Impulsando la confianza y el cumplimiento en los servicios financieros

En el complejo panorama empresarial actual y en un mundo cada vez más digital, organizaciones de todo tipo se enfrentan a los desafíos universales de establecer confianza y garantizar el cumplimiento. Esto es particularmente cierto entre las organizaciones de servicios financieros.

No obstante, la confianza y el cumplimiento son esenciales para el éxito continuo. Entonces, ¿qué se necesita? Nos reunimos recientemente para discutir cómo las organizaciones de servicios financieros pueden introducir una PKI escalable y flexible para ayudar a cumplir con los estrictos requisitos regulatorios mientras impulsan la innovación y mejoran las experiencias del cliente, construyen un marco de seguridad robusto basado en las mejores prácticas de la industria y optimizan los procesos de gestión de identidad y acceso. Continúe leyendo para un resumen de nuestra conversación, o haga clic aquí para ver el webinar completo.

Identidades de máquinas y cómo gestionarlas

El mundo que nos rodea está cambiando: mientras que muchas organizaciones anteriormente operaban sus propios centros de datos, asegurando todo dentro de un perímetro físico, eso ya no es así. Cada vez más organizaciones confían en la nube, por ejemplo a través de Azure, para asegurar recursos tanto dentro como fuera de las cuatro paredes de una oficina. Y este nuevo enfoque requiere que las empresas identifiquen fácilmente a los usuarios y dispositivos, dondequiera que se encuentren – incluso si están en un área completamente desprotegida – y les otorguen el acceso justo para realizar sus tareas y nada más. El uso de certificados basados en identidad respalda este nuevo mundo.

Todo esto cobra especial relevancia al considerar las identidades de máquina, que están presentes en todas partes hoy en día (pensemos en ordenadores de escritorio, teléfonos, dispositivos IoT). No obstante, la gestión de las identidades de máquina presenta desafíos por varias razones:

• Machine identities are often invisible, even though they play a vital role in ensuring the integrity and confidentiality of critical communications. 
• Machine identities also lack clear ownership, as many teams are often not aware of how many are out there, who owns them, how they’re being used, and where they’re being used.
• Machine identities are short-lived, but they also need to be reliable and trustworthy, as they safeguard financial transactions and customer data.

A pesar de estos desafíos, una gestión adecuada de las identidades de máquina es esencial, ya que contribuyen a reforzar la seguridad de los servicios financieros al generar confianza. Cuando se gestionan correctamente mediante certificados y PKI, las identidades de máquina nos permiten saber que podemos confiar en un dispositivo – que son quienes dicen ser y que no están utilizando un certificado falsificado.

¿Qué implica esto? Existen tres aspectos clave en los certificados y la PKI para identidades de máquina:

• Issuing digital certificates: This is where things start. You have to issue proper certificates to manage the identities of users and devices appropriately – making sure they’re issued to the right people or devices and that those people and devices are authorized and trusted.
• Automating certificate lifecycle management: Next, what do you do after a certificate is issued? It has an entire lifecycle that needs managing – installing, binding, using, and revoking the certificate – and the best way to accomplish that is through automation.
• Managing digital signatures: Finally, certificates can help support digital signatures, whether that’s code signing, signing documents, or anything else.

Tendencias del sector: problemas comunes con las identidades de máquina

According to Keyfactor’s 2023 State of Machine Identity Management Report, the biggest pain points and challenges around machine identities for many organizations, including financial services companies, are:

• Decentralized PKI models: Oftentimes, new use cases arise, and different teams start doing things their own way. While that’s fine as a bandaid to get things moving faster, it adds up over time and creates sprawl that becomes very difficult for one person or even one team to manage. After all, it’s very challenging to regain centralized control of what’s going on when PKI is done differently everywhere, let alone have any visibility into what’s happening.
• Short-lived certificates: The lifespan of certificates keeps getting shorter and shorter, with the potential for a 90-day lifespan for TLS certificates on the horizon. These shorter lifespans mean certificates require more frequent attention and management.
• Key attestation requirements: New rules for key attestation from the Certificate and Browser Authority (CA/B) Forum for how to protect code signing keys also require more attention from security teams.
• Post-quantum revolution: Preparing for the transition to NIST-candidate quantum-safe algorithms now occupies a lot of time and energy, especially as we still don’t know the specifics around when and what that will look like.

Y la complejidad de los entornos PKI actuales no hace más que exacerbar estos desafíos, en lugar de simplificar las cosas. Algunos de los mayores obstáculos de la PKI son:

• CA and PKI sprawl: Many companies have different solutions to issue and manage certificates for each potential use case (a lot of which are also outdated). When this happens, especially in large organizations, teams end up with multiple, disparate PKI implementations, and that creates a lot of complexity as well as limited visibility. This becomes a serious issue when organizations have an average of 256,000 certificates across nine different PKI solutions.
• Self-signed certificates: Many organizations don’t even use a PKI solution for some of their use cases and do self-signed certificates instead. For example, they’ll issue a 10-year certificate just to check a box and make an application work and forget about it. But this can cause major problems down the line – both in terms of security vulnerabilities and audit risks.
• Lack of governance: When companies have too many PKI solutions and/or don’t use one at all, maintaining control becomes nearly impossible. Let’s say there was a point solution brought on by a particular employee, but now they’re no longer with the company, and there’s an outage because something expired – does anyone have access to take control? Oftentimes the answer is no.
• Lack of expertise: Many companies are struggling to find PKI experts and end up delegating these responsibilities to people with little experience in PKI, which creates even more risk.

