Las 4 razones principales para auditar su inventario de activos criptográficos

Sus activos criptográficos son un activo vital para proteger las comunicaciones digitales y los datos. Estos activos incluyen claves de cifrado, certificados y algoritmos. 

Sin embargo, debe mantener su inventario de activos criptográficos. Si no lo hace, podría estar en riesgo de varios escenarios perjudiciales. Los activos criptográficos caducados o débiles son objetivos excelentes para los hackers porque son vulnerables a las brechas de seguridad. También será más difícil mitigar una brecha de seguridad porque usted no sabe qué activos criptográficos están en su inventario, y será más difícil llevar a cabo la respuesta a incidentes y el análisis forense. 

We’re shifting to post-quantum cryptography (PQC), an era in which powerful quantum computers will be able to solve thorny, previously intractable problems.However, quantum computers can also easily overcome current data security methods. You need modern defensive strategies to prepare for the age of PQC.

Una de las bases de estas estrategias es conocer su inventario de activos criptográficos. La auditoría de su inventario forma parte de una buena gobernanza corporativa, así como del cumplimiento de la normativa. El impacto de una brecha debida a una mala gestión del inventario de activos criptográficos no se limitaría a multas, sino que dañaría enormemente la reputación de una organización. La auditoría del inventario de activos criptográficos es un paso hacia la reducción de su riesgo de ciberseguridad, preparándose para un futuro PQC. 

Computación cuántica: Esto es lo que está en juego

El Instituto Nacional de Normas y Tecnología de Estados Unidos (NIST) insta a las organizaciones a estar preparadas para la computación cuántica en 2030. Sin embargo, los avances en computación cuántica podrían llegar incluso más rápido que eso, por lo que es fundamental actuar ahora. 

How will quantum computing affect current cryptography? Let’s look at blockchain as an example. 

Blockchain se basa en la criptografía asimétrica para verificar las transacciones y mantener la seguridad de su libro de contabilidad. La computación cuántica puede superar fácilmente esa criptografía. Nos encontraríamos en una situación en la que las firmas podrían falsificarse y la confianza en blockchain se desmoronaría. 

Hackers are already preparing for this situation. Organizations should be too. Harvest Now, Decrypt Later (HNDL) attacks involve collecting encrypted data now, waiting for quantum computing to advance to the point where they can decrypt it. If you have sensitive data such as financial records, healthcare data, or intellectual property that needs to stay safe for a decade or more, you’re at risk. 

There’s some good news: quantum-safe algorithms can resist a quantum computer attack. Developed by the NIST, these algorithms can secure a wide range of electronic information, from confidential email messages to e-commerce transactions. 

La pregunta es: ¿cuáles de sus activos criptográficos necesitan una transición a un algoritmo seguro desde el punto de vista cuántico? Ahí es donde entra en juego la auditoría de sus activos.   

La relación entre las auditorías y la criptoagilidad

En una era PQC, la criptoagilidad será vital para proteger a las organizaciones. 

Crypto-agility refers to the ability to replace and adapt cryptographic algorithms for protocols, applications, software, hardware, and infrastructures without disrupting their operations to achieve resiliency. 

Cuando audita su inventario de activos criptográficos, puede determinar qué necesita actualizarse o sustituirse. Tomar medidas basadas en lo que aprende de una auditoría aumenta la resistencia de su organización frente a los ataques con tecnologías cuánticas. Y eso es lo que quiere conseguir, así que vamos a analizar las principales ventajas de una auditoría.

Identificar activos criptográficos débiles o caducados

El primer paso en su auditoría de activos criptográficos es determinar qué es débil o está caducado.

When the SHA-1 and RSA-1024 algorithms were developed, they protected against the threats of that time (or the threats envisaged at that time). However, threats evolve. Algorithms, keys, and certificates must evolve, too, or they won’t protect you. If your keys or certificates use legacy algorithms, your risks for a cyberattack increase. 

Using expired assets creates  security loopholes which attackers can use to exploit your vulnerabilities. For example, an attacker monitoring your traffic could use an expired asset to alter it so that they’re the recipient of a money transfer. By uncovering and updating these assets, you can avoid trust issues and compliance violations. 

