Realizar las inversiones adecuadas para combatir la escasez de talento en ciberseguridad

The global cybersecurity industry faces a major labor shortage. Though the labor pool of cybersecurity workers has grown, vacancies in the job market have grown even faster — so much so that the Department of Homeland Security described the shortage as a significant national security threat.

According to a report by (ISC)² Cybersecurity Workforce, the global cybersecurity workforce gap in 2022 is 3.4 million, the highest it has ever been. The report also highlights that the U.S. cybersecurity workforce is only growing at 5.5 percent, compared to the global growth of 11.1 percent. 

El último libro electrónico de Keyfactor ayuda a los líderes de seguridad a comprender la dinámica de la escasez de mano de obra en ciberseguridad y ofrece estrategias para mitigar su impacto en su postura de seguridad y la eficacia de su equipo.

La escasez representa una amenaza significativa para el mundo empresarial. Los equipos de seguridad con personal insuficiente no solo luchan por adelantarse a las amenazas activas contra las redes de la empresa, sino que también pierden el ancho de banda necesario para parchear sistemas críticos, evaluar y gestionar riesgos, y mantener las mejores prácticas que garantizan la seguridad de la red. 

La adopción de herramientas o la contratación de nuevo talento puede no abordar las ineficiencias subyacentes que impiden la escalabilidad. La inversión adecuada devuelve ancho de banda a los equipos de seguridad y simplifica su trabajo diario, al tiempo que proporciona escalabilidad y flexibilidad para el futuro. 

Para las empresas que encargan a sus equipos generales de seguridad o TI la gestión de la Infraestructura de Clave Pública (PKI), la modernización de la PKI puede proporcionar el elemento transformador que los equipos necesitan para mantenerse vigilantes y eficaces.

¿Por qué los equipos tienen dificultades con la PKI?

While in the past, PKI was limited to a manageable, specific set of use cases, today’s enterprise is challenged to manage digital certificates on a massive scale. Keyfactor’s 2022 State of Machine Identity Management Report found that the average enterprise boasts over 260,000 internally-issued certificates.

Además del gran volumen, varios factores hacen de la PKI un trabajo a tiempo completo que pocos equipos pueden realizar de manera verdadera y efectiva, especialmente cuando están sobrecargados por la escasez de mano de obra.

Certificates are often spread out across the enterprise, making it difficult to achieve visibility into the full scope of the organization’s certificate inventory — particularly if other teams can generate their own certificates unchecked. 

Para obtener control total del inventario de certificados de la organización, los equipos de PKI necesitan visibilidad de las bases de datos de la autoridad de certificación (CA), los puntos finales SSL y TLS en la red, y los almacenes de claves y certificados. También debe existir una jerarquía clara de propiedad entre los operadores de PKI y los gestores, aprobadores y usuarios de certificados.

Procesos manuales

Keyfactor’s 2022 State of Machine Identity Management Report shows that 42% of organizations use spreadsheets to track certificate lifecycles and 38% use homegrown tools. 

Como resultado, el equipo de PKI debe rastrear manualmente las próximas caducidades de certificados, mantenerse al día con las solicitudes de emisión y aprobación de certificados, y supervisar la renovación e instalación de nuevos certificados. La falta de experiencia y responsabilidad entre las partes interesadas dificulta aún más los engorrosos flujos de trabajo manuales en torno a la PKI. 

La optimización de los procesos utilizados para gestionar la PKI no solo es vital para superar la escasez de mano de obra, sino también clave para desbloquear la escalabilidad a medida que las organizaciones continúan evolucionando su uso de la PKI.

Falta de experiencia

La gestión de la PKI requiere un conjunto profundo y específico de habilidades y conocimientos. Los errores en la fase de diseño de una PKI a nivel empresarial no pueden deshacerse sin una revisión total, especialmente con el nivel de complejidad que implica un panorama de sistemas típico. La PKI no es una pieza de infraestructura de 'configurar y olvidar'. Necesita mantenimiento y conservación continuos para mantener la eficiencia.

Una gestión adecuada de la PKI requiere tiempo para evaluar la infraestructura de forma integral y determinar el camino correcto a seguir. Cuando los equipos de TI o seguridad gestionan la PKI además de sus tareas principales, es posible que deban priorizar esas tareas sobre sus responsabilidades de PKI. De cualquier manera, la organización se enfrenta a un mayor riesgo de interrupción o violación de seguridad.

Broadly, these challenges force internal teams into a reactive mode of managing PKI. Not only does this create more work for the team, exacerbating the pains of the labor shortage, it practically guarantees outages due to certificate expirations.

