Les 4 principales raisons d'auditer votre inventaire d'actifs cryptographiques

Vos ressources cryptographiques sont essentielles pour sécuriser les communications et les données numériques. Ces actifs comprennent les clés de chiffrement, les certificats et les algorithmes. 

Cependant, vous devez tenir à jour l'inventaire de vos actifs cryptographiques. Si vous ne le faites pas, vous risquez d'être confronté à plusieurs scénarios préjudiciables. Les biens cryptographiques périmés ou faibles constituent d'excellentes cibles pour les pirates informatiques, car ils sont vulnérables aux failles de sécurité. Il sera également plus difficile d'atténuer les effets d'une violation de la sécurité parce que vous ne savez pas quels actifs cryptographiques se trouvent dans votre inventaire, et il sera plus difficile de procéder à une intervention en cas d'incident et à une analyse médico-légale. 

We’re shifting to post-quantum cryptography (PQC), an era in which powerful quantum computers will be able to solve thorny, previously intractable problems.However, quantum computers can also easily overcome current data security methods. You need modern defensive strategies to prepare for the age of PQC.

Ces stratégies reposent sur la compréhension de l'inventaire de vos actifs cryptographiques. L'audit de votre inventaire fait partie d'une bonne gouvernance d'entreprise et de la conformité aux réglementations. L'impact d'une violation due à une mauvaise gestion de l'inventaire des ressources cryptographiques ne se limiterait pas à des amendes, mais porterait gravement atteinte à la réputation d'une organisation. L'audit de l'inventaire des biens cryptographiques est une étape vers la réduction du risque de cybersécurité, vous préparant à un avenir de PQC. 

L'informatique quantique : Voici ce qui est en jeu

Le National Institute of Standards and Technology (NIST) des États-Unis recommande vivement aux organisations d'être prêtes pour le PQC d'ici 2030. Toutefois, les progrès de l'informatique quantique pourraient être encore plus rapides que cela, c'est pourquoi il est essentiel d'agir maintenant. 

How will quantum computing affect current cryptography? Let’s look at blockchain as an example. 

La blockchain s'appuie sur la cryptographie asymétrique pour vérifier les transactions et maintenir la sécurité du grand livre. L'informatique quantique peut facilement venir à bout de cette cryptographie. Nous nous retrouverons dans une situation où les signatures pourront être falsifiées et où la confiance dans la blockchain s'effondrera. 

Hackers are already preparing for this situation. Organizations should be too. Harvest Now, Decrypt Later (HNDL) attacks involve collecting encrypted data now, waiting for quantum computing to advance to the point where they can decrypt it. If you have sensitive data such as financial records, healthcare data, or intellectual property that needs to stay safe for a decade or more, you’re at risk. 

There’s some good news: quantum-safe algorithms can resist a quantum computer attack. Developed by the NIST, these algorithms can secure a wide range of electronic information, from confidential email messages to e-commerce transactions. 

La question qui se pose est la suivante : lequel de vos actifs cryptographiques doit être transféré vers un algorithme à sécurité quantique ? C'est là qu'intervient l'audit de vos actifs.   

La relation entre les audits et la crypto-agilité

À l'ère de la PQC, la crypto-agilité sera vitale pour protéger les organisations. 

Crypto-agility refers to the ability to replace and adapt cryptographic algorithms for protocols, applications, software, hardware, and infrastructures without disrupting their operations to achieve resiliency. 

L'audit de votre inventaire d'actifs cryptographiques vous permet de déterminer ce qui doit être mis à jour ou remplacé. En prenant des mesures fondées sur les enseignements tirés d'un audit , vous renforcez la résilience de votre organisation contre les attaques utilisant des technologies quantiques. C'est ce que vous voulez accomplir, alors examinons les principaux avantages d'un audit.

Identifier les actifs cryptographiques faibles ou périmés

La première étape de l'audit des actifs cryptographiques consiste à déterminer ce qui est faible ou périmé.

When the SHA-1 and RSA-1024 algorithms were developed, they protected against the threats of that time (or the threats envisaged at that time). However, threats evolve. Algorithms, keys, and certificates must evolve, too, or they won’t protect you. If your keys or certificates use legacy algorithms, your risks for a cyberattack increase. 