Evitar la criptografía no autorizada o en la sombra

La criptografía no autorizada o en la sombra tiene lugar cuando los empleados utilizan software terceros para el cifrado sin el conocimiento del departamento de TI. Crea un riesgo para las organizaciones porque oscurece lo que está ocurriendo y hace más difícil comprender qué activos criptográficos existen. Supongamos que un empleado utiliza software de terceros para cifrar datos. Aunque ese software esté autorizado, el departamento de TI no lo conoce y no puede controlarlo.

Here’s another example: a developer or a dev team decides to use self-signed certificates. Self-signed certificates are public key certificates with signatures that can be verified by the public key contained within the certificates. They’re convenient, but they don’t guarantee that the certificate information is authentic. 

Cuando los individuos o los equipos toman este tipo de atajos, los activos criptográficos se multiplican, lo que los hace más difíciles o imposibles de supervisar a través del equipo de seguridad o de TI adecuado. El control centralizado de estos activos refuerza su postura de seguridad al proporcionar la visibilidad necesaria para cerrar brechas de seguridad y realizar actualizaciones a tiempo. 

Prepare su organización para el futuro con la criptoagilidad

¿Utiliza algoritmos antiguos? Los organismos de normalización como el NIST los están dejando obsoletos porque ya no pueden proteger eficazmente a las organizaciones, especialmente frente a los riesgos potenciales de la computación cuántica. 

Dado que la era PQC está en el horizonte, debe identificar los activos heredados y actualizarlos. Durante una auditoría, señalará los activos que necesitan una transición a una criptografía más eficaz o determinará qué está preparado para el futuro. Este paso es crucial en su viaje hacia la agilidad criptográfica.

Reduzca el riesgo operativo y evite interrupciones

Cuando audita sus activos criptográficos, puede descubrir renovaciones no realizadas o claves mal configuradas. Estas cosas pueden provocar cortes del servicio. 

Manual methods to track assets and their expiration dates increase risks. Manual tracking methods are error-prone. You can easily enter data incorrectly, and there’s no way to automatically update records when you add or deprecate an asset. If you’re looking to automate your PKI processes, Keyfactor Command offers full visibility, orchestration, and automation across your entire PKI and certificate landscape in a single platform. Request a demo.  

Las auditorías revelan las lagunas en la gestión del ciclo de vida para que pueda gestionar de forma proactiva las renovaciones con el fin de mantener la fiabilidad del servicio y la confianza del cliente. 

Puntos clave a recordar sobre la auditoría de activos criptográficos

Es fácil pensar que la auditoría de activos criptográficos es un proceso de una sola vez. Sin embargo, no es así. He aquí por qué: 

• You can’t manage what you don’t know you have. Shadow or unauthorized cryptography allows cryptographic assets to proliferate, and weak or obsolete assets could put your organization at risk. As we move closer to PQC, the need to be crypto agile is vital. 
• Automation is the only practical path for cryptographic asset management moving forward. Manual methods are error-prone, slow, and unsustainable at scale.
• Automated discovery and continuous monitoring keep your organization safe by identifying risks. You’re no longer guessing about what assets you have–you can be confident about what assets exist and what risk they pose.  

Prepárese para el PQC con detección y supervisión automatizadas

La era de la computación cuántica podría llegar antes de lo que pensamos. Los piratas informáticos ya se están preparando. ¿Y usted? 

A continuación te explicamos cómo prepararte: 

• No trate la auditoría de activos criptográficos como un ejercicio de una sola vez.
• La automatización de sus capacidades de detección y supervisión acelera los procesos de auditoría criptográfica para que puedan convertirse en una parte habitual de sus procesos de seguridad.
• Keyfactor Command ofrece descubrimiento, inventario y renovación automatizados de certificados y claves, ayudándole a evitar interrupciones, reducir riesgos y adelantarse a los plazos de cumplimiento.

Don’t wait for an outage or audit failure. Start auditing your cryptographic inventory now and automate the process with a purpose-built solution. Request a demo to see how Keyfactor Command works for you.