Los líderes que adoptan una visión descendente de sus empresas pueden perderse la visión sobre el terreno, especialmente en lo que respecta a la seguridad y a las minucias técnicas implicadas en el mantenimiento de los procesos digitales que mantienen el negocio en marcha.
La infraestructura de clave pública (PKI) y la gestión de certificados digitales son ejemplos clave. Si la seguridad es auxiliar al enfoque principal del negocio, la PKI es auxiliar a la seguridad. Es un mecanismo crucial de un aparato necesario que evita que ocurran cosas negativas para que el negocio pueda perseguir su propósito y objetivos principales.
Como tal, la PKI a menudo se descuida. Aunque apenas es central para la misión del negocio, una PKI con recursos insuficientes y mal gestionada está consumiendo más recursos de los que las organizaciones y los líderes probablemente son conscientes.
En resumen, la PKI y los certificados digitales aseguran las interacciones entre sistemas digitales y cifran los datos. Piense en estos certificados como pasaportes: formas de identidad emitidas por una autoridad de confianza. Al igual que los pasaportes, estos certificados caducan después de un cierto período y deben ser reemitidos.
Gestionar estos certificados es más desafiante de lo que parece.
- La organización promedio mantiene más de un cuarto de millón de certificados en cualquier momento dado.
- El seguimiento, la gestión y la emisión de nuevos certificados son procesos muy manuales y técnicos.
- Solo se necesita un certificado caducado para causar una interrupción del servicio.
Entonces, de todos los problemas a resolver en el negocio, ¿por qué resolver este?
Porque los certificados y la PKI mal gestionados están costando al negocio millones de dólares y aún más en ineficiencias posteriores.
El costo de una interrupción
En el Informe sobre el estado de la identidad de las máquinas 2023 de Keyfactor, el 77 % de los encuestados afirmó que su organización había experimentado al menos dos interrupciones significativas relacionadas con certificados en los últimos 12 meses. Más de la mitad de los encuestados indicó que estas interrupciones causaron graves disrupciones en los servicios de atención al cliente, los usuarios internos y subconjuntos de clientes.
Estas disrupciones no son triviales. Los costos por la pérdida de negocio y el daño reputacional son considerables. El tiempo de inactividad no planificado causado por certificados caducados puede costar a las organizaciones más de 300 000 $ por hora. Según el Informe sobre el estado de la identidad de las máquinas, a la organización promedio le lleva 3,79 horas identificar, remediar y recuperarse de una interrupción relacionada con certificados, lo que eleva los costos a alrededor de 1,1 millones de dólares.
Los costos de mano de obra de la gestión manual de la PKI
Muy pocas empresas cuentan con un equipo de PKI dedicado. Con mayor frecuencia, la responsabilidad de gestionar los certificados y la PKI recae en los equipos de TI y/o seguridad. Cuando se considera el volumen de certificados en el entorno de su organización —256 000 en promedio—, el riesgo de gestionarlos mediante hojas de cálculo o herramientas internas heredadas se vuelve evidente.
Estos equipos a menudo ya están sobrecargados de trabajo. Los procesos de PKI ineficientes solo dificultan más su labor. Exacerban el agotamiento, lo que genera costos de rotación de personal, y distraen a estos equipos de sus funciones principales. Esto significa que es más costoso dotar de recursos a los equipos de TI y seguridad, y aumenta la probabilidad de errores en estas funciones.
De hecho, el 53 % de los encuestados en el Informe sobre el estado de la identidad de las máquinas afirmó no tener suficiente personal para implementar y mantener su PKI. A medida que las identidades de máquinas continúan aumentando exponencialmente en volumen, a medida que las organizaciones migran a la nube, realizan adquisiciones, adoptan dispositivos IoT y digitalizan más procesos de negocio, la tarea de gestionar la PKI a escala solo se volverá más onerosa.
PKI es un nicho intensamente técnico. Los equipos de TI y seguridad rara vez cuentan con conocimientos específicos de PKI. Por lo tanto, es posible que no tengan los medios para mejorar estos procesos y diseñar la PKI de forma más eficiente. Puede que ni siquiera sepan qué buscar al buscar una solución de PKI.
Infraestructura redundante y costos de proveedores
El hecho de que algún equipo dentro de la organización esté gestionando la PKI no significa que lo haga con una estrategia global. Con bastante frecuencia, no existe una propiedad centralizada de la PKI y la gestión de certificados. En este caso, los equipos que utilizan certificados (como los equipos de DevOps) buscan sus propios proveedores y adoptan sus propias soluciones.
El problema es que a menudo lo hacen sin tener en cuenta la seguridad y no documentan los certificados que crean y emiten. Los certificados no rastreados acechan en la infraestructura, esperando como una bomba de tiempo para caducar y causar una interrupción.
Cuando los equipos aislados buscan sus propias soluciones de PKI, crean redundancia y dispersión, lo que conlleva costos y complejidad innecesarios.
PKI como servicio
Algunas organizaciones consideran factible componer e implementar una arquitectura, políticas y herramientas de PKI a nivel empresarial que mitiguen los costos de la PKI.
¿Tiene tiempo para hacer eso? ¿Es la gestión interna de su PKI realmente la forma en que desea invertir su presupuesto?
Muchas organizaciones consideran más eficiente y efectivo delegar completamente la PKI de sus equipos internos a través de socios que ofrecen PKI como servicio.
Despídase de las interrupciones.
Estos proveedores y sus herramientas descubren y rastrean proactivamente todos y cada uno de los certificados en el entorno y los compilan en un centro de gestión universal.
Acceda a un conocimiento profundo de PKI.
Los socios de PKI poseen las habilidades y el conocimiento que los equipos de TI y seguridad no tienen. Pueden generar eficiencias e implementar mejores prácticas que simplifican, escalan y minimizan la sobrecarga de la PKI. Mientras tanto, sus equipos internos pueden volver a sus tareas con mucha más capacidad.
Confíe en las mejores prácticas de la industria.
El proveedor de PKI adecuado aprovechará estándares como ISO 27000, PCI-DSS, SOC2 y otros para asegurar su infraestructura en el entorno de amenazas actual, que cambia rápidamente. Esto brinda confianza a los equipos de seguridad y proporciona a la dirección pruebas de que su PKI sigue las mejores prácticas de seguridad de la industria.
Posicione el negocio para el futuro.
Con una PKI racionalizada y gestionada por expertos, su organización puede emprender nuevas iniciativas, prepararse para la informática cuántica y adelantarse a las amenazas emergentes.
Para que la empresa tenga éxito, debe poder confiar en su infraestructura digital. Como ocurre con muchos aspectos de la transformación, la externalización de conocimientos especializados pero necesarios a socios especializados puede suponer un impulso instantáneo para toda la empresa.
Con Keyfactor, las organizaciones obtienen todas las ventajas de una PKI de primera clase sin el esfuerzo y el gasto que supone gestionarla internamente. Consulte nuestra Guía esencial para evaluar soluciones PKI y aprenda a elegir la solución PKI adecuada para su organización.
Step-ca es una sencilla pero flexible herramienta PKI basada en CLI open-source que puede crear y gestionar certificados digitales. Incluye soporte para múltiples formatos de certificados y se integra con herramientas como Kubernetes, Nebula y Envoy.
Entre sus principales funciones figuran:
- Emisión y gestión de certificados X.509 y SSH
- Interfaz basada en CLI para certificado
- Extensibilidad mediante protocolo ACME y SCEP
- Requiere conocimientos técnicos en conceptos PKI y JSON
