Mois de la sensibilisation à la cybersécurité : Neuf choses que les équipes de sécurité doivent savoir PKI

As part of Cybersecurity Awareness Month, Keyfactor is highlighting ways teams can adapt to the escalating challenge of managing certificates and machine identities in their organizations. 

Jusqu'à récemment, la cryptographie à clé publique était une pratique assez marginale. Cependant, avec l'émergence du travail à distance, de l'informatique en nuage et des appareils IoT , le volume et la prévalence des certificats ont explosé. 

Cette vulnérabilité croissante est en train de devenir un vecteur d'attaque privilégié par les acteurs malveillants. Entre-temps, les entreprises ont été prises au dépourvu, s'efforçant d'évaluer l'état des certificats au sein de leur organisation et de mettre en œuvre des politiques à long terme pour les sécuriser et les gérer.  

Keyfactor’s 2022 State of Machine Identity Report revealed that enterprises have an average of 269,562 public and private certificates.

La gestion de l'infrastructure à clé publique (PKI) est une tâche ardue lorsqu'elle s'ajoute aux responsabilités principales de votre équipe. Pour gérer et faire évoluer efficacement PKI, les équipes chargées de la sécurité doivent connaître un grand nombre de choses - c'est pourquoi nous en avons présenté neuf que vous devriez prendre en considération.

1. La visibilité est essentielle, et votre équipe n'a peut-être pas la vision qu'elle croit avoir.

A 2021 report by Keyfactor and Ponemon revealed that 50% of companies don’t know exactly how many keys and certificates they have. And in Keyfactor’s 2022 State of Machine Identity Report, gaining complete visibility of all certificates was the top priority for PKI and certificate management.

This is symptomatic of PKI sprawl — various teams using different certificate authorities (21 on average) with no centralized hub for tracking and managing certificates. To compound the complexity, many organizations don’t establish clear ownership of PKI across the enterprise. 

Implementing a certificate lifecycle management solution is the answer. Keyfactor Command is a certificate lifecycle management and automation solution that can be deployed on-prem, as a service, or combined with cloud-hosted private PKI (known as PKI-as-a-Service). However you choose to deploy, you’ll be able to quickly discover and manage existing certificates in your environment, then scale up PKI operations as business needs grow.

2. La gestion de PKI est un travail à plein temps.

Many IT and security teams simply have too many other priorities to incorporate PKI management into their everyday responsibilities. At the end of the day, other duties are more central to the nature of their roles. PKI will take a back seat to maintaining systems, responding to incidents, and investigating alerts. According to Keyfactor’s 2022 State of Machine Identity Report:

• 65% des entreprises sont préoccupées par l'augmentation de la charge de travail et le risque de pannes causés par la réduction de la durée de vie des certificats TLS . 
• 50% ont déclaré qu'ils n'avaient pas assez de personnel informatique dédié à leur PKI. 
• 33 % des organisations considèrent que le manque de temps et de budget est le principal obstacle à l'adoption d'une stratégie de gestion du site PKI à l'échelle de l'entreprise.

Meanwhile, certificate lifespans are decreasing to insulate enterprises from the threats of compromised or stolen certificates. Since 2020, 398 days has been the widely-accepted lifespan for certificates. However, many certificate authorities are adopting 90-day lifespans. 

Ces durées de vie continueront à diminuer, ce qui signifie que les certificats expireront plus fréquemment, augmentant ainsi l'exposition au risque pour les organisations qui ne disposent pas d'un système fiable de gestion de PKI. En l'absence de ressources adéquates sur le site PKI , la gestion des certificats expirés coûtera de plus en plus cher.

3. La gestion de PKI exige une expertise spécifique à PKI.

“Ok,” you think, “we’ll just create an internal PKI team composed of IT and security analysts we already have on staff.” 

Bien trop souvent, les organisations font peser PKI sur les épaules d'un personnel qui n'a qu'une expérience limitée (voire aucune) de la gestion de PKI. Bien que vos techniciens en informatique et en sécurité soient probablement très compétents, ils partent de zéro dans un paysage PKI en constante évolution. 