Anticiparse a la PKI

La escasez de mano de obra exige que las organizaciones aprovechen al máximo su personal de seguridad y TI existente. Las inversiones adecuadas proporcionan a los equipos acceso a los recursos, herramientas y conocimientos que les faltan para minimizar el tiempo dedicado a gestionar la PKI en conflicto con otras tareas y trabajos de mayor nivel. 

La modernización de la PKI puede reducir la carga de trabajo al tiempo que previene desastres como auditorías fallidas, claves y certificados robados o mal utilizados, e interrupciones no planificadas.

Visibilidad mediante la centralización

Teams can’t secure what they can’t see. A modern PKI management platform can detect hidden and unknown certificates and keys and provide visibility into public and private CAs, network endpoints, and key and certificate stores. 

Esta visibilidad permite al equipo de PKI remediar identidades no conformes y débiles, e impulsar las mejores prácticas en torno a los certificados en toda la empresa. Con características como el etiquetado de certificados y los metadatos personalizados, los equipos de PKI pueden organizar los inventarios de certificados e integrar los certificados con los flujos de trabajo de los usuarios. 

La creación de un centro de Command universal de PKI puede proporcionar tiempo valioso, simplicidad y tranquilidad a los equipos de seguridad con poco personal. Centralizar la gestión de la PKI en una plataforma integral puede ahorrar a los equipos horas de trabajo que de otro modo dedicarían a averiguar el estado de certificados oscuros y dispersos. Podrán anticipar las caducidades y dejar de preguntarse si algún certificado olvidado caducará sin ser detectado.

Automatización transformadora

Automation may be the biggest advantage afforded by a modernized PKI. A PKI management solution can streamline or fully automate the process of renewing, provisioning, and installing certificates. This functionality can virtually eliminate the risk of certificate outages and prevent the heavy workload of remediating them.

Cuando los equipos pueden automatizar las alertas de renovación, programar informes y revocar o emitir certificados de forma masiva, pueden liberarse de las tareas rutinarias de la PKI para evaluarla y perfeccionarla a un nivel más amplio. Pueden controlar verdaderamente su PKI, en lugar de operar a merced de ella. 

Automation simplifies certificate usage for end users like developers and app owners. A PKI management solution can set boundaries and standards for users who consume certificates without violating policies or compliance. As such, a modernized PKI can provide relief from labor shortage pains to teams beyond those dedicated to IT and PKI, thus contributing to innovation rather than impeding it. 

Conocimiento profundo de PKI

Every organization is different and consumes certificates in its own unique ways. While out-of-the-box platforms can offer transformative capabilities, organizations need human expertise to make the biggest decisions around their PKI. 

Un proveedor de PKI o un experto externo puede trabajar con los equipos de seguridad o TI para comprender los casos de uso de PKI de su organización, para diseñar la PKI de la mejor manera según esos requisitos y evitar problemas post-producción. Un experto o proveedor de PKI puede ayudar a tomar esas decisiones de alto riesgo en la fase de diseño, como si usar un diseño de dos o tres niveles o si adoptar un Módulo de Seguridad de Hardware (HSM). 

A PKI expert can ensure these decisions don’t return to cause problems for the organization and simplify PKI. Once the foundation of the PKI has been established, policies and procedures can be implemented to optimize PKI management. From there, the internal team responsible for PKI can administer the regular review and testing of PKI components, like monitoring and benchmarking the PKI against current and emerging industry standards for compliance and security. 

Contar con la orientación de expertos en PKI puede ahorrar a los equipos inmensas complicaciones y la molestia de modernizar su PKI mediante prueba y error. Mientras tanto, la organización paga por la experiencia que necesita en lugar de contratar a un experto en PKI interno.

Mayor ancho de banda equivale a menores costos

In addition to saving security teams time and headaches, the efficiencies of a modernized PKI can yield significant cost savings. Not only will organizations drive more value from their existing team members, avoiding the costs of unnecessary hires and lowering the total cost of ownership around PKI by 40%, but they will also retain revenue that would otherwise be lost to outages or cyberattacks. 

Esto da a las organizaciones más margen para realizar inversiones en otras áreas del negocio que se encuentran bajo la presión de la escasez de mano de obra.

Algún día la escasez de mano de obra en ciberseguridad terminará, pero muchas ineficiencias de la PKI no fueron creadas por la escasez, sino que han sido reveladas y amplificadas por ella. Independientemente de las medidas que tomen las organizaciones para sobrevivir a la escasez de mano de obra, desbloquear la escalabilidad y eficiencia de la PKI será clave para asegurar las empresas en el mundo del mañana.

To explore more ways organizations can stay secure and agile during the labor shortage, download Keyfactor’s new ebook: Three Strategies to Navigate the Cybersecurity Labor Shortage.