¿Qué es PKIaaS? Una guía completa sobre la infraestructura de clave pública como servicio (PKIaaS)

La necesidad de este modelo nunca ha sido tan acuciante. Los certificados digitales se están extendiendo por todos los rincones de la empresa, desde las cargas de trabajo en la nube y los contenedores hasta IoT y los terminales remotos. Al mismo tiempo, la vigencia de los certificados se está reduciendo, los requisitos de cumplimiento normativo son cada vez más estrictos y sigue habiendo escasez de profesionales cualificados en PKI. Para muchos responsables de TI y seguridad, mantener una implementación de PKI segura y escalable a nivel interno se ha vuelto insostenible.

Esta guía está dirigida a los responsables de TI y seguridad que estén evaluando el modelo PKIaaS como modelo de prestación de servicios. En ella se explica cómo funciona el PKIaaS, las capacidades fundamentales que hay que tener en cuenta, los casos de uso más habituales y cómo evitar los errores más comunes a la hora de evaluar esta solución. Si busca una introducción básica a la propia PKI, ese tema se trata por separado en nuestroanálisis en profundidad sobre la PKI. Este artículo se centra específicamente en el modelo «como servicio» y en lo que supone para su organización.

Por qué las organizaciones están adoptando el modelo PKIaaS

La creciente complejidad de la PKI empresarial

La PKI ha sido un mecanismo fundamental en la seguridad empresarial durante más de dos décadas, pero los entornos que protege han cambiado drásticamente. El paso a los contenedores, las arquitecturas multicloud, los dispositivos móviles y IoT multiplicado tanto el número de casos de uso de la PKI como el volumen de certificados que las organizaciones deben gestionar. Aunque las implementaciones de PKI locales son perfectamente capaces de escalar y satisfacer esta demanda, hacerlo de forma manual se ha vuelto insostenible para la mayoría de las organizaciones que carecen de los conocimientos especializados, una automatización adecuada del ciclo de vida y una visibilidad centralizada.

Aquí es donde la agilidad se convierte en un factor importante. La implantación de una infraestructura de clave pública (PKI) en la nube, ya sea junto con la infraestructura local existente o como mecanismo principal de emisión, aporta una flexibilidad y una redundancia que las implantaciones manuales no suelen ofrecer. La organización mantiene el control sobre los perfiles de los certificados, los algoritmos, los períodos de validez, etc., lo que la convierte en una característica de agilidad impulsada por las políticas, en lugar de ser simplemente una decisión de externalizar la infraestructura.

Los equipos encargados de la PKI suelen enfrentarse a problemas como la falta de claridad en cuanto a la responsabilidad, prioridades contrapuestas y recursos limitados. En muchas organizaciones, la PKI la gestiona un grupo reducido (o incluso una sola persona) que debe compaginar esta tarea con otras responsabilidades. A medida que aumenta el número de certificados y se diversifican los casos de uso, este modelo deja de funcionar.

Carencias de personal y de conocimientos especializados

Solo una pequeña parte de los equipos de TI y seguridad afirma contar con personal suficiente dedicado a la PKI. La tendencia subyacente es persistente: la falta de experiencia, la fragmentación de funciones y la rotación de personal generan un riesgo operativo constante. Cuando un profesional con amplia experiencia en PKI abandona la empresa, los conocimientos institucionales que posee suelen desaparecer con él.

Las competencias en materia de PKI suelen adquirirse a lo largo de años de experiencia práctica y de crecimiento orgánico dentro de una organización. No pueden sustituirse fácilmente mediante la contratación de personal o programas de formación a corto plazo. Esto hace que cada cambio de personal suponga una posible interrupción de las operaciones de PKI y de la postura de seguridad.

