¿Qué es la migración de PKI? Una guía completa para modernizar tu PKI

La migración de la PKI puede adoptar diversas formas. Puede implicar la sustitución software de CA obsoleto, la transición de una infraestructura local a modelos de implementación en la nube o híbridos, o la consolidación de entornos PKI fragmentados en una única plataforma centralizada. Sin embargo, no se trata en absoluto de una simple cuestión de pulsar un botón. La migración de la PKI es una iniciativa estratégica que afecta a las autoridades de certificación, a la gestión del ciclo de vida de los certificados, a la gestión de claves y a las políticas y procesos que las rodean.

Por qué las organizaciones están migrando su PKI

Hay varios factores que están impulsando a las organizaciones a replantearse su PKI. Comprender estos factores es fundamental para justificar la modernización.

La PKI tradicional no se diseñó para el mundo actual

Microsoft CA, también conocida como Servicios de Certificados de Active Directory (ADCS), era una opción sencilla para los entornos de TI tradicionales. Sin embargo, la transición a la nube y al teletrabajo ha planteado retos que la PKI heredada simplemente no puede abordar. Estos entornos no se diseñaron para el elevado volumen y la rapidez en la emisión de certificados que requieren las organizaciones modernas. Por lo general, carecen de integraciones con herramientas modernas y, debido a errores y descuidos, pueden configurarse incorrectamente con facilidad en cualquier momento a lo largo de su prolongada vida útil. Los servicios basados en la nube están impulsando la implantación de la PKI en casi el 50 % de las organizaciones.

La proliferación de certificados y las PKI en la sombra

A medida que las organizaciones crecen, es frecuente que los distintos equipos pongan en marcha sus propias autoridades de certificación (CA) para casos de uso específicos sin tener en cuenta las políticas corporativas de TI. Las CA se configuran de forma incorrecta. Los certificados quedan sin control. El resultado son hallazgos inesperados en las auditorías, puntos ciegos de seguridad e interrupciones del servicio. Las grandes organizaciones acaban gestionando, de media, nueve infraestructuras PKI diferentes. Cuando el entorno está tan fragmentado, mantener un control total resulta extremadamente difícil.

Falta de conocimientos especializados en PKI

La PKI no forma parte de las competencias básicas de la mayoría de los equipos de TI y seguridad, por no hablar de los equipos en general. Es difícil encontrar personal especializado y aún más retenerlo. Solo la mitad de las empresas cuenta con suficiente personal dedicado a su PKI. Para muchas organizaciones, la PKI se convierte en una «patata caliente» que se pasa de un administrador a otro, sin una responsabilidad clara ni recursos específicos para gestionarla a lo largo de su ciclo de vida, que puede superar los 25 años.

Aumento del volumen de certificados y reducción de su vida útil

El volumen de certificados está creciendo de forma exponencial. Cada vez hay más equipos y más casos de uso (IoT , microservicios, contenedores, trabajadores remotos) que necesitan certificados. Al mismo tiempo, la vigencia de los certificados es cada vez más corta, lo que significa que la frecuencia de las tareas de gestión también está aumentando. Los procesos manuales, como las hojas de cálculo, los recordatorios del calendario y los scripts de desarrollo propio, simplemente no dan abasto. Las notas adhesivas tampoco son suficientes.

Señales de que tu organización necesita una migración a PKI

¿No estás seguro de si es el momento de dar el paso? Estos son los indicios más comunes:

• Las interrupciones relacionadas con los certificados son cada vez más frecuentes.
  Los certificados caducados o mal configurados están provocando interrupciones en el servicio, y tu equipo dedica más tiempo a solucionar problemas que a prevenirlos.
• Los nuevos casos de uso requieren soluciones alternativas.
  Dar soporte a cargas de trabajo en la nube, IoT o los flujos de trabajo de DevOps, o bien proporcionar una configuración segura para los trabajadores remotos, implica añadir herramientas independientes o desarrollar integraciones personalizadas, ya que tu PKI actual no puede gestionarlos de forma nativa.
• Varios equipos gestionan sus propias autoridades de certificación (CA).
  No existe una visión global centralizada que permita saber quién ha emitido qué, dónde se almacenan los certificados ni cuándo caducan.
• Las auditorías de cumplimiento están deparando sorpresas.
  Los auditores están encontrando certificados y autoridades de certificación (CA) cuya existencia desconocía tu equipo.
• La migración a la nube se ve obstaculizada por las dependencias de la PKI local.
  Su transición a la nubese ve ralentizada porque su PKI está estrechamente vinculada a la infraestructura local de Active Directory.
• Los costes de mantenimiento están aumentando sin aportar ningún valor añadido.
  Estás gastando más en hardware, software y personal relacionados con la PKI heredada, pero a cambio obtienes las mismas capacidades (o incluso menos).

