Cet article a été initialement publié par Security Magazine le 18 août 2022.
Alors que les organisations cherchent à transformer leurs opérations, leur empreinte numérique continue de s'étendre. Alors que nous passons des technologies de l'information (TI) traditionnelles à des charges de travail plus dynamiques dans le nuage et à la périphérie, le nombre de machines augmente à un rythme exponentiel. Aujourd'hui, ces identités de machines comprennent tout, de l'Internet des objets (IoT) et des appareils mobiles connectés aux applications définies par software, aux charges de travail dans le nuage, aux machines virtuelles, aux conteneurs et même au code qui s'exécute sur ces machines.
Avec la prolifération des appareils, les entreprises d'aujourd'hui sont confrontées à des défis croissants en matière de sécurité et de conformité, alors qu'elles s'efforcent de gérer leur paysage croissant d'identités de machines. Il s'agit notamment de protéger les identités des machines, les clés cryptographiques et les certificats numériques.
Le rapport State of Machine Identity Management de Keyfactor examine le rôle de l'infrastructure à clé publique (PKI) et des identités des machines dans la sécurisation des entreprises modernes. Basé sur une enquête menée auprès de plus de 1200 professionnels de la sécurité informatique dans le monde entier, le rapport identifie les risques et les défis auxquels les organisations sont confrontées à mesure que leur rôle continue d'évoluer. Parmi les défis les plus difficiles à gérer figurent la fréquence et la gravité croissantes des pannes liées aux certificats.
Le problème croissant des pannes de certificat
L'augmentation des identités des machines au sein d'une entreprise s'accompagne d'une augmentation du nombre de certificats numériques associés. En effet, une connexion cryptée est nécessaire pour établir la confiance dans les transactions numériques entre cette machine et d'autres appareils, utilisateurs et charges de travail au sein de l'entreprise. Parmi les conséquences coûteuses d'une gestion inefficace des cycles de vie des certificats numériques, on peut citer les pannes qui peuvent entraîner des interruptions de service et des pannes. Par exemple, s'ils ne sont pas gérés, les certificats expirent de manière inattendue, entraînant l'arrêt d'applications ou de services critiques.
Si l'on examine les résultats de l'enquête, on constate que la majorité des répondants (81 %) ont déclaré que leur organisation avait subi au moins deux pannes liées à des certificats au cours des 24 derniers mois, alors que ce chiffre était de 77 % en 2021. Le temps de récupération (TTR) d'une panne liée à un certificat a pris trois heures ou plus en moyenne pour 67% des équipes pour identifier et remédier à une panne. Cela comprend la détection initiale, la localisation du certificat expiré, l'émission d'un nouveau certificat, le remplacement du certificat expiré et le redémarrage des services. Pour 38 % des personnes interrogées, les équipes de sécurité ont mis plus de quatre heures à se remettre d'une panne liée à un certificat.
La plupart des entreprises s'appuient sur un patchwork de feuilles de calcul et d'interfaces internes PKI pour gérer les certificats numériques. Sans une bonne visibilité des certificats et de leur emplacement, les équipes peuvent mettre des heures à remédier aux pannes liées aux certificats. Quelle que soit leur taille ou leur secteur d'activité, une écrasante majorité d'entreprises ne savent pas combien de clés et de certificats elles possèdent, à qui ils appartiennent, à quelles politiques ils se conforment ou quand ils expirent.
Stratégies pour une gestion réussie des certificats
L'impact financier et opérationnel d'un seul certificat expiré peut se répercuter sur l'ensemble de l'organisation. Dans de nombreux cas, les pannes affectent également les clients et les partenaires commerciaux. Alors que les équipes informatiques et de sécurité passent des heures à identifier la cause première et à remplacer le certificat expiré d'un site web ou d'une application critique pour l'entreprise, la réputation de la marque et le chiffre d'affaires subissent des conséquences immédiates. On estime que les temps d'arrêt non planifiés du réseau provoqués par des certificats expirés coûtent à une entreprise plus de 300 000 dollars par heure.
Selon le rapport, le nombre moyen de certificats approuvés en interne a augmenté de près de 16 % depuis l'étude de l'année dernière. L'augmentation du nombre de certificats et la réduction de leur durée de vie s'avèrent difficiles à gérer, 70 % des personnes interrogées indiquant que l'utilisation croissante de clés et de certificats numériques a considérablement augmenté la charge de travail de leur service informatique. Par ailleurs, 65 % des personnes interrogées s'inquiètent de l'augmentation de la charge de travail et du risque de pannes dus à la réduction de la durée de vie des certificats SSL/TLS , qui a été divisée par deux, passant de 27 mois à seulement 13 mois en septembre 2020.
Compte tenu des risques tels que les pannes, les organisations doivent se fixer comme priorité d'améliorer leur gestion des certificats afin d'anticiper les pannes de sécurité liées aux certificats. Beaucoup trop d'organisations s'appuient encore sur un patchwork de feuilles de calcul manuelles, d'outils fournis par leur fournisseur SSL/TLS et d'outils maison pour gérer les certificats.
L'une des mesures les plus importantes que les organisations peuvent prendre pour simplifier la gestion des certificats est d'investir dans des outils d'automatisation qui permettent d'améliorer la visibilité des certificats et d'automatiser la gestion du cycle de vie de ces certificats. Selon les conclusions du rapport, l'adoption d'outils de gestion du cycle de vie des certificats est en hausse, 44 % des personnes interrogées déclarant que leur organisation utilise une solution dédiée à la gestion du cycle de vie des certificats (CLM), ce qui représente une forte augmentation par rapport aux 36 % enregistrés en 2021. En fait, 60 % des personnes interrogées citent l'automatisation du cycle de vie comme une priorité absolue pour l'année à venir.
Faire de la visibilité et de l'automatisation une priorité
Alors que de nombreuses organisations passent de l'informatique traditionnelle à des charges de travail plus dynamiques dans le nuage et à la périphérie, le nombre de machines utilisées ne cesse d'augmenter. Cela signifie qu'il y a de plus en plus de certificats à superviser, car chacune de ces machines a besoin d'une identité sous la forme de clés cryptographiques ou de certificats numériques.
Une gestion inefficace des certificats numériques - ou, pire encore, l'absence de gestion - peut entraîner des perturbations massives sous la forme de pannes. Cela peut à son tour entraîner un retard important dans la productivité ou ouvrir une brèche pour une violation potentielle des données.
L'amélioration de la visibilité et l'automatisation de la gestion des certificats numériques sont deux mesures proactives que les organisations peuvent prendre pour réduire les pannes. Lorsque les responsables de la sécurité cherchent à réduire et à prévenir le nombre de pannes liées aux certificats, la visibilité et l'automatisation devraient être des priorités à court terme. S'ils y parviennent, ils seront sur la bonne voie pour réduire la fréquence et la gravité des pannes.
