PKIaaS frente a SaaS PKI frente a PKI en la nube: ¿cuál es la diferencia y cuál es la opción más adecuada para ti?

El problema terminológico de la PKI basada en la nube

Si has empezado a investigar sobrela infraestructura de clave pública (PKI) basada en la nube, probablemente te hayas dado cuenta de algo frustrante: los términos PKIaaS, SaaS PKI y Cloud PKI se utilizan en todas partes, a menudo sin explicar qué son. ¿Son lo mismo? ¿O se refieren a conceptos diferentes? En este blog, analizaremos estas cuestiones y explicaremos en detalle cuáles son realmente sus diferencias. En resumen, no son lo mismo: se utilizan indistintamente, aunque describen modelos de implementación significativamente diferentes.

Esto es importante porque cada modelo conlleva implicaciones distintas en materia de seguridad, control, carga operativa y coste. Elegir el modelo equivocado, o malinterpretar lo que un proveedor quiere decir cuando habla de «PKI en la nube», puede dejarte con una implementación que no satisfaga tus necesidades ni tus requisitos de cumplimiento normativo, te ate a una relación con el proveedor de la que no puedas salir, o cargue a tu equipo con una complejidad operativa que no esperabas.

Esta guía explica en detalle qué significa realmente cada término, en qué se diferencian y cómo elegir el modelo más adecuado para las necesidades de tu organización.

Definición de los tres modelos

¿Qué es la PKI en la nube?

La PKI en la nube es el término genérico más amplio. Se refiere a cualquier implementación de PKI que se ejecute en un entorno en la nube en lugar de en las propias instalaciones. Esto abarca desde una PKI autogestionada, implementada en su propia cuenta de AWS o Azure, hasta servicios totalmente gestionados y alojados por un proveedor.

La diferencia fundamental es que el término «PKI en la nube» se refiere adóndese encuentra la infraestructura, no aquiénla gestiona.

Ese concepto abarca todo un abanico de opciones en cuanto a quién realiza el trabajo. En un extremo, tú mismo te encargas de todo; en el otro, un proveedor se encarga de todo por ti, y entre ambos extremos se sitúan los modelos híbridos. Merece la pena analizar ese abanico, desde el mayor control hasta el menor, ya que la elección depende realmente de cuánta carga operativa quieras delegar y, lo que es más importante, de quién acabe siendo el titular de las claves privadas de la CA.

En una implementación en la nube autogestionada, se configura la CA software en recursos de computación alquilados en AWS, Azure o GCP, y las claves privadas se almacenan de forma segura mediante un servicio HSM en la nube, como AWS CloudHSM, Azure Managed HSM o GCP Cloud HSM. El proveedor de la nube proporciona los componentes básicos: máquinas virtuales, almacenamiento, redes y HSM particionados hardware. Tú eres el responsable de todo lo que convierte esos componentes en una PKI: el diseño de la jerarquía, los perfiles de certificados, las políticas de emisión, la configuración de la CA, la disponibilidad, las copias de seguridad y la recuperación ante desastres. El punto clave es que tus claves privadas nunca salen de tu ámbito de control. El proveedor es quien te alquila la infraestructura, no el operador de tu ancla de confianza. Una PKI en la nube autogestionada es, en esencia, el modelo operativo local trasladado a una infraestructura alquilada. Te libras del centro de datos y de los ciclos de actualización de « hardware », al tiempo que mantienes las mismas responsabilidades respecto a la « software » y las claves.

Las implementaciones híbridas combinan modelos de forma deliberada; el patrón más habitual consiste en mantener una CA raíz fuera de línea en las propias instalaciones, al tiempo que se ejecutan CAs emisoras en línea en una nube autogestionada, lo que te proporciona una raíz altamente protegida sin el coste operativo que supone ejecutar CAs emisoras en servidores físicos. En el otro extremo del espectro se encuentra la PKI gestionada por el proveedor, que suele comercializarse como PKI como servicio (PKIaaS) o PKI SaaS. A continuación se explican estos conceptos.

