Naviguer dans la maturité de la gestion des certificats : Une feuille de route pour une réussite à long terme

Dans le paysage numérique actuel, les organisations ont besoin d'aide pour assurer la visibilité et le contrôle de leurs clés et certificats numériques. 

Une entreprise moyenne gère 255 000 certificats et clés, souvent répartis entre plusieurs unités commerciales. Leur gestion en silos par le biais de processus manuels coûte aux équipes une bande passante importante et présente un risque d'indisponibilité. 

Perfecting Public Key Infrastructure (PKI) and Certificate Lifecycle Management (CLM) doesn’t happen overnight, nor is it a one-and-done effort. According to Keyfactor’s 2023 State of Machine Identity Report:

•  77 % des organisations admettent que les certificats numériques continuent de provoquer des pannes et des temps d'arrêt non planifiés.
• Moins de la moitié des organisations disposent d'une stratégie globale de gestion des identités machine appliquée de manière cohérente à l'ensemble de l'entreprise. 
• 62% des organisations ne savent pas combien de clés et de certificats elles possèdent.

There are five stages of CLM maturity outlined in Keyfactor’s Certificate Lifecycle Management Maturity ebook. This blog explores Level 1 and Level 2, which many organizations will likely find themselves in. To get a deep dive into what it means to be a Level 3 or 4,  and get a sense of what a fully mature CLM practice looks like in Level 5, download the CLM Maturity Model eBook.

Level 1 – Manual CLM

Au niveau 1, les équipes s'efforcent de faire face au volume croissant et à la prolifération des certificats dans l'ensemble de l'organisation, en grande partie parce qu'elles exécutent CLM avec des processus fortement manuels.  

Les équipes de niveau 1 gèrent les certificats à l'aide de solutions manuelles telles que des feuilles de calcul, des rappels de calendrier ou des scripts pour informer les propriétaires de certificats de leur expiration imminente. Il n'y a pas d'automatisation, et la maintenance des ressources PKI prend du temps et est sujette à des erreurs. 

L'inconvénient de la gestion manuelle, basée sur une feuille de calcul, de PKI est qu'elle dépend de la capacité du personnel à savoir où vérifier les certificats existants. Les certificats inconnus et non suivis constituent toujours une menace. Au fur et à mesure que le volume des identités des machines augmente et que les cycles de vie des certificats recommandés se raccourcissent, le niveau 1 devient beaucoup moins tenable.

Les organisations de niveau 1 devraient faire le point sur leurs certificats et leur site PKI afin d'identifier les flux de travail qui pourraient être facilement automatisés et de commencer à mettre en place un processus à l'échelle de l'organisation concernant les clés et les certificats.

Questions à poser

• Quelles sont les unités opérationnelles et les applications qui s'appuient sur des certificats ?
• Combien d'autorités de certification (AC) émettent activement des certificats dans notre environnement et combien sont utilisées ?
• Combien de temps est consacré à la délivrance et à la mise à jour des certificats dans tous les services ?

Level 2 – Siloed CLM

Les organisations de niveau 2 ont fait de grands progrès dans la gestion des certificats connus en abandonnant les processus manuels. Cependant, la menace d'un certificat non détecté se cachant dans les profondeurs du système est toujours très réelle. 

La gestion des certificats étant répartie entre plusieurs départements et des outils disparates, la visibilité et les rapports sont toujours fragmentés et cloisonnés. 

Pour résoudre ce problème, les équipes doivent s'efforcer d'améliorer leurs capacités de découverte. Elles ont besoin d'outils de découverte basés sur le réseau et d'outils de découverte locaux (c'est-à-dire des agents et des orchestrateurs) pour savoir où les certificats résident dans le réseau, quelles applications les utilisent et où la clé privée est stockée. 

Le véritable objectif est la centralisation. La centralisation de CLM dans l'ensemble de l'organisation permet non seulement d'améliorer la visibilité et le contrôle, mais aussi de consolider la propriété de CLM et d'aligner la gouvernance et les meilleures pratiques dans l'ensemble de l'organisation. 

Questions à poser

• Combien de rapports faut-il pour créer une vue d'ensemble de CLM à travers plusieurs AC ? Quels sont les rapports manquants ?
• Si un certificat est sur le point d'expirer, comment s'assurer que son propriétaire le renouvellera à temps ?
• Est-ce que je sais où chaque certificat est utilisé, ou est-ce que je sais seulement d'où il a été émis ? 

Jumping ahead to Level 5 – the pinnacle of CLM

Au cinquième et dernier niveau de maturité de CLM , les organisations ont atteint l'automatisation zéro-touche de CLM et une véritable crypto-agilité. Les organisations de niveau 5 ont établi un inventaire complet de tous les certificats dans leur environnement, quelle que soit la source ou la destination du certificat. Même si un petit pourcentage de certificats n'est pas automatisé, 100 % des certificats sont connus.

Au niveau 5, la sécurité de PKI est tellement intégrée dans le flux de travail DevOps qu'elle est pratiquement invisible et discrète pour les développeurs. Les silos d'utilisation de PKI ont été complètement démantelés. Les équipes de sécurité de l'information jouent un rôle actif dans le tissu DevSecOps, en aidant les ingénieurs à relever la barre de la qualité, de la rapidité et de la sécurité.

Si le niveau 5 vous semble impossible à atteindre, ne vous inquiétez pas. En vous concentrant sur la maturation d'un niveau à l'autre, vous atteindrez la pleine maturité sur CLM de la manière la plus efficace possible.

Initier l'évolution de la CLM

Pour donner le coup d'envoi à l'évolution de CLM au sein de votre organisation, envisagez les étapes suivantes :

1. Build Your Team: Begin by assessing which stakeholders are involved in CLM and bring them into the process. Collaboration and communication among teams are essential for successful CLM management.
2. Understand Use Cases: Gain a comprehensive understanding of the various use cases that require CLM within your organization. This knowledge will aid in identifying critical areas that need attention and improvement.
3. Map Your CLM Infrastructure: Create a detailed map of your entire CLM infrastructure. This exercise will clarify your CLM’s existing state and identify areas where enhancements are necessary.
4. Track Progress: Develop a plan to track your progress to CLM maturity. Establish measurable milestones and continuously evaluate your advancements, making adjustments as needed.

Any organization can reach the highest form of CLM maturity — and they’ll need to, to stay ahead of increasing certificate volume and use cases, as well as emerging security threats.

Level 1 and Level 2 are meant to triage the inefficiencies plaguing teams and discern an organization-specific vision for CLM maturity. Level 3 and Level 4 bridge the gap to a scalable, resilient CLM practice. 

Quel que soit le niveau de maturité d'une organisation ( CLM ), l'ebook sur le modèle de maturitéCLM peut fournir une feuille de route pour l'aider à passer à l'étape suivante. 

En adoptant l'automatisation, en encourageant la collaboration et en mettant en œuvre des pratiques robustes sur le site CLM , les organisations peuvent établir une base solide pour les futures politiques de gestion des certificats.