为所有人设置一个密码：当一家律师事务所反其道而行之时

一家美国公司强制其员工使用同一个密码来访问整个信息系统。回顾这一如办公桌般古老的决定，以及它在2026年为我们带来的启示。

一家律师事务所因在内部强制实施统一密码（由全体员工共用）而在网络安全专业媒体上被公开曝光。我们已是2026年，各国都有数据安全法规，欧洲有GDPR，还有上百项ISO 27000标准，即便如此……

事实真相

事件内容

根据我们的信息流转发并被多家专业媒体报道，一家律师事务所——在本次新闻中未公开名称——将共享统一密码作为其安全政策。

影响范围

• 事务所客户：其案件档案可能通过该统一密码被访问。
• 员工：个人行为无法追溯，导致司法取证链条断裂。
• 事务所本身：如发生泄露，将承担重大法律责任。

应对措施

这一典型案例值得我们回顾基础安全措施，即使在简讯中也应如此：

1. 每个用户拥有独立的用户名+密码。无可商量。
2. 使用密码管理器（Bitwarden、1Password，或开源的KeePassXC）。
3. 强制多因素认证（MFA）用于所有敏感访问（至少TOTP，理想情况下使用硬件密钥）。
4. 合理的密码轮换策略——NIST SP 800-63B不再推荐强制轮换，而是在怀疑泄露时立即撤销。
5. 日志记录+审计——若无独立账户，严肃审计无法实现。

分析

这一案例揭示的问题——超越单纯的错误本身——是非技术行业（甚至处理最敏感数据的行业）中盲区的持续存在。律师事务所处理司法案件、离婚、继承、刑事案件等。泄露的成本不仅是金钱，更是个人生活的暴露。

共享密码在小型机构中并不少见——我们在医疗事务所、协会、中小型工业企业中都见过。如今的新变化在于，当这些做法被曝光时，其公开可见性达到了前所未有的程度。

立即行动

如果您是信息系统主管（DSI）、网络安全主管（RSSI）、事务所合伙人或仅仅是小型机构的管理者：

• 快速审计：您的信息系统中有多少账户是真正独立的，有多少是共享的？
• 服务账户：是否可追溯？密码是否足够强？
• 企业Wi-Fi：访客是否与生产环境共享同一SSID？
• 培训：上一次钓鱼邮件/多因素认证（MFA）的意识培训是什么时候？

主要信息源

我们建议好奇的读者查阅以下官方建议，而非仅满足于我们的简讯。安全依赖于实用指南，而非新闻文章。