Voici pourquoi la plupart des organisations reconstruiraient PKI si elles le pouvaient

Si vous aviez su à l'époque ce que vous savez aujourd'hui, auriez-vous construit le site PKI de votre organisation différemment ?

Vous n'êtes pas seul. 

In Keyfactor’s 2024 PKI & Digital Trust Report, a staggering 98% of organizations indicated they would change their Public Key Infrastructure (PKI) if given the chance.

Ce n'est pas étonnant. Pensez à tout ce qui a changé au cours de la dernière décennie. L'automatisation et l'informatique en nuage ont considérablement progressé, et de nouvelles innovations telles que les appareils IoT et les méthodologies DevOps ont émergé pour imposer une plus grande demande à l'infrastructure PKI . 

Bien que personne ne puisse prédire l'avenir, les systèmes PKI sont souvent créés sans vision à long terme en matière de sécurité, d'évolutivité ou de flexibilité. En conséquence, le site PKI est développé de manière ad hoc, créant une solution complexe et fragile. Cela crée un effet d'entraînement qui devient rapidement un problème critique pour l'entreprise. 

Respondents to the report gave myriad reasons for the changes they’d make to their PKI. Understanding the most common goals can inform your own PKI modernization process and point out future PKI challenges. 

On aurait pu, on aurait dû, on aurait dû - Comment les organisations auraient-elles construit leur site PKI différemment ?

Se préparer au changement d'échelle et à la croissance de l'organisation

Environ 48 % des personnes interrogées dans le cadre du rapport ont cité la nécessité de s'adapter aux changements - qu'ils soient dus à l'évolution, à l'innovation ou aux nouvelles réglementations - comme un facteur déterminant dans leur désir de reconstruire leur site PKI.

PKI succeeds or fails based on the decisions made at the earliest stage of its design. Most organizations lack the necessary skill set to get PKI right from the beginning or have the foresight to improve its direction over time. To make matters worse, high turnover in IT leads to a loss of institutional knowledge of the ins and outs of an organization’s particular PKI.

Par exemple, les systèmes PKI reposent sur une autorité de certification (AC) racine qui se trouve au sommet de la hiérarchie de confiance. Sous l'autorité de certification racine se trouvent plusieurs autorités de certification intermédiaires (ICA). Idéalement, chaque autorité de certification intermédiaire a une fonction précise. L'une d'entre elles peut être utilisée par l'équipe de sécurité, une autre par l'équipe DevOps, etc. 

Les petites organisations peuvent n'avoir besoin que de quelques ICA, alors qu'une grande entreprise en utilise en moyenne sept. Au fur et à mesure que la petite organisation se développe, elle devra répartir ses services entre des ICA plus spécialisés. L'élaboration de cette progression et la migration des services vers leurs AC respectives requièrent une expertise et une planification importantes. 

Autres défis liés à la mise à l'échelle PKI

• Certificate volumes: Gartner estimates some organizations to have as many as half a million certificates in play at any given time. That’s a lot to keep track of. As organizations scale, it becomes unfeasible to manage certificate lifecycles through homegrown solutions, spreadsheets, incomplete vendor solutions, or a combination of these.
• A lack of governance: If no one in the organization owns PKI policies, individual departments procure their own PKI assets and run them without oversight or thorough documentation. This makes it hard to gain visibility and control over the entire PKI and certificate landscape.
• Compliance and regulatory challenges: New markets or industries often come with their own ever-emerging set of compliance requirements. These regulations necessitate changes to the PKI architecture to ensure adherence to industry standards and regulations.

La centralisation de la gestion des certificats est une première étape importante. En rassemblant tous les certificats dans un centre de gestion unique, vous posez les bases du suivi, de l'automatisation et de l'amélioration des politiques PKI . Grâce à la visibilité offerte par la découverte proactive des certificats, vous pouvez gérer les aspects techniques de la gestion des certificats et aligner PKI sur les objectifs de l'entreprise. 

Permettre une plus grande automatisation

Approximately 40% of organizations express a strong desire to empower their PKI systems with automation. 

Il y a quelques décennies, PKI était une spécialité de niche qui ne concernait que quelques aspects de la fonction informatique au sens large. Mais à l'échelle actuelle de l'utilisation des certificats, l'automatisation est essentielle pour trouver les certificats non documentés et prévenir définitivement les pannes liées aux certificats. 

