5 propósitos de año nuevo de PKI para 2017

Cómo hacer que 2017 sea el año más seguro para tu negocio

2016 fue un año lleno de acontecimientos para la ciberseguridad, de principio a fin. Aunque los problemas de seguridad de larga data siguieron siendo un reto, surgieron muchos métodos nuevos de ejecutar ciberdelitos que afectaron a empresas de todos los sectores, y varios ataques de gran repercusión brillaron entre los titulares a lo largo del año.

Desafortunadamente, no hay manera de saber con certeza lo que sucederá en 2017, pero podemos garantizar que el entorno de la ciberseguridad no va a ser menos peligroso. Estar preparado y tener una estrategia de ciberseguridad proactiva ayudará a las organizaciones de seguridad a proteger sus negocios, por lo que CSS ha elaborado una lista rápida de 5 Resoluciones de Año Nuevo de PKI para 2017.

5 propósitos de año nuevo de PKI para 2017

1. Ejecutaré informes adecuados para el uso de PKI.

El paso en falso más común entre los administradores de infraestructuras de clave pública (PKI) es la elaboración de informes adecuados y el control de quién utiliza realmente la PKI de su empresa. Desafortunadamente, las herramientas disponibles para la mayoría de los administradores de PKI en organizaciones de casi cualquier tamaño son deficientes y requieren recurrir a complicadas secuencias de comandos, en lugar de a una solución empaquetada como CMS.

Asegúrese de que está ejecutando una gestión adecuada de informes PKI y certificados digitales para tener visibilidad en tiempo real de los certificados emitidos y las tendencias. La implementación de alertas de caducidad automatizadas evitará los difíciles impactos empresariales que se repiten cuando la caducidad de un certificado crítico pasa desapercibida.

2. Restableceré el caso de uso empresarial de cada tipo de certificado publicado.

Ahora es el momento de verificar que las intenciones iniciales, las razones empresariales y los suscriptores indicados siguen siendo válidos para cada plantilla de certificado. ¿Cuánto tiempo hace que no se examinan a fondo la finalidad y la configuración de cada tipo de certificado publicado?

3. Identificaré todas las aplicaciones de mi red que sigan utilizando certificados de autofirma y me aseguraré de que puedan inscribirse en nuestra PKI.

Una aplicación que funciona con un certificado autofirmado significa que probablemente se está utilizando un certificado que no ha cumplido la base de confianza establecida en la PKI de la empresa. Lamentablemente, los certificados autofirmados que no son de confianza se encuentran a menudo en las redes corporativas.

La elección de una herramienta de gestión de certificados sólida, como CMS, con la capacidad de rastrear selectivamente toda la red para descubrir todos los certificados en uso ayudará a eliminar este problema. Como administrador de PKI, es fundamental descubrir todos los certificados autofirmados de su red e identificar si tienen un propósito empresarial válido. Si es así, sustitúyalos por certificados reales emitidos por su PKI; si no es así, deshágase de ellos.

4. Me aseguraré de que las autoridades de registro y otras aplicaciones emitan certificados de forma segura.

Cuando actúan como proxy SCEP, las aplicaciones MDM deberían verificar todos los datos del suscriptor durante la inscripción del certificado del dispositivo móvil, pero con una frecuencia alarmante, no siempre es así.

En otros casos, si se utilizan certificados autofirmados, los dispositivos confiarán en un certificado que no admite revocación. Asegúrese de que la CRL puede verificarse y de que las autoridades de registro y las aplicaciones utilizan certificados que pueden revocarse.

5. Buscaré ayuda con PKI.

No es infrecuente que a los empleados de TI se les encomiende la administración de PKI como una función laboral auxiliar, o sin tener necesariamente la formación y los recursos para ejecutar adecuadamente la gestión. En CSS, a menudo vemos PKIs funcionando en piloto automático mucho después de su implementación.

Buscar la formación, los recursos y la experiencia adecuados para delegar actividades de PKI es absolutamente fundamental para la postura de seguridad general de su empresa. La PKI no es una plataforma de seguridad que pueda permitirse equivocarse. Si su organización de seguridad no está en condiciones de dedicar el tiempo y la atención necesarios a su PKI, es el momento de buscar una fuente acreditada de conocimientos precisos sobre PKI y experiencia en gestión de certificados.

Preparándose para 2017

Si su organización de seguridad ha experimentado algunos pasos en falso en 2016, todavía está a tiempo de crear un plan mejor para el próximo año. La administración de la infraestructura de clave pública (PKI) es una función esencial, y aplicar la estrategia, las políticas y los procedimientos adecuados contribuirá en gran medida a mejorar la seguridad de su empresa.

Si su equipo de seguridad está interesado en echar un vistazo más de cerca a su estrategia de ciberseguridad para 2017, o tiene preguntas sobre el diseño y despliegue de PKI, o la gestión, le invitamos a conectar con CSS.

Nuestros equipos de investigación, servicios profesionales y desarrollo de CSS cuentan con expertos en el campo de la identidad digital. Durante más de una década, hemos sido asesores de seguridad de confianza para más de la mitad de las empresas Fortune 500.