¿Qué es la gestión de claves criptográficas? Una guía completa

La gestión de claves criptográficas es la disciplina que se encarga de controlar las claves criptográficas a lo largo de todo su ciclo de vida: desde el momento en que se crean hasta el momento en que se destruyen. Abarca las políticas, los procedimientos y las tecnologías que rigen la forma en que se generan, distribuyen, almacenan, utilizan, rotan, revocan y retiran las claves. Cuando se lleva a cabo correctamente, garantiza que las protecciones criptográficas de las que depende una organización sigan siendo eficaces, conformes a la normativa y resilientes. Cuando se descuida, genera vulnerabilidades invisibles que pueden dar lugar a filtraciones catastróficas.

Esta guía recoge todo lo que cualquier responsable de seguridad informática, CISO y arquitecto de seguridad debe saber sobre la gestión de claves criptográficas a escala empresarial.

¿Por qué es importante la automatización para la gestión de claves criptográficas?

La automatización es el factor clave que permite que todas las demás buenas prácticas clave en materia de gestión sean sostenibles a gran escala.

Adaptarse al crecimiento.
A medida que los requisitos de criptografía se amplían con nuevas normativas, aplicaciones y tipos de dispositivos, la gestión manual de claves no puede seguir el ritmo. La automatización permite a las organizaciones ampliar su infraestructura criptográfica sin aumentar proporcionalmente la plantilla ni el riesgo.

Automatización del ciclo de vida.
La rotación, renovación y revocación de claves deben automatizarse para eliminar los procesos manuales y reducir el periodo de vulnerabilidad. El ciclo de vida de las claves debe automatizarse para garantizar que se roten de forma periódica.

Reducir la intervención humana.
Cada vez que una persona maneja directamente una clave criptográfica, aumenta el riesgo de error, robo o uso indebido. La filtración de datos de Postbank, en la que un único empleado deshonesto robó las claves maestras, ilustra por qué es fundamental minimizar el contacto humano con las claves. La automatización elimina la necesidad de que el personal toque las claves directamente.

Prevención de errores de configuración.
Los sistemas automatizados garantizan una configuración coherente en todos los dispositivos y aplicaciones que utilizan claves, lo que elimina las desviaciones de configuración que los procesos manuales introducen inevitablemente.

Criptografía poscuántica.
A medida que comience la transición hacia la criptografía resistente a los algoritmos cuánticos (PQC), será necesario cambiar conjuntos completos de claves, así como la infraestructura necesaria para adaptarse a los tamaños y formatos de clave que exigen los nuevos algoritmos.

Cada uno de estos puntos se trata con mayor detalle en el resto de este artículo.

Adaptarse al crecimiento: por qué es importante la gestión de claves criptográficas

La magnitud del reto agrava el riesgo. Las organizaciones gestionaban una media de más de 11 000 claves y certificados; sin embargo, una gran parte de ellas desconoce el número exacto de claves en uso en sus entornos o, lo que es peor, no sabe dónde se almacenan dichas claves. Dado el rápido crecimiento de la adopción de la criptografía desde entonces, es probable que estas cifras subestimen la magnitud actual del reto. La mayoría de las organizaciones carecen de las herramientas, las competencias y el presupuesto necesarios para gestionar eficazmente las claves criptográficas. Las filtraciones rara vez afectan a los activos sometidos a una supervisión constante; son las claves no gestionadas y olvidadas las que suelen provocar las vulnerabilidades.

La lección es clara: todas las claves deben localizarse, gestionarse, supervisarse y auditarse.

Tipos y ejemplos de claves criptográficas:Las organizaciones deben gestionar una amplia variedad de claves criptográficas, cada una con distintos requisitos en cuanto a su ciclo de vida y consideraciones de seguridad. Comprender estas categorías es el primer paso hacia una gestión integral de las claves.

