Por qué su solución PKI heredada no funciona

Organizaciones de todos los tamaños se enfrentan a una batalla entre la demanda de habilitar nuevas aplicaciones y datos y la necesidad de proteger su negocio y a los consumidores. Si usted es un profesional de TI o de seguridad, lo sabe muy bien. Está en el campo de batalla enfrentándose a estas presiones todos los días.

El crecimiento explosivo de la conectividad entre usuarios, dispositivos y aplicaciones ha hecho que cada vez sea más difícil seguir el ritmo del día a día, por no hablar de salir adelante. Lo que antes se consideraba una cobertura completa, ahora solo basta para mantener las luces encendidas.

La infraestructura de clave pública (PKI, por sus siglas en inglés) es, sin duda, un componente básico de las TI, pero ha asumido un papel aún más crítico en este nuevo panorama de la ciberseguridad. Antes considerada como una tecnología de backend utilizada para proteger sitios web y aplicaciones protegidos por HTTPS, la PKI se aprovecha ahora para proteger y habilitar nuevas iniciativas a la vanguardia de la transformación digital.

¿Cómo hemos llegado hasta aquí? La PKI no es nada nuevo, pero no siempre ha tenido el aspecto que tiene hoy. En un blog anterior, nuestro CTO Ted Shorter esboza la evolución de PKI en tres fases diferentes:

1. PKI de Internet: en los primeros tiempos de Internet, las empresas necesitaban certificados de amplia confianza para proteger sus sitios web y aplicaciones de cara al público. Los certificados digitales se compraban a un elevado coste a un número limitado de CA públicas.
2. PKI empresarial: A medida que crecían las redes empresariales, aumentaba la necesidad de proteger los dispositivos de los usuarios, los dispositivos de red, Wi-Fi y el acceso VPN con certificados en los que no era necesario confiar fuera de la organización. La creación de una PKI privada permitía un mayor control sobre estos certificados y eliminaba los costes por certificado de la compra a una CA pública.
3. Next-Gen PKI: Hoy en día, todo y todos estamos conectados. La adopción de la nube, IoT y los dispositivos móviles ha cambiado radicalmente el panorama tecnológico. Altamente escalable y probada, la PKI se ha convertido en el estándar de facto para asegurar las identidades digitales en este nuevo entorno.

Con cada generación, la tecnología se ha vuelto más conectada, más móvil y más rápida. Implantar una PKI hace 10 años suponía un conjunto de casos de uso, retos y estándares totalmente diferentes a los que se enfrentan las empresas hoy en día. Estos son los principales impactos de la PKI empresarial en la actualidad:

• Adopción de IoT, Cloud & DevOps. Cada vez más aplicaciones requieren el uso de cifrado y autenticación, pero en muchos casos, las implementaciones de PKI existentes no están equipadas para el trabajo. Según el Estudio de Tendencias Globales de PKI y IoT de 2019, el 56% de las organizaciones afirma que su PKI existente es incapaz de soportar nuevas aplicaciones.
• Rápido crecimiento de los certificados digitales. Ni que decir tiene que el número de claves y certificados digitales en uso en las organizaciones ha crecido exponencialmente, lo que dificulta aún más el seguimiento de cuántos se han emitido y dónde se encuentran en su infraestructura. Sin las herramientas adecuadas, las interrupciones debidas a certificados caducados provocan un tiempo de inactividad significativo y un riesgo para la seguridad de la organización.
• PKI "hágalo usted mismo" desarticulada. Con demasiada frecuencia, las organizaciones ni siquiera saben cuántas CA emiten certificados en su entorno. Se implementan múltiples configuraciones de CA "hágalo usted mismo" para diferentes casos de uso, sin ninguna supervisión por parte del equipo de seguridad. En lugar de una PKI dedicada y bien diseñada, estas CA ad hoc crean un entorno inconexo y francamente desordenado que puede ser difícil de limpiar.
• Conocimientos y recursos insuficientes. Las grandes empresas solían tener un equipo dedicado responsable de todo lo relacionado con PKI, pero con el tiempo, esa tarea ha pasado a manos del equipo de TI o de seguridad. Aunque los profesionales de la seguridad están bien informados, disponen de docenas de herramientas y aplicaciones para funcionar al margen de la PKI. Sin embargo, sin una diligencia constante, la integridad de la PKI se degrada inevitablemente por debajo de los niveles de servicio aceptables. En el mejor de los casos, crea quebraderos de cabeza operativos. En el peor de los casos, la PKI debe reconstruirse desde cero.
• Normas criptográficas en evolución. Cada certificado caduca, cada algoritmo evoluciona y, con los recientes avances en computación cuántica, los riesgos aumentan aún más. La necesidad de adaptarse rápidamente y preparar su PKI para la era post-cuántica nunca ha sido más importante.

¿Qué es la PKI heredada? En el nivel más alto, suele consistir en una combinación de soluciones que pueden incluir herramientas proporcionadas por las CA, hojas de cálculo y secuencias de comandos personalizadas, y otras soluciones propias. Este enfoque era la mejor opción disponible en el pasado, pero hoy en día, cuando el número de certificados alcanza las decenas o incluso los cientos de miles, resulta muy inadecuado.

Las implementaciones de PKI heredadas dejan a las organizaciones atrapadas en un modo reactivo, en el que los diferentes departamentos (es decir, DevOps, ingenieros de red, administradores de AD) implementan CA para sus propios casos de uso sin ningún tipo de supervisión o control, y los equipos de seguridad están constantemente a la caza de certificados caducados o no conformes para evitar interrupciones perjudiciales.

A medida que las infracciones e interrupciones relacionadas con los certificados siguen estancando la productividad y poniendo en riesgo a la organización, los equipos de TI y seguridad buscan un nuevo enfoque que pueda cerrar las amplias brechas dejadas por su PKI del pasado.

Gartner afirma que "los profesionales técnicos necesitan transformar la percepción -y el despliegue- de PKI para establecer un régimen automatizado de PKI". En la transición a la nueva generación de PKI, las empresas tendrán que evolucionar y adaptarse.

Hacerlo bien requerirá una inversión en infraestructura, personal y apoyo operativo continuo, pero la recompensa de crear una PKI sólida y fiable es incalculable. Descargue nuestro libro blanco para comprender lo que se necesita para crearla correctamente e iniciar el camino hacia el éxito de la PKI. También aprenderá cómo Keyfactor Command puede ofrecer todas las ventajas de la PKI, sin el coste ni la complejidad de gestionarla internamente.