Si te identificas con dos o más de estos puntos, merece la pena estudiar una estrategia de migración.

Aspectos clave que hay que tener en cuenta antes de migrar su PKI

Antes de lanzarse a una migración, conviene analizar detenidamente varios factores estratégicos y técnicos.

Casos de uso y requisitos:Empieza por identificar los tipos de certificados, las plantillas, los protocolos (SCEP, ACME, EST, CMP) y las capacidades de automatización que necesita tu organización. Ten en cuenta los requisitos actuales en los ámbitos de TI, DevOps, IoT y fabricación, pero planifica también con vistas al futuro.

Escalabilidad y disponibilidad:Evalúa los acuerdos de nivel de servicio previstos en cuanto a tiempo de actividad y disponibilidad. La alta disponibilidad, las copias de seguridad y la recuperación ante desastres, así como la capacidad de gestionar entornos con miles o incluso millones de certificados, son factores fundamentales, sobre todo a medida que se amplía la escala para abarcar nuevos casos de uso.

Niveles de seguridad, cumplimiento normativo y garantía:una infraestructura de clave pública (PKI) es mucho más que software de autoridad de certificación (CA) software unos certificados. También hay que tener en cuenta las medidas de seguridad y las políticas relacionadas con la infraestructura PKI, incluida la integración de módulos de seguridad de hardware (HSM), la protección de la clave raíz y el cumplimiento de las normas del sector. Es posible que determinadas normativas o políticas de seguridad internas establezcan parámetros específicos para su implementación.

Experiencia y personal:Valora si tu equipo cuenta con los conocimientos y la capacidad necesarios para gestionar una nueva PKI a lo largo de todo su ciclo de vida. De no ser así, un servicio de PKI alojado o gestionado podría ser la mejor opción. Esta decisión por sí sola puede reducir significativamente la carga operativa y el riesgo.

Vías de migración de PKI: cómo elegir el modelo de implementación adecuado

Una de las decisiones más importantes en cualquier migración de una infraestructura de clave pública (PKI) es dónde y cómo llevarla a cabo. El modelo adecuado depende de los recursos de su organización, los requisitos normativos y las necesidades técnicas.

PKI como servicio (PKIaaS):una PKI totalmente gestionada con una CA raíz fuera de línea y aislada físicamente. El proveedor se encarga de todas las operaciones de la PKI, incluida la supervisión 24 horas al día, 7 días a la semana, y un tiempo de actividad garantizado por un acuerdo de nivel de servicio (SLA). Este modelo es ideal para organizaciones que desean delegar por completo la gestión de la PKI a un socio de confianza.

PKI SaaS:Una solución PKI SaaS «llave en mano» implementada y gestionada por el proveedor en entornos en la nube como AWS y Azure. Es la opción ideal para equipos que desean una PKI nativa de la nube sin la carga que supone gestionar la infraestructura, pero conservando cierto acceso a la configuración.

PKI en la nube (autogestionada):PKI implementada en tu propio entorno de nube (AWS o Azure). Este modelo te ofrece la escalabilidad de la nube con un control total sobre la configuración, lo que lo convierte en una opción ideal para organizaciones que cuentan con equipos internos capacitados.

PKI local (software appliance hardware ):PKI implementada como appliance virtual appliance un centro de datos privado o comoappliance hardware «llave en mano»appliance un HSM integrado. Es la mejor opción para organizaciones con requisitos normativos estrictos o que dispongan de recursos locales y necesiten mantener la PKI detrás de su propio cortafuegos.

PKI híbrida:Implementar una solución PKI moderna junto con Microsoft CA existente Microsoft CA otros sistemas heredados, migrando los casos de uso progresivamente con una interrupción mínima. Este enfoque permite dar soporte simultáneamente tanto a los casos de uso modernos como a los heredados, lo que suele ser la opción más práctica de cara al futuro.

Migración desde Microsoft CA ADCS): lo que debes saber

Para muchas organizaciones, la pregunta más urgente en relación con la migración es: «¿Qué hacemos con Microsoft CA?». La respuesta es que no es necesario elegir entre una sustitución completa y seguir utilizando el ADCS heredado. Un enfoque por fases es tanto posible como práctico.

