Por qué la mayoría de las organizaciones reconstruirían PKI si pudieran

Si entonces supiera lo que sabe ahora, ¿habría construido la PKI de su organización de forma diferente?

No está solo. 

In Keyfactor’s 2024 PKI & Digital Trust Report, a staggering 98% of organizations indicated they would change their Public Key Infrastructure (PKI) if given the chance.

No es para menos. Piense en lo mucho que ha cambiado en la última década. La automatización y la computación en la nube han avanzado significativamente, y han surgido nuevas innovaciones como los dispositivos IoT y las metodologías DevOps que imponen una mayor demanda a la infraestructura PKI. 

Aunque nadie puede predecir el futuro, los sistemas PKI suelen crearse sin una visión a largo plazo de la seguridad, la escalabilidad o la flexibilidad. Como resultado, la PKI se amplía de forma ad hoc, creando una solución compleja y frágil. Esto crea un efecto dominó que pronto se convierte en un problema crítico para el negocio. 

Respondents to the report gave myriad reasons for the changes they’d make to their PKI. Understanding the most common goals can inform your own PKI modernization process and point out future PKI challenges. 

Podría, debería, habría - Cómo las organizaciones habrían construido su PKI de forma diferente

Preparación para la ampliación y el crecimiento organizativo

Alrededor del 48% de los encuestados en el informe citaron la necesidad de adaptarse a los cambios -ya sea debido a la ampliación, la innovación o las normativas emergentes- como factor impulsor de su deseo de reconstruir su PKI.

PKI succeeds or fails based on the decisions made at the earliest stage of its design. Most organizations lack the necessary skill set to get PKI right from the beginning or have the foresight to improve its direction over time. To make matters worse, high turnover in IT leads to a loss of institutional knowledge of the ins and outs of an organization’s particular PKI.

Por ejemplo, los sistemas PKI se basan en una Autoridad de Certificación (CA) raíz que se sitúa en la cima de la jerarquía de confianza. Por debajo de la CA raíz se sitúan varias CA intermedias (ICA). Idealmente, cada CA intermedia tiene una función designada. Una podría ser designada para ser utilizada por el equipo de seguridad, otra por el equipo de DevOps, y así sucesivamente. 

Las organizaciones más pequeñas pueden necesitar sólo un par de ICA, mientras que una empresa completa utiliza una media de siete. A medida que la organización más pequeña crece, necesitará distribuir sus servicios entre ICA más especializadas. Trazar esta progresión y migrar los servicios a sus respectivas CA requiere una gran experiencia y planificación. 

Otros retos de la ampliación de PKI

• Certificate volumes: Gartner estimates some organizations to have as many as half a million certificates in play at any given time. That’s a lot to keep track of. As organizations scale, it becomes unfeasible to manage certificate lifecycles through homegrown solutions, spreadsheets, incomplete vendor solutions, or a combination of these.
• A lack of governance: If no one in the organization owns PKI policies, individual departments procure their own PKI assets and run them without oversight or thorough documentation. This makes it hard to gain visibility and control over the entire PKI and certificate landscape.
• Compliance and regulatory challenges: New markets or industries often come with their own ever-emerging set of compliance requirements. These regulations necessitate changes to the PKI architecture to ensure adherence to industry standards and regulations.

Centralizar la gestión de certificados es un gran primer paso. Reunir todos los certificados en un único centro de gestión sienta las bases para el seguimiento, la automatización y la mejora de las políticas de PKI. Con la visibilidad que permite la detección proactiva de certificados, puede gestionar los aspectos técnicos de la gestión de certificados y alinear la PKI con los objetivos empresariales. 

Más automatización

Approximately 40% of organizations express a strong desire to empower their PKI systems with automation. 

Hace sólo unas décadas, PKI era una especialidad de nicho que sólo afectaba a algunos aspectos selectos de la función de TI en general. Pero a la escala actual de uso de certificados, la automatización es clave para encontrar certificados no documentados y evitar para siempre las interrupciones relacionadas con los certificados. 

