Esta lista sigue el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST), la misma estructura utilizada por agencias gubernamentales y grandes empresas. Recorre cada etapa, desde la redacción de una política de seguridad hasta la prueba de su plan de respuesta a incidentes, con pasos concretos que puede ejecutar esta semana.

Marco de ciberseguridad NIST

El Marco de Ciberseguridad NIST organiza el trabajo de seguridad en seis funciones principales: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. Proporciona a las pequeñas empresas sin departamento de seguridad una estructura probada y no propietaria para organizar su trabajo de seguridad.

Cada función responde a una pregunta diferente:

• GOBERNAR — ¿Quién es responsable de las decisiones de seguridad y cuáles son las reglas?
• IDENTIFICAR — ¿Qué activos y riesgos tenemos realmente?
• PROTEGER — ¿Qué salvaguardas evitan que ocurra un incidente?
• DETECTAR — ¿Cómo nos damos cuenta de que algo ha salido mal?
• RESPONDER — ¿Qué hacemos una vez que lo sabemos?
• RECUPERAR — ¿Cómo volvemos a las operaciones normales?

La lista de verificación a continuación sigue ese orden. Dieciocho pasos, asignados a seis funciones:

GOBERNAR: Establezca su base de ciberseguridad

Gobernar es donde la mayoría de las pequeñas empresas saltan directamente a comprar herramientas. Eso es un error. Sin una política, una evaluación de riesgos y una propiedad clara de las decisiones de seguridad, todos los demás controles carecen de dirección y responsabilidad.

Paso 1. Crear una política de ciberseguridad

Una política de ciberseguridad es el reglamento de su organización. Define el comportamiento aceptable y comunica a cada empleado lo que se espera de él.

Cubra cuatro áreas como mínimo:

• Uso aceptable: qué pueden y qué no pueden hacer los empleados con los dispositivos, redes y datos de la empresa, incluyendo el uso personal del equipo y el software aprobado.
• Política de contraseñas: contraseñas únicas por cuenta, sin credenciales compartidas, almacenamiento solo en un gestor de contraseñas aprobado.
• Manejo de datos: cómo clasificar, almacenar, compartir y eliminar datos de la empresa y de los clientes.
• Reporte de incidentes: a quién contactar y qué información proporcionar cuando algo parece sospechoso.

Una política concisa de tres a cinco páginas que los empleados realmente lean supera a un documento de cincuenta páginas sin leer en una unidad compartida.

Paso 2. Realizar una evaluación de riesgos

Una evaluación de riesgos identifica sus activos más valiosos y sus mayores debilidades, para que sepa dónde gastar primero el presupuesto de seguridad limitado.

Haga cuatro preguntas:

• ¿Qué datos causarían el mayor daño si fueran robados o destruidos?
• ¿Qué sistemas son críticos para las operaciones diarias?
• ¿Cuáles son nuestras mayores brechas? (Sin MFA, software desactualizado, personal sin capacitar, copias de seguridad débiles)
• ¿Cuál es el impacto comercial del ransomware, una brecha de datos o un tiempo de inactividad prolongado?

El Small Biz Cyber Planner de la FCC ofrece una evaluación guiada gratuita diseñada específicamente para pequeñas empresas. Toma aproximadamente 30 minutos y produce un plan de acción personalizado.

Paso 3. Abordar los requisitos de cumplimiento

Dependiendo de su industria y de dónde se encuentren sus clientes, es posible que ya esté legalmente obligado a proteger los datos que posee.

• El GDPR Artículo 33 otorga a las empresas de la UE 72 horas para reportar una brecha. Las empresas de la UE también deben consultar los requisitos de gestión de acceso de NIS2, que añaden expectativas específicas de registro de auditoría.
• La Regla de Seguridad de HIPAA cubre la información de salud del paciente.
• PCI DSS rige los datos de titulares de tarjetas.
• SOX requiere controles sobre la precisión y seguridad de los datos financieros y los sistemas que los procesan.

El incumplimiento conlleva una exposición financiera real. Las multas del GDPR pueden alcanzar 20 millones de euros o el 4% de la facturación global anual, lo que sea mayor, según el Artículo 83.

Paso 4. Considerar un seguro cibernético

El seguro cibernético ayuda a cubrir el costo de una brecha: investigación forense, honorarios legales, notificación a clientes, monitoreo de crédito y pérdidas por interrupción del negocio.

Las buenas prácticas de seguridad siguen siendo la defensa principal. El seguro solo cubre las consecuencias financieras después de un incidente. Las aseguradoras exigen cada vez más pruebas de controles básicos, como MFA, capacitación de empleados y copias de seguridad regulares, antes de emitir cobertura, y las primas han aumentado considerablemente en los últimos años.

Antes de comprar una póliza, confirme exactamente qué está excluido. Muchas pólizas limitan o excluyen los pagos de ransomware y la cobertura por interrupción del negocio.

IDENTIFICAR: Conozca lo que necesita proteger

Identificar construye el trabajo de inventario y clasificación del que depende cada control posterior. Tiene que saber qué está protegiendo antes de poder protegerlo.

Paso 5. Inventariar su hardware y software

Mantenga un inventario actualizado de cada dispositivo y aplicación conectado a su red: computadoras, servidores, dispositivos móviles, routers y dispositivos IoT en el lado del hardware; sistemas operativos, aplicaciones empresariales, servicios en la nube y extensiones de navegador en el lado del software.

Registre el propietario del dispositivo, la versión del sistema operativo, la versión del software y la fecha de la última actualización. Este inventario cumple tres funciones a la vez: identifica sistemas desactualizados o sin soporte, rastrea dispositivos cuando los empleados se van y mapea su superficie de ataque real.

Las herramientas de gestión de endpoints automatizan esto para flotas más grandes; una hoja de cálculo actualizada trimestralmente funciona para equipos más pequeños.

Paso 6. Clasificar sus datos

No todos los datos merecen el mismo nivel de protección. Organizarlos en niveles le permite concentrar el gasto en seguridad donde importa.

• Públicos: Materiales de marketing, contenido publicado.
• Internos: Documentos comerciales generales que no causarían daño grave si se divulgaran.
• Confidenciales: Datos de clientes, registros financieros, información de empleados, secretos comerciales.
• Restringidos: Datos de tarjetas de pago, registros de salud y otros datos sujetos a requisitos regulatorios.

Los datos confidenciales y restringidos deben estar cifrados, con acceso limitado a personas con una necesidad comercial documentada, y manejados bajo procedimientos escritos.

PROTEGER: Implemente sus defensas principales

Proteger es la función más grande de esta lista de verificación, y con razón: es donde residen la mayoría de los controles de seguridad del día a día, desde la higiene de contraseñas hasta las copias de seguridad.

Paso 7. Proteger sus contraseñas

Las credenciales débiles y reutilizadas siguen siendo uno de los problemas más fáciles de solucionar y entre los más explotados. El DBIR 2026 de Verizon encontró que el abuso de credenciales ahora representa el 13% de las brechas, bajando del 20%, ya que la explotación de vulnerabilidades lo superó con un 31%.