¿Qué es la PKI SaaS?

La PKI SaaS es una plataforma PKI lista para usar, prestada a través de la nube, en la que el proveedor gestiona la infraestructura subyacente en su nombre. El proveedor se encarga de la capacidad de cálculo, las bases de datos, las redes, los equilibradores de carga y los HSM. Usted conserva el acceso administrativo a la propia aplicación PKI, pudiendo configurar las autoridades de certificación (CA), los perfiles de certificado, las autoridades de validación y los flujos de trabajo de inscripción.

Piensa en ello como si te suscribieras a la PKI software en lugar de comprarla y alojarla tú mismo. Los requisitos son mínimos: necesitas una cuenta activa en la nube y una conexión a Internet. No necesitas ninguna infraestructura de apoyo para empezar, ya que el proveedor se encarga de gestionar toda la pila tecnológica que hay detrás de la aplicación.

En una implementación SaaS, eres responsable de laconfiguraciónde tu PKI (tus CA, RA y VA), pero no del funcionamiento de los sistemas de apoyo. Las actualizaciones las gestiona el proveedor a través de ventanas de servicio programadas. El modelo de suscripción implica que pagas por lo que utilizas y puedes ampliar o reducir la capacidad según tus necesidades.

La PKI como servicio (SaaS) resulta ideal para aquellas organizaciones que desean mantener el control sobre su política y gobernanza de PKI sin tener que gestionar la infraestructura subyacente, que necesitan un acuerdo de nivel de servicio (SLA) que no tengan que gestionar ellas mismas, o que tengan una necesidad inmediata y no dispongan del tiempo necesario para crear un entorno completo de PKI desde cero.

¿Qué es PKIaaS (PKI como servicio)?

PKIaaS es un servicio de PKI totalmente gestionado en el que el proveedor se encarga de todo: el diseño de la PKI, la implementación, las operaciones continuas y la supervisión 24 horas al día, 7 días a la semana. Esto supone una diferencia fundamental con respecto a la PKI SaaS. Con la PKI SaaS, el proveedor gestiona la capa de infraestructura. Con la PKIaaS, el proveedor gestiona también la propia capa de PKI, lo que incluye las ceremonias de la CA raíz, las políticas de certificados y las declaraciones de prácticas de certificación (CP/CPS), el mantenimiento de la CA emisora, la gestión de las listas de certificados revocados (CRL) y la respuesta ante incidentes.

El modelo operativo sigue una división clara: el proveedor se encarga de su creación, implementación y mantenimiento. Tus equipos se encargan de su gestión mediante la detección, emisión y automatización de los ciclos de vida de los certificados. Conservas la propiedad de las claves de la CA raíz y los materiales de recuperación a través del depósito de claves, lo que garantiza que puedas volver a gestionar tu PKI internamente si cambia la relación con el proveedor.

PKIaaS es una relación de servicio, no solo un modelo de prestación de servicios de « software ». Está diseñado para organizaciones que desean delegar por completo las operaciones de PKI a expertos, sin dejar de mantener el control sobre sus puntos de referencia de confianza.

Si estás pensandoen migrar desde una PKI heredada, PKIaaS te ofrece la vía más rápida hacia una implementación moderna y bien diseñada, sin necesidad de contar con amplios conocimientos internos sobre PKI.

Resumen de las principales diferencias

La tabla siguiente resume las diferencias fundamentales entre los tres modelos:

La diferencia más importante entre estos modelos esel eje de la custodia y el control de las claves. La PKI en la nube autogestionada mantiene todo bajo tu control. La PKI SaaS delega la infraestructura, pero conserva el control de las aplicaciones. La PKIaaS delega tanto la infraestructura como las operaciones, al tiempo que mantiene tu propiedad sobre los puntos de referencia de confianza.

