Vertrauen und Compliance in Finanzdienstleistungen fördern

In der heutigen komplexen Unternehmenslandschaft und der zunehmend digitalen Welt haben Organisationen aller Art mit den universellen Herausforderungen zu kämpfen, Vertrauen aufzubauen und die Einhaltung von Vorschriften zu gewährleisten. Dies gilt insbesondere für Finanzdienstleistungsunternehmen.

Dennoch sind Vertrauen und Einhaltung der Vorschriften für einen dauerhaften Erfolg unerlässlich. Was ist also nötig? Wir haben uns kürzlich zusammengesetzt, um zu erörtern, wie Finanzdienstleister eine skalierbare, flexible PKI einführen können, um strenge gesetzliche Auflagen zu erfüllen und gleichzeitig Innovationen und verbesserte Kundenerfahrungen zu fördern, ein robustes Sicherheits-Framework auf der Grundlage branchenüblicher Best Practices aufzubauen und Identitäts- und Zugriffsmanagementprozesse zu optimieren. Lesen Sie hier eine Zusammenfassung unseres Gesprächs, oder klicken Sie hier, um das gesamte Webinar anzusehen.

Maschinenidentitäten und deren Verwaltung

Die Welt um uns herum verändert sich: Während viele Unternehmen früher ihre eigenen Rechenzentren betrieben und alles innerhalb einer physischen Umgebung sicherten, ist das heute nicht mehr der Fall. Immer mehr Unternehmen verlassen sich auf die Cloud, zum Beispiel über Azure, um Ressourcen sowohl innerhalb als auch außerhalb der vier Wände eines Büros zu sichern. Und dieser neue Ansatz erfordert, dass Unternehmen Benutzer und Geräte leicht identifizieren können, wo auch immer sie sich befinden - selbst wenn sie sich in einem völlig ungeschützten Bereich befinden - und ihnen gerade so viel Zugang gewähren, dass sie ihre Aufgaben ausführen können und nicht mehr. Die Verwendung von identitätsbasierten Zertifikaten unterstützt diese neue Welt.

All dies wird besonders wichtig, wenn wir uns die Geräteidentitäten ansehen, die heute überall zu finden sind (man denke an Desktops, Telefone, IoT ). Die Verwaltung von Geräteidentitäten ist jedoch aus mehreren Gründen schwierig:

• Machine identities are often invisible, even though they play a vital role in ensuring the integrity and confidentiality of critical communications. 
• Machine identities also lack clear ownership, as many teams are often not aware of how many are out there, who owns them, how they’re being used, and where they’re being used.
• Machine identities are short-lived, but they also need to be reliable and trustworthy, as they safeguard financial transactions and customer data.

Trotz dieser Herausforderungen ist die richtige Verwaltung von Geräteidentitäten von entscheidender Bedeutung, da sie zur Stärkung der Sicherheit von Finanzdienstleistungen beitragen, indem sie Vertrauen schaffen. Wenn sie durch Zertifikate und PKI richtig verwaltet werden, können wir einem Gerät vertrauen - wir können sicher sein, dass es derjenige ist, für den es sich ausgibt, und dass es kein gefälschtes Zertifikat verwendet.

Was braucht es also? Bei Zertifikaten und PKI für Maschinenidentitäten gibt es drei wesentliche Aspekte:

• Issuing digital certificates: This is where things start. You have to issue proper certificates to manage the identities of users and devices appropriately – making sure they’re issued to the right people or devices and that those people and devices are authorized and trusted.
• Automating certificate lifecycle management: Next, what do you do after a certificate is issued? It has an entire lifecycle that needs managing – installing, binding, using, and revoking the certificate – and the best way to accomplish that is through automation.
• Managing digital signatures: Finally, certificates can help support digital signatures, whether that’s code signing, signing documents, or anything else.