La solución: Un gestor de contraseñas. Herramientas como Passwork generan contraseñas únicas de más de 15 caracteres, las almacenan en una bóveda cifrada, comparten credenciales sin exponerlas, identifican las débiles o reutilizadas a través de un panel de seguridad y registran quién accedió a qué.

Incluso con un gestor implementado, mantenga la línea en los fundamentos: longitud sobre complejidad, una contraseña por cuenta, nada escrito a mano. Consulte nuestra guía de higiene de contraseñas y por qué las reglas de complejidad ya no funcionan.

Paso 8. Aplicar autenticación multifactor (MFA)

MFA requiere dos o más métodos de verificación: algo que sabe (una contraseña), algo que tiene (un teléfono o llave de seguridad), o algo que es (una huella dactilar o escaneo facial).

Actívelo inmediatamente para:

• Cuentas de correo electrónico (su bandeja de entrada restablece todas las demás contraseñas)
• Sistemas financieros
• Almacenamiento en la nube
• Cuentas administrativas
• Cualquier sistema que contenga datos sensibles

La investigación de seguridad de identidad de Microsoft ha encontrado que MFA bloquea la gran mayoría de los intentos de compromiso de cuentas. Incluso si un atacante roba una contraseña a través de phishing o una brecha, MFA lo detiene en el segundo factor.

Paso 9. Capacitar a sus empleados

El DBIR 2026 de Verizon encontró que el elemento humano es un factor en el 62% de las brechas: clics en phishing, ingeniería social o configuración incorrecta. Las personas necesitan capacitación explícita para reconocer estas amenazas y saber cómo responder cuando aparecen en su bandeja de entrada.

Estructure la capacitación en tres capas: incorporación dentro de la primera semana, una actualización anual sobre nuevas amenazas y cambios de políticas, y simulaciones de phishing trimestrales. Cuando alguien falla una simulación, responda con orientación constructiva. Mantenga las sesiones cortas (15-20 minutos) y basadas en escenarios reales.

Temas clave a cubrir: reconocimiento de phishing, ingeniería social, higiene de contraseñas, seguridad física y reporte de incidentes. Nuestra guía sobre ingeniería social vs. ataques de phishing cubre cómo se superponen y dónde los ataques impulsados por IA de 2026 cambiaron las reglas del juego.

Paso 10. Proteger su red

Su red es la base sobre la que funciona todo lo demás. Configure firewalls con reglas de mínimo privilegio, use WPA3 para Wi-Fi (WPA2 si no está disponible), y requiera una VPN para cualquier acceso remoto a datos sensibles. El trabajo remoto introduce la mayoría de las brechas. Nuestro análisis de 10 fallos de seguridad en el trabajo remoto muestra lo que generalmente sale mal, desde contraseñas predeterminadas de routers hasta VPNs omitidas. Si los empleados usan dispositivos personales, consulte nuestra guía de seguridad BYOD para controles a nivel de dispositivo.

Paso 11. Proteger sus endpoints

Los endpoints (computadoras, portátiles, dispositivos móviles) son donde los empleados interactúan con sus datos, y donde el malware obtiene un punto de apoyo con mayor frecuencia.

Las herramientas de Endpoint Detection and Response (EDR) se han convertido en el estándar básico: identifican comportamiento sospechoso, contienen amenazas automáticamente y añaden detalle forense que el antivirus simple no ofrece. Varios proveedores ahora ofrecen precios de EDR para presupuestos de pequeñas empresas.

Como mínimo, cada dispositivo necesita:

• Escaneo antimalware en tiempo real
• Actualizaciones automáticas
• Escaneos completos programados.

La aplicación de parches importa más de lo que la mayoría de las pymes suponen. La explotación de vulnerabilidades sin parchear es ahora la forma más común en que los atacantes ingresan, según el DBIR 2026 citado anteriormente. Habilite las actualizaciones automáticas donde su software lo permita, aplique parches críticos dentro de las 48 horas posteriores a su lanzamiento y mantenga un inventario de versiones de software para saber qué sigue expuesto.

Si los empleados usan dispositivos móviles para trabajar, añada Mobile Device Management (MDM) para aplicar políticas, cifrar datos y habilitar el borrado remoto.

Paso 12. Hacer copias de seguridad de sus datos

La regla 3-2-1: 3 copias de sus datos, 2 tipos de medios (por ejemplo, disco local y nube), 1 copia fuera del sitio. Haga copias de seguridad de todos los datos críticos del negocio, correo electrónico, registros financieros y configuraciones del sistema, diariamente para sistemas críticos, semanalmente para el resto.

Retenga múltiples versiones que abarquen al menos 30 días; el ransomware a menudo permanece inactivo antes de activarse, por lo que necesita copias de seguridad limpias de antes de la infección. Haga que las copias de seguridad sean inmutables durante un período establecido para que el ransomware no pueda cifrarlas junto con los datos de producción.

Pruebe la restauración trimestralmente: confirme que las copias de seguridad se completan, que los datos se restauran dentro de los plazos aceptables y que los datos restaurados son utilizables.

Paso 13. Controlar el acceso a los datos

El principio de mínimo privilegio significa que los usuarios obtienen solo el acceso mínimo que su trabajo requiere.

El Control de Acceso Basado en Roles (RBAC) asigna permisos a roles. Cuando alguien cambia de puesto, se intercambia su asignación de rol y los permisos se actualizan automáticamente. Un gestor de contraseñas como Passwork le ofrece este control integrado: su sistema basado en roles permite a los administradores definir quién accede a qué credenciales y aplicar la separación de funciones a nivel de bóveda.

Revise el acceso trimestralmente: elimine a los empleados que se han ido inmediatamente, ajuste los roles cambiados y revoque cualquier acceso innecesario.

Gestión de cuentas privilegiadas: para cuentas de administrador, limite cuántas existen, manténgalas separadas de las cuentas de uso diario, requiera MFA, registre toda la actividad y use acceso justo a tiempo cuando sea posible.

Elimine las cuentas compartidas. Cuando una sea inevitable, contrólela a través de un gestor de contraseñas que registre quién accedió y cuándo.

DETECTAR: Monitoree la actividad sospechosa

Asuma que un atacante determinado eventualmente entrará. Detectar se trata de notarlo antes de que causen daño real.

Paso 14. Monitorear sus sistemas

Registre y monitoree:

• Intentos de inicio de sesión fallidos (posible fuerza bruta o credenciales comprometidas),
• Patrones de acceso inusuales (inicios de sesión desde ubicaciones inesperadas o horas extrañas),
• Cambios inesperados en el sistema (nuevas cuentas, ediciones de permisos, nuevo software), y
• Tráfico de red anormal (conexiones salientes inusuales o transferencias grandes).

Para empresas que dependen de personal de TI general en lugar de un equipo de seguridad dedicado, dos opciones llenan el vacío:

• Las herramientas de Security Information and Event Management (SIEM) basadas en la nube agregan registros y señalan anomalías, con niveles de precios diseñados para pymes.
• Managed Detection and Response (MDR) externaliza el monitoreo 24/7 a un proveedor, brindándole detección de nivel empresarial sin construir un centro de operaciones de seguridad interno.