Un solo inquilino frente a múltiples inquilinos: por qué es importante para la PKI

El aislamiento de la infraestructura es un criterio de evaluación fundamental, y se aplica independientemente del modelo de implementación que elijas. Tu PKI privada es el pilar de confianza de tu organización: las claves de su CA autentican tus dispositivos, usuarios y cargas de trabajo. El grado de aislamiento de esa infraestructura respecto a otros clientes influye directamente en tu nivel de riesgo, por lo que conviene determinar con precisión qué capas de aislamiento son importantes y por qué.

El aspecto que no es negociable es la custodia de las claves. Las claves privadas de tu CA deben almacenarse en HSM en los que ningún otro inquilino pueda extraerlas ni utilizarlas: HSM dedicados o particiones dedicadas, validados según la norma FIPS 140-2/3, nivel 3. Si se respeta ese límite, un atacante situado en otro inquilino no podrá firmar en nombre de tu CA, que es el resultado que más importa.

Más allá de las claves, una implementación de un único inquilino aísla el entorno circundante: red dedicada y controles de acceso bajo un modelo de privilegios mínimos, sin compartir recursos informáticos ni de almacenamiento con otros clientes. Se trata de una defensa en profundidad, en lugar de una única barrera rígida, y para la PKI privada de una empresa es la opción predeterminada más adecuada:

• Menor alcance de los efectos.Una vulnerabilidad en una plataforma compartida puede poner en riesgo a todos los usuarios que la utilizan. En un entorno dedicado, el fallo solo te afecta a ti.
• Es más fácil de demostrar.Los auditores aceptarán el aislamiento de claves respaldado por HSM en un diseño multitenant, pero demostrar el aislamiento de tu infraestructura de confianza resulta más sencillo y rápido cuando el entorno es dedicado, en lugar de compartido.
• Más margen para la personalización.Las plataformas multitenant suelen ofrecer una solución única para todos. Un entorno de tenant único te ofrece más libertad a la hora de definir jerarquías de CA personalizadas, perfiles de certificados poco habituales y políticas de emisión específicas para tus necesidades.

Una aclaración: estas son directrices para tu PKI privada, la raíz de confianza interna de la que eres propietario y que gestionas. Las PKI de confianza pública funcionan de forma diferente por su propio diseño, ya que las CA públicas son, por naturaleza, multitenant y emiten certificados para muchas organizaciones a la vez bajo controles estrictos y auditados. Por lo tanto, la cuestión no es que la multitenencia sea incorrecta en todos los casos, sino que el ancla de confianza privada de su organización merece un entorno dedicado. Al evaluar cualquier PKI privada basada en la nube, compruebe, como mínimo, que las claves de la CA estén aisladas en HSM dedicados y dé preferencia al aislamiento de un solo inquilino para el entorno circundante.

Control y titularidad de las claves en todos los modelos de implementación

El control se sitúa en un espectro que abarca los tres modelos, y comprender en qué punto se sitúa cada uno de ellos es fundamental para tomar la decisión correcta.

PKI en la nube (autogestionada):Todo es de tu propiedad: tus claves, tus políticas, tu infraestructura y tu disponibilidad. Esto supone el máximo control, pero también la máxima responsabilidad. Necesitas contar con expertos internos en PKI para gestionarla correctamente.

PKI como servicio (SaaS):Tú controlas la aplicación PKI (configuración de las autoridades de certificación, perfiles de certificados y flujos de trabajo de inscripción), pero no la infraestructura. El proveedor se encarga de gestionar los servidores, las bases de datos, los módulos de seguridad de hardware (HSM) y la disponibilidad. Sigues teniendo acceso administrativo a la propia PKI, pero dependes del proveedor en lo que respecta al tiempo de actividad y la seguridad de los sistemas subyacentes.

PKIaaS:El proveedor se encarga de todo, pero tú conservas la propiedad de lo que más importa: tus claves de CA raíz y los materiales de recuperación. A través de un servicio de custodia de claves controlado por el cliente, un tercero de confianza conserva una copia de tus materiales criptográficos de CA raíz. Esto significa que puedes volver a gestionar tu PKI internamente si surge la necesidad.