• Le niveau de changement et d'incertitude autour de PKI est le principal obstacle à l'adoption d'une stratégie de gestion de PKI à l'échelle de l'entreprise. 
• A lack of skilled personnel ranked as the second-highest challenge to adopting an enterprise-wide strategy. [Keyfactor’s 2022 State of Machine Identity Report]

La courbe d'apprentissage est trop raide et les enjeux sont trop importants pour laisser votre site PKI entre les mains de quelqu'un qui n'est pas expérimenté et compétent dans le domaine PKI . 

L'obtention de PKI commence par la conception. Cependant, il existe un grand nombre d'aspects de la conception de PKI qui, une fois configurés, ne peuvent être modifiés sans un redéploiement complet. Ces aspects rigides ont des implications significatives pour l'utilisation à long terme de votre PKI.

4. Les processus manuels ne permettent pas de faire évoluer efficacement le site PKI .

Dedicated PKI staff and resources are becoming mission-critical. If PKI must fall into the hands of IT and security professionals with other significant responsibilities, organizations must endeavor to minimize the complexity of PKI management as much as possible. 

Quel que soit le contexte, les processus manuels sont l'ennemi de la modernisation, de l'échelle et de la transformation. Dans le contexte de PKI , les processus manuels associés à un manque d'expertise sur PKI sont la recette d'un désastre.

• Le processus de demande, de génération et de déploiement manuel d'un nouveau certificat est fastidieux, en particulier lorsque les personnes qui s'en chargent ne sont pas à l'aise avec PKI. 
• 42% of organizations still use spreadsheets to track and manage certificates. Yet spreadsheets can’t notify you when a certificate expires or nears expiration, nor can they flag the errors that come with manual data entry. 
• Les processus manuels se prêtent à une utilisation ad hoc et incohérente par les équipes. Ce manque de standardisation rend difficile la mise en place et l'extension des meilleures pratiques.
• Lorsque des vulnérabilités sont révélées, il est vital d'agir rapidement pour remplacer les certificats, mais les processus manuels ne permettent pas de réagir avec la rapidité nécessaire. Cela est particulièrement vrai en cas de compromission d'une autorité de certification, qui nécessite l'émission en masse de nouveaux certificats.

Automation is the answer. With a centralized PKI management platform, you don’t have to babysit your certificates. From continuous monitoring and automated alerts to API integrations to enabling end users to carry out their own certificate processes, automating PKI processes are key to enabling scale.

5. Une bonne gestion du site PKI est essentielle pour répondre aux besoins opérationnels modernes.

Travail à distance, IoT, DevOps - le périmètre du réseau traditionnel n'est plus ce qu'il était. Les membres de l'équipe ont besoin d'un accès sécurisé aux systèmes et aux applications qui leur permettent de travailler. En ce qui concerne le travail à distance et IoT, le défi de la sécurisation des appareils réside dans une toute nouvelle série de conditions et de facteurs qui échappent à votre contrôle. Si quelqu'un travaille à distance, les appareils et les réseaux par lesquels il accède à vos serveurs peuvent ne pas être à la hauteur en termes de sécurité. Pour les appareils IoT , l'appareil doit se connecter à un serveur pour en valider la propriété, quel que soit l'endroit où il est activé.

For DevOps, it’s all about scale and speed. The manual PKI processes described above present a significant challenge to DevOps momentum and achieving CI/CD. A streamlined, efficient PKI can speed up development cycles while improving quality—all without sacrificing security.

6. La crypto-agilité devient plus qu'un simple avantage.

Quel que soit le degré de renforcement de votre dispositif de sécurité aujourd'hui, il se détériorera au fil du temps. De nouvelles technologies et menaces apparaissent sans cesse. Avec le temps, toute mise en œuvre de la sécurité s'effondrera, et aucune méthode de cryptage n'est invincible. 

