Mes de Concienciación sobre Ciberseguridad: Nueve aspectos que los equipos de seguridad deben conocer sobre PKI.

As part of Cybersecurity Awareness Month, Keyfactor is highlighting ways teams can adapt to the escalating challenge of managing certificates and machine identities in their organizations. 

Hasta hace poco, la criptografía de clave pública ha sido una práctica bastante especializada. Sin embargo, con la aparición del trabajo remoto, la computación en la nube y los dispositivos IoT, el volumen y la prevalencia de los certificados se han disparado. 

Esta creciente vulnerabilidad se está convirtiendo en un vector de ataque preferido por los ciberdelincuentes. Mientras tanto, las empresas se han visto desprevenidas, esforzándose por evaluar el estado de los certificados en todas sus organizaciones e implementar políticas a largo plazo para protegerlos y gestionarlos.  

Keyfactor’s 2022 State of Machine Identity Report revealed that enterprises have an average of 269,562 public and private certificates.

La gestión de la infraestructura de clave pública (PKI) es una tarea ardua cuando se añade a las responsabilidades principales de su equipo. Para gestionar y escalar la PKI de manera eficiente, hay muchas cosas que los equipos de seguridad deben saber; por eso hemos presentado nueve que debe tener en cuenta.

1. La visibilidad es clave, y es posible que su equipo no tenga la perspectiva que cree tener.

A 2021 report by Keyfactor and Ponemon revealed that 50% of companies don’t know exactly how many keys and certificates they have. And in Keyfactor’s 2022 State of Machine Identity Report, gaining complete visibility of all certificates was the top priority for PKI and certificate management.

This is symptomatic of PKI sprawl — various teams using different certificate authorities (21 on average) with no centralized hub for tracking and managing certificates. To compound the complexity, many organizations don’t establish clear ownership of PKI across the enterprise. 

Implementing a certificate lifecycle management solution is the answer. Keyfactor Command is a certificate lifecycle management and automation solution that can be deployed on-prem, as a service, or combined with cloud-hosted private PKI (known as PKI-as-a-Service). However you choose to deploy, you’ll be able to quickly discover and manage existing certificates in your environment, then scale up PKI operations as business needs grow.

2. La gestión de PKI es un trabajo a tiempo completo.

Many IT and security teams simply have too many other priorities to incorporate PKI management into their everyday responsibilities. At the end of the day, other duties are more central to the nature of their roles. PKI will take a back seat to maintaining systems, responding to incidents, and investigating alerts. According to Keyfactor’s 2022 State of Machine Identity Report:

• El 65% de las empresas están preocupadas por el aumento de la carga de trabajo y el riesgo de interrupciones causadas por una vida útil más corta de los certificados TLS. 
• El 50% afirmó no tener suficiente personal de TI dedicado a su PKI. 
• El 33% de las organizaciones citó la falta de tiempo y presupuesto como su mayor desafío para adoptar una estrategia de gestión de PKI a nivel empresarial.

Meanwhile, certificate lifespans are decreasing to insulate enterprises from the threats of compromised or stolen certificates. Since 2020, 398 days has been the widely-accepted lifespan for certificates. However, many certificate authorities are adopting 90-day lifespans. 

Estas vidas útiles seguirán disminuyendo, lo que significa que los certificados caducarán con mayor frecuencia, aumentando la exposición al riesgo para las organizaciones que no cuenten con un sistema fiable para gestionar la PKI. Sin recursos PKI adecuados, el juego de mantener al día los certificados caducados tendrá costes cada vez más elevados.

3. La gestión de la PKI exige experiencia específica en PKI.

“Ok,” you think, “we’ll just create an internal PKI team composed of IT and security analysts we already have on staff.” 

Con demasiada frecuencia, las organizaciones delegan la PKI en personal con poca (o ninguna) experiencia previa en la gestión de PKI. Aunque sus técnicos de TI y seguridad sean muy competentes, parten de cero en un panorama de PKI en constante evolución. 

• El nivel de cambio e incertidumbre en torno a la PKI se clasificó como el principal desafío para la adopción de una estrategia de gestión de PKI a nivel empresarial. 
• A lack of skilled personnel ranked as the second-highest challenge to adopting an enterprise-wide strategy. [Keyfactor’s 2022 State of Machine Identity Report]

La curva de aprendizaje es demasiado pronunciada y lo que está en juego es demasiado importante para dejar su PKI en manos de cualquiera que no tenga experiencia y conocimientos en el ámbito de la PKI. 

Lograr una PKI correcta comienza con el diseño. Sin embargo, existen numerosos aspectos del diseño de la PKI que, una vez configurados, no pueden modificarse sin un redespliegue completo. Estos aspectos rígidos tienen implicaciones significativas para el uso a largo plazo de su PKI.

4. Los procesos manuales imposibilitan escalar la PKI de forma eficiente.

Dedicated PKI staff and resources are becoming mission-critical. If PKI must fall into the hands of IT and security professionals with other significant responsibilities, organizations must endeavor to minimize the complexity of PKI management as much as possible. 

En cualquier contexto, los procesos manuales son el enemigo de la modernización, la escalabilidad y la transformación. En el contexto de una PKI, los procesos manuales, junto con la falta de experiencia en PKI, crean una receta para el desastre.

• El proceso de solicitar, generar y desplegar manualmente un nuevo certificado es tedioso, especialmente cuando quienes lo hacen no están familiarizados con la PKI. 
• 42% of organizations still use spreadsheets to track and manage certificates. Yet spreadsheets can’t notify you when a certificate expires or nears expiration, nor can they flag the errors that come with manual data entry. 
• Los procesos manuales se prestan a un uso ad hoc e inconsistente por parte de los equipos. Esta falta de estandarización dificulta impulsar y escalar las mejores prácticas.
• Cuando se revelan vulnerabilidades, actuar rápidamente para reemplazar certificados es vital; sin embargo, los procesos manuales imposibilitan responder con la velocidad necesaria. Esto es especialmente cierto en caso de compromiso de una CA, lo que requiere una emisión masiva de nuevos certificados.