Paso 15. Implementar detección de intrusiones (para pymes avanzadas)

A medida que crece la madurez de seguridad, considere los Sistemas de Detección de Intrusiones (IDS) o los Sistemas de Prevención de Intrusiones (IPS). IDS le alerta sobre patrones de tráfico malicioso, IPS lo bloquea automáticamente. La mayoría de las pequeñas empresas deberían tratar esto como una inversión de segunda fase, una vez que las contraseñas, MFA, copias de seguridad y capacitación estén sólidas y monitoreadas.

RESPONDER: Planifique para un incidente de seguridad

Un plan documentado, creado antes de que ocurra un incidente, reduce el tiempo de respuesta y limita el daño. Omita este paso y cada decisión durante un incidente real se tomará bajo presión, generalmente mal.

Paso 16. Crear un plan de respuesta a incidentes (IR)

Un plan de respuesta a incidentes define quién hace qué, para que nadie improvise cuando importa. El ciclo de vida de seis pasos:

• Preparación: documente el plan, asigne roles, realice ejercicios de simulación.
• Detección y análisis: confirme el alcance y la gravedad.
• Contención: aísle sistemas, desactive cuentas comprometidas.
• Erradicación: elimine la amenaza, corrija la causa raíz.
• Recuperación: restaure desde copias de seguridad limpias, reactive los sistemas gradualmente.
• Lecciones aprendidas: revise dentro de dos semanas, actualice el plan.

Mantenga niveles de gravedad, una lista de contactos actualizada (TI, legal, aseguradora, fuerzas del orden) y procedimientos de comunicación con clientes y medios. Conozca sus plazos: el GDPR requiere notificación dentro de 72 horas (Artículo 33); muchas leyes estatales de EE. UU. permiten 30-60 días.

RECUPERAR: Asegure la continuidad del negocio

Un plan de respuesta a incidentes limpia su entorno técnico; un plan de continuidad del negocio mantiene a la empresa operando mientras eso sucede.

Paso 17. Desarrollar un plan de continuidad del negocio (BCP)

Su BCP debe identificar qué funciones comerciales son esenciales y deben continuar durante un incidente, como servicio al cliente, procesamiento de pedidos o nómina. Defina un Objetivo de Tiempo de Recuperación (RTO) para cuán rápido necesita volver cada sistema, y un Objetivo de Punto de Recuperación (RPO) para cuánta pérdida de datos es aceptable, ya que ese número determina la frecuencia de sus copias de seguridad. La guía de planificación de contingencias de NIST ofrece una referencia detallada para desarrollar esto.

Documente procedimientos alternativos para ejecutar funciones críticas manualmente si los sistemas primarios están caídos, un plan de comunicación para empleados, clientes y proveedores durante una interrupción prolongada, y un plan de sucesión para decisiones si las personas clave no están disponibles.

Paso 18. Probar sus procedimientos de recuperación

• Realice ejercicios de simulación al menos anualmente: reúna al equipo, recorra un escenario realista y encuentre las brechas en su plan antes de que un incidente real lo haga.
• Ejecute pruebas técnicas trimestralmente para sistemas críticos: restaure realmente desde una copia de seguridad, realice una conmutación por error a sistemas alternativos y confirme que la recuperación funciona según lo documentado.
• Las organizaciones maduras añaden simulaciones a escala completa periódicamente, que consumen muchos recursos pero revelan problemas que nada más descubrirá.

Documente cada resultado de prueba y actualice sus planes según lo que encuentre.

Conclusión

Una lista de verificación de ciberseguridad para pequeñas empresas da resultados cuando se implementa en orden: gobernanza y evaluación de riesgos primero, luego identificación, luego los controles de protección que detienen la mayoría de los incidentes antes de que comiencen. Detección, respuesta y recuperación cierran el ciclo para los incidentes que logran pasar de todos modos.

Comience esta semana con las acciones de mayor impacto y menor costo: implemente un gestor de contraseñas, active MFA en todas partes y programe su primera sesión de capacitación para empleados. Todo lo demás en esta lista de verificación se basa en esa base.

Preguntas frecuentes

¿Qué es la gestión centralizada de contraseñas para pymes en 2026?

Las hojas de cálculo y el almacenamiento del navegador no son gestión de contraseñas, son solo almacenamiento sin registro de auditoría ni control de desvinculación. Este artículo cubre lo que requiere una centralización real: bóvedas compartidas, RBAC, registros de auditoría, MFA y qué verificar antes de elegir una plataforma.

PassworkPasswork Team

Verizon DBIR 2026: 10 estadísticas que deberían cambiar su estrategia de seguridad

El DBIR 2026 de Verizon analizó más de 22,000 brechas en 145 países. La explotación de vulnerabilidades superó al abuso de credenciales como el principal vector de ataque, mientras que el ransomware, el riesgo de terceros y los ataques asistidos por IA crecieron significativamente. Aquí están los 10 números que importan.

PassworkAlex Muntyan

Gestión de contraseñas para equipos: La solución que toda pyme necesita

Almacenar contraseñas en Slack y navegadores expone su negocio a brechas. Descubra por qué las herramientas personales fallan para los equipos, cómo desvincular de forma segura a empleados que se van con un solo clic, y por qué las últimas directrices del NIST recomiendan no forzar la rotación de contraseñas.

PassworkAlex Muntyan

Building a serious security program takes a systematic approach: start with the fundamentals, layer on controls in the right order, and keep improving. Budget size and headcount matter less than sequencing. That's what this cybersecurity checklist for small business gives you.

This checklist follows the National Institute of Standards and Technology (NIST) Cybersecurity Framework, the same structure used by government agencies and large enterprises. It walks through every stage, from writing a security policy to testing your incident response plan, with concrete steps you can act on this week.

NIST cybersecurity framework

The NIST Cybersecurity Framework organizes security work into six core functions: Govern, Identify, Protect, Detect, Respond, and Recover. It gives small businesses without a security department a proven, non-proprietary structure for organizing their security work.

Each function answers a different question:

• GOVERN — Who owns security decisions, and what are the rules?
• IDENTIFY — What assets and risks do we actually have?
• PROTECT — What safeguards stop an incident from happening?
• DETECT — How do we notice something has gone wrong?
• RESPOND — What do we do once we know?
• RECOVER — How do we get back to normal operations?

The checklist below follows that order. Eighteen steps, mapped to six functions:

GOVERN: Establish your cybersecurity foundation

Govern is where most small businesses skip straight to buying tools. That's a mistake. Without a policy, a risk assessment, and clear ownership of security decisions, every other control lacks direction and accountability.

Step 1. Create a cybersecurity policy

A cybersecurity policy is your organization's rulebook. It defines acceptable behavior and tells every employee what's expected of them.

