Uno de los retos más comunes de la infraestructura de clave pública (PKI) a los que se enfrentan las organizaciones es hacer frente a las interrupciones inesperadas cuando los certificados caducan de forma imprevista. Por desgracia, en lugar de mitigar este reto, muchas experimentan interrupciones más frecuentes y graves.
¿Por qué aumentan las interrupciones? ¿Y qué significa esto para el futuro de la PKI empresarial?
El segundo informe anual de Ponemon Institute sobre el estado de la gestión de identidades de máquinas, que incluye las respuestas a una encuesta realizada a más de 1.200 líderes mundiales de TI y seguridad de 12 sectores, profundiza en estas cuestiones y en otras más para analizar más de cerca los retos y oportunidades de la gestión de identidades a los que se enfrentan actualmente las organizaciones.
Entre las muchas tendencias descubiertas en el informe, una de las más notables es el reciente aumento de las interrupciones relacionadas con los certificados. En este blog, explicaremos a qué se debe y cómo las organizaciones pueden combatir las interrupciones con un mejor control y automatización. En primer lugar, empecemos por la causa principal.
El 92% de las organizaciones sufrieron al menos una interrupción en los últimos 24 meses.
No cabe duda: La frecuencia y la gravedad de las interrupciones relacionadas con los certificados están aumentando, y casi todos los encuestados (92%) informan de una experiencia con al menos una interrupción debida a un certificado caducado o mal configurado en los últimos 24 meses.
Es probable que este aumento se deba al cambio de septiembre de 2020 para reducir a la mitad la vida útil de los certificados SSL/ TLS . Aunque llevamos años hablando de este cambio, muchas organizaciones solo se están dando cuenta de su pleno efecto ahora, ya que los equipos de seguridad se ven obligados a renovar los certificados al cabo de un año, en lugar de dos.
Aunque las organizaciones reconocen esta situación, con un 65 % que admite que la menor duración de SSL/TLS está aumentando la carga de trabajo de sus equipos y el riesgo de interrupciones -un 10 % más que en 2021-, los nuevos retos que este cambio conlleva no parecen disiparse a corto plazo. Casi dos tercios de los encuestados consideran que es probable o muy probable que sigan produciéndose interrupciones debidas a certificados caducados en los próximos dos años.
El 68% afirma que se tarda 3-4 horas o más en recuperarse de una interrupción.
Las organizaciones también se enfrentan al reto de recuperarse eficazmente de las interrupciones cuando se producen. De hecho, el tiempo medio de recuperación es de 3,3 horas, y el 68% de las organizaciones informan de un tiempo de recuperación de 3-4 horas o más.
¿A qué se debe este largo periodo de recuperación? La falta de visibilidad y de gestión centralizada. En concreto, el 55% de los encuestados afirma no saber exactamente cuántas claves y certificados tiene realmente su organización. Esta situación dificulta la respuesta ante una interrupción del servicio.
Esto se debe a que resolver una interrupción no es tan sencillo como "sustituir un certificado": requiere encontrar todas las ubicaciones en las que se encuentra el certificado caducado, volver a emitir un certificado, suministrar ese nuevo certificado a todos los sistemas pertinentes y, a continuación, reiniciar esos servicios. Para llevar a cabo todos estos pasos de forma eficaz también es necesaria la automatización, de la que carecen muchos equipos en la actualidad.
Consideremos el caso de Epic Games, que sufrió un apagón de más de cinco horas en abril de 2021.. Uno de los certificados comodín TLS de la empresa, que se utilizaba en muchos servicios internos, caducó y, como no se había realizado un seguimiento de él, el equipo no era consciente de su próxima caducidad. Esto condujo a una serie de acontecimientos que provocaron la caída de la tienda en línea de Epic Games y cuya resolución requirió más de 25 empleados de TI críticos.
El hecho de que Epic Games no supiera que este certificado iba a caducar, combinado con la falta de visibilidad de dónde se encontraba el certificado y la falta de automatización para volver a emitir uno nuevo, provocó la interrupción prolongada y el esfuerzo significativo para recuperarlo.
Casi dos tercios dan prioridad a la visibilidad y la automatización como respuesta
La buena noticia es que las organizaciones reconocen ahora el camino a seguir para resolver estos retos.
Mientras que el 42 % de los encuestados todavía utiliza hojas de cálculo para el seguimiento de certificados, ahora se dan cuenta de la necesidad de una solución dedicada que pueda ofrecer muchas más capacidades que una simple hoja de cálculo. Ya hemos visto avances en esta área, con un 44% de los encuestados que utilizan una solución dedicada a la gestión del ciclo de vida de los certificados en 2022, frente al 36% en 2021.
Podemos esperar que se produzca un alejamiento aún mayor de las hojas de cálculo y las herramientas caseras en favor de soluciones dedicadas y de primera clase. De hecho, los encuestados calificaron la visibilidad de todos los certificados (60%) y la automatización del ciclo de vida (57%) como las dos características más importantes a priorizar para la PKI y la gestión del ciclo de vida de los certificados en 2022.
Estas prioridades son prometedoras. Si las organizaciones pueden cumplir estos objetivos, estarán en el buen camino para reducir la frecuencia y gravedad de las interrupciones, a pesar de la necesidad de renovar los certificados con mayor frecuencia. Será especialmente interesante ver cómo evoluciona esta relación a lo largo del próximo año.
Más información
¿Qué más descubrió el informe Ponemon sobre las identidades automáticas en la empresa? Hemos revisado algunas de las conclusiones más importantes en nuestro blog, incluyendo una mirada a la superficie de ataque de la identidad de la máquina y el impacto de la nube y la confianza cero en la gestión de acceso a la identidad.
¿Quiere saber más? Para conocer más de cerca estas tendencias y otras más que están configurando el papel de las identidades automáticas en las organizaciones actuales, haz clic aquí para descargar el informe completo.
