Riesgos reales de la mala gestión de claves públicas

When you don’t have a solid grip on Public Key Infrastructure (PKI), things break fast and often without warning.

A medida que su empresa crece, también lo hace su infraestructura y su huella de clave pública. Sin una supervisión centralizada, la proliferación de claves es inevitable. Y con ello vienen las lagunas de visibilidad, los procesos de revocación incoherentes, el aumento del riesgo operativo y la alta posibilidad de que se produzca una brecha. 

Los CISO y los líderes de TI deben dejar de tratar la PKI como una tarea secundaria y empezar a reconocerla como una capa crítica de la seguridad empresarial. Dar prioridad a una higiene de claves sólida no solo reduce el riesgo operativo, sino que también protege la confianza de los clientes y posiciona a su organización para una resiliencia a largo plazo.

Consider the Microsoft breach disclosed in June 2023. It originated in 2021, when a crash dump from a Microsoft consumer signing system unintentionally included a cryptographic key used for signing authentication tokens. Due to improper security scanning and storage practices, the dump was later accessed from an internet-connected environment. Attackers then retrieved the key and used it to forge valid JSON Web Tokens (JWTs), allowing them to bypass Microsoft’s authentication systems, impersonate users, and gain unauthorized access to Microsoft 365 services.

Incluso después de que Microsoft invalidara la clave, algunos accesos persistían debido a tokens de larga duración que no se rastreaban o revocaban adecuadamente. Esto amplió la ventana de ataque y aumentó el riesgo de movimiento lateral a través de entornos en la nube.

La mayoría de los ingenieros y equipos de seguridad comprenden la importancia de las claves públicas, así que ¿por qué sigue habiendo una mala gestión?

Por qué ocurre

Propiedad fragmentada y TI en la sombra

La cuestión de quién es el propietario de las claves públicas y los certificados lleva años debatiéndose, especialmente en las empresas que no cuentan con un equipo dedicado a la PKI.

Some developers argue that the network admin should purchase and manage SSL certificates, then hand them off to the web developer to install. Others say web devs shouldn’t touch public keys with a 10-foot pole because “it’s not part of their core skills.”

También hay gente que insiste en que es una responsabilidad de DevOps o de los administradores de sistemas, mientras que otros argumentan que es demasiado crítica para dejarla en manos de alguien que no sea la oficina del director de tecnología o del CISO.

Esta ambigüedad crea un riesgo institucional. Cuando la única persona informalmente responsable se marcha, nadie sabe qué certificados caducan, cuáles están obsoletos o dónde se almacenan las claves. El resultado son cadenas de confianza rotas, servicios interrumpidos y esfuerzos de recuperación precipitados.

Seguimiento manual e inventarios incompletos

Some IT and security teams still rely on Google Calendar, Excel spreadsheets, Snipe-IT, homemade PowerShell scripts, IT Glue, and even scheduled help desk tickets to track and manage public keys and certificates. This approach may have been feasible when certificates lasted two or three years and companies only managed a handful. But with Google proposing a 90-day certificate validity period, teams still doing this manually will be dangerously overwhelmed, and at far greater risk of public key mismanagement.

Falta de integración entre la nube y los sistemas locales

Los modelos de PKI suelen dividirse en tres categorías: usuarios totalmente en la nube, usuarios sólo en local y usuarios híbridos.

Algunos equipos prefieren la PKI basada en la nube por su escalabilidad, automatización y menor mantenimiento del servidor. Sin embargo, a menudo conlleva la dependencia de un proveedor, una integración limitada y un control reducido sobre las autoridades de certificación (CA) raíz o intermedias.  

On-prem PKI gives you full control over templates, key sizes, and policies. But it demands intensive manual upkeep, specialized staff, and resilient infrastructure. 

Luego está el modelo híbrido, nube + on-prem, que algunos usuarios consideran el término medio más lógico. Pero el modelo híbrido plantea complejos retos de integración.

Por ejemplo, si los certificados 802.1X caducan en 10 horas pero la Lista de Revocación de Certificados (CRL) se actualiza cada 12 horas, se produce un desfase temporal. En configuraciones híbridas que se basan en CRL u OCSP para validar certificados, los certificados revocados pueden seguir siendo de confianza, lo que introduce un riesgo evitable.

Similarly, issuing certificates on-prem while managing devices in the cloud often requires exposing internal PKI components—such as CRLs or OCSP responders—to the internet. This adds complexity and expands the attack surface. Even with strict isolation, limited visibility, and manual processes, create blind spots and slow response times.