Claves operativas de la PKI(los puntos de referencia de confianza)

• Clave de firma de la CA raíz.
  Firma los certificados de las CA intermedias. Normalmente se encuentran fuera de línea en un HSM aislado físicamente, y solo se utilizan durante las ceremonias de cambio de claves programadas.
• Clave de firma de la CA (intermedia).
  Firma certificados de entidades finales y CRL a gran escala. Se encuentran en línea, en un HSM conectado a la red situado detrás de la CA emisora (ADCS, EJBCA, Keyfactor Command).
• Clave de firma del servidor de respuesta OCSP.
  Firma las respuestas sobre el estado de los certificados. Se encuentran en el servidor de respuesta, normalmente respaldadas por un HSM.
• Credenciales de registro.
  Contraseñas de autenticación SCEP, claves de cuenta ACME, credenciales EST. Estas credenciales las conservan los terminales registrados: dispositivos gestionados por MDM/UEM, equipos de red, servidores web y equilibradores de carga que ejecutan clientes ACME.

Identidad y claves hardware(identidades de dispositivo)

• IDevID.
  Identidad permanente grabada en el momento de la fabricación. Se encuentran en el elemento seguro del dispositivo o en el TPM: tarjetas de red, IoT y dispositivos de red.
• LDevID.
  Identidad emitida localmente y asignada durante el proceso de incorporación. Se almacenan en el mismo TPM/elemento seguro, con un ámbito limitado a tu dominio.
• Claves TPM (EK, AK, SRK).
  Claves de endoso, certificación y raíz de almacenamiento. Se generan o derivan dentro del TPM en cada ordenador portátil y servidor gestionado; sirven para la certificación de la plataforma y el cifrado del disco.
• Arranque seguro y claves de firma del firmware.
  Se verifica que solo se inicie código autorizado. Las claves de firma las posee el fabricante de equipos originales (OEM) o el proveedor de la plataforma; las claves de verificación se encuentran en el firmware UEFI.
• Claves de firma de código.
  Firmar software controladores. Se encuentran en un hardware o HSM (actualmente se exigehardware para la firma de código de confianza pública según las normas de firma de código del CA/Browser Forum), normalmente dentro del proceso de compilación y lanzamiento o en un servicio de firma específico.

Protocolo y claves de aplicación

• Claves SSH.
  Son asimétricas y famosas por su proliferación descontrolada (sin fecha de caducidad, sin inventario centralizado). Se pueden encontrar en todas partes: en el archivo `authorized_keys` de los servidores, en los ejecutores de CI/CD, en los portátiles de los desarrolladores y en las cuentas de servicio.
• Claves precompartidas (PSK).
  Secretos simétricos de larga duración. Se encuentran en concentradores VPN y túneles IPsec, redes Wi-Fi (WPA2-PSK) y en IoT .
• Claves de cifrado de tickets de sesión (STEK).
  Cifran los tickets TLS ; si no se rotan, anulan silenciosamente la confidencialidad hacia adelante que se pretende garantizar mediante el intercambio de claves efímeras. Se encuentran en TLS : equilibradores de carga, proxies inversos, nodos periféricos de CDN y servidores web.
• Clavesestáticasde acuerdo de clavesyde transporte de claves.
  Son las contrapartidas no efímeras de las claves efímeras de establecimiento de claves. Se encuentran en TLS heredadas, en S/MIME y en algunas IoT .

Tipos de claves poscuánticas

• Pares de claves ML-KEM (FIPS 203).
  Sustituye al método clásico de establecimiento de claves. Se ha implementado inicialmente en TLS híbrido X25519MLKEM768), VPN y SSH.
• Claves de firma ML-DSA (FIPS 204) y SLH-DSA (FIPS 205).
  Sustituyen a las firmas RSA y ECC. Se utilizan en la firma de código y firmware, en futuras jerarquías de autoridades de certificación y en la firma de documentos.
• Pares híbridos.
  Una clave clásica y una clave PQ por canal durante la migración. Aparecen allí donde ya se encuentran las claves clásicas, lo que es precisamente lo que impulsa el crecimiento del inventario y justifica la «criptoagilidad».