Using expired assets creates  security loopholes which attackers can use to exploit your vulnerabilities. For example, an attacker monitoring your traffic could use an expired asset to alter it so that they’re the recipient of a money transfer. By uncovering and updating these assets, you can avoid trust issues and compliance violations. 

Empêcher la cryptographie non autorisée ou fantôme

Il y a cryptographie non autorisée ou cryptographie fantôme lorsque les employés utilisent des software tiers pour le cryptage à l'insu du service informatique. Elle présente un risque pour les organisations car elle obscurcit ce qui se passe et rend plus difficile la compréhension des actifs cryptographiques existants. Supposons qu'un employé utilise un software tiers pour chiffrer des données. Même si ce software est autorisé, le service informatique n'en a pas connaissance et ne peut pas le contrôler.

Here’s another example: a developer or a dev team decides to use self-signed certificates. Self-signed certificates are public key certificates with signatures that can be verified by the public key contained within the certificates. They’re convenient, but they don’t guarantee that the certificate information is authentic. 

Lorsque des individus ou des équipes prennent ce genre de raccourcis, les actifs cryptographiques se multiplient, ce qui les rend plus difficiles, voire impossibles à contrôler par l'équipe de sécurité ou informatique appropriée. Le contrôle centralisé de ces actifs renforce votre posture de sécurité en offrant la visibilité nécessaire pour combler les lacunes de sécurité et effectuer les mises à jour en temps voulu. 

Préparez l'avenir de votre organisation avec Crypto-Agility

Utilisez-vous d'anciens algorithmes ? Les organismes de normalisation comme le NIST les abandonnent parce qu'ils ne peuvent plus protéger efficacement les organisations, en particulier contre les risques potentiels de l'informatique quantique. 

L'ère de la CQP se profilant à l'horizon, vous devez identifier les actifs existants et les mettre à niveau. Au cours d'un audit, vous signalerez les actifs qui doivent passer à une cryptographie plus efficace, ou vous déterminerez ce qui est à l'épreuve du temps. Cette étape est cruciale dans votre cheminement vers l'agilité cryptographique.

Réduire les risques opérationnels et éviter les pannes

Lors de l'audit de vos ressources cryptographiques, vous pouvez découvrir des renouvellements manqués ou des clés mal configurées. Ces éléments peuvent entraîner des interruptions de service. 

Manual methods to track assets and their expiration dates increase risks. Manual tracking methods are error-prone. You can easily enter data incorrectly, and there’s no way to automatically update records when you add or deprecate an asset. If you’re looking to automate your PKI processes, Keyfactor Command offers full visibility, orchestration, and automation across your entire PKI and certificate landscape in a single platform. Request a demo.  

L'audit révèle les lacunes dans la gestion du cycle de vie afin que vous puissiez gérer de manière proactive les renouvellements pour maintenir la fiabilité du service et la confiance des clients. 

Points clés à retenir concernant l'audit des actifs cryptographiques

Il est facile de considérer l'audit des actifs cryptographiques comme un processus unique. Or, ce n'est pas le cas. Voici pourquoi : 

• You can’t manage what you don’t know you have. Shadow or unauthorized cryptography allows cryptographic assets to proliferate, and weak or obsolete assets could put your organization at risk. As we move closer to PQC, the need to be crypto agile is vital. 
• Automation is the only practical path for cryptographic asset management moving forward. Manual methods are error-prone, slow, and unsustainable at scale.
• Automated discovery and continuous monitoring keep your organization safe by identifying risks. You’re no longer guessing about what assets you have–you can be confident about what assets exist and what risk they pose.  

Se préparer à la CQP grâce à la découverte et à la surveillance automatisées

L'ère de l'informatique quantique pourrait arriver plus vite qu'on ne le pense. Les pirates informatiques s'y préparent déjà. Et vous ? 

Voici comment vous pouvez vous préparer : 

• Ne considérez pas l'audit des actifs cryptographiques comme un exercice unique.
• L'automatisation de vos capacités de découverte et de surveillance accélère les processus d'audit cryptographique afin qu'ils deviennent une partie intégrante de vos processus de sécurité.
• Keyfactor Command permet d'automatiser la découverte, l'inventaire et le renouvellement des certificats et des clés, ce qui vous permet d'éviter les pannes, de réduire les risques et de respecter les délais de conformité.

Don’t wait for an outage or audit failure. Start auditing your cryptographic inventory now and automate the process with a purpose-built solution. Request a demo to see how Keyfactor Command works for you.