Automation is the answer. With a centralized PKI management platform, you don’t have to babysit your certificates. From continuous monitoring and automated alerts to API integrations to enabling end users to carry out their own certificate processes, automating PKI processes are key to enabling scale.

5. Una gestión adecuada de la PKI es crucial para las necesidades operativas modernas.

El trabajo remoto, el IoT, DevOps — el perímetro de red tradicional ya no es lo que era. Los miembros del equipo necesitan acceso seguro a los sistemas y aplicaciones que permiten sus flujos de trabajo. En cuanto al trabajo remoto y el IoT, el desafío de asegurar los dispositivos reside en una nueva serie de condiciones y factores que escapan a su control. Si alguien trabaja de forma remota, los dispositivos y las redes a través de los cuales acceden a sus servidores pueden no cumplir con los estándares de seguridad. Para los dispositivos IoT, el dispositivo debe conectarse a un servidor para validar la propiedad, sin importar dónde se active.

For DevOps, it’s all about scale and speed. The manual PKI processes described above present a significant challenge to DevOps momentum and achieving CI/CD. A streamlined, efficient PKI can speed up development cycles while improving quality—all without sacrificing security.

6. La criptoagilidad se está volviendo algo más que una mera conveniencia.

Por muy robusta que sea su postura de seguridad hoy, se deteriorará con el tiempo. Siempre surgen nuevas tecnologías y amenazas. Con el tiempo suficiente, cualquier implementación de seguridad caerá, y ningún método de cifrado individual es invencible. 

La agilidad empresarial significa la capacidad de adaptarse rápidamente con mínimas interrupciones. En el contexto de una PKI, la criptoagilidad significa que su empresa puede evolucionar sus procesos de PKI sin interrumpir toda la infraestructura de TI o seguridad. La criptoagilidad permite a las organizaciones adelantarse a las vulnerabilidades antes de que se revelen por una interrupción, una brecha o una sanción por incumplimiento. 

Agility and adaptability create sustainability—a long-lasting PKI architecture that can grow along with your enterprise, keep pace with heightening compliance regulations, and even contribute to innovation initiatives.

7. Una buena PKI comienza con el diseño.

The explosion in use cases and volume around PKI necessitates a new set of best practices. When implemented from the start, these practices can preserve the integrity of your PKI and save you from a disruptive redeployment later down the line. 

Con la PKI, no hay improvisación sobre la marcha. Necesita una hoja de ruta detallada en mano antes de dar el primer paso.

• ¿Cómo se utiliza la PKI en su organización y cómo deberá utilizarse en el futuro?
• ¿Cuáles son las mejores políticas y procedimientos para gestionar los certificados a lo largo de su ciclo de vida en su organización? 
• ¿Qué controles implementará para respaldar estas políticas y procedimientos? 
• ¿Cómo capturará, explicará y documentará los cambios en su plan y en su PKI?

Configurar su PKI con un buen diseño es solo el principio. Una PKI requiere una cantidad considerable de cuidado y mantenimiento para seguir siendo funcional. Esto es arriesgado para los equipos de seguridad centrados en implementar la PKI, pero no en operarla indefinidamente.

8. Audite, audite, audite.

Al gestionar la PKI internamente, debe incorporar auditorías periódicas en su práctica de PKI. Una auditoría debe incluir una revisión y pruebas de todo lo enumerado en su Política de Certificados y Declaraciones de Prácticas de Certificación (CP/CPS), la continuidad del negocio y los planes de recuperación ante desastres para todos los componentes de la PKI. Si existe una necesidad legítima de un cambio, inicie un control de cambios para actualizar cualquiera de los documentos. Considérelos documentos vivos que evolucionan para mantener el nivel de garantía previsto de la PKI.

Las organizaciones que programan y realizan sus propias auditorías internas pueden identificar problemas de forma regular y sencilla, responder a las preguntas de los auditores externos y proporcionar pruebas del nivel de garantía requerido. Los propietarios de PKI también deben monitorear y comparar sus controles de PKI empresariales con los estándares actuales y emergentes, incluidos el CA/Browser Forum, WebTrust y las agencias reguladoras de la industria. Esto ayuda a la organización a adelantarse a las tendencias que, de otro modo, podrían conducir a deficiencias en la PKI. Otra buena práctica es realizar una revisión anual del estado de la PKI para descubrir cualquier aspecto que la organización no haya considerado.

9. Puede resolver la PKI y liberar a su equipo de seguridad de esta tarea.

The resources required to design, implement, maintain, and evolve PKI internally come at a steep cost and a high technical barrier, especially amid the current cybersecurity labor shortage. 

​​So how do you properly tackle PKI implementation, manage the widespread surge of certificates coursing through your enterprise, and scale PKI through visibility, traceability, and automation in the face of a rapidly changing landscape?

Un socio con profunda experiencia en PKI puede ofrecerle una solución llave en mano para implementar y operar su propia PKI interna, o puede ofrecer una gestión total de PKI como un servicio de guante blanco.

¿Necesita ayuda para avanzar en sus esfuerzos de ciberseguridad?

The risks of inadequate PKI management will only increase, but the complexity doesn’t have to. Keyfactor helps companies (including those with under-resourced teams) secure every digital key and certificate for multi-cloud enterprises, DevOps, and embedded IoT security. Click here to learn more about what we offer, including how our Cloud PKI-as-a-Service offers every organization access to an elite team of cybersecurity experts.