Cover four areas at minimum:

• Acceptable use: what employees can and cannot do with company devices, networks, and data, including personal use of equipment and approved software.
• Password policy: unique passwords per account, no shared credentials, storage only in an approved password manager.
• Data handling: how to classify, store, share, and dispose of company and customer data.
• Incident reporting: who to contact and what information to provide when something looks wrong.

A tight, three-to-five-page policy that employees actually read beats a fifty-page document sitting unread in a shared drive.

Step 2. Conduct a risk assessment

A risk assessment identifies your most valuable assets and your biggest weaknesses, so you know where to spend limited security budget first.

Ask four questions:

• What data would cause the most damage if stolen or destroyed?
• Which systems are critical to daily operations?
• What are our biggest gaps? (No MFA, outdated software, untrained staff, weak backups)
• What's the business impact of ransomware, a data breach, or extended downtime?

The FCC's Small Biz Cyber Planner offers a free, guided assessment built specifically for small businesses. It takes about 30 minutes and produces a customized action plan.

Step 3. Address compliance requirements

Depending on your industry and where your customers are located, you may already be legally required to protect the data you hold.

• GDPR Article 33 gives EU businesses 72 hours to report a breach. EU companies should also check NIS2 access management requirements, which add specific audit-logging expectations.
• HIPAA's Security Rule covers patient health information.
• PCI DSS governs cardholder data.
• SOX requires controls over the accuracy and security of financial data and the systems processing it.

Non-compliance carries real financial exposure. GDPR fines can reach €20 million or 4% of annual global turnover, whichever is higher, per Article 83.

Step 4. Consider cyber insurance

Cyber insurance helps cover the cost of a breach: forensic investigation, legal fees, customer notification, credit monitoring, and business interruption losses.

Good security practices remain the primary defense. Insurance only covers the financial fallout after an incident. Insurers increasingly require proof of basic controls, such as MFA, employee training, and regular backups, before issuing coverage, and premiums have climbed sharply in recent years. 

Before buying a policy, confirm exactly what's excluded. Many policies limit or exclude ransomware payments and business interruption coverage.

IDENTIFY: Know what you need to protect

Identify builds the inventory and classification work that every later control depends on. You have to know what you're protecting before you can protect it.

Step 5. Inventory your hardware and software

Maintain a running inventory of every device and application connected to your network: computers, servers, mobile devices, routers, and IoT devices on the hardware side; operating systems, business applications, cloud services, and browser extensions on the software side.

Record the device owner, OS version, software version, and last update date. This inventory does three jobs at once: it flags outdated or unsupported systems, tracks devices when employees leave, and maps your actual attack surface. 

Endpoint management tools automate this for larger fleets; a spreadsheet updated quarterly works for smaller teams.

Step 6. Classify your data

Not all data deserves the same level of protection. Sorting it into tiers lets you focus security spending where it matters.

• Public: Marketing materials, published content.
• Internal: General business documents that wouldn't cause serious harm if disclosed.
• Confidential: Customer data, financial records, employee information, trade secrets.
• Restricted: Payment card data, health records, and other data subject to regulatory requirements.

Confidential and restricted data should be encrypted, access-limited to people with a documented business need, and handled under written procedures.

PROTECT: Implement your core defenses

Protect is the largest function in this checklist, and for good reason: it's where most day-to-day security controls live, from password hygiene to backups.

Step 7. Secure your passwords

Weak and reused credentials remain one of the easiest problems to fix, and among the most exploited. Verizon's 2026 DBIR found credential abuse now accounts for 13% of breaches, down from 20%, as vulnerability exploitation overtook it at 31%.

The fix: A password manager. Tools like Passwork generate unique 15+ character passwords, store them in an encrypted vault, share credentials without exposing them, flag weak or reused ones via a security dashboard, and log who accessed what.

Even with a manager in place, hold the line on fundamentals: length over complexity, one password per account, nothing hand-typed. See our password hygiene guide and why complexity rules no longer work. 

Step 8. Enforce multi-factor authentication (MFA)

MFA requires two or more verification methods: something you know (a password), something you have (a phone or security key), or something you are (a fingerprint or face scan).

Turn it on immediately for: 

• Email accounts (your inbox resets every other password)
• Financial systems
• Cloud storage
• Administrative accounts
• Any system holding sensitive data

Microsoft's identity security research has found that MFA blocks the overwhelming majority of account compromise attempts. Even if an attacker steals a password through phishing or a breach, MFA stops them at the second factor.

Step 9. Train your employees

Verizon's 2026 DBIR found the human element is a factor in 62% of breaches: phishing clicks, social engineering, or misconfiguration. People need explicit training to recognize these threats and know how to respond when they show up in their inbox.

Structure training in three layers: onboarding within the first week, an annual refresher on new threats and policy updates, and quarterly phishing simulations. When someone fails a simulation, respond with constructive coaching. Keep sessions short (15-20 minutes) and grounded in real scenarios.

Key topics to cover: phishing recognition, social engineering, password hygiene, physical security, and incident reporting. Our guide to social engineering vs. phishing attacks covers how these overlap and where 2026's AI-driven attacks changed the playbook.

Step 10. Secure your network

Your network is the foundation everything else runs on. Configure firewalls with least-privilege rules, use WPA3 for Wi-Fi (WPA2 if unavailable), and require a VPN for any remote access to sensitive data. Remote work introduces most of the gaps. Our breakdown of 10 remote work security fails shows what usually goes wrong, from default router passwords to skipped VPNs. If employees use personal devices, see our BYOD security guide for device-level controls.

Step 11. Protect your endpoints

Endpoints (computers, laptops, mobile devices) are where employees touch your data, and where malware most often gets a foothold.

Endpoint Detection and Response (EDR) tools have become the baseline: they identify suspicious behavior, contain threats automatically, and add forensic detail that plain antivirus lacks. Several vendors now price EDR for small-business budgets.

At minimum, every device needs:

• Real-time anti-malware scanning
• Automatic updates
• Scheduled full scans.

Patching matters more than most SMBs assume. Exploitation of unpatched vulnerabilities is now the single most common way attackers get in, per the 2026 DBIR cited above. Enable automatic updates wherever your software allows it, apply critical patches within 48 hours of release, and keep an inventory of software versions so you know what's still exposed.

If employees use mobile devices for work, add Mobile Device Management (MDM) to enforce policy, encrypt data, and enable remote wipe.

Step 12. Back up your data

The 3-2-1 rule: 3 copies of your data, 2 media types (e.g., local disk and cloud), 1 copy offsite. Back up all business-critical data, email, financial records, and system configs, daily for critical systems, weekly for the rest.

Retain multiple versions spanning at least 30 days; ransomware often sits dormant before activating, so you need clean backups from before the infection. Make backups immutable for a set period so ransomware can't encrypt them alongside production data.

Test restoration quarterly: confirm backups complete, data restores within acceptable timeframes, the restored data is usable.

Step 13. Control access to data

The principle of least privilege means users get only the minimum access their job requires.

Role-Based Access Control (RBAC) assigns permissions to roles. When someone changes jobs, you swap their role assignment and permissions update automatically. A password manager like Passwork gives you this control built in: its role-based system lets admins define who reaches which credentials and enforce separation of duties at the vault level.