Este último punto es innegociable, independientemente del modelo. Cualquier proveedor que no le conceda el derecho a ser propietario de su PKI debe quedar descartado. Su plataforma PKIaaS debe proporcionar a su empresa un control total sobre las claves de la CA raíz y los materiales de recuperación de la PKI. Las tareas de diseño, implementación y gestión siguen siendo responsabilidad del proveedor, mientras que usted mantiene el control sobre sus puntos de referencia de confianza.

Niveles de seguridad, cumplimiento normativo y garantía

Cada modelo distribuye la carga que supone el cumplimiento normativo de forma diferente, y comprender esta distribución es fundamental para la planificación de tus auditorías y del cumplimiento normativo.

La certificación SOC 2 Tipo IIofrece garantías sobre los controles de una organización de servicios en lo que respecta a la seguridad, la disponibilidad y la integridad del procesamiento. Mientras que la certificación SOC 2 Tipo I acredita la eficacia del diseño de los controles de un proveedor, la Tipo II tiene un alcance más riguroso y acredita la eficaciaoperativade dichos controles. En el caso de las soluciones SaaS PKI y PKIaaS, tu proveedor debería contar, como mínimo, con la certificación SOC 2 Tipo II.

Los marcos CP/CPS(Política de Certificados y Declaraciones de Prácticas de Certificación) definen los requisitos que rigen una PKI y los medios mediante los cuales una implementación cumple dichos requisitos. Con PKIaaS, el proveedor suele desarrollar y mantener el CP/CPS en su nombre, adaptado a los requisitos de su organización. Con SaaS PKI o Cloud PKI, usted es responsable de crear y mantener los suyos propios.

La protección de la CA raíz fuera de líneaes un control de seguridad fundamental. Una solución PKIaaS bien diseñada protege su CA raíz mediante un sistema que permanece siempre fuera de línea y totalmente aislado. Las claves raíz se almacenan en HSM dedicados que cumplen con la norma FIPS 140-2 Nivel 2, dentro de instalaciones que cuentan con cámaras acorazadas de seguridad de nivel 5 de la GSA, protección ignífuga, armarios controlados por dos llaves, bolsas a prueba de manipulaciones y personal de seguridad in situ las 24 horas del día, los 7 días de la semana.

Las comprobaciones periódicas del estado de la PKIgarantizan que tu implementación se mantenga segura a lo largo del tiempo. La PKI no es una herramienta de seguridad que se pueda «configurar y olvidar». La supervisión y la gestión continuas son fundamentales. Los proveedores de PKIaaS suelen incluir comprobaciones del estado como parte de su contrato de servicio, mientras que en los modelos autogestionados esta responsabilidad recae íntegramente en tu equipo.

A continuación se detalla cómo se distribuye la responsabilidad en materia de cumplimiento:

¿Qué modelo se adapta mejor a tu organización?

Utiliza estas directrices para determinar cuál es el modelo de implementación más adecuado para tu situación:

Elige Cloud PKI (autogestionada) si:

• Contar con expertos internos en PKI y personal especializado
• Ya utilizas una infraestructura en la nube en AWS, Azure o GCP
• ¿Quieres tener el máximo control sobre las claves, las políticas y las configuraciones?
• Puede dedicar el tiempo y el presupuesto necesarios para crear y mantener el entorno
• Tienes requisitos estrictos de soberanía de datos que exigen que las claves permanezcan en tu propio entorno de nube

Elige SaaS PKI si:

• Necesitas una implementación rápida y no dispones de tiempo para crear un entorno PKI desde cero
• ¿Quieres mantener el control de tu aplicación PKI sin tener que gestionar servidores ni bases de datos?
• No disponemos del presupuesto ni del personal necesarios para gestionar la infraestructura subyacente
• Necesitamos un modelo basado en suscripción que permita ampliar o reducir la capacidad según sea necesario
• Tener experiencia en PKI (o acceso a servicios profesionales) para configurar y gestionar la aplicación PKI

