Comienza tu recorrido por el plano de control de confianza con la fase 1 y la fase 2.
Una vez que se dispone de una visibilidad completa y se han establecido las prioridades en torno a sus identidades digitales y activos criptográficos, el siguiente reto es establecer la confianza en ese panorama tan extenso. La fase 3 del plano de control de confianza se centra en garantizar que cada identidad de máquina no solo sea conocida, sino que también sea sea de confianza y cumpla con la política. En la práctica, esto significa dos cosas: emitir y gestionar identidades a gran escala, y hacer cumplir las normas mediante la gobernanza.
Por qué «generar confianza» es importante para los CISO
En una empresa, «generar confianza» se refiere a establecer las credenciales y las normas que regirán todas las interacciones. Se trata de responder a preguntas como: ¿En qué autoridades de certificación (CA) confiamos? ¿Qué políticas dictan la validez y el uso de los certificados? ¿Cómo nos aseguramos de que solo existan identidades autorizadas? Para los CISO y los responsables de seguridad, esta etapa se traduce en control, coherencia y reducción de riesgos:
- Pautas coherentes: Al definir políticas de identidad y certificados para toda la empresa, se crea una base de confianza que abarca todos los departamentos y entornos. Por ejemplo, se puede exigir que todos los servicios web utilicen certificados de jerarquías de CA aprobadas, con una longitud mínima de clave y una vigencia máxima de 90 días. Estas medidas de seguridad reducen drásticamente la probabilidad de configuraciones erróneas o del uso de criptografía débil, causas habituales de violaciones de seguridad e interrupciones del servicio.
- Escala y rapidez: Las grandes organizaciones suelen gestionar cientos de miles de certificados y claves. El enfoque de control de confianza le ayuda a establecer y mantener esas identidades a gran escala, ya sea a través de una PKI interna o de proveedores externos, con un esfuerzo humano mínimo. No basta con encontrarlo todo (Fase 1): también debe emitir rápidamente sustituciones, actualizar configuraciones y propagar la confianza a través de los sistemas globales cuando sea necesario (por ejemplo, para migraciones masivas como un cambio de CA raíz o la implantación de criptografía poscuántica). Establecer la confianza a gran escala significa disponer de los procesos y la tecnología para hacerlo de forma rápida y correcta.
- Gobernanza y rendición de cuentas: Cada identidad de máquina necesita un propietario y una política. La fase 3 es también donde se asigna la titularidad («¿Quién es responsable de este certificado o clave?») y se integran las políticas en los flujos de trabajo del sistema. Por ejemplo, una solicitud de certificado de un equipo de desarrollo podría seguir automáticamente una política que garantice que se registra en un inventario, cumple con los estándares de seguridad y se renueva antes de su vencimiento. Esto garantiza que ninguna identidad quede sin gestionar o sin supervisión, un resultado de gobernanza fundamental para los altos directivos.
En resumen, la Etapa 3 transforma los datos de descubrimiento en un marco de confianza controlado para la empresa. Es como pasar de limitarse a enumerar todas tus cuentas financieras a establecer normas sobre cómo fluye el dinero entre ellas y quién tiene acceso.
Política como código: de los documentos a los controles activos
Muchas organizaciones han elaborado directrices sobre el uso de certificados («no se admiten certificados SHA-1», «renovar los certificados de desarrollo cada seis meses», etc.), que a menudo quedan ocultas en wikis o documentos normativos. El Trust Control Plane da vida a esas reglas aplicándolas directamente a través de la tecnología. Este concepto —a veces denominado «política como código» — garantiza que las buenas intenciones se traduzcan realmente en acciones coherentes a gran escala. Entre los elementos clave se incluyen:
- Políticas de certificados y claves: Definir y codificar las normas corporativas para las identidades criptográficas. Por ejemplo: CA aprobadas, algoritmos criptográficos permitidos, longitudes mínimas de clave, duraciones máximas de validez, plazos de renovación, etc. Estas reglas pasan a formar parte de los flujos de trabajo automatizados (Etapa 4) para que el cumplimiento quede integrado de forma predeterminada.
- Plantillas y esquemas: El plano de control de confianza utiliza plantillas de identidad preaprobadas y esquemas para agilizar la emisión. En lugar de que los ingenieros ajusten manualmente la configuración de los certificados, eligen entre perfiles estandarizados (por ejemplo, «certificado de servidor interno» o «identidadIoT »). Esto reduce la variabilidad y el error humano, al tiempo que acelera la implementación.
- Controles de gobernanza: Cuando se producen eventos inusuales o que incumplen las políticas —por ejemplo, si alguien intenta utilizar un certificado autofirmado no aprobado—, el sistema puede señalarlos o bloquearlos automáticamente. La supervisión continua garantiza el cumplimiento: cualquier certificado que incumpla la política activa una alerta o una acción correctiva, subsanando las deficiencias de gobernanza antes de que se conviertan en incidentes.