Review access quarterly: remove departed employees immediately, adjust changed roles, revoke anything unnecessary.

Privileged account management: for admin accounts, limit how many exist, keep them separate from daily-use accounts, require MFA, log all activity, and use just-in-time access where possible.

Eliminate shared accounts. Where one is unavoidable, control it through a password manager that logs who accessed it and when.

DETECT: Monitor for suspicious activity

Assume a determined attacker eventually gets in. Detect is about noticing before they cause real damage.

Step 14. Monitor your systems

Log and monitor for: 

• Failed login attempts (possible brute-force or compromised credentials), 
• Unusual access patterns (logins from unexpected locations or odd hours), 
• Unexpected system changes (new accounts, permission edits, new software), and 
• Abnormal network traffic (unusual outbound connections or large transfers).

For businesses relying on general IT staff rather than a dedicated security team, two options fill the gap: 

• Cloud-based Security Information and Event Management (SIEM) tools aggregate logs and flag anomalies, with pricing tiers built for SMBs. 
• Managed Detection and Response (MDR) outsources 24/7 monitoring to a provider, giving you enterprise-grade detection without building an internal security operations center.

Step 15. Implement intrusion detection (for advanced SMBs)

As security maturity grows, consider Intrusion Detection Systems (IDS) or Intrusion Prevention Systems (IPS). IDS alerts you to malicious traffic patterns, IPS blocks it automatically. Most small businesses should treat this as a second-phase investment, once passwords, MFA, backups, and training are solid and monitored.

RESPOND: Plan for a security incident

A documented plan, built before an incident happens, cuts response time and limits damage. Skip this step and every decision during a real incident gets made under pressure, usually badly.

Step 16. Create an incident response (IR) plan

An incident response plan defines who does what, so nobody improvises when it matters. The six-step lifecycle: 

• Preparation: document the plan, assign roles, run tabletop exercises. 
• Detection and analysis: confirm scope and severity.
• Containment: isolate systems, disable compromised accounts. 
• Eradication: remove the threat, fix the root cause.
• Recovery: restore from clean backups, bring systems back gradually. 
• Lessons learned: review within two weeks, update the plan.

Maintain severity levels, an updated contact list (IT, legal, insurer, law enforcement), and customer/media communication procedures. Know your deadlines: GDPR requires notification within 72 hours (Article 33); many U.S. state laws allow 30-60 days.

RECOVER: Ensure business continuity

An incident response plan gets your technical environment clean, a business continuity plan keeps the company operating while that happens.

Step 17. Develop a business continuity plan (BCP)

Your BCP should identify which business functions are essential and must continue during an incident, such as customer service, order processing, or payroll. Define a Recovery Time Objective (RTO) for how fast each system needs to come back, and a Recovery Point Objective (RPO) for how much data loss is acceptable, since that number drives your backup frequency. NIST's contingency planning guide offers a detailed reference for building this out.

Document alternative procedures for running critical functions manually if primary systems are down, a communication plan for employees, customers, and vendors during an extended outage, and a succession plan for decisions if key people are unavailable.

Step 18. Test your recovery procedures

• Run tabletop exercises at least annually: gather the team, walk through a realistic scenario, and find the gaps in your plan before a real incident does. 
• Run technical tests quarterly for critical systems: actually restore from backup, fail over to alternative systems, and confirm recovery works as documented. 
• Mature organizations add full-scale simulations periodically, which are resource-intensive but surface issues nothing else will.

Document every test result and update your plans based on what you find.

Conclusion

A cybersecurity checklist for small business pays off when it's implemented in order: governance and risk assessment first, then identification, then the protective controls that stop most incidents before they start. Detection, response, and recovery close the loop for the incidents that get through anyway.

Start this week with the highest-impact, lowest-cost moves: deploy a password manager, turn on MFA everywhere, and schedule your first employee training session. Everything else in this checklist builds on that foundation.

Frequently asked questions

What is centralized password management for SMBs in 2026?

Spreadsheets and browser storage aren’t password management, they’re just storage with no audit trail or offboarding control. This article covers what real centralization requires: shared vaults, RBAC, audit logs, MFA, and what to check before picking a platform.

PassworkPasswork Team

Verizon DBIR 2026: 10 stats that should change your security strategy

Verizon’s 2026 DBIR analyzed 22,000+ breaches across 145 countries. Vulnerability exploitation overtook credential abuse as the top attack vector, while ransomware, third-party risk, and AI-assisted attacks all grew sharply. Here are the 10 numbers that matter.

PassworkAlex Muntyan

Password management for teams: The fix every SMB needs

Storing passwords in Slack and browsers exposes your business to breaches. Discover why personal tools fail teams, how to securely offboard departing employees in one click, and why the latest NIST guidelines recommend against forced password rotation.

PassworkAlex Muntyan

El 30 de agosto de 2026 llegó a su fin el período de transición establecido en el acuerdo entre Passwork Europe S.L. y Passwork FZ-LLC (EAU). A partir de ese momento, Passwork Europe S.L. gestiona de forma independiente el desarrollo, el mantenimiento, el soporte y la seguridad de Passwork.

A continuación, explicamos qué significan estos cambios en la práctica para nuestros clientes y socios.

Qué cambió tras finalizar la transición

El objetivo del período de transición era garantizar la continuidad del producto para los clientes existentes mientras se transferían la tecnología, el know-how y la infraestructura. La transición se completó según lo previsto antes del 30 de agosto de 2026.

A partir del 30 de agosto de 2026:

• Passwork Europe S.L. ya no recibe actualizaciones de código fuente ni transferencia de conocimiento técnico por parte de Passwork FZ-LLC.
• El desarrollo, las versiones (releases) y el soporte técnico del producto son gestionados por Passwork Europe S.L.
• La infraestructura que utiliza Passwork Europe S.L. para compilar, firmar y distribuir sus actualizaciones está bajo su propia administración y ubicada dentro de la Unión Europea.
• El acceso al entorno de desarrollo, las claves de firma y la infraestructura de Passwork Europe S.L. está controlado exclusivamente por Passwork Europe S.L.

Para los clientes, todos los asuntos técnicos y operativos son ahora gestionados por Passwork Europe S.L. en Barcelona.

Propiedad de la empresa

Passwork es desarrollado, mantenido, soportado y distribuido de forma independiente por Passwork Europe S.L., una empresa española registrada en Barcelona. El único accionista y CEO de la empresa es Alexander Muntyan, residente fiscal en España. Toda la información sobre la propiedad y la estructura corporativa de la empresa está disponible públicamente en el Registro Mercantil español y puede verificarse de forma independiente.

El equipo de desarrollo y su ubicación

El producto es desarrollado por un equipo distribuido de contratistas independientes que trabajan bajo la gestión de Passwork Europe S.L. desde Barcelona. Los puestos clave se encuentran en jurisdicciones de la Unión Europea.

Los datos administrativos, operativos y relacionados con los clientes se procesan dentro de la Unión Europea de conformidad con los requisitos del RGPD.