Elige PKIaaS si:

• ¿Quieres delegar por completo las operaciones de PKI a un equipo de expertos?
• Necesitas seguridad y cumplimiento normativo de nivel empresarial (SOC 2 Tipo II, HSM conformes con FIPS 140-2, CA raíz fuera de línea)
• Carecen de conocimientos especializados internos sobre PKI o no pueden justificar la contratación de personal dedicado a la PKI
• Prefiero una relación de colaboración en lugar de una herramienta de « software »
• ¿Necesitas que tu PKI esté preparada para la era poscuántica sin tener que gestionar tú mismo la transición?

Muchas organizaciones acaban adoptando un modelo híbrido, en el que utilizan PKIaaS como infraestructura PKI principal de la empresa, al tiempo que mantienen implementaciones en la nube autogestionadas para casos de uso específicos. La clave está en elegir una plataforma que admita múltiples opciones de implementación y que permita unificar la gestión de certificados en todas ellas.

Cómo Keyfactor ayudarte Keyfactor

Keyfactor Es compatible con los tres modelos de implementación, lo que ofrece a las organizaciones la flexibilidad de empezar desde su situación actual y evolucionar con el tiempo. Tanto si necesitas una PKI autogestionada en tu propia nube, una plataforma de tipo SaaS o un servicio PKIaaS totalmente gestionado, Keyfactor te ofrece una única plataforma que se adapta a tus necesidades.

KeyfactorLa oferta de PKIaaS de […] destaca por varias razones:

• Gestión integral de extremo a extremo: «Keyfactor » se encargade crear, implementar y mantener su PKI. Sus equipos la gestionan mediante la emisión y la automatización de certificados. Cada implementación comienza con un CP/CPS sólido y una CA raíz siempre fuera de línea y totalmente aislada, protegida por HSM dedicados que cumplen con la norma FIPS 140-2 Nivel 2.
• Desarrollado internamente, de principio a fin:Keyfactor desarrolla y mantiene toda la pila de PKI, desde las bibliotecas de criptografía (Bouncy Castle) hasta la CA software (EJBCA). Esto significa que no dependemos de componentes de terceros, lo que se traduce en actualizaciones más rápidas y fiabilidad a largo plazo como socio de PKI.
• Preparado para la era poscuántica:gracias a una infraestructura de clave pública (PKI) totalmente gestionada y compatible con la seguridad poscuántica (PQC), así como a sus funciones avanzadas de detección y automatización de certificados, Keyfactor te ayuda a identificar y migrar certificados a estándares seguros frente a la computación cuántica sin sobrecargar a tus equipos internos.
• Clasificada como la número 1 en PKI empresarialpor ABI Research y conun retorno de la inversión (ROI) del 356 %, según el estudio «Total Economic Impact» de Forrester.
• PKI + automatización del ciclo de vida de los certificados en una única plataforma:en lugar de añadir herramientas independientes, Keyfactor combina PKIaaS con la automatización del ciclo de vida de los certificados para ofrecer una experiencia fluida en las fases de detección, emisión, renovación y revocación.

Como señaló David Yu, vicepresidente de Arquitectura de Seguridad de EQ Bank: «Keyfactor colaboró con nosotros en cada paso del proceso, desde el inicio hasta la puesta en producción, y se mostraron extremadamente proactivos. Su experiencia y su apoyo marcaron una diferencia incalculable en el éxito de nuestros equipos».

Tanto si estás evaluando una infraestructura de clave pública (PKI) por primera vez como si estás planificando unamigración por fases desde una PKI heredada, Keyfactor pone a tu disposición más de 20 años de experiencia en PKI para ayudarte a diseñar, implementar y gestionar una solución que se adapte a tus necesidades.

¿Tienes dudas sobre la PKI en la nube? Tenemos las respuestas.