Un analista del sector señaló que las empresas están dejando de pensar en términos de herramientas individuales para pasar a pensar en términos de sistemas y políticas. El establecimiento de la confianza es donde se pone en práctica esa filosofía. Al aplicar normas coherentes en entornos fragmentados, un CISO garantiza que apetito de riesgo y los requisitos de cumplimiento de la organización se apliquen de manera uniforme , independientemente del equipo o la tecnología de que se trate.
Por ejemplo, una gran empresa puede tener varias plataformas de nube pública, cada una con sus propios métodos de emisión de certificados. Al integrarlas bajo una única política de confianza, el CISO puede exigir que todos los certificados, independientemente de su origen, cumplan las normas de seguridad corporativas , eliminando así eliminando los puntos débiles que los atacantes o los auditores podrían aprovechar.
Emisión y escala: el fideicomiso debe crecer al ritmo de la empresa
El aspecto práctico de generar confianza consiste en la emisión de credenciales y la gestión del ciclo de vida a gran escala. Esto aborda el crecimiento explosivo de las identidades de las máquinas y la necesidad de rapidez:
- Emisión a gran escala y a alta velocidad: En el pasado, la emisión de certificados era un proceso lento y basado en tickets. Ahora, con las aplicaciones en contenedores y los microservicios efímeros, puede ser necesario emitir (y posteriormente renovar) miles de certificados cada día. La fase 3 de Trust Control Plane aprovecha potentes motores de PKI y de firma (como EJBCA Keyfactor EJBCA otras CA integradas) para emitir identidades a la velocidad de la nube, a través de API y automatización, sin sacrificar la gobernanza. Esto significa que los desarrolladores y los sistemas obtienen las credenciales que necesitan cuando las necesitan (a menudo de forma instantánea), pero siempre dentro de los límites establecidos por las políticas.
- Puntos de referencia de confianza unificados: Establecer la confianza también implica mantener la raíz de confianza. El enfoque de control de confianza centraliza la supervisión de las CA raíz e intermedias (incluso si se dispone de varias) y garantiza que estén debidamente protegidas y auditadas. Además, incorpora nuevos tipos de anclajes de confianza, por ejemplo, explorando cómo proteger las identidades de los agentes de IA —, de modo que, a medida que surjan nuevas formas de identidad de máquina, se incorporen rápidamente al ámbito de confianza de la empresa. Ninguna identidad queda sin gestionar.
- Conectando ecosistemas: Conscientes de que quizá no sea posible sustituir todos los sistemas de la noche a la mañana, esta etapa suele implicar integraciones o federaciones con fuentes de identidad existentes (como CA públicas, servicios de certificados de proveedores de nube, HSM y sistemas de gestión de claves). El plano de control de confianza actúa como la fuente criptográfica de verdad, tendiendo un puente entre estos ecosistemas para que incluso los certificados emitidos externamente se controlen y gestionen en un único lugar.
Resultados empresariales: Cumplimiento normativo y control
Para los CISO, Etapa 3: Generar confianza ofrece beneficios tangibles de alto nivel:
- Menor riesgo de configuraciones erróneas: Muchos incidentes de seguridad se deben a credenciales emitidas incorrectamente o configuradas de forma inadecuada (por ejemplo, algoritmos débiles o una validez excesivamente larga que permite el abuso). Al aplicar la política en el momento de la emisión, se evitan estos errores desde el origen, lo que reduce significativamente el riesgo operativo y de seguridad.
- Optimización del cumplimiento normativo y la preparación para auditorías: Un proceso sólido de emisión y gobernanza significa que, cuando los reguladores o auditores pregunten «¿Tienen sus claves y certificados bajo control?», dispondrá de pruebas y informes concretos a su alcance. Las políticas se ajustan a las normas de cumplimiento (como FIPS, las directrices del NIST, el RGPD, etc.), y la capacidad de demostrar la aplicación coherente de dichas políticas en toda la empresa contribuye en gran medida a demostrar la diligencia debida.
- Rápida obtención de valor: La estandarización y automatización del establecimiento de la confianza también acelera las iniciativas empresariales. Los equipos no sufren retrasos esperando certificados ni tienen dudas sobre qué controles criptográficos deben utilizar. Esta agilidad, ofrecida de forma segura, es crucial a medida que las empresas lanzan nuevos servicios digitales o adoptan nuevas tecnologías (como IoT la IA). Pueden hacerlo con la confianza «integrada» en lugar de añadirla posteriormente.
Con la visibilidad lograda (Etapa 1), se ha iniciado el análisis y el contexto en torno a la priorización de riesgos (Fase 2) y ahora la confianza debidamente establecida y gestionada (Fase 3), una organización ha sentado unas bases sólidas. Pero mantener esas bases en un panorama de TI dinámico requiere el siguiente paso: automatización y orquestación para eliminar el esfuerzo manual y el error humano. Abordaremos este tema en Parte 4 de la serie.