Nuevas versiones

Las próximas versiones de Passwork serán desarrolladas y preparadas para su publicación íntegramente por el equipo de Passwork Europe S.L., sin depender de actualizaciones del código fuente de Passwork FZ-LLC.

A partir de la próxima versión, también introduciremos un nuevo formato de numeración. La frecuencia de publicación se mantiene sin cambios. Las actualizaciones periódicas de funcionalidades y seguridad siguen nuestra propia hoja de ruta.

Residencia en la UE: próximos pasos

El fin del período de transición forma parte de un esfuerzo más amplio para fortalecer la jurisdicción europea del producto. En los próximos meses:

• completaremos la consolidación de la infraestructura del producto (compilación, firma y distribución de actualizaciones, portales de actualización y licencias, DNS, CDN) dentro de la Unión Europea bajo la administración de Passwork Europe S.L.;
• alinearemos el marco contractual con clientes, contratistas y proveedores hacia un estándar único, coherente con los requisitos del RGPD y de NIS2;
• ampliaremos la presencia europea del equipo en puestos técnicos clave.

Auditorías y verificación independiente

En 2025, Passwork se sometió a una prueba de penetración independiente realizada por HackerOne. Los resultados confirmaron la resistencia de la arquitectura de Passwork frente a ataques externos. Las observaciones identificadas fueron atendidas y cerradas como parte del proceso estándar de remediación. El informe final está disponible para los clientes bajo solicitud, como parte del proceso de debida diligencia.

Passwork está certificado según la norma ISO/IEC 27001. El estado actual del certificado está disponible públicamente en el registro IAF CertSearch (última actualización: 13 de agosto de 2026). La certificación cubre el desarrollo, el soporte y la operación del producto.

Durante 2026-2027 tenemos previsto:

• ampliar el alcance de la certificación ISO/IEC 27001 para cubrir los nuevos elementos de infraestructura consolidados como parte de la residencia en la UE;
• prepararnos para la certificación SOC 2 Type II.

Mantendremos informados a nuestros clientes, socios y demás partes interesadas sobre el avance de este trabajo, y compartiremos los resultados a medida que estén disponibles.

Am 30. August 2026 endete die im Rahmen der Vereinbarung zwischen Passwork Europe S.L. und Passwork FZ-LLC (VAE) festgelegte Übergangsphase. Seit diesem Zeitpunkt verwaltet Passwork Europe S.L. die Entwicklung, Wartung, den Support und die Sicherheit von Passwork.

Im Folgenden erläutern wir, was diese Änderungen für unsere Kunden und Partner in der Praxis bedeuten.

Was sich nach Abschluss der Übergangsphase geändert hat

Ziel der Übergangsphase war es, die Produktkontinuität für bestehende Kunden sicherzustellen, während Technologie, Know-how und Infrastruktur übertragen wurden. Die Übergangsphase wurde planmäßig bis zum 30. August 2026 abgeschlossen.

Seit dem 30. August 2026 gilt:

• Passwork Europe S.L. erhält keine Quellcode-Updates oder technischen Wissenstransfer mehr von Passwork FZ-LLC.
• Entwicklung, Releases und technischer Support des Produkts werden von Passwork Europe S.L. verwaltet.
• Die Infrastruktur, die Passwork Europe S.L. zum Erstellen, Signieren und Verteilen seiner Updates nutzt, unterliegt der eigenen Verwaltung und befindet sich innerhalb der Europäischen Union.
• Der Zugriff auf die Entwicklungsumgebung, die Signaturschlüssel und die Infrastruktur von Passwork Europe S.L. wird ausschließlich von Passwork Europe S.L. kontrolliert.

Für Kunden werden alle technischen und operativen Angelegenheiten nun von Passwork Europe S.L. in Barcelona bearbeitet.

Eigentümerstruktur des Unternehmens

Passwork wird unabhängig von Passwork Europe S.L. entwickelt, gewartet, unterstützt und vertrieben, einem in Barcelona registrierten spanischen Unternehmen. Alleiniger Gesellschafter und Geschäftsführer (CEO) des Unternehmens ist Alexander Muntyan, ein spanischer Steuerresident. Alle Informationen zur Eigentümerstruktur und Unternehmensform sind im spanischen Handelsregister (Registro Mercantil) öffentlich einsehbar und können unabhängig überprüft werden.

Das Entwicklungsteam und seine Standorte

Das Produkt wird von einem verteilten Team unabhängiger Auftragnehmer entwickelt, die unter der Leitung von Passwork Europe S.L. aus Barcelona arbeiten. Schlüsselpositionen sind in Rechtsräumen der Europäischen Union angesiedelt.

Administrative, operative und kundenbezogene Daten werden gemäß den Anforderungen der DSGVO innerhalb der Europäischen Union verarbeitet.

Neue Releases

Kommende Passwork-Releases werden vollständig vom Team der Passwork Europe S.L. entwickelt und für die Veröffentlichung vorbereitet, ohne auf Quellcode-Updates von Passwork FZ-LLC angewiesen zu sein.

Ab dem nächsten Release führen wir außerdem ein neues Format für die Versionsbezeichnung ein. Der Release-Zyklus bleibt unverändert. Regelmäßige Funktions- und Sicherheitsupdates folgen unserer eigenen Roadmap.

EU-Ansässigkeit: Nächste Schritte

Das Ende der Übergangsphase ist Teil eines umfassenderen Vorhabens, die europäische Rechtszugehörigkeit des Produkts zu stärken. In den kommenden Monaten werden wir:

• die Konsolidierung der Produktinfrastruktur (Erstellung, Signierung und Verteilung von Updates, Update- und Lizenzierungsportale, DNS, CDN) innerhalb der Europäischen Union unter der Verwaltung von Passwork Europe S.L. abschließen;
• den Vertragsrahmen mit Kunden, Auftragnehmern und Anbietern an einen einheitlichen Standard anpassen, der mit den Anforderungen der DSGVO und der NIS2-Richtlinie übereinstimmt;
• die europäische Präsenz des Teams in zentralen technischen Rollen ausbauen.

Audits und unabhängige Überprüfung

Im Jahr 2025 wurde Passwork einem unabhängigen Penetrationstest durch HackerOne unterzogen. Die Ergebnisse bestätigten die Widerstandsfähigkeit der Passwork-Architektur gegenüber externen Angriffen. Die festgestellten Beobachtungen wurden im Rahmen des Standardverfahrens zur Behebung bearbeitet und geschlossen. Der Abschlussbericht ist Kunden im Rahmen der Due-Diligence-Prüfung auf Anfrage zugänglich.

Passwork ist nach ISO/IEC 27001 zertifiziert. Der aktuelle Status des Zertifikats ist im IAF-CertSearch-Register öffentlich einsehbar (zuletzt aktualisiert am 13. August 2026). Die Zertifizierung umfasst die Entwicklung, den Support und den Betrieb des Produkts.

