Faire les bons investissements pour lutter contre la pénurie de main-d'œuvre dans le domaine de la cybersécurité

The global cybersecurity industry faces a major labor shortage. Though the labor pool of cybersecurity workers has grown, vacancies in the job market have grown even faster — so much so that the Department of Homeland Security described the shortage as a significant national security threat.

According to a report by (ISC)² Cybersecurity Workforce, the global cybersecurity workforce gap in 2022 is 3.4 million, the highest it has ever been. The report also highlights that the U.S. cybersecurity workforce is only growing at 5.5 percent, compared to the global growth of 11.1 percent. 

Keyfactoraide les responsables de la sécurité à comprendre la dynamique de la pénurie de main-d'œuvre dans le domaine de la cybersécurité et propose des stratégies pour atténuer son impact sur leur posture de sécurité et l'efficacité de leur équipe.

Cette pénurie représente une menace importante pour les entreprises. Non seulement les équipes de sécurité en manque de personnel peinent à rester à l'affût des menaces actives contre les réseaux d'entreprise, mais elles perdent également la bande passante dont elles ont besoin pour patcher les systèmes critiques, évaluer et gérer les risques, et faire respecter les meilleures pratiques qui assurent la sécurité du réseau. 

L'adoption d'outils ou le recrutement de nouveaux talents peut ne pas résoudre les inefficacités sous-jacentes qui empêchent la mise à l'échelle. L'investissement adéquat redonne de la bande passante aux équipes de sécurité et simplifie leur travail quotidien tout en assurant l'évolutivité et la flexibilité pour l'avenir. 

Pour les entreprises qui chargent leurs équipes de sécurité générale ou d'informatique de gérer l'infrastructure à clé publique (PKI), la modernisation de PKI peut fournir l'élément de transformation dont les équipes ont besoin pour rester vigilantes et efficaces.

Pourquoi les équipes ont-elles du mal à PKI

While in the past, PKI was limited to a manageable, specific set of use cases, today’s enterprise is challenged to manage digital certificates on a massive scale. Keyfactor’s 2022 State of Machine Identity Management Report found that the average enterprise boasts over 260,000 internally-issued certificates.

Outre le volume, plusieurs facteurs font de PKI un travail à temps plein que peu d'équipes peuvent réellement et efficacement accomplir, surtout lorsqu'elles sont mises à rude épreuve par la pénurie de main-d'œuvre.

Certificates are often spread out across the enterprise, making it difficult to achieve visibility into the full scope of the organization’s certificate inventory — particularly if other teams can generate their own certificates unchecked. 

Pour contrôler l'inventaire complet des certificats de l'organisation, les équipes de PKI doivent avoir une visibilité sur les bases de données des autorités de certification (CA), sur les points d'extrémité SSL et TLS sur le réseau, et sur les magasins de clés et de certificats. Il doit également exister une hiérarchie de propriété claire entre les opérateurs PKI et les gestionnaires, les approbateurs et les utilisateurs de certificats.

Procédures manuelles

Keyfactor’s 2022 State of Machine Identity Management Report shows that 42% of organizations use spreadsheets to track certificate lifecycles and 38% use homegrown tools. 

En conséquence, l'équipe PKI doit suivre manuellement les expirations de certificats à venir, se tenir au courant des demandes d'émission et d'approbation de certificats, et superviser le renouvellement et l'installation de nouveaux certificats. Le manque d'expertise et de responsabilité parmi les parties prenantes entrave encore plus les flux de travail manuels encombrants autour de PKI. 

La rationalisation des processus utilisés pour gérer PKI n'est pas seulement essentielle pour faire face à la pénurie de main-d'œuvre, mais aussi pour débloquer l'évolutivité au fur et à mesure que les organisations continuent à faire évoluer leur utilisation de PKI .

Un manque d'expertise

La gestion de PKI nécessite un ensemble de compétences et de connaissances approfondies et spécifiques. Les erreurs commises lors de la phase de conception d'un site PKI au niveau de l'entreprise ne peuvent pas être corrigées sans une refonte totale, en particulier avec le niveau de complexité impliqué dans un paysage de systèmes typique. PKI n'est pas un élément d'infrastructure "prêt à l'emploi et à oublier". Elle a besoin d'une maintenance et d'un entretien continus pour conserver son efficacité.

Une bonne gestion de PKI nécessite du temps pour évaluer l'infrastructure de manière globale et déterminer la voie à suivre. Lorsque les équipes informatiques ou de sécurité s'occupent de PKI en plus de leurs tâches principales, elles peuvent être amenées à donner la priorité à ces tâches par rapport à leurs responsabilités sur PKI . Dans tous les cas, l'organisation est confrontée à un risque accru de panne ou de violation.

Broadly, these challenges force internal teams into a reactive mode of managing PKI. Not only does this create more work for the team, exacerbating the pains of the labor shortage, it practically guarantees outages due to certificate expirations.