Acontecimientos decisivos que desencadenan el cambio

Las organizaciones rara vez se pasan a PKIaaS por capricho. La decisión suele venir motivada por un acontecimiento concreto o por una serie de presiones que se suman. Entre los factores desencadenantes más habituales se encuentran:

• Las transiciones entre algoritmos, como la migración de SHA-1 a SHA-2 y el inminente cambio a la criptografía poscuántica
• Interrupciones en el CRLque bloquean servicios esenciales y dejan al descubierto una infraestructura vulnerable
• Ciclos de renovación de la CAque ponen de manifiesto deficiencias en la documentación, los procesos o la dotación de personal
• Fusiones y adquisicionesque dan lugar a múltiples entornos de PKI incompatibles entre sí
• Nuevas IoT relacionadas con la nube o IoT que requieren un rápido aprovisionamiento de certificados a gran escala
• Un crecimiento exponencial de los certificadosque desborda las herramientas y los procesos actuales

Dinámica del mercado

El mercado de PKIaaS está experimentando un crecimiento significativo. Un estudio de Frost & Sullivan confirma que la adopción de PKIaaS se ha acelerado considerablemente desde 2022, y se prevé que este fuerte impulso continúe a nivel mundial. Norteamérica sigue siendo el mercado más grande, mientras que Europa, Asia-Pacífico y Oriente Medio están registrando una creciente aceptación.

Se prevé que la escasez mundial de profesionales en ciberseguridad y PKI persista, lo que impulsará aún más la demanda de servicios gestionados de PKI. Las organizaciones que carecen de los recursos internos necesarios para mantener entornos complejos de PKI recurren cada vez más a los proveedores de servicios para subsanar esta carencia.

Cómo funciona el PKIaaS

El modelo de servicio gestionado

El modelo PKIaaS se basa en una clara división de responsabilidades entre el proveedor y el cliente. El ciclo de vida suele desarrollarse en cuatro fases:

1. Implementación:El proveedor diseña y construye una CA raíz dedicada y fuera de línea en unas instalaciones de alta seguridad, siguiendo las mejores prácticas en materia de arquitectura PKI.
2. Implementación:El proveedor implementa las autoridades de certificación emisoras (CA), de alta disponibilidad y respaldadas por HSM, en un entorno en la nube dedicado, aislado de otros clientes y configurado según los requisitos del cliente.
3. Mantenimiento:El proveedor se encarga de la gestión continua de la infraestructura las 24 horas del día, lo que incluye cortafuegos, aplicación de parches, mantenimiento de las listas de certificados revocados (CRL) y supervisión continua.
4. Ejecución:Los equipos del cliente se encargan de las operaciones diarias, lo que incluye establecer la política de emisión, aprobar las solicitudes e integrar las herramientas de automatización del proveedor para la detección y la gestión del ciclo de vida de los certificados.

En otras palabras, el proveedor se encarga de crearlo, implementarlo y mantenerlo, y el cliente se encarga de gestionarlo. El proveedor asume la mayor parte del trabajo relacionado con la infraestructura, la fiabilidad y la seguridad, mientras que el cliente conserva el control operativo sobre sus certificados y políticas.

Componentes arquitectónicos clave

Una implementación de PKIaaS bien diseñada incluye varios componentes fundamentales:

• Autoridad de certificación raíz fuera de línea con protección HSM:La autoridad de certificación raíz es el punto de referencia de confianza para toda la jerarquía de la PKI. Debe almacenarse fuera de línea, en un entorno aislado físicamente, y estar protegida por módulos hardware (HSM) específicos que cumplan con la norma FIPS 140-2, nivel 2 o superior.
• Infraestructura en la nube de un único inquilino:la PKI de cada cliente debe ejecutarse en un entorno dedicado, sin infraestructura compartida, lo que garantiza el aislamiento y la seguridad.
• Autoridades de certificación emisoras de alta disponibilidad:Autoridades de certificación emisoras en línea respaldadas por módulos de seguridad de hardware (HSM), con capas de aplicación y de base de datos independientes para garantizar la escalabilidad.
• Infraestructura de revocación en tiempo real:servicios CRL y OCSP que garantizan que los certificados revocados se reconozcan de forma inmediata en todo el entorno.
• Integración con Active Directory y la inscripción automática:integración perfecta con los servicios de directorio de la empresa para el aprovisionamiento automatizado de certificados.
• Copia de seguridad de datos y recuperación ante desastres:sistemas redundantes y procedimientos de recuperación para proteger contra la pérdida de datos o la interrupción del servicio.