Secretos de portador(que se gestionan como claves, pero no son claves)

• Claves API, PAT,cadenasde conexión.
  De larga duración, se validan mediante una consulta con un valor almacenado (a ser posible, con hash). Se encuentran en gestores de secretos (Vault, AWS/GCP Secrets Manager), CI/CD, la configuración de las aplicaciones, archivos .env y, con demasiada frecuencia, en el código fuente.
• Secretos y tokens de cliente de OAuth (acceso, actualización, sesión).
  Los secretos de cliente se encuentran en la configuración de la aplicación; los tokens los emite el IdP y los conservan las aplicaciones y las sesiones del navegador. En su mayoría, tienen una duración limitada.

El ciclo de vida de las claves criptográficas

Todas las claves criptográficas pasan por una serie de etapas, desde su creación hasta su destrucción. Gestionar cada una de estas etapas de forma eficaz es fundamental para garantizar la seguridad.

1. Generación:Las claves deben crearse utilizando generadores de números aleatorios criptográficamente seguros. Una entropía insuficiente en la fase de generación puede comprometer toda la cadena de seguridad.
2. Distribución:Las claves deben entregarse de forma segura a las partes y sistemas autorizados. Las claves privadas nunca deben quedar expuestas durante su transmisión, y en el caso de las claves públicas debe poder garantizarse su integridad.
3. Almacenamiento:Las claves en reposo deben protegerse mediante módulos hardware (HSM), almacenes de claves o medidas de protección equivalentes que impidan el acceso no autorizado.
4. Uso:Las claves deben utilizarse en operaciones criptográficas con controles de acceso obligatorios, garantizando que solo los procesos y usuarios autorizados puedan invocarlas.
5. Rotación:Las claves deben sustituirse de forma programada o en función de determinados eventos. La rotación tiene varios objetivos: minimiza el riesgo de utilizar una clave comprometida, garantiza el cumplimiento de las normas criptográficas vigentes y las mejores prácticas, y reduce la interacción humana con el material de claves sensible. A menudo se evita la rotación de claves porque puede resultar engorrosa, y precisamente por eso es esencial la automatización.
6. Revocación:Las claves comprometidas u obsoletas deben invalidarse sin demora para evitar que se sigan utilizando indebidamente.
7. Destrucción:Las claves retiradas deben eliminarse de forma segura para que no puedan recuperarse ni reutilizarse.

Estos pasos son fijos y, en principio, cada uno de ellos podría realizarse manualmente. Sin embargo, la automatización garantiza que cada paso se lleve a cabo de forma oportuna, eficiente y segura, lo cual es esencial a la hora de manejar material criptográfico.

Reducir la intervención humana y evitar errores de configuración

Las consecuencias de una gestión deficiente de las claves pueden resultar increíblemente costosas. En uno de los ejemplos más llamativos, Postbank (la división bancaria de Correos de Sudáfrica) descubrió que un empleado deshonesto había robado las claves maestras de 36 dígitos que protegían los sistemas del banco. La filtración provocó 25 000 cargos fraudulentos por valor de 3,2 millones de dólares, y el coste de sustituir todas las tarjetas de crédito y de cajero automático afectadas ascendió a 58 millones de dólares.

Este caso ilustra una realidad más amplia: una sola clave comprometida puede generar pérdidas que superan con creces el coste de una infraestructura adecuada de gestión de claves. Además, pone de manifiesto la causa fundamental. Una persona pudo ver una clave maestra sin cifrar y actuar por su cuenta, sin que nadie más estuviera al corriente y, hasta que salió a la luz el fraude, sin que se pudiera atribuir la responsabilidad a nadie. Las dos medidas de defensa que lo habrían evitado son el tema de esta sección: ninguna clave debe pertenecer a nadie, y ninguna clave debe poder ser utilizada por una sola persona que actúe sin ser observada.

