PKI Prévisions pour 2023 : Un accent sur la sécurité de la chaîne d'approvisionnement Software , les normes des dispositifs IoT , et bien d'autres choses encore

In 2023, PKI will continue to break into the mainstream enterprise discourse as a business-critical investment. Keyfactor’s State of Machine Identity Management 2022 report shows that organizations are struggling to modernize their PKI practice.

• 66 % déploient davantage de clés et de certificats dans leur environnement informatique, tandis que 70 % déclarent que l'augmentation du nombre de clés et de certificats a alourdi la charge opérationnelle. 
• 57 % des personnes interrogées considèrent l'agilité cryptographique comme une priorité stratégique majeure pour la sécurité numérique, et 55 % déclarent que les initiatives "zéro confiance" sont un facteur déterminant pour PKI, les clés et les certificats. 
• 81 % des entreprises ont connu de multiples interruptions de service dues à des certificats expirés en 2021 et 2022, avec un temps moyen de remédiation de 3,3 heures.

Avec l'augmentation des enjeux liés aux pannes, la mise en place de nouvelles normes de conformité et la montée en puissance de la confiance zéro en tant que cadre pratique, nous pouvons nous attendre à ce que PKI et son utilisation évoluent cette année. 

To understand how the shifting regulatory environment, threat landscape, and emerging business strategies will impact — and be impacted by — PKI, we turned to Tomas Gustavsson, Keyfactor’s Chief PKI Officer. He gave us the inside scoop.

Keyfactor: Prévoyez-vous que le site PKI sera davantage appliqué dans le processus de développement et d'utilisation des dispositifs IoT ?

Tomas Gustavsson: With the introduction of new legislation from the EU and the U.S. government, particular types of IoT devices will fall under scrutiny. These regulations will address traditional software vulnerabilities and the potential for cryptographically secure updates and data encryption. 

I predict this discussion will continue and heighten in 2023, not least in the E.U. with the introduction of the EU Cyber Resilience Act. We can expect best practices recommended by NIST and ENISA to become mandatory, though this will happen slowly.

Keyfactor: Pourquoi la sécurité de la chaîne d'approvisionnement est-elle un point faible ? Les organisations ignorent-elles la sécurité de la chaîne d'approvisionnement ? Selon vous, que faudra-t-il pour que les organisations ne négligent plus la sécurité de la chaîne d'approvisionnement ?

Tomas: Some industries like telecom and critical infrastructure have long prioritized supply chain security. The software supply chain has lagged because it isn’t as obvious, and research hasn’t yet been well established. The software world has prioritized innovation over security, even in consumer software that handles essential, sensitive data. 

Mais cette situation est en train de changer pour plusieurs raisons :

• Nous avons vu de grands consommateurs ( software ) être victimes d'attaques de la chaîne d'approvisionnement, et nous les avons vus réagir en renforçant les normes de sécurité de leurs fournisseurs. Cette évolution se répercutera sur les petites organisations et sera impulsée par les marchés publics et privés. 
• Ces dernières années, la recherche universitaire s'est considérablement développée autour de la chaîne d'approvisionnement de software . Nous pouvons donc nous attendre à ce que les paquets populaires de software soient analysés plus en profondeur et donc améliorés.

Actuellement, la mise en œuvre de contrôles de sécurité optimisés dans la chaîne d'approvisionnement du développement et de software nécessite une certaine expertise, mais dans les années à venir, nous pouvons nous attendre à ce que ces contrôles de sécurité soient de plus en plus intégrés dans les outils et plus faciles à optimiser.

Il est pratiquement impossible de sécuriser les chaînes d'approvisionnement software sans utiliser PKI, et nous pouvons donc nous attendre à ce que PKI soit plus facile à intégrer dans les outils de développement.

Keyfactor: Quels sont les secteurs qui donneront la priorité à PKI dans les années à venir ?

Tomas: All sectors! PKI is the most mature and standardized approach to solving the security demands most industries face. 

Some industries, like telecom, have used PKI for decades, so we may not see as much growth in those industries compared to sectors like automotive and manufacturing. These settings are transitioning to an everything-connected model, which requires them to escalate their PKI usage compared to what they’ve traditionally needed. 

Even enterprise organizations, which have used PKI solidly for many years, are seeing massive growth in PKI usage due to initiatives like zero trust. 

Keyfactor: Comment la gestion du site PKI aidera-t-elle l'industrie manufacturière à lutter contre les attaques de ransomware ?

Tomas: PKI can’t solve everything. Organizations need multi-stage protections to guard against ransomware and other attacks. For instance, code signing is a critical component in preventing malware from being installed in your systems. If you can guard against unauthorized software, you can stay protected against many types of attacks. 

Cela dit, des clés de signature de code volées peuvent permettre de signer des ransomwares. Pour une entreprise disposant d'un écosystème privé d'appareils, il est préférable d'utiliser des certificats de signature de code à confiance privée plutôt que des certificats à confiance publique. Les appareils du fabricant sont ainsi protégés contre le vol de clés et de certificats de confiance publics. 

En 2023, nous pouvons nous attendre à un renforcement de la sécurité autour des clés de signature de code de confiance publique, Microsoft imposant l'utilisation de modules de sécurité hardware pour les abonnés aux certificats de signature de code utilisés pour signer le code Windows.

Keyfactor: Pensez-vous que le travail à distance va perdurer ? Dans l'affirmative, comment les entreprises devraient-elles utiliser PKI pour sécuriser l'accès au réseau à distance ?

Tomas: Remote work is here to stay; the hybrid workplace is the new normal. PKI is the backbone for secure communication, and most products that secure remote work use PKI in one way or another. Regardless of whether it’s a VPN solution, video conferencing, or office collaboration tools, companies need to adopt a zero-trust strategy.

Les stratégies de confiance zéro étendront l'utilisation de PKI à des parties du réseau qui dépendaient auparavant uniquement de la segmentation du réseau, afin de permettre un accès facile et sécurisé à toutes les ressources dont les travailleurs à distance ont besoin. 

Il n'y a aucune raison pour qu'il ne soit pas aussi facile de travailler de n'importe où dans le monde, en toute sécurité.

Vous êtes prêt à utiliser PKI pour sécuriser votre organisation ?

Big changes are in store for 2023, and maintaining a well-run PKI will be vital for enterprise success. To hit the ground running with your zero-trust initiative or to start planning to modernize your PKI, Keyfactor can help you scale PKI to meet your goals without sacrificing speed, efficiency, or security.