Un aspecto arquitectónico fundamental es si el proveedor desarrolla software todo software subyacente de la PKI. Depender de componentes de terceros conlleva un riesgo de dependencia. Los proveedores que controlan toda su pila pueden ofrecer actualizaciones, parches y mejoras criptográficas con mayor rapidez y confianza.

Automatización integrada del ciclo de vida de los certificados

El PKIaaS y la gestión del ciclo de vida de los certificados (CLM) deben evaluarse conjuntamente, y no como soluciones independientes. La emisión de certificados es solo el principio. Las organizaciones también necesitan identificar los certificados existentes en todo el entorno, recibir alertas de caducidad y generar informes centralizados que abarquen múltiples autoridades de certificación (CA) y proveedores.

Una plataforma que combina PKIaaS y CLM una única solución basada en la nube elimina la necesidad de utilizar herramientas dispares y reduce la complejidad operativa que supone la gestión de certificados a gran escala. Esta integración cobra especial importancia a medida que aumenta el volumen de certificados y se acorta su vida útil.

Funcionalidades clave que debe ofrecer una solución PKIaaS

Protección de la CA raíz fuera de línea y custodia de claves

La CA raíz es el pilar de confianza de toda la jerarquía de la PKI. Cualquier vulneración a nivel raíz invalida toda la cadena. Los principales proveedores de PKIaaS protegen las CA raíz en entornos desconectados de la red (air-gapped) con HSM dedicados, almacenados en instalaciones de seguridad física de última generación (cámaras acorazadas de nivel 5 de la GSA, controles de acceso biométricos, vigilancia las 24 horas del día, los 7 días de la semana, y supervisión por vídeo de alta definición).

Igualmente importante es el depósito de claves controlado por el cliente. Debes conservar la plena propiedad de tus claves de la CA raíz y de los materiales de recuperación, con la posibilidad de volver a gestionar tu PKI internamente en cualquier momento. Esto elimina la dependencia de un proveedor concreto y garantiza que siempre mantengas el control sobre tu punto de referencia de confianza.

Infraestructura en la nube y alta disponibilidad

La infraestructura PKIaaS debe ser dedicada y de un único inquilino, sin componentes compartidos entre clientes. Entre las características clave de una implementación sólida en la nube se incluyen garantías de disponibilidad basadas en el SLA, escalabilidad ilimitada mediante capas separadas de aplicaciones y bases de datos, módulos HSM para todas las autoridades de certificación (CA) de emisión en línea y cortafuegos dedicados configurados con políticas de acceso de privilegios mínimos.

La alta disponibilidad no es opcional. Cuando los servicios de PKI dejan de funcionar, las repercusiones pueden ser inmediatas y de gran alcance, desde conexiones VPN bloqueadas y errores en la firma de correos electrónicos hasta interrupciones en la autenticación de aplicaciones en toda la empresa.

Seguridad, cumplimiento normativo y operaciones

Es imprescindible contar con prácticas sólidas de seguridad y cumplimiento normativo. Evalúa a los proveedores para comprobar si cuentan con la certificación SOC 2 Tipo II, si publican y cumplen los marcos de la Política de Certificados y la Declaración de Prácticas de Certificación (CP/CPS), si realizan comprobaciones periódicas del estado de la PKI y si ofrecen una supervisión continua del servicio con una respuesta ante incidentes basada en el acuerdo de nivel de servicio (SLA).

La PKI no es una tecnología que se pueda «configurar y olvidar». Las amenazas evolucionan, los requisitos de cumplimiento cambian y el volumen de certificados aumenta. Un proveedor de PKIaaS fiable considera las operaciones como una disciplina continua, no como una implementación puntual.