Für den Zeitraum 2026-2027 planen wir:

• den Geltungsbereich der ISO/IEC 27001-Zertifizierung auf die neuen Infrastrukturelemente auszuweiten, die im Rahmen der EU-Ansässigkeit konsolidiert wurden;
• die Vorbereitung auf eine SOC 2 Type II-Zertifizierung.

Wir werden unsere Kunden, Partner und andere interessierte Parteien über den Fortschritt dieser Arbeit auf dem Laufenden halten und die Ergebnisse mitteilen, sobald sie vorliegen.

O Passwork foi incluído na Capterra Shortlist 2026 para gestão de palavras-passe. A Shortlist distingue os produtos com as melhores classificações dos utilizadores e a maior popularidade na categoria, com base em avaliações verificadas de clientes recolhidas através da plataforma da Capterra. O Passwork tem uma classificação global de 4,7, com base em 79 avaliações.

O que dizem os clientes sobre o Passwork

Os clientes apontam dois fatores como os mais importantes: uma segurança que cumpra os requisitos de nível empresarial e uma interface que as equipas aprendem rapidamente, sem formação prolongada.

«A gestão de palavras-passe com cofres baseados em funções e cofres privados, a facilidade de utilização para os utilizadores finais, a gestão de utilizadores via LDAP e SAMLv2 e uma API utilizável foram as funcionalidades decisivas para nós na escolha de uma solução de cofre de palavras-passe baseada na web.» — Infrastructure Architect

Essa facilidade de utilização mantém-se nas operações diárias, e não apenas na decisão de compra inicial.

«Queríamos uma forma simples e segura de gerir palavras-passe partilhadas, em vez de enviar credenciais por chat ou de as manter em folhas de cálculo. O Passwork resolveu bem esse problema e o suporte é muito reativo.» — Head of Success

Os utilizadores destacam a simplicidade da instalação e a facilidade de migração a partir de outras soluções de gestão de acessos.

«Vantagens do Passwork: - Facilidade de instalação (para um servidor autoalojado) - Migração fácil a partir da nossa ferramenta anterior através de exportação/importação CSV - Estrutura de pastas, ótima função de pesquisa - Aumento de produtividade graças à integração com o navegador.» – Software Engineer

Sobre a Capterra

A Capterra é uma plataforma sediada nos EUA que ajuda as empresas a pesquisar e comparar software com base em avaliações verificadas de utilizadores, comparações lado a lado e classificações por categoria. Os fornecedores não pagam pela inclusão na própria Shortlist; a classificação é calculada com base no volume de avaliações e nas pontuações de satisfação em toda a categoria.

«Desenvolvemos o Passwork para se integrar naturalmente na forma como as organizações já trabalham. Isso significa uma interface clara para os utilizadores do dia a dia, suporte técnico reativo e integrações que ajudam as equipas de TI a ligar o Passwork à infraestrutura e aos fluxos de trabalho existentes. Ficamos satisfeitos por ver que estes esforços valeram ao Passwork um lugar na Capterra Shortlist 2026.» – Alex Muntyan, CEO Passwork

As avaliações verificadas são um bom ponto de partida para avaliar um gestor de palavras-passe. O passo seguinte é verificar como essa experiência se traduz na configuração de AD e nas integrações já existentes na organização.

Veja como o Passwork gere, na prática, cofres baseados em funções, SSO e integração LDAP. Pedir uma demonstração gratuita com acesso total à API.

O Passwork distinguido com o prémio Best for User Interface e reconhecido como FrontRunner 2026

O Passwork foi distinguido como Best for User Interface na seleção de 2026 de software de gestão de palavras-passe da Software Advice. O Passwork recebeu também o selo FrontRunners 2026. O reconhecimento baseia-se em avaliações verificadas de utilizadores e em estudos de mercado independentes. O Passwork tem uma classificação global de 4,7 em 5, com base em mais de 79 avaliações verificadas. A Software Advice reconheceu o Passwork pela sua interface de utilizador e incluiu o produto na seleção FrontRunners 2026. A metodologia FrontRunners avalia os produtos elegíveis

PassworkPasswork Team

Boas práticas de gestão de palavras-passe para a segurança empresarial em 2026

Se a política de palavras-passe da organização ainda exige rotações de 90 dias e um mínimo de oito caracteres, está desatualizada. Este guia aborda as boas práticas de gestão de palavras-passe empresariais para 2026: política, contas privilegiadas, identidades não humanas, MFA e conformidade.

PassworkAlex Muntyan

Gestão de credenciais SaaS: 5 passos para centralizar o ecossistema de aplicações

A gestão de credenciais SaaS transforma palavras-passe e chaves de API dispersas num único inventário, que pode ser partilhado de forma deliberada e revogado na saída. Eis o modelo de cinco passos: inventário, estrutura, migração, controlo de acessos e automatização.

PassworkPasswork Team

Passwork wurde in die Capterra Shortlist 2026 für Password Management aufgenommen. Die Shortlist zeichnet Produkte mit den höchsten Nutzerbewertungen und der stärksten Kategoriepopularität aus, basierend auf verifizierten Kundenbewertungen, die über die Capterra-Plattform gesammelt wurden. Passwork hält eine Gesamtbewertung von 4,7 aus 79 Bewertungen.

Was Kunden über Passwork sagen

Kunden nennen zwei Faktoren, die ihnen am wichtigsten sind: Sicherheit, die Enterprise-Anforderungen erfüllt, und eine Oberfläche, die Teams schnell erlernen — ohne langwierige Schulungen.

„Passwortverwaltung mit rollenbasierten Tresoren und privaten Tresoren, einfache Bedienung für Endbenutzer, Benutzerverwaltung über LDAP und SAMLv2 sowie eine nutzbare API waren die entscheidenden Funktionen für uns bei der Wahl einer webbasierten Passwort-Tresor-Lösung." — Infrastructure Architect

Diese Benutzerfreundlichkeit zeigt sich sowohl im täglichen Betrieb als auch bei der anfänglichen Kaufentscheidung.

„Wir wollten eine einfache und sichere Möglichkeit, gemeinsame Passwörter zu verwalten, anstatt Zugangsdaten per Chat zu senden oder in Tabellen zu speichern. Passwork hat dieses Problem gut gelöst und der Support reagiert sehr schnell." — Head of Success

Benutzer heben die einfache Installation und die leichte Migration von anderen Zugriffsverwaltungslösungen hervor.

„Passworks Vorteile: - Einfache Installation (für einen selbst gehosteten Server) - Einfache Migration von unserem alten Tool via CSV-Export/Import - Ordnerstruktur, großartige Suchfunktion - Produktivitätssteigerung dank der Browser-Integration." – Software Engineer

Über Capterra

Capterra ist eine US-amerikanische Plattform, die Unternehmen dabei hilft, Software anhand verifizierter Nutzerbewertungen, direkter Vergleiche und Kategorierankings zu recherchieren und zu vergleichen. Anbieter zahlen nicht für die Platzierung in der Shortlist selbst; das Ranking wird aus dem Bewertungsvolumen und den Zufriedenheitswerten in der Kategorie berechnet.

