Last month, the White House released the Biden Administration’s National Cybersecurity Strategy. The nearly-40-page document identifies five key pillars for meeting the security demands, challenges, and threats of the future.
En gran medida, la estrategia busca alinear los sectores gubernamental, público y privado detrás de las innovaciones en seguridad con la esperanza de elevar el listón regulatorio para la seguridad, fomentar la seguridad por diseño y posicionar a EE. UU. para prosperar en un mundo post-cuántico.
Para analizar el documento, nos sentamos con el CTO de Keyfactor Ted Shorter, el Director de PKI Tomas Gustavsson y el Vicepresidente de Ingeniería de Software David Hook para una breve sesión de preguntas y respuestas.
¿Cuál es su impresión de la estrategia? ¿Alguna reflexión general?
Ted Shorter: There’s a lot to like about this strategy, in my opinion. Fostering better collaboration between public and private sectors will be vital, and the report’s intention to make security more affordable is a step in the right direction.
La estrategia busca fomentar la colaboración entre los sectores gubernamental, público y privado. ¿Cómo podría materializarse esto en la práctica?
Ted Shorter: Cybercriminals and hostile nation-state actors can attack infrastructure on a broad scale, and silos between Public and Private will hinder our ability to recognize and understand these attacks, as well as respond to them.
To be clear, it’s not a fair fight when private entities are defending themselves against nation-state actors. It’s certainly not a fair fight when real ammunition and armaments are used, and it’s no fairer a fight with cyberattacks.
Es más fácil decirlo que hacerlo, pero los sectores público y privado necesitan mejores formas de compartir información crítica. Hoy en día, los líderes de seguridad del sector privado a menudo se desaniman de compartir información sobre ataques por temor a multas, mala prensa, etc.
¿Cómo podría el trabajo del gobierno para modernizar los sistemas federales de TI/OT afectar al mundo empresarial?
Ted Shorter: This activity will pave the way for security regulations on a much broader set of devices than exists today — which is a good thing. When everyone is playing under the same security rules, device manufacturers won’t have to worry about the relative security spend on their devices.
The caveat, of course, is that these regulations will need to apply globally because devices are manufactured everywhere. Otherwise, the standards won’t have much of an effect.
¿Cómo influirá esta estrategia en las prácticas de desarrollo de Software seguro, especialmente a medida que el volumen de identidades de máquinas sigue aumentando?
Tomas Gustavsson: There’s a lot going on here. Software development teams must develop new solutions with security in mind from the outset. In regards to machine identities, hard-coded credentials or credentials held in code repositories must be removed and protected much better.
Si bien las identidades de productos no forman parte necesariamente del ciclo de vida del desarrollo de Software, el proceso de desarrollo en sí puede consumir una serie de certificados. Las máquinas y las API necesitan una autenticación sólida, los desarrolladores necesitan certificados SSH y certificados de firma, y el código se firma en diferentes etapas, lo que exige certificados de firma de código y una sólida protección de las claves privadas.
En una arquitectura de confianza cero, todo el flujo de código y comunicación de extremo a extremo simplemente requiere una PKI moderna, basada en API y escalable.
¿Algunas brechas recientes relacionadas con certificados ilustran particularmente la necesidad de prácticas de desarrollo de Software seguro?
Tomas Gustavsson: In the recent GitHub breach, attackers downloaded code-signing keys that were stored in the code repository, which highlights the need to keep code and keys separate.
En este caso específico, las claves estaban cifradas y no hay pruebas de que el atacante lograra descifrar las claves, pero aun así, generó un período de incertidumbre innecesaria. Seguir las mejores prácticas y utilizar sistemas externos (HSM) para las claves de firma de código les habría evitado tener que apresurarse en su investigación.
Para las organizaciones que buscan adoptar prácticas de desarrollo seguro, recomendaría tres consejos:
- Estudiar las mejores prácticas y directrices de líderes de la industria y agencias gubernamentales como NIST y ENISA.
- Nunca mantenga el código y las credenciales en el mismo lugar.
- Mantenga los sistemas actualizados y adopte arquitecturas de confianza cero.
El Pilar 4 menciona la computación cuántica. ¿Qué deberían hacer ahora los líderes de seguridad para prepararse para el futuro?
David Hook: Leaders should ask themselves, ‘What do I need to protect?’ and ‘How am I currently protecting it?’
Lo primero es importante porque los vectores de ataque están cambiando. Ante técnicas como la recolección de datos, debemos reconocer que no todos los datos son iguales. Algunos datos solo necesitan ser protegidos por períodos cortos, mientras que otros requieren protección por mucho más tiempo. Los líderes deben priorizar los datos que necesitan protección a largo plazo.
Responder a la segunda pregunta ha resultado más difícil de lo que parece. La mayoría de los sistemas tienen muchas partes móviles, algunas de las cuales han sido desarrolladas durante años por múltiples programadores, quienes a menudo utilizan bibliotecas y herramientas de procedencia incierta. A falta de una lista de materiales de Software adecuada, es probable que los líderes descubran que no todo se ha hecho como se ha documentado o afirmado.
La resiliencia de la cadena de suministro no se trata solo de tener la confianza de que la infraestructura crítica se mantendrá y recibirá soporte, sino también de saber cómo se construyeron.
¿Qué papel desempeñará Keyfactor en el apoyo a las estrategias post-cuánticas?
David Hook: While it falls on organizations like NIST to sponsor the development of PQC algorithms, it’s our job to convert these algorithms into something tangible and useful to the general community. We’re actively doing this by introducing post-quantum algorithms to Bouncy Castle and supporting post-quantum certificates for Keyfactor EJBCA and Keyfactor Command.
Keyfactor también ha asumido un papel de liderazgo en la seguridad de la cadena de suministro. La transparencia inherente al Software open-source puede ser una ventaja —sin duda, ayuda a comprender cómo se construyeron las cosas—, pero el eslabón perdido es el soporte al usuario y la sostenibilidad. Bouncy Castle y EJBCA han encontrado un lugar en la infraestructura crítica de muchas organizaciones, y se hacen sostenibles y resilientes mediante el soporte cuando esas organizaciones lo necesitan.
A medida que la confianza digital se convierte en un foco más integral para gobiernos, organismos reguladores y estrategias empresariales, Keyfactor seguirá haciendo que estos desarrollos sean accesibles y accionables para los líderes de seguridad.
Más información
To see how the enterprise world is approaching machine identity management and PKI, check out Keyfactor’s 2023 State of Machine Identity report.
Suscríbase a The Source
Stay secure with Keyfactor's monthly newsletter, packed with expert insights and practical steps for quantum-readiness.