Le volume et la complexité de l'utilisation des certificats augmentent, tout comme la demande des équipes de sécurité, d'informatique et d'infrastructure qui gèrent ces certificats. Sans automatisation, les risques augmentent également - les risques d'une charge de maintenance croissante et d'une propension à l'erreur humaine.

D'autres défis liés à l'automatisation des certificats et des PKI

• Low visibility: Many organizations struggle to compile an accurate inventory of cryptographic assets like certificates and CAs. Without the complete picture, it’s practically impossible to make meaningful automation progress.
• Tool sprawl: According to the report, 38% of organizations use homegrown tools and spreadsheets to manage certificates, while 30% rely on tools from certificate vendors. Homegrown tools rarely cover the full range of needs, while vendor tools typically only work for that vendor’s certificates. This leads to redundant tooling and makes automation harder to implement.
• Labor shortage: Few organizations have internal resources specifically dedicated to PKI. More often, PKI is entrusted to IT, security, or infrastructure teams — all of whom have their hands full with their primary responsibilities. As a result, they become so buried by the day-to-day work that they can’t step back and make broader improvements to their own workflows.

Lorsque la maintenance est lente et manuelle, les réponses aux problèmes liés aux certificats ont tendance à être lentes et manuelles. En moyenne, il a fallu près de six heures aux personnes interrogées pour identifier une panne liée à un certificat et y remédier, ce qui a obligé huit membres du personnel à abandonner leur travail et à réagir à la panne. 

L'automatisation de la gestion de PKI améliore l'efficacité opérationnelle en rationalisant les tâches telles que l'émission, le renouvellement et la révocation des certificats. Cela réduit les efforts et les délais de réponse à un incident et facilite la mise en œuvre des changements imposés par la conformité. 

Le plus important est peut-être qu'il permet aux équipes chargées de PKI de consacrer une plus grande partie de leur bande passante à leurs responsabilités premières. 

Passer à l'informatique dématérialisée

About 35% of organizations would move their PKI to the cloud if they could. The usual cloud benefits of better security, cost efficiency, and scalability certainly apply to PKI. 

Toutefois, ce type de transition est complexe et nécessite des modifications substantielles de l'infrastructure. Pour beaucoup, il serait plus pratique de concevoir un système à partir de zéro spécifiquement pour les environnements en nuage.

Les défis de la migration vers l'informatique dématérialisée

• Integration with legacy systems: Many environments – particularly in the operational technology sector – rely on a few key pieces of legacy infrastructure that are all but impossible to integrate or modernize. Yet, these legacy systems are too costly or disruptive to replace.
• A lack of expertise: Technicians with PKI knowledge are hard to come by, but how many PKI experts are also well-versed in the cloud and cloud migrations? Very few.
• Protecting your data: Data integrity is a huge concern for any cloud migration. In its journey to the cloud, data passes through many hands, platforms, and pipelines. Along the way, there are many opportunities for errors and discrepancies. If sensitive data is exposed, that’s an incident all its own, and finding where the chain of data trust was broken can be costly and complicated.  

Cela dit, les avantages d'un site PKI hébergé dans le nuage font que la migration en vaut la peine. Les fournisseurs de services en nuage offrent un niveau de sécurité supplémentaire et rendent l'entreprise plus flexible. 

Pour migrer PKI vers le nuage, il faut trouver le bon partenaire - des expertsPKI qui ont mené à bien des migrations vers le nuage. Ces partenaires peuvent vous guider dans une approche de migration par étapes et vous suggérer de consolider l'infrastructure, de mettre en œuvre l'automatisation et d'instaurer un environnement plus fiable et plus souple PKI. 

Conclusion

Les entreprises et les organisations comptent de plus en plus sur les fournisseurs pour les aider à rectifier le tir et à pérenniser leurs systèmes PKI . 

À cette fin, PKI as a Service (PKIaaS) est apparu comme une solution viable pour beaucoup, offrant l'expertise et l'infrastructure nécessaires pour gérer PKI de manière efficace et sécurisée. En confiant la gestion de PKI à des fournisseurs expérimentés, vous vous assurez que les besoins cryptographiques de votre organisation sont satisfaits sans les frais généraux liés à la maintenance et à l'évolution d'un système interne.

Le rôle de PKI dans l'établissement de la confiance et de la sécurité numériques ne fera que s'accentuer. Les organisations qui le reconnaissent dès maintenant et qui restent proactives dans leur gestion de PKI sont celles qui ont le plus de chances de rester en sécurité.