A medida que crecen el volumen y la complejidad del uso de certificados, también aumentan las exigencias para los equipos de seguridad, TI e infraestructura que los gestionan. Sin automatización, los riesgos también aumentan: los riesgos de una carga de mantenimiento cada vez mayor y la propensión al error humano.

Otros retos de la automatización de certificados y PKI

• Low visibility: Many organizations struggle to compile an accurate inventory of cryptographic assets like certificates and CAs. Without the complete picture, it’s practically impossible to make meaningful automation progress.
• Tool sprawl: According to the report, 38% of organizations use homegrown tools and spreadsheets to manage certificates, while 30% rely on tools from certificate vendors. Homegrown tools rarely cover the full range of needs, while vendor tools typically only work for that vendor’s certificates. This leads to redundant tooling and makes automation harder to implement.
• Labor shortage: Few organizations have internal resources specifically dedicated to PKI. More often, PKI is entrusted to IT, security, or infrastructure teams — all of whom have their hands full with their primary responsibilities. As a result, they become so buried by the day-to-day work that they can’t step back and make broader improvements to their own workflows.

Cuando el mantenimiento es lento y manual, las respuestas a los problemas relacionados con los certificados tienden a ser lentas y manuales. Por término medio, los encuestados tardaron casi seis horas en identificar y solucionar una avería relacionada con un certificado, lo que requirió que ocho miembros del personal abandonaran su trabajo y respondieran a la avería. 

La automatización de la gestión de PKI mejora la eficiencia operativa al agilizar tareas como la emisión, renovación y revocación de certificados. Esto reduce el esfuerzo y el tiempo necesario para responder a un incidente y facilita la aplicación de los cambios exigidos por la normativa. 

Y lo que es más importante, permite a los equipos que se ocupan de PKI dedicar más ancho de banda a sus responsabilidades principales. 

Pasar a la nube

About 35% of organizations would move their PKI to the cloud if they could. The usual cloud benefits of better security, cost efficiency, and scalability certainly apply to PKI. 

Sin embargo, este tipo de transición es compleja y requiere cambios sustanciales en la infraestructura. Para muchos, diseñar desde cero un sistema específico para entornos en nube podría resultar más práctico.

Retos de la migración a la nube

• Integration with legacy systems: Many environments – particularly in the operational technology sector – rely on a few key pieces of legacy infrastructure that are all but impossible to integrate or modernize. Yet, these legacy systems are too costly or disruptive to replace.
• A lack of expertise: Technicians with PKI knowledge are hard to come by, but how many PKI experts are also well-versed in the cloud and cloud migrations? Very few.
• Protecting your data: Data integrity is a huge concern for any cloud migration. In its journey to the cloud, data passes through many hands, platforms, and pipelines. Along the way, there are many opportunities for errors and discrepancies. If sensitive data is exposed, that’s an incident all its own, and finding where the chain of data trust was broken can be costly and complicated.  

Dicho esto, las ventajas de una PKI alojada en la nube hacen que la migración merezca la pena. Los proveedores en la nube ofrecen otra capa de seguridad y hacen que la empresa sea más flexible. 

Trasladar la PKI a la nube requiere encontrar al socio adecuado: expertos en PKI que hayan realizado migraciones a la nube con éxito. Estos socios pueden guiarle a través de un enfoque de migración por fases y sugerirle consolidar la infraestructura, implementar la automatización e inculcar una PKI más fiable y flexible. 

Conclusión

Las empresas y organizaciones confían cada vez más en los proveedores para que les ayuden a corregir el rumbo y preparar para el futuro sus sistemas PKI. 

Para ello, la PKI como servicio (PKIaaS) ha surgido como una solución viable para muchos, ya que ofrece la experiencia y la infraestructura necesarias para gestionar la PKI de forma eficaz y segura. La externalización de la gestión de PKI a proveedores experimentados garantizará que se satisfagan las necesidades criptográficas de su organización sin la sobrecarga de mantener y ampliar un sistema interno.

El papel de la PKI para establecer la confianza y la seguridad digitales será cada vez más importante. Las organizaciones que lo reconozcan ahora y sigan siendo proactivas en la gestión de su PKI son las que tienen más probabilidades de mantenerse seguras.