Branchentrends: Häufige Probleme mit Maschinenidentitäten

According to Keyfactor’s 2023 State of Machine Identity Management Report, the biggest pain points and challenges around machine identities for many organizations, including financial services companies, are:

• Decentralized PKI models: Oftentimes, new use cases arise, and different teams start doing things their own way. While that’s fine as a bandaid to get things moving faster, it adds up over time and creates sprawl that becomes very difficult for one person or even one team to manage. After all, it’s very challenging to regain centralized control of what’s going on when PKI is done differently everywhere, let alone have any visibility into what’s happening.
• Short-lived certificates: The lifespan of certificates keeps getting shorter and shorter, with the potential for a 90-day lifespan for TLS certificates on the horizon. These shorter lifespans mean certificates require more frequent attention and management.
• Key attestation requirements: New rules for key attestation from the Certificate and Browser Authority (CA/B) Forum for how to protect code signing keys also require more attention from security teams.
• Post-quantum revolution: Preparing for the transition to NIST-candidate quantum-safe algorithms now occupies a lot of time and energy, especially as we still don’t know the specifics around when and what that will look like.

Und die Komplexität der heutigen PKI-Umgebungen verschlimmert diese Herausforderungen eher noch, als dass sie die Dinge einfacher macht. Einige der größten PKI-Hindernisse sind:

• CA and PKI sprawl: Many companies have different solutions to issue and manage certificates for each potential use case (a lot of which are also outdated). When this happens, especially in large organizations, teams end up with multiple, disparate PKI implementations, and that creates a lot of complexity as well as limited visibility. This becomes a serious issue when organizations have an average of 256,000 certificates across nine different PKI solutions.
• Self-signed certificates: Many organizations don’t even use a PKI solution for some of their use cases and do self-signed certificates instead. For example, they’ll issue a 10-year certificate just to check a box and make an application work and forget about it. But this can cause major problems down the line – both in terms of security vulnerabilities and audit risks.
• Lack of governance: When companies have too many PKI solutions and/or don’t use one at all, maintaining control becomes nearly impossible. Let’s say there was a point solution brought on by a particular employee, but now they’re no longer with the company, and there’s an outage because something expired – does anyone have access to take control? Oftentimes the answer is no.
• Lack of expertise: Many companies are struggling to find PKI experts and end up delegating these responsibilities to people with little experience in PKI, which creates even more risk.

Die Lösung: Korrekte Verwaltung von Maschinenidentitäten für Finanzdienstleistungen mit einer skalierbaren, flexiblen PKI

Was ist also die Lösung für all diese Probleme? Eine skalierbare und flexible PKI, die eine Vielzahl von Anwendungsfällen unterstützt, neue Anwendungen, Mitarbeiter, Geräte und Infrastrukturen schützt und die Komplexität insgesamt reduziert. Letztendlich bietet die richtige PKI-Einrichtung volle Transparenz und Kontrolle über Ihre Umgebung. 

Eine skalierbare und flexible PKI-Lösung ermöglicht Administratoren die einfache Verfolgung, Überwachung und Aktualisierung von Zertifikaten für verschiedene Geräte und Produktlinien. Sie unterstützt das Lebenszyklusmanagement, automatische Erneuerungsprozesse und die Möglichkeit, gefährdete oder veraltete Zertifikate zu widerrufen und zu ersetzen. Darüber hinaus lässt sich die Lösung in bestehende Sicherheitsframeworks und -tools integrieren, um Arbeitsabläufe zu optimieren und eine nahtlose Funktionsfähigkeit zu gewährleisten - insbesondere für das Code Signing, das das Risiko der Ausführung bösartiger software minimiert und alle neuen Versionen für kundenorientierte Anwendungen absichert. Und, was vielleicht am wichtigsten ist, es nutzt die Automatisierung, um Schritt zu halten, da die manuelle Bereitstellung und Verwaltung von Zertifikaten im großen Maßstab unpraktisch und fehleranfällig wird.