Prendre de l'avance sur PKI

La pénurie de main-d'œuvre exige des organisations qu'elles tirent le meilleur parti de leur personnel de sécurité et d'informatique existant. Les bons investissements permettent aux équipes d'accéder aux ressources, aux outils et aux connaissances qui leur manquent pour minimiser le temps qu'elles consacrent à la gestion du site PKI , en conflit avec d'autres tâches et un travail de plus haut niveau. 

La modernisation de PKI peut alléger la charge de travail tout en évitant des catastrophes telles que des audits ratés, des clés et des certificats volés ou mal utilisés, et des pannes imprévues.

Visibilité grâce à la centralisation

Teams can’t secure what they can’t see. A modern PKI management platform can detect hidden and unknown certificates and keys and provide visibility into public and private CAs, network endpoints, and key and certificate stores. 

Cette visibilité permet à l'équipe PKI de remédier aux identités non conformes et faibles et de promouvoir les meilleures pratiques en matière de certificats dans l'ensemble de l'entreprise. Grâce à des fonctionnalités telles que le marquage des certificats et les métadonnées personnalisées, les équipes de PKI peuvent organiser les inventaires de certificats et intégrer les certificats dans les flux de travail des utilisateurs. 

La création d'un centre universel PKI command peut apporter un temps précieux, de la simplicité et de la tranquillité d'esprit aux équipes de sécurité qui manquent de personnel. La centralisation de la gestion de PKI au sein d'une plateforme holistique peut permettre aux équipes d'économiser des heures de travail qu'elles passeraient autrement à rechercher l'état de certificats obscurs et éloignés les uns des autres. Elles seront en mesure de voir venir les expirations et de ne plus se demander si un certificat oublié va expirer sans être détecté.

Automatisation transformatrice

Automation may be the biggest advantage afforded by a modernized PKI. A PKI management solution can streamline or fully automate the process of renewing, provisioning, and installing certificates. This functionality can virtually eliminate the risk of certificate outages and prevent the heavy workload of remediating them.

Lorsque les équipes peuvent automatiser les alertes de renouvellement, programmer des rapports et révoquer ou délivrer des certificats en masse, elles peuvent s'extraire de la routine PKI pour évaluer et affiner PKI à un niveau plus large. Elles peuvent véritablement contrôler leur PKI, plutôt que d'être à sa merci. 

Automation simplifies certificate usage for end users like developers and app owners. A PKI management solution can set boundaries and standards for users who consume certificates without violating policies or compliance. As such, a modernized PKI can provide relief from labor shortage pains to teams beyond those dedicated to IT and PKI, thus contributing to innovation rather than impeding it. 

Connaissance approfondie de PKI

Every organization is different and consumes certificates in its own unique ways. While out-of-the-box platforms can offer transformative capabilities, organizations need human expertise to make the biggest decisions around their PKI. 

Un fournisseur PKI ou un expert externe peut travailler avec les équipes de sécurité ou de TI pour comprendre les cas d'utilisation de leur organisation PKI , afin d'architecturer au mieux le PKI en fonction de ces exigences et d'éviter les problèmes de post-production. Un expert ou un fournisseur PKI peut aider à prendre les décisions importantes lors de la phase de conception, comme l'utilisation d'une conception à deux ou trois niveaux ou l'adoption d'un module de sécurité Hardware (HSM). 

A PKI expert can ensure these decisions don’t return to cause problems for the organization and simplify PKI. Once the foundation of the PKI has been established, policies and procedures can be implemented to optimize PKI management. From there, the internal team responsible for PKI can administer the regular review and testing of PKI components, like monitoring and benchmarking the PKI against current and emerging industry standards for compliance and security. 

Les conseils d'un expert sur PKI peuvent éviter aux équipes d'immenses complications et la difficulté de moderniser leur PKI par tâtonnements. Pendant ce temps, l'organisation paie pour l'expertise dont elle a besoin plutôt que d'embaucher un expert interne PKI .

Plus de bande passante égale moins de coûts

In addition to saving security teams time and headaches, the efficiencies of a modernized PKI can yield significant cost savings. Not only will organizations drive more value from their existing team members, avoiding the costs of unnecessary hires and lowering the total cost of ownership around PKI by 40%, but they will also retain revenue that would otherwise be lost to outages or cyberattacks. 

Les entreprises disposent ainsi d'une plus grande marge de manœuvre pour investir dans d'autres secteurs d'activité qui subissent les pressions de la pénurie de main-d'œuvre.

Un jour, la pénurie de main-d'œuvre dans le domaine de la cybersécurité disparaîtra, mais de nombreuses inefficacités sur le site PKI n'ont pas été créées par la pénurie, mais plutôt révélées et amplifiées par elle. Quelles que soient les mesures prises par les organisations pour survivre à la pénurie de main-d'œuvre, l'évolutivité et l'efficacité de PKI seront essentielles pour sécuriser les entreprises dans le monde de demain.

To explore more ways organizations can stay secure and agile during the labor shortage, download Keyfactor’s new ebook: Three Strategies to Navigate the Cybersecurity Labor Shortage.