在多数企业的安全预算里，防火墙、WAF、终端防护往往排在前面，而"密码"这件事常被当作运维细节。但攻击方的选择恰恰相反——他们更愿意"登录"进去，而不是"攻破"进去。Verizon《2023 数据泄露调查报告》指出，约 86% 的基础 Web 应用攻击与凭证滥用直接相关；在勒索软件与横向移动场景中，被盗的合法账号几乎是最主流的初始入口。这意味着，密码管理系统并不是一个可选项，而是身份安全体系的地基。
一、传统密码管理的三个结构性缺口
很多企业并非没有管理，而是管理方式停留在"人管人"的阶段，缺口集中在三处：
- 存储散落：账号口令散落在 Excel、即时通讯记录、浏览器插件甚至便签纸上，一旦终端失陷即全量泄露。
- 共享与复用：为图方便，一个管理员账号被多人共用；同一口令在办公、测试、云平台之间反复复用，形成"一处泄露、处处失守"。
- 生命周期缺失：人员转岗、离职后账号未回收，第三方外包的临时权限长期挂留，审计时既说不清"谁有权限"，也说不清"谁用过"。
这三点的共同后果是：口令失去可追溯性。而安全治理的第一原则，恰恰是"可追溯"。
二、系统能力：远不止"加密存密码"
成熟的密码管理系统，本质上是一套围绕凭证的集中管控平台，核心能力通常包含以下几层：
- 集中加密存储：凭证明文永不落盘，采用 AES-256 或国密 SM4 加密，主密钥交由硬件密码模块（HSM）托管，实现"密钥不出设备"。
- 单点登录与身份认证：通过 SAML 2.0、OIDC、CAS 等协议对接业务系统，把分散的应用账号收敛为一个可信身份，减少口令暴露面。
- 双因素认证：在口令之外叠加动态令牌、FIDO2 安全密钥或国密 USBKey，显著降低撞库与钓鱼的成功率。
- 特权账号管理与堡垒机联动：对服务器、数据库、网络设备的特权口令实施"代填 + 轮换 + 会话录制 + 高危命令阻断"，让运维操作全程留痕。
- 密钥管理与自动轮换：面向 API Key、证书、数据库连接串等非人类凭证，按策略周期性轮换，避免"一次配置、长期不变"。
三、合规驱动：等保与密评的双重要求
《密码法》自 2020 年 1 月 1 日施行，修订后的《商用密码管理条例》于 2023 年 7 月 1 日起施行，密码应用的合规要求从"建议"走向"必答"。等保 2.0 三级在身份鉴别、访问控制、安全审计、数据保密性等方面提出了明确条款；商用密码应用安全性评估则依据 GB/T 39786-2021，要求对重要数据的传输与存储机密性、访问控制信息完整性采用密码技术保护。
这也解释了为什么越来越多的企业在选型时优先考虑支持 SM2/SM3/SM4/SM9 的国产密码算法方案——既能满足密评的算法合规要求，又能避免供应链层面的隐忧。以米马信息安全（chinamima.com）等厂商提供的等保合规方案为例，密码管理系统往往与堡垒机、密钥管理系统打包交付，形成"认证—授权—审计—加密"的闭环。
四、落地时的几个务实建议
- 分级推进：先收敛特权账号与核心数据库，再逐步覆盖普通业务系统，避免一次性替换引发运维阻力。
- 调整轮换策略：NIST SP 800-63B 已不再建议强制周期性更换口令，转而强调足够长度、比对泄露口令库、以及在异常事件后触发重置。
- 打通身份源：与 HR 系统、AD/LDAP、堡垒机对接，让入职、转岗、离职自动驱动权限的授予与回收。
- 量化成效：把弱口令清零率、特权口令轮换覆盖率、双因素认证覆盖率、共享账号数量作为可考核指标，而非停留在"已部署"。
归根结底，密码管理系统解决的从来不是"把密码存好"这么简单的问题，而是重新梳理人与账号、账号与权限、权限与数据之间的关系。当每一次登录都可识别、可授权、可审计，企业才真正拥有一个可信的身份底座，后续的零信任建设也才有落脚点。