P: ¿Cuál es la diferencia entre PKIaaS y SaaS PKI?
PKIaaS es un servicio totalmente gestionado en el que el proveedor se encarga de todas las operaciones de la PKI, desde las ceremonias de la CA raíz hasta la supervisión y el mantenimiento 24 horas al día, 7 días a la semana. SaaS PKI es una plataforma PKI prestada en la nube en la que el proveedor gestiona la infraestructura, pero el cliente es responsable de configurar y operar la propia PKI. PKIaaS es una relación de servicio; SaaS PKI es un modelo de prestación de servicios de « software ».

P: ¿Es lo mismo «PKI en la nube» que «PKIaaS»?
No exactamente. «PKI en la nube»es el término más amplio y hace referencia a cualquier PKI implementada en un entorno en la nube. Esto incluye implementaciones autogestionadas en tu propia cuenta de AWS o Azure, PKI SaaS gestionada por el proveedor y PKIaaS totalmente gestionada. «PKI en la nube» describe dónde se encuentra la infraestructura; «PKIaaS» describe quién la gestiona y cómo.

P: ¿Debería optar por una PKI de un solo inquilino o multinquilino?
Para una PKI empresarial, se recomienda encarecidamente la opción de un solo inquilino. La PKI es una infraestructura de confianza de misión crítica, y los entornos compartidos y multinquilino plantean riesgos de seguridad y complicaciones en materia de cumplimiento normativo. Una implementación dedicada y de un solo inquilino ofrece aislamiento, flexibilidad y la capacidad de cumplir los requisitos de auditoría sin depender de otros inquilinos.

P: ¿Puedo mantener el control de mis claves de CA raíz con un servicio de PKI gestionado?
Sí, con el proveedor adecuado. Una solución PKIaaS bien diseñada incluye un depósito de claves controlado por el cliente, en el que un tercero de confianza custodia una copia de los materiales criptográficos de su CA raíz. Esto garantiza que pueda volver a gestionar su PKI internamente si cambia la relación con el proveedor. Cualquier proveedor que no ofrezca la titularidad de las claves debe quedar descartado.

P: ¿Cómo contribuye el PKIaaS a la preparación para la criptografía poscuántica?
Un proveedor de PKIaaS totalmente gestionado se mantiene al día con la evolución de los estándares criptográficos, incluida la transición a algoritmos poscuánticos. Dado que el proveedor gestiona la pila PKI de principio a fin, puede identificar y migrar los certificados a estándares seguros frente a la computación cuántica en su nombre, lo que reduce la carga de trabajo de sus equipos internos.

P: ¿Qué aspectos debo tener en cuenta a la hora de evaluar a un proveedor de PKIaaS?
Entre los criterios clave de evaluación se incluyen: infraestructura de inquilino único, protección de la CA raíz fuera de línea con HSM, custodia de claves controlada por el cliente, certificación SOC 2 Tipo II, un marco sólido de CP/CPS, tiempo de actividad respaldado por un SLA (busque una disponibilidad garantizada del 99,5 % al 99,9 %), automatización integrada del ciclo de vida de los certificados y una trayectoria demostrada de experiencia en PKI.

P: ¿Puedo combinar diferentes modelos de implementación de PKI?
Sí. Muchas organizaciones utilizan un modelo híbrido en el que emplean PKIaaS como PKI empresarial principal, al tiempo que mantienen una PKI en la nube autogestionada o implementaciones locales para casos de uso específicos. La clave está en elegir una plataforma que admita múltiples opciones de implementación y que pueda unificar la gestión de certificados en todas ellas.

P: ¿En qué plazo puedo implementar PKIaaS en comparación con la creación de una PKI interna?
Las implementaciones de PKIaaS pueden ser considerablemente más rápidas que la creaciónde una PKI interna. El proveedor aporta buenas prácticas ya integradas, marcos CP/CPS consolidados y una infraestructura de seguridad existente, lo que elimina la necesidad de diseñar y adquirir todo desde cero. Algunos proveedores pueden tener su PKI lista para su uso en cuestión de semanas, en lugar de meses.