„Wir entwickeln Passwork so, dass es sich natürlich in die bestehenden Arbeitsweisen von Organisationen einfügt. Das bedeutet eine klare Oberfläche für den täglichen Gebrauch, reaktionsschnellen technischen Support und Integrationen, die IT-Teams helfen, Passwork mit ihrer bestehenden Infrastruktur und ihren Workflows zu verbinden. Wir freuen uns, dass diese Bemühungen Passwork einen Platz auf der Capterra Shortlist 2026 eingebracht haben." – Alex Muntyan, CEO Passwork

Verifizierte Bewertungen sind ein solider Ausgangspunkt für die Evaluierung eines Passwort-Managers. Der nächste Schritt ist zu sehen, wie sich diese Erfahrung auf Ihr eigenes AD-Setup und bestehende Integrationen übertragen lässt.

Sehen Sie, wie Passwork rollenbasierte Tresore, SSO und LDAP-Integration in der Praxis handhabt. Erhalten Sie eine kostenlose Demo mit vollem API-Zugang.

Passwork als „Best for User Interface" ausgezeichnet und als 2026 FrontRunner anerkannt

Passwork wurde in der Software Advice Auswahl 2026 für Passwortverwaltungssoftware als „Best for User Interface" ausgezeichnet. Passwork erhielt außerdem das FrontRunners 2026 Badge. Die Anerkennung basiert auf verifizierten Nutzerbewertungen und unabhängiger Marktforschung. Passwork hat eine Gesamtbewertung von 4,7 von 5 aus mehr als 79 verifizierten Bewertungen. Software Advice zeichnete Passwork für seine Benutzeroberfläche aus und nahm das Produkt in seine FrontRunners-Auswahl 2026 auf. Die FrontRunners-Methodik bewertet geeignete

PassworkPasswork Team

Best Practices für Passwortverwaltung in der Unternehmenssicherheit 2026

Wenn Ihre Passwortrichtlinie immer noch 90-Tage-Rotationen und mindestens acht Zeichen vorschreibt, ist sie veraltet. Dieser Leitfaden behandelt Best Practices für die Passwortverwaltung im Unternehmen für 2026: Richtlinien, privilegierte Konten, nicht-menschliche Identitäten, MFA und Compliance.

PassworkAlex Muntyan

SaaS-Credential-Management: 5 Schritte zur Zentralisierung Ihres App-Stacks

SaaS-Credential-Management verwandelt verstreute Passwörter und API-Schlüssel in ein Inventar, das Sie gezielt teilen und beim Ausscheiden widerrufen können. Hier ist das Fünf-Schritte-Framework: Inventarisierung, Strukturierung, Migration, Zugriffskontrolle und Automatisierung.

PassworkPasswork Team

Passwork ha sido incluido en el Capterra Shortlist 2026 de Gestión de Contraseñas. El Shortlist reconoce los productos con las calificaciones de usuarios más altas y la mayor popularidad en la categoría, basándose en reseñas verificadas de clientes recopiladas a través de la plataforma de Capterra. Passwork tiene una calificación general de 4,7 con 79 reseñas.

Lo que dicen los clientes sobre Passwork

Los clientes mencionan dos factores que más les importan: la seguridad que cumple con los requisitos de nivel empresarial, y una interfaz que los equipos aprenden rápidamente, sin necesidad de capacitación prolongada.

«La gestión de contraseñas con bóvedas basadas en roles y bóvedas privadas, la facilidad de uso para los usuarios finales, la gestión de usuarios a través de LDAP y SAMLv2, y una API funcional fueron las características clave para nosotros al decidir sobre una solución de bóveda de contraseñas basada en web.» — Arquitecto de Infraestructura

Esa facilidad de uso se extiende tanto a las operaciones diarias como a la decisión inicial de compra.

«Queríamos una forma simple y segura de gestionar contraseñas compartidas en lugar de enviar credenciales por chat o mantenerlas en hojas de cálculo. Passwork resolvió ese problema muy bien y su soporte es muy receptivo.» — Head of Success

Los usuarios destacan la simplicidad de instalación y la facilidad de migrar desde otras soluciones de gestión de accesos.

«Ventajas de Passwork: - Facilidad de instalación (para un servidor autoalojado) - Migración sencilla desde nuestra herramienta anterior mediante exportación/importación CSV - Estructura de carpetas, excelente función de búsqueda - Aumento de productividad gracias a la integración con el navegador.» – Ingeniero de Software

Acerca de Capterra

Capterra es una plataforma estadounidense que ayuda a las empresas a investigar y comparar software basándose en reseñas verificadas de usuarios, comparaciones lado a lado y clasificaciones por categorías. Los proveedores no pagan por aparecer en el Shortlist en sí; la clasificación se calcula a partir del volumen de calificaciones y las puntuaciones de satisfacción en toda la categoría.

«Desarrollamos Passwork para que se adapte naturalmente a la forma en que las organizaciones ya trabajan. Eso significa una interfaz clara para los usuarios cotidianos, soporte técnico receptivo e integraciones que ayudan a los equipos de TI a conectar Passwork con su infraestructura y flujos de trabajo existentes. Nos complace ver que estos esfuerzos han ganado a Passwork un lugar en el Capterra Shortlist 2026.» – Alex Muntyan, CEO de Passwork

Las reseñas verificadas son un buen punto de partida para evaluar un gestor de contraseñas. El siguiente paso es comprobar cómo esa experiencia se traduce a su propia configuración de AD e integraciones existentes.

Descubra cómo Passwork gestiona bóvedas basadas en roles, SSO e integración LDAP en la práctica. Obtenga una demostración gratuita con acceso completo a la API.

Passwork nombrado Mejor por Interfaz de Usuario y reconocido como FrontRunner 2026

Passwork ha sido nombrado Mejor por Interfaz de Usuario en la selección de software de gestión de contraseñas de Software Advice 2026. Passwork también recibió la insignia FrontRunners 2026. El reconocimiento se basa en reseñas verificadas de usuarios e investigación de mercado independiente. Passwork tiene una calificación general de 4,7 sobre 5 con más de 79 reseñas verificadas. Software Advice reconoció a Passwork por su interfaz de usuario e incluyó el producto en su selección FrontRunners 2026. La metodología FrontRunners evalúa productos elegibles

PassworkPasswork Team

Mejores prácticas de gestión de contraseñas para seguridad empresarial en 2026

Si su política de contraseñas todavía exige rotaciones cada 90 días y mínimos de ocho caracteres, está desactualizada. Esta guía cubre las mejores prácticas de gestión de contraseñas empresariales para 2026: política, cuentas privilegiadas, identidades no humanas, MFA y cumplimiento normativo.

PassworkAlex Muntyan

Gestión de credenciales SaaS: 5 pasos para centralizar su conjunto de aplicaciones

La gestión de credenciales SaaS convierte contraseñas dispersas y claves API en un inventario único que puede compartir intencionalmente y revocar al momento de la salida. Aquí está el marco de cinco pasos: inventario, estructura, migración, control de acceso y automatización.

PassworkPasswork Team