Titularidad de las claves.
La titularidad de las clavesy los certificados suele estar repartida por toda la organización, y los responsables dan por sentado qué políticas se aplican. El problema más profundo no es que la titularidad esté distribuida, sino que, con frecuencia, no está definida. Las claves se acumulan sin un titular designado, y una clave sin titular es aquella que nadie renueva, supervisa ni revoca cuando la persona que la creó deja la empresa. Cada clave y certificado debe estar asignado a un propietario específico responsable, ya sea una persona o un equipo concreto, en lugar de un buzón compartido, y debe figurar en el inventario junto con su finalidad, ubicación y período de validez criptográfica. Conviene distinguir entre la propiedad (la responsabilidad sobre el ciclo de vida de la clave y la política que la rige) y la custodia (el control operativo del material criptográfico en sí); el propietario establece las normas, mientras que el custodio y el HSM se encargan de hacerlas cumplir. La titularidad también debe transferirse de forma clara durante los cambios de función y las bajas, ya que esos momentos de transición son precisamente cuando las claves quedan huérfanas. Ya no es aceptable un enfoque fragmentado de la gestión de claves: si no se puede identificar quién es responsable de una clave, no se puede exigir responsabilidades a nadie por ella.

Controles de acceso.
Ninguna persona debe poder generar, distribuir y utilizar claves sin supervisión. Este principio, denominado «control dividido», se aplica mediante varios mecanismos que se complementan entre sí. La separación de funciones divide el ciclo de vida entre distintos roles (responsable de criptografía, custodio de claves, operador, auditor), de modo que ningún rol abarque la generación, el uso y la auditoría. El control dual y el conocimiento dividido exigen que dos o más personas autorizadas actúen conjuntamente en operaciones sensibles, de modo que ninguna persona pueda activar o exportar una clave protegida por sí sola. El quórum M de N amplía esto a las operaciones de mayor importancia, como las ceremonias de claves raíz y la autorización de HSM, en las que debe reunirse físicamente un número mínimo de custodios. El principio del privilegio mínimo limita el alcance de cada función únicamente a las claves y operaciones que realmente necesita. En conjunto, estos controles garantizan que el fallo de una sola persona, ya sea por malicia o por simple descuido, no sea suficiente para comprometer una clave.

Eliminar la intervención humana del proceso.
El control de acceso más sólido es aquel que elimina por completo la intervención humana directa. Las claves generadas y utilizadas dentro de un HSM nunca se exportan sin cifrar, por lo que los operadores autorizan las operaciones sin llegar a ver nunca el material de clave, que es precisamente el tipo de exposición que hundió a Postbank. Automatizar el registro y la rotación mediante protocolos como ACME y EST elimina los puntos de intervención manual en los que suelen producirse errores y robos. Cualquier acción humana que quede debe quedar registrada en un registro de auditoría a prueba de manipulaciones y ser atribuible a una persona concreta, cerrando así el círculo entre el acceso y la responsabilidad: una persona puede actuar sobre una clave, pero nunca de forma anónima ni en solitario.

Criptografía Post-Cuántica

La computación cuántica representa el próximo gran reto para la gestión de claves criptográficas. Aunque el alcance completo de la criptografía poscuántica (PQC) y la «agilidad criptográfica» se han tratado en profundidad en otros trabajos, las implicaciones para la gestión de claves merecen una atención específica.

La amenaza cuántica para las claves.
Los ordenadores cuánticos acabarán por descifrar algoritmos asimétricos de uso generalizado, como DH, RSA y ECC, lo que hará que las claves que dependen de ellos sean vulnerables. Esto significa que todas las claves RSA y ECC del inventario de una organización tienen un periodo finito de fiabilidad restante.