La solución: gestión adecuada de las identidades de máquina para servicios financieros con una PKI escalable y flexible

¿Cuál es entonces la solución a todo esto? Una PKI escalable y flexible, capaz de soportar una variedad de casos de uso, asegurar nuevas aplicaciones, fuerzas de trabajo, dispositivos e infraestructuras, y reducir la complejidad general. En última instancia, la configuración PKI adecuada proporciona visibilidad y control completos sobre su entorno. 

Una solución PKI escalable y flexible permite a los administradores rastrear, monitorear y actualizar certificados fácilmente en diversos dispositivos y líneas de productos. Soporta la gestión del ciclo de vida, procesos de renovación automatizados y la capacidad de revocar y reemplazar certificados comprometidos o desactualizados. Además, se integra con los marcos y herramientas de seguridad existentes para optimizar los flujos de trabajo y garantizar una operatividad sin interrupciones – especialmente para la firma de código, lo que minimiza el riesgo de ejecutar Software malicioso y asegura todas las nuevas versiones para las aplicaciones orientadas al cliente. Y quizás lo más importante, utiliza la automatización para mantener el ritmo, ya que el aprovisionamiento y la gestión manual de certificados se vuelven poco prácticos y propensos a errores a gran escala.

Por supuesto, no se trata solo de tener la solución PKI adecuada: las organizaciones también necesitan una gestión apropiada. Aquí es donde vemos a los equipos retomar la PKI como una función central, convirtiéndola en un servicio compartido interno para proporcionar a todos en la organización servicios controlados, fiables y automatizados que son fáciles de monitorear. Este enfoque no solo reduce el riesgo, sino que también ahorra tiempo y dinero.

Todo esto es particularmente importante en los servicios financieros, donde las organizaciones no solo deben asegurar casos de uso de TI típicos como el correo electrónico, sino también aplicaciones bancarias internas, transacciones, procesamiento de pagos y mucho más.

Caso de estudio: EQ Bank permite a los equipos de seguridad y DevOps acelerar sus operaciones

EQ Bank opera extensamente de forma electrónica e identificó la PKI como un pilar de seguridad clave para su organización. Desafortunadamente, contaban con una infraestructura PKI muy dispersa, compuesta por soluciones puntuales difíciles de gestionar. Específicamente, tenían dificultades para obtener un inventario preciso de sus certificados, les costaba gestionar las solicitudes internas y no se sentían bien preparados para superar las auditorías.

Para revertir la situación, EQ Bank implementó Keyfactor como un servicio centralizado y compartido para respaldar toda su gestión del ciclo de vida de los certificados. Keyfactor les permitió optimizar el proceso de emisión de certificados, automatizando todo, desde la puesta en producción hasta la rotación y renovación de los mismos. Como resultado, ya no realizan un seguimiento manual y han evitado interrupciones debido a certificados caducados. Además, ahora disponen de una forma rápida y sencilla de inventariar todos los certificados internos y externos, y su equipo de DevOps puede automatizar la emisión y rotación de certificados en sus contenedores Docker, Azure Kubernetes Service e implementaciones de malla de servicios Istio. Ahora, el banco considera la PKI como una capa de seguridad mucho más robusta y sabe que está en una buena posición para superar las auditorías.

Acceso a capacidades PKI críticas para servicios financieros

Las organizaciones de servicios financieros deben anticiparse a los posibles riesgos de seguridad implementando un programa PKI escalable y flexible lo antes posible. Ser proactivo en esta área, especialmente en lo que respecta a la realización de auditorías propias y la resolución de cualquier problema, es fundamental para minimizar el riesgo.

Esta proactividad comienza reemplazando los procesos estáticos y manuales con una seguridad dinámica y automatizada que facilita la identificación y gestión de certificados a lo largo de todo su ciclo de vida. También requiere el equipo adecuado para gestionar esa solución, para que pueda garantizar que cada carga de trabajo, dispositivo y entregable de Software esté autenticado, y así pueda mantener la visibilidad y fiabilidad necesarias para evitar interrupciones.

¿Le interesa saber más sobre lo que se necesita y cómo Keyfactor puede ayudar a las organizaciones de servicios financieros a priorizar la PKI? Haga clic aquí para ver el webinar completo para una discusión más profunda, incluyendo un análisis detallado de Keyfactor Signum, que ahora está disponible en Microsoft Azure para que los desarrolladores puedan firmar código y contenedores de forma fácil y segura sin interrupciones en la productividad.