Natürlich geht es nicht nur darum, die richtige PKI-Lösung einzusetzen: Unternehmen brauchen auch eine angemessene Verwaltung. Hier sehen wir, wieTeams die PKI als zentrale Funktionzurückerobern und sie zu einem internen gemeinsamen Dienst machen, um allen Mitarbeitern im Unternehmen kontrollierte, zuverlässige und automatisierte Dienste zur Verfügung zu stellen, die sich leicht überwachen lassen. Dieser Ansatz verringert nicht nur das Risiko, sondern spart auch Zeit und Geld.

All dies ist besonders wichtig für Finanzdienstleistungen, wo Unternehmen nicht nur typische IT-Anwendungsfälle wie E-Mail, sondern auch interne Bankanwendungen, Transaktionen, Zahlungsverarbeitung und vieles mehr sichern müssen.

Fallstudie: EQ Bank sorgt für schnellere Sicherheit und DevOps

Die EQ Bank wickelt viel elektronisch ab und hat PKI als einen wichtigen Sicherheitspfeiler für ihr Unternehmen identifiziert. Leider verfügte das Unternehmen über eine sehr verstreute PKI-Infrastruktur, die aus schwer zu verwaltenden Einzellösungen bestand. Insbesondere hatte man Schwierigkeiten, einen genauen Bestand an Zertifikaten zu erhalten, interne Anfragen zu bearbeiten und sah sich nicht in der Lage, Audits zu bestehen.

Um die Situation zu ändern, implementierte die EQ Bank Keyfactor als zentralen Shared Service, um das gesamte Lebenszyklusmanagement ihrer Zertifikate zu unterstützen. Keyfactor ermöglichte es ihnen, den Prozess der Ausstellung von Zertifikaten zu rationalisieren, indem sie alles von der Inbetriebnahme von Zertifikaten bis hin zu deren Rotation und Erneuerung automatisierten. Dadurch entfällt die manuelle Nachverfolgung und Ausfälle durch abgelaufene Zertifikate wurden vermieden. Darüber hinaus kann das DevOps-Team die Ausstellung und Rotation von Zertifikaten für Docker-Container, Azure Kubernetes Service und Istio Service Mesh-Bereitstellungen automatisieren. Jetzt betrachtet die Bank PKI als eine viel stärkere Sicherheitsebene und weiß, dass sie in einer guten Position ist, um Audits zu bestehen.

Zugang zu wichtigen PKI-Funktionen für Finanzdienstleistungen

Finanzdienstleistungsunternehmen müssen potenziellen Sicherheitsrisiken zuvorkommen, indem sie ein skalierbares, flexibles PKI-Programm eher früher als später implementieren. Proaktives Handeln in diesem Bereich, insbesondere bei der Durchführung eigener Audits und der Behebung etwaiger Probleme, ist für die Risikominimierung von entscheidender Bedeutung.

Diese Proaktivität beginnt damit, dass statische, manuelle Prozesse durch dynamische, automatisierte Sicherheit ersetzt werden, die die Identifizierung und Verwaltung von Zertifikaten während ihres gesamten Lebenszyklus erleichtert. Außerdem ist das richtige Team für die Verwaltung dieser Lösung erforderlich, damit Sie sicherstellen können, dass jeder Workload, jedes Gerät und jedes software Angebot authentifiziert ist und Sie die Transparenz und Zuverlässigkeit aufrechterhalten können, die Sie benötigen, um Ausfälle zu vermeiden.

Möchten Sie mehr darüber erfahren, worauf es ankommt und wie Keyfactor Finanzdienstleistern helfen kann, PKI zu priorisieren? Klicken Sie hier, um das vollständige Webinar zu sehen, das eine tiefergehende Diskussion sowie einen detaillierten Einblick in Keyfactor Signum bietet. Diese Lösung ist jetzt auf Microsoft Azure verfügbar, damit Entwickler Code und Container einfach und sicher signieren können, ohne die Produktivität zu beeinträchtigen.