Implementación, puesta en marcha y asistencia continua

Las soluciones modernas de PKIaaS deberían implementarse en cuestión de semanas, no de meses. La rapidez de implementación es un factor diferenciador importante, sobre todo para las organizaciones que se ven sometidas a la presión de los plazos de cumplimiento normativo, los calendarios de fusiones y adquisiciones o las amenazas emergentes.

Más allá de la implementación inicial, busca un servicio de asistencia 24 horas al día, 7 días a la semana, a cargo de expertos especializados en PKI, software continuas software y una hoja de ruta del producto en constante evolución que demuestre una inversión continua. Los proveedores con una amplia experiencia práctica en consultoría e implementación pueden anticiparse a retos que los proveedores menos experimentados pasan por alto por completo.

Integración y extensibilidad

Una plataforma PKIaaS debe integrarse a la perfección con las herramientas y los protocolos que ya utilizan tus equipos. Busca compatibilidad con protocolos estándar como ACME, SCEP, EST y CMP, que permiten el registro, la emisión y la renovación. Busca también la inscripción automática, junto con API REST para la integración personalizada de estos protocolos. Las integraciones preconfiguradas con herramientas empresariales (HashiCorp Vault, Kubernetes, Active Directory y plataformas de DevOps) reducen el tiempo de implementación y las dificultades operativas.

Muchas de estas integraciones deberían ser open-source estar incluidas sin coste adicional. Evalúa si el ecosistema de integraciones del proveedor es lo suficientemente amplio como para dar soporte a tu entorno actual y lo suficientemente flexible como para adaptarse al crecimiento futuro.

Casos de uso habituales de PKIaaS

Las tecnologías de la información en la empresa y el modelo «zero trust»

La PKI es un componente fundamental de la arquitectura «zero trust». Proporciona la capa de identidad necesaria para verificar a los usuarios, los dispositivos y las cargas de trabajo antes de conceder acceso a los recursos. En entornos híbridos que abarcan centros de datos locales y múltiples proveedores de nube, el PKIaaS ofrece la infraestructura de certificados escalable y gestionada de forma centralizada que exige el modelo «zero trust».

Son muchas las unidades de negocio y funciones que dependen de la disponibilidad de la PKI, desde las operaciones de red y la seguridad de los terminales hasta el desarrollo de aplicaciones y el cumplimiento normativo. Un servicio gestionado garantiza que la infraestructura de la PKI cumpla los requisitos de fiabilidad y rendimiento de toda la organización, y no solo de un equipo concreto.

IoT los dispositivos conectados

Los fabricantes de dispositivos y los operadores industriales utilizan PKIaaS para emitir y gestionar certificados a gran escala en diversos ecosistemas de dispositivos conectados. Los casos de uso abarcan desde la infraestructura de recarga de vehículos eléctricos y los dispositivos médicos hasta los contadores inteligentes, los equipos de telecomunicaciones y los productos para el hogar inteligente.

A IoT , la gestión manual de certificados no es viable. La automatización y los protocolos de inscripción automática cobran una importancia fundamental, ya que permiten a las organizaciones emitir, renovar y revocar certificados en miles o millones de dispositivos sin necesidad de intervención manual.

DevOps y entornos nativos de la nube

Las herramientas y arquitecturas de desarrollo de aplicaciones nativas en la nube están generando una nueva demanda de servicios de PKI. Los equipos de desarrollo necesitan integrar la emisión de certificados en los procesos de CI/CD, proteger los contenedores y los microservicios, y gestionar identidades de máquina efímeras que pueden existir solo durante unos minutos u horas.

Las plataformas PKIaaS que ofrecen la emisión de certificados mediante API y la integración con herramientas de orquestación de contenedores (como Kubernetes) permiten a los equipos de desarrollo utilizar los servicios PKI sin necesidad de contar con conocimientos avanzados de criptografía. Este modelo de autoservicio acelera la entrega de servicios sin dejar de cumplir las normas de seguridad.