Migración a la criptografía poscuántica (PQC).
El desarrollo y la implantación de la criptografía poscuántica suponen un enorme reto desde el punto de vista científico, tecnológico, logístico y de infraestructuras. Cada paso debe realizarse con el máximo cuidado, ya que las consecuencias de los errores pueden ser devastadoras. La migración puede seguir diversas estrategias, y cada una de ellas requiere varios pasos. Para obtener más información sobre este tema, consulta «migración poscuántica».

Elaboración de una política de gestión de claves criptográficas

Ahora que sabemos por qué la gestión de claves es un aspecto importante para garantizar la seguridad de los activos criptográficos de una organización, pasamos a analizar cómo llevarla a la práctica. Una gestión eficaz de las claves requiere un marco de gobernanza formal. Los siguientes componentes constituyen la base de una política sólida y proporcionan los parámetros necesarios para establecer y configurar la gestión de claves criptográficas.

Propiedad y responsabilidadde las claves.
La propiedad de las claves y los certificados suele estar repartida por toda la organización, y los responsables dan por sentado qué políticas son las que se aplican. Un enfoque fragmentado de la gestión de claves ya no es aceptable.

Controles de acceso y separación de funciones.
Ninguna persona debería poder generar, distribuir y utilizar claves sin supervisión. La separación formal de funciones reduce el riesgo de amenazas internas.

Dividir las decisiones en función de la finalidad de cada clave.
La política debe lograr el equilibrio adecuado entre confidencialidad, integridad y disponibilidad, gestionando las tensiones naturales que surjan. A continuación, la política debe tener en cuenta la finalidad de cada clave. Por ejemplo, hay que realizar copias de seguridad de las claves de confidencialidad para no perder nunca los datos; no depositar nunca en custodia las claves de firma para no perder nunca la integridad; y garantizar la disponibilidad de ambas mediante la redundancia (replicación de HSM, quórum M de N, solapamiento de renovaciones) en lugar de copias adicionales.

Cumplimiento delas normas.
La política debe identificar los elementos clave que no cumplen con las normas vigentes y la normativa gubernamental (como las directrices del NIST SP 800-57 o los requisitos del PCI DSS), y debe definir también los plazos para la corrección de dichos incumplimientos.

Requisitos de auditoría y cumplimiento normativo.
El uso de las claves y los metadatos, incluidas las fechas de creación, validez y caducidad, deben documentarse para garantizar el cumplimiento normativo, abarcando marcos normativos como el NIST SP 800-57, el PCI DSS, la HIPAA y el RGPD, según corresponda.

Centro de excelencia criptográfica.
Algunas organizaciones están centralizando la gestión de las claves mediante la creación de un centro de excelencia criptográfica: un equipo central, que suele depender de un directivo, encargado de elaborar y hacer cumplir las políticas y procedimientos criptográficos en toda la organización. Este equipo se encarga de determinar cuatro aspectos: qué claves existen y dónde se encuentran, cómo las utilizan los sistemas y las aplicaciones, qué claves no cumplen con las normas vigentes y cómo aplicar las mejores prácticas a todas las claves.

A medida que la legislación sigue impulsando la adopción de la criptografía, el número de claves necesarias para garantizar la seguridad de los productos y las aplicaciones crece rápidamente. La inversión en la gestión de claves es, como señala Chris Hickman, director de seguridad Keyfactor, «una gota en el océano en comparación con el coste empresarial, de marca y financiero que supone una violación o un ataque».

Mecanismos, artefactos y dispositivos para proteger y gestionar el material clave

Una gestión eficaz de las claves se basa en un conjunto de hardware especializado, controles de acceso y registros operativos, la mayoría de los cuales permanecen ocultos hasta que se produce un fallo o un auditor solicita verlos. En los apartados siguientes se explica qué hace cada capa y, lo que es igual de importante, los elementos que demuestran que funciona, ya que, en la gestión de claves, la diferencia entre la seguridad y el cumplimiento normativo suele reducirse a lo que se puede presentar cuando se solicita.