L'agilité commerciale signifie la capacité à s'adapter rapidement avec un minimum de perturbations. Dans le contexte de PKI , la crypto-agilité signifie que votre entreprise peut faire évoluer ses processus PKI sans perturber l'ensemble de l'infrastructure informatique ou de sécurité. La crypto-agilité permet aux organisations de garder une longueur d'avance sur les vulnérabilités avant qu'elles ne soient révélées par une rupture, une infraction ou une pénalité de conformité. 

Agility and adaptability create sustainability—a long-lasting PKI architecture that can grow along with your enterprise, keep pace with heightening compliance regulations, and even contribute to innovation initiatives.

7. Un bon site PKI commence par la conception.

The explosion in use cases and volume around PKI necessitates a new set of best practices. When implemented from the start, these practices can preserve the integrity of your PKI and save you from a disruptive redeployment later down the line. 

Avec PKI, il n'est pas possible d'improviser au fur et à mesure. Vous devez disposer d'une feuille de route détaillée avant de faire le premier pas.

• Comment le site PKI est-il utilisé dans votre organisation et comment devra-t-il être utilisé à l'avenir ?
• Quelles sont les meilleures politiques et procédures pour gérer les certificats tout au long de leur cycle de vie dans votre organisation ? 
• Quels contrôles allez-vous mettre en place pour soutenir ces politiques et procédures ? 
• Comment allez-vous saisir, expliquer et documenter les changements apportés à votre plan et à votre site PKI?

La mise en place d'un bon design sur votre site PKI n'est qu'un début. Un site PKI nécessite beaucoup d'entretien et de maintenance pour rester fonctionnel. C'est un risque pour les équipes de sécurité qui se concentrent sur la mise en œuvre de PKI , mais pas sur son exploitation indéfinie.

8. Audit, audit, audit.

Lorsque vous gérez PKI en interne, vous devez intégrer des audits réguliers dans votre pratique PKI . Un audit doit comprendre un examen et un test de tous les éléments énumérés dans votre politique de certification et vos déclarations de pratiques de certification (CP/CPS), ainsi que des plans de continuité des activités et de reprise après sinistre pour tous les composants de PKI . S'il existe un besoin légitime de changement, lancez un contrôle des changements pour mettre à jour l'un ou l'autre des documents. Considérez-les comme des documents vivants qui évoluent pour maintenir le niveau d'assurance prévu par le site PKI.

Les organisations qui programment et réalisent leurs propres audits internes peuvent régulièrement et facilement identifier les problèmes, répondre aux questions des auditeurs externes et fournir la preuve du niveau d'assurance requis. PKI Les propriétaires devraient également surveiller et comparer les contrôles de leur entreprise PKI avec les normes actuelles et émergentes, y compris le CA/Browser Forum, WebTrust et les organismes de réglementation du secteur. Cela permet à l'organisation de rester à l'affût des tendances qui pourraient entraîner des lacunes sur PKI . Une autre bonne pratique consiste à effectuer un bilan de santé annuel à l'adresse PKI afin de découvrir tout ce que l'organisation n'a peut-être pas pris en compte.

9. Vous pouvez résoudre PKI et décharger votre équipe de sécurité de cette tâche.

The resources required to design, implement, maintain, and evolve PKI internally come at a steep cost and a high technical barrier, especially amid the current cybersecurity labor shortage. 

​​So how do you properly tackle PKI implementation, manage the widespread surge of certificates coursing through your enterprise, and scale PKI through visibility, traceability, and automation in the face of a rapidly changing landscape?

Un partenaire disposant d'une grande expertise sur PKI peut vous fournir une solution clé en main pour la mise en œuvre et l'exploitation de votre propre site interne PKI- ou vous proposer une gestion totale de PKI en tant que service de confiance.

Besoin d'aide pour faire progresser vos efforts en matière de cybersécurité ?

The risks of inadequate PKI management will only increase, but the complexity doesn’t have to. Keyfactor helps companies (including those with under-resourced teams) secure every digital key and certificate for multi-cloud enterprises, DevOps, and embedded IoT security. Click here to learn more about what we offer, including how our Cloud PKI-as-a-Service offers every organization access to an elite team of cybersecurity experts.