Fusiones, adquisiciones y consolidación de la infraestructura de clave pública (PKI)

Las fusiones y adquisiciones suelen dar lugar a múltiples arquitecturas de PKI incompatibles entre sí, que deben armonizarse en un único entorno coherente. El PKIaaS simplifica esta consolidación al ofrecer una plataforma gestionada capaz de mantener las cadenas de confianza y el cumplimiento normativo en entornos complejos con múltiples partes interesadas.

Las fusiones y adquisiciones (M&A) son la oportunidad perfecta para replantearse la estrategia de PKI. En lugar de absorber la infraestructura PKI heredada con toda su deuda técnica, las organizaciones pueden aprovechar una migración a PKIaaS para implantar desde el principio una PKI moderna que siga las mejores prácticas.

PKIaaS frente a PKI propia: cómo tomar la decisión correcta

Consideraciones sobre el coste total de propiedad

Al comparar el PKIaaS con una PKI interna, el coste total de propiedad va mucho más allá de software . Una PKI interna requiere una inversión en hardware incluidos los HSM), personal dedicado, auditorías de cumplimiento continuas, infraestructura de recuperación ante desastres y seguridad física para los materiales de la CA raíz. Estos costes suelen repartirse entre distintos presupuestos y a menudo se subestiman.

PKIaaS agrupa estos costes en un modelo de suscripción predecible. A la hora de evaluar los precios, busca un sistema de licencias escalable que se adapte al crecimiento del número de certificados y ofrezca una estructura de costes predecible. Los modelos de precios por certificado varían considerablemente de un proveedor a otro, por lo que conviene comparar el valor total que se ofrece, y no solo el precio unitario.

Cuándo sigue teniendo sentido una PKI interna

Una PKI interna sigue siendo la opción adecuada para algunas organizaciones. Los entornos altamente personalizados, las redes aisladas sin conexión a la nube o los requisitos normativos específicos pueden exigir una implementación totalmente autogestionada. Asimismo, los equipos con amplia experiencia en PKI y una infraestructura ya existente podrían estar bien preparados para implementar y gestionar su propia PKI. Estos escenarios son reales, pero las organizaciones deben ser sinceras a la hora de valorar si alguno de ellos se aplica a su caso.

Los mejores proveedores de PKIaaS son conscientes de esta realidad y ofrecen flexibilidad de implementación en modelos locales, en la nube, híbridos y «como servicio». Esto permite a las organizaciones elegir el modelo de prestación que mejor se adapte a sus necesidades sin verse obligadas a adoptar un único enfoque.

El enfoque híbrido

Muchas organizaciones adoptan un modelo híbrido que combina lo mejor de ambos mundos. Una plataforma PKIaaS sólida puede gestionar los ciclos de vida de los certificados en una PKI alojada, en las CA locales existentes y en proveedores de CA públicas, todo ello desde una única plataforma. Este enfoque permite a los equipos modernizarse de forma gradual, sin necesidad de una migración disruptiva de «todo o nada».

Las implementaciones híbridas son cada vez más habituales y representan una parte cada vez mayor de la adopción global de la PKI. Ofrecen una solución práctica para aquellas organizaciones que necesitan la escalabilidad y la experiencia de un servicio gestionado, pero que no están preparadas (o no tienen la necesidad) de desmantelar por completo su infraestructura actual.

Qué hay que evitar a la hora de evaluar a los proveedores de PKIaaS

Renunciar al control de tus claves raíz

Cualquier proveedor que no te conceda el derecho a ser propietario de tu PKI debe descartarse de inmediato. El depósito de claves y la posibilidad de recuperar tu PKI para gestionarla internamente son requisitos innegociables. El proveedor debe encargarse del diseño, la implementación y la gestión de tu PKI, mientras que tú conservas el control total sobre las claves raíz y los materiales de recuperación.

La dependencia de un único proveedor es un riesgo real en este mercado. Si tu proveedor no ofrece garantías contractuales claras en cuanto a la titularidad y la portabilidad de las claves, esto debería ser un factor de exclusión en tu evaluación.