Almacenamiento y recursos informáticos protegidos:

• HSM.
  Conectados a la red (Luna, nShield, CloudHSM), PCIe y portátiles/USB. Certificados según FIPS 140-2/3, con detección de manipulación. Aquí es donde se generan y utilizan las claves no exportables.
• TPM, elementos seguros, TEE.
  Equivalentes en el dispositivo para la identidad y las claves hardware.
• KMS en la nube y almacenes de claves externos.
  Servicios de gestión de claves, además de integraciones con BYOK/HYOK y gestores de claves externos (EKM) para aquellos casos en los que se desee mantener la clave fuera del proveedor de la nube.
• Gestoresde secretos.
  Vault, gestores de secretos en la nube, para los secretos de portador y el material de menor nivel de seguridad que no justifica una ranura HSM.

Control de acceso y división:

• Quórum M de N / Distribución secreta de Shamir.
  Para operaciones de raíz y autorización de HSM.
• Control dual y conocimiento dividido.
  Ninguna persona por sí sola puede generar, exportar ni activar una clave protegida.
• Separación de funciones según el cargo.
  El responsable de criptomonedas, el custodio de claves, el operador y el auditor son cargos distintos.

Interfaces y protocolos:

• KMIP.
  Interoperabilidad en la gestión de claves entre el gestor de claves y los HSM o los clientes.
• PKCS#11.
  La interfaz de tokens a la que recurren realmente las aplicaciones.
• Inscripción yciclo de vida:
  ACME, EST, SCEP, CMP.
• Revocación y estado:
  OCSP, CRL y stapling.

Identificación e inventario de claves criptográficas

Antes de que una organización pueda gestionar sus claves, lo más recomendable es localizarlas todas primero. Hay dos enfoques complementarios que lo hacen posible.

El descubrimiento estático (SBOM/CBOM)consiste en analizar software de materiales software y las listas de materiales criptográficos para catalogar los componentes criptográficos integrados en aplicaciones y sistemas. Dado que la normativa europea, como la Ley de Ciberseguridad (CSA), exige cada vez más a los proveedores que faciliten SBOM y CBOM, este enfoque se ha convertido en una práctica recomendada de referencia.

El descubrimiento dinámico (basado en la red)utiliza técnicas como TLS y el análisis de protocolos para identificar las claves y los algoritmos criptográficos que se utilizan activamente en la red. Este enfoque pone de manifiesto riesgos que los inventarios estáticos pasan por alto: claves inactivas, conexiones no autorizadas, software con puntos finales inesperados, algoritmos débiles negociados durante TLS y claves codificadas de forma fija e integradas en aplicaciones que se «conectan con el servidor central» para comunicarse con servidores externos.

Una gran empresa podría constatar que la mayor parte de su tráfico de red utiliza TLS estándar y bien configuradas, pero que un pequeño porcentaje del tráfico requiere un análisis más detallado, lo que podría revelar puntos finales inesperados, configuraciones deficientes o comportamientos anómalos que pasarían desapercibidos sin un análisis dinámico.

La combinación de ambos métodos de detección proporciona la visibilidad integral que requiere una gestión eficaz de las claves.

Gestión de la seguridad criptográfica

La gestión de la postura criptográfica es la práctica de evaluar y mejorar de forma continua el nivel general de preparación criptográfica de una organización. Aúna la detección, las políticas y la gestión del ciclo de vida en un ciclo de mejora continua.

Visibilidad en todo el entorno. La gestión de la postura de seguridad de
ofrece una visión unificada de los activos criptográficos existentes, dónde están implementados y cómo están configurados. La postura de seguridad criptográfica es muy importante para saber qué hay «bajo el capó», pero también para estar bien preparados.