Las soluciones PKI modernas pueden funcionar en paralelo con Microsoft CA, lo que te permite seguir utilizando herramientas nativas de Microsoft, como la inscripción automática, Intune y Azure Key Vault, al tiempo que se derivan los nuevos casos de uso a la plataforma moderna. Esto resulta especialmente relevante para las organizaciones que están pasando de Active Directory a Azure Active Directory, donde las soluciones de gestión de dispositivos móviles (MDM), como Intune, pueden aprovisionar certificados desde una PKI moderna (como EJBCA) en lugar de desde un ADCS local.

La clave está en una migración gradual. Traslada los casos de uso de uno en uno, comprueba que cada transición se realiza correctamente y reduce tu dependencia de la infraestructura heredada a un ritmo que minimice el riesgo. No es necesario migrarlo todo desde el primer día.

El papel de la automatización del ciclo de vida de los certificados en la migración a una infraestructura de clave pública (PKI)

La emisión de certificados por parte de una autoridad de certificación (CA) moderna es solo la mitad de la ecuación. Esos certificados también deben identificarse, supervisarse, renovarse y revocarse a lo largo de todo su ciclo de vida. Aquí es donde la gestión del ciclo de vida de los certificados (CLM) se vuelve imprescindible.

Muchos equipos siguen recurriendo a hojas de cálculo, recordatorios de calendario y scripts de desarrollo propio para gestionar los certificados. Dada la reducción de los ciclos de vida y el aumento de los volúmenes, estos métodos manuales generan lagunas que provocan interrupciones del servicio y riesgos de seguridad. CLM automatizada CLM estos riesgos al ofrecer visibilidad sobre todas las autoridades de certificación (CA) de tu entorno, ya sean públicas, privadas o basadas en la nube.

La combinación de la PKI con la automatización del ciclo de vida de los certificados da lugar a una plataforma única que se encarga tanto de la emisión como de la gestión. Esto también permite la agilidad de las autoridades de certificación (CA): la capacidad de añadir, cambiar o consolidar proveedores de CA a medida que cambian tus necesidades y evolucionan los estándares criptográficos. Obtener visibilidad sobre todo tu entorno de certificados es fundamental para prevenir interrupciones del servicio y mantener la agilidad criptográfica a lo largo del tiempo.

Cómo Keyfactor ayudarte Keyfactor

La plataforma Keyfactorpermite la migración y la modernización de la infraestructura de clave pública (PKI) en todo el abanico de modelos de implementación y casos de uso.

• EJBCA  es una plataforma PKI flexible y escalable que se puede implementar como SaaS, en su propio entorno de nube, comoappliance software o comoappliance hardware . Admite cualquier caso de uso gracias a la compatibilidad integrada con los protocolos SCEP, ACME, EST y CMP, así como a una sólida API REST.
• Keyfactor Command ofrece gestión del ciclo de vida de los certificados con detección, visibilidad, automatización y generación de informes en todas las autoridades de certificación (CA) de su entorno.
• PKI como servicio es una solución totalmente gestionada en la que Keyfactor todas las operaciones de PKI, incluida la gestión de la CA raíz fuera de línea, la supervisión 24 horas al día, 7 días a la semana, y un tiempo de actividad respaldado por un acuerdo de nivel de servicio (SLA).

Keyfactor más de 20 años de experiencia en ingeniería, arquitectura y diseño de PKI. Un estudio de «Total Economic Impact» de Forrester reveló una reducción del 95 % en los costes de infraestructura de PKI para Keyfactor . Keyfactor también Keyfactor sido nombrada la número uno en PKI empresarial por ABI Research y cumple con las normas ISO 27001, ISO 9001, Common Criteria y SOC 2 Tipo II.

Resumen

La migración de la PKI es el proceso de pasar de una infraestructura PKI heredada a una solución moderna capaz de satisfacer las exigencias del mundo actual. Los motivos son claros: la PKI heredada no se diseñó para la nube, IoT ni DevOps; la proliferación de certificados está creando puntos ciegos; escasea la experiencia especializada; y la gestión manual no puede seguir el ritmo del aumento de los volúmenes y la reducción de los ciclos de vida.

La buena noticia es que las organizaciones no tienen por qué realizar la migración de una sola vez. Una amplia gama de modelos de implementación (desde PKIaaS totalmente gestionada hasta implementaciones autogestionadas en la nube y locales) y la capacidad de ejecutar una PKI moderna junto con Microsoft CA heredada Microsoft CA la migración por fases Microsoft CA viable. La combinación de una PKI moderna con la automatización del ciclo de vida de los certificados garantiza que estos no solo se emitan, sino que también se gestionen, renueven y revoquen automáticamente, lo que reduce el riesgo de interrupciones y mantiene la agilidad criptográfica.