Estado de la gestión de identidades de máquinas: Estableciendo la propiedad de la PKI y reduciendo la complejidad de la PKI en 2023

Desde 2021, el Informe sobre el Estado de la Identidad de Máquinas de Keyfactor ha ayudado a las organizaciones a evaluar el panorama de la identidad de máquinas y la PKI. Los hallazgos del informe ilustran cómo se utiliza la PKI en el mundo empresarial, así como las prioridades y desafíos que ocupan la mente de los líderes de seguridad y de la alta dirección por igual. 

Keyfactor se enorgullece de presentar el Informe sobre el Estado de la Identidad de Máquinas de 2023, realizado en colaboración con el Ponemon Institute. El informe de este año muestra cómo las organizaciones siguen luchando por sentar las bases para una gestión eficiente de la PKI a escala, incluso a medida que la concienciación sobre la PKI como una necesidad crítica para el negocio sigue aumentando. 

• La adopción de la confianza cero, los dispositivos IoT y los servicios basados en la nube está impulsando el despliegue de claves, PKI y certificados. 
• Por primera vez en la historia del informe, "reducir la complejidad de la infraestructura PKI" se clasificó como la máxima prioridad. 
• La escasez de mano de obra sigue suponiendo un reto para las organizaciones a la hora de establecer una estrategia de PKI y MIM a nivel empresarial.

La realidad de la computación cuántica está cada vez más cerca, los casos de uso para las identidades de máquinas se están expandiendo y las interrupciones son cada vez más críticas. Si bien se reconoce ampliamente que cada máquina necesita una identidad, existe una escasez de debate y comprensión sobre la gestión de esas identidades. 

So what can organizations start doing now to manage machine identities better? This year’s State of Machine Identity Management Report offers several considerations on which to build a machine identity management (MIM) strategy that can enable greater crypto-agility for the future. 

1. Establecer la propiedad de la identidad de la máquina

Los certificados son utilizados por equipos de toda la empresa —seguridad, TI, DevOps, la nube y otros—. Cada equipo tiene sus propias necesidades en cuanto a herramientas y uso, pero nadie es realmente el propietario de una estrategia global de identidad de máquinas.

That’s partly because there isn’t one. In this year’s report, only 47% of organizations said they have an enterprise-wide strategy for managing PKI and machine identities.

Cuando nadie es responsable de la estrategia de PKI, no puede haber una alineación en torno a las mejores prácticas, la toma de decisiones sobre conflictos relacionados con la identidad o el soporte interorganizacional para problemas de certificados. Esto se traduce en un mayor riesgo de interrupciones y tiempos de respuesta más prolongados. 

En el pasado, las organizaciones han utilizado equipos de seguridad para implementar y gestionar certificados y criptografía. Sin embargo, la criptografía se ha convertido en un conjunto de iniciativas estratégicas que requieren un conocimiento más amplio y una estrategia a largo plazo.

Establishing a Crypto Center of Excellence (CCoE) or a machine identity working group that includes cross-functional participants has proven effective at preventing silos and maintaining visibility of cryptographic assets. The stakeholders who make up this group live and breathe their use cases every day, so they can make decisions around tooling and processes that truly enable productivity and deliver business value. Additionally, they can serve as a single point of contact for users across the enterprise, offering unified answers that enforce the overall mission.

2. Invierta en su estrategia de gestión de identidades de máquinas

The formulation of any strategy requires a human element, which the machine identity working group supplies. Once the vision is defined, organizations must make investments that enable and accelerate that vision with automation, visibility, and centralized control over certificate lifecycles.

Gaining visibility is the first and perhaps most difficult step. In this year’s report, 62% of respondents said they don’t know how many keys and certificates their organization has — that’s up from 55% in 2022 and 53% in 2021. 

This may feel conflicting, as awareness of machine identities and the maturity of management technologies are on the rise. But it goes to show that the explosion in volume and use cases around machine identities is outpacing the organizational ability to manage them. This challenge will only grow more difficult as certificate lifecycles become shorter. 

Uno de los primeros pasos de un grupo de trabajo de identidad de máquinas recién formado debería ser auditar el panorama de identidades de máquinas de la organización e identificar las brechas. A partir de ahí, pueden explorar herramientas y procesos que se adapten a los requisitos únicos de varios equipos e integrarlos con las herramientas, flujos de trabajo y aplicaciones existentes. 

La contrapartida entre un CCoE centralizado y dedicado a PKI y un grupo de trabajo de identidad de máquinas es que los miembros del grupo de trabajo tienen otras responsabilidades. Especialmente bajo las presiones de una escasez de mano de obra continua, las organizaciones harían bien en capacitar a los miembros del grupo de trabajo para gestionar las responsabilidades de identidad de máquinas de la manera más eficiente posible.

3. Reduzca la complejidad en su PKI

A major headline emerging from this year’s State of Machine Identity Report is the importance of reducing the complexity around PKI. Reducing complexity in PKI ranked as the top strategic priority, up from 50% in 2021 to 58% in this year’s report.

Pero hacer que la PKI sea menos complicada puede ser, bueno, complicado. Hay varios factores en juego.

• Higher volume of machine identities
  
  71% of respondents said their organizations are deploying more cryptographic keys and digital certificates, up from 60% in 2021.

• Fewer resources to dedicate to PKI
  
  53% of respondents said their organizations don’t allocate enough resources and staff dedicated to PKI deployment.
• PKI and CA sprawl clutter machine identity strategies
  
  On average, organizations use 9 different PKI and CA solutions, with a mix of internal private PKI, self-signed certificates, cloud-based services, and tools built into DevOps platforms.

Este tipo de proliferación es el resultado de la falta de responsabilidad en torno a la PKI. Solo el 31 % de los encuestados afirmó que sus organizaciones tienen un grupo de trabajo de identidad de máquinas maduro. 

Los equipos que trabajan en silos adoptan sus propias herramientas, lo que aumenta la redundancia y expande la superficie de ataque de la organización. Sin una estrategia global o al menos un proceso unificado para tomar decisiones sobre PKI, es difícil identificar soluciones que satisfagan múltiples propósitos.

Las interrupciones relacionadas con certificados están afectando gravemente a las organizaciones

In this year’s report, 55% of respondents said certificate-related outages have caused severe disruption to customer-facing services, while another 50% said outages have caused major disruption to internal users or a subset of customers. 

Para empeorar las cosas, el tiempo de recuperación de las interrupciones de certificados es cada vez mayor: 3,79 horas de media, en comparación con las 3,3 horas del informe del año pasado. 

Otros factores están haciendo de la PKI un problema más urgente de resolver. La escasez de mano de obra con habilidades cibernéticas continúa, mientras que la seguridad de la firma de código se está convirtiendo en una parte más integral de las estrategias de gestión de identidades de máquinas. 

Keyfactor’s 2023 State of Machine Identity Report speaks to these challenges. No matter where you are in your PKI journey, enabling long-term scale and efficiency is possible. We hope this year’s report gives you clarity and excitement about the future. At Keyfactor, we’ll keep working to deliver insights that help you navigate the machine identity landscape and establish digital trust enterprise-wide.

Lea el informe completo aquí.