Infraestructura compartida y multitenant

La PKI nunca debe alojarse en una infraestructura compartida. Los entornos multitenant conllevan riesgos innecesarios y limitan la flexibilidad para personalizar las configuraciones según tus requisitos específicos. Insiste en entornos dedicados y de un solo tenant, en los que tu infraestructura PKI esté totalmente aislada de la de otros clientes.

Una solución de inquilino único ofrece mayor flexibilidad en cuanto a configuración, cumplimiento normativo y optimización del rendimiento. Además, simplifica los procesos de auditoría y cumplimiento normativo al eliminar cualquier ambigüedad sobre el aislamiento de datos y los controles de acceso.

Soluciones incompletas sin gestión de certificados

Un servicio PKIaaS sin gestión integrada del ciclo de vida de los certificados es, en esencia, incompleto. En cuanto se emite el primer certificado, surge la necesidad de gestionarlo: hay que hacer un seguimiento de dónde está implementado, cuándo caduca y si sigue cumpliendo con las políticas establecidas.

Evalúa los proveedores que combinan CLM de PKIaaS y CLM en una única plataforma. El uso de herramientas independientes para la gestión de la autoridad de certificación y la gestión del ciclo de vida de los certificados genera una complejidad innecesaria, aumenta el riesgo de que se produzcan puntos ciegos y dificulta el mantenimiento de una visión unificada de tu entorno de certificados.

Cómo Keyfactor ayudarte Keyfactor

La solución «PKI as a Service»Keyfactor combina una infraestructura de clave pública (PKI) totalmente gestionada y basada en la nube con una potente automatización del ciclo de vida de los certificados en una única plataforma. Cada implementación comienza con una PKI basada en las mejores prácticas y diseñada desde cero, que incluye una CA raíz siempre fuera de línea y aislada físicamente (air-gapped), protegida por HSM dedicados que cumplen con la norma FIPS 140-2 Nivel 2, una infraestructura de listas de certificados revocados (CRL) totalmente redundante y sólidos servicios de recuperación y copia de seguridad de datos, todo ello implementado en un entorno de nube de inquilino único. Los clientes conservan el control total de las claves raíz y los materiales de recuperación, lo que garantiza que no se produzca dependencia de un único proveedor.

Entre los principales factores diferenciadores se incluyen:

• Control integral de la PKI:Keyfactor y mantiene internamente toda la pila de la PKI, desde las bibliotecas criptográficas (Bouncy Castle) hasta el software de la CA software EJBCA), lo que garantiza mejoras continuas y fiabilidad a largo plazo.
• Experiencia y envergadura sin igual:con más de 20 años de experiencia en consultoría e implementación de PKI, Keyfactor cientos de organizaciones en todo el mundo. Los clientes gestionan en la plataforma desde unos pocos miles hasta cientos de millones de certificados activos.
• Reconocimiento del sector:Nombrada líder en crecimiento e innovación en el informe «Frost Radar» de Frost & Sullivan sobre PKI como servicio.
• Preparada para la era poscuántica:una infraestructura de clave pública (PKI) compatible con la criptografía poscuántica (PQC), con funciones avanzadas de detección de certificados y automatización para identificar y migrar a estándares seguros frente a la computación cuántica. El hecho de que Keyfactor sea propietaria de sus propias bibliotecas criptográficas Keyfactor confiere Keyfactor ventaja única a la hora de integrar rápidamente algoritmos poscuánticos.
• Escalabilidad ilimitada:infraestructura en la nube de un único inquilino con alta disponibilidad, opciones de redundancia geográfica y más de 100 integraciones preconfiguradas.
• Asistencia basada en el SLA:supervisión del servicio las 24 horas del día, los 7 días de la semana, los 365 días del año; con certificación SOC 2 Tipo II e ISO 27001 (auditadas anualmente) y altos índices de satisfacción con el servicio de asistencia.