Datos en tránsito y datos en reposo.
Se necesitan herramientas y enfoques diferentes para cada ámbito. Las herramientas basadas en la red, como TLS , se ocupan de los datos en tránsito, mientras que software y el análisis SBOM/CBOM abordan la criptografía integrada y los datos en reposo. Una estrategia completa de gestión de la seguridad abarca ambos aspectos.

Cumplimiento normativo.
La normativa europea, incluida la CSA, exige cada vez más a las organizaciones que demuestren su nivel de seguridad criptográfica. Sin una gestión adecuada de dicho nivel, alcanzar y mantener el cumplimiento normativo resulta mucho más difícil.

Reconocimiento por parte de los analistas.
Los analistas del sector recomiendan ahora la gestión de la postura criptográfica como una práctica recomendada, lo que indica que el mercado ha madurado hasta el punto de que la evaluación criptográfica continua se considera algo esperado, y no opcional.

Preparación para la criptografía poscuántica

El inventario como requisito previo.
Las organizaciones no pueden prepararse para la transición cuántica sin saber primero qué activos criptográficos poseen y dónde están implementados dichos activos. Las prácticas de detección e inventario descritas anteriormente en esta guía cobran aún más importancia en el contexto de la migración a la criptografía cuántica (PQC). Completar el panorama del inventario criptográfico es esencial tanto para la preparación actual frente a los ataques actuales como para la futura transición a algoritmos a prueba de cuánticos.

A partir de ahora.
La transición a la criptografía poscuántica requiere una planificación desde ahora mismo, incluso antes de que los ordenadores cuánticos sean viables desde el punto de vista operativo. Las organizaciones deberían empezar a probar algoritmos poscuánticos, evaluar la vulnerabilidad cuántica de sus inventarios de claves y crear arquitecturas «cripto-ágiles» que permitan una rápida sustitución de los algoritmos cuando se aprueben las normas.

Cómo Keyfactor ayudarte Keyfactor

La plataforma Keyfactoraborda los retos relacionados con la gestión de claves criptográficas descritos en esta guía mediante un conjunto integrado de soluciones.

• Detección e inventario de activos criptográficos automatiza la detección de todos los activos criptográficos de la empresa, sustituyendo las auditorías manuales por una visibilidad continua.
• Plataforma PKI moderna genera confianza y emite identidades a gran escala, lo que la convierte en la base de las arquitecturas de confianza cero.
• Automatización del ciclo de vida de los certificados gestiona todo el ciclo de vida de las claves y los certificados, desde su emisión hasta su rotación y revocación, eliminando los procesos manuales.
• La gestión de la postura criptográficaofrece una visión unificada del riesgo criptográfico, las deficiencias en materia de cumplimiento normativo y el grado de preparación ante la amenaza cuántica en toda la organización.
• Bouncy Castle  y PQC Lab permiten a las organizaciones probar y prepararse ya para los algoritmos poscuánticos, sentando las bases de «criptoagilidad» que exige la transición cuántica.

Keyfactor la detección, la gestión del ciclo de vida y la gestión del estado de seguridad en una única plataforma, sustituyendo los procesos fragmentados y manuales por una gestión de claves automatizada y auditable.

Principales conclusiones

• La gestión de claves criptográficas es la disciplina que se ocupa del control de las claves a lo largo de todo su ciclo de vida, desde su generación hasta su destrucción.
• Una sola clave comprometida puede costarle a una organización decenas de millones de dólares, tal y como demostró la filtración de datos de Postbank.
• La mayoría de las organizaciones gestionan decenas de miles de claves, pero carecen de visibilidad sobre dónde se encuentran todas ellas.
• Una gestión eficaz de las claves requiere la detección, la automatización del ciclo de vida, una gobernanza formal y una gestión continua del estado de seguridad.
• La preparación para la criptografía poscuántica comienza por conocer el inventario criptográfico actual.
• Un enfoque basado en una plataforma centralizada sustituye los procesos fragmentados y manuales por una gestión de claves automatizada y auditable.