Los costes ocultos de la mala gestión de las claves públicas

Para la mayoría de las empresas, los daños derivados de la mala gestión de una clave pública pueden clasificarse de tres maneras:

Costes directos (pérdidas inmediatas y cuantificables)

Cuando una clave o un certificado caducan o están mal configurados, sistemas críticos como sitios web, API, VPN o servicios de autenticación pueden dejar de funcionar. Los equipos internos pierden el acceso a herramientas, archivos o flujos de trabajo vinculados a claves caducadas o revocadas, lo que paraliza la productividad hasta que se resuelve el problema. 

En sectores como el comercio electrónico o las finanzas, cada minuto de inactividad puede costar entre miles y millones de dólares. Además, desencadena acciones de reparación de emergencia, que pueden quemar horas de servicios profesionales de alto coste.

Costes indirectos (impacto empresarial a largo plazo)

Las claves no rastreadas o mal utilizadas infringen normativas de seguridad y privacidad como PCI-DSS, HIPAA o GDPR. Esto podría dar lugar a multas reglamentarias.

Además, los clientes, inversores y socios ven las claves mal gestionadas, los certificados caducados o los cortes de servicio como signos de una higiene de seguridad deficiente. Lo que puede erosionar la confianza, especialmente tras un incidente público.

Costes de oportunidad (ventajas estratégicas desaprovechadas)

La gestión manual de los certificados es una de las principales causas de la mala gestión de la clave pública, y ralentiza los procesos CI/CD y la adopción de la nube. Esto hace que los ingenieros dediquen tiempo a renovar certificados, buscar ubicaciones de claves o depurar problemas de PKI, en lugar de introducir código o lanzar funciones. Además, una PKI poco fiable amenaza las posibles inversiones y asociaciones tecnológicas. 

Principios de gestión eficaz de claves públicas

Visibilidad centralizada de claves y certificados

Sin un inventario central, su equipo corre el riesgo de perder el rastro de los certificados dispersos por cargas de trabajo en la nube, contenedores, puntos finales de usuario y sistemas de terceros. Los certificados en la sombra caducan silenciosamente, las claves no autorizadas se reutilizan y los procesos de revocación se convierten en conjeturas.

Centralizar la visibilidad:

• Crea una única fuente de verdad para cada clave y certificado activos en el entorno.
• Permite la supervisión en tiempo real para detectar a tiempo errores de configuración o anomalías.
• Mejora las capacidades de auditoría para satisfacer los requisitos de conformidad

Esta base permite una respuesta más rápida durante los incidentes y reduce el riesgo de que los certificados no rastreados o las claves no gestionadas se filtren en los procesos CI/CD.

Automatizar la gestión del ciclo de vida de los certificados

La gestión manual de certificados no es escalable. Depender de ingenieros o administradores de sistemas para renovar, revocar o desplegar certificados introduce errores humanos, retrasos operativos e incluso interrupciones por caducidad. 

Ahí es donde entra en juego la automatización.

Automatic certificate lifecycle management tools like Keyfactor Command take the burden off individual teams and reduce the risk of downtime. By automating the issuance, renewal, and revocation of certificates, you can:

• Garantice la expedición, renovación y revocación oportunas sin intervención manual.
• Reduzca las interrupciones causadas por certificados olvidados o mal configurados.
• Libere a sus equipos de ingeniería y seguridad para que puedan centrarse en tareas de mayor valor.

La automatización también refuerza la coherencia de las políticas, elimina las configuraciones débiles y mejora la higiene criptográfica general en todos los entornos.

Implantar políticas Crypto-Agile

La criptografía estática y codificada puede dejar sus sistemas vulnerables cuando los algoritmos quedan obsoletos o en peligro.

Crypto-agility means being able to adapt quickly by deploying new or multiple algorithms. It requires:

• Sistemas que pueden intercambiar algoritmos o tamaños de clave sin necesidad de un rediseño completo.
• Evitar la dependencia de herramientas o bibliotecas obsoletas.
• Cumplimiento de los requisitos normativos a medida que se orientan hacia protocolos de cifrado más estrictos.
  
  

Exija flexibilidad de algoritmos en sus políticas de uso de claves e insista en que los proveedores soporten capacidades cripto-ágiles. Esto mejora la resistencia de su organización para adaptarse a futuras amenazas y riesgos.

Mala gestión de la clave pública = Riesgo empresarial

Mismanaging public keys isn’t just a technical oversight; it’s a business risk. When organizations lack visibility, automation, and governance across their PKI, they open the door to outages, compliance failures, and reputational damage that could’ve been avoided. That’s why CISOs and IT leaders must recognize that this is a critical layer of enterprise security. Prioritizing strong key hygiene reduces operational risk, maintains customer trust, and positions your organization for long-term resilience.