État de la gestion de l'identité des machines : Établir la propriété de PKI et réduire la complexité de PKI en 2023

Depuis 2021, le rapport Keyfactor's State of Machine Identity Report aide les organisations à évaluer le paysage de l'identité des machines et PKI . Les conclusions du rapport illustrent la manière dont PKI est utilisé dans les entreprises, ainsi que les priorités et les défis qui occupent les esprits des responsables de la sécurité et de la direction. 

Keyfactor est fier de présenter le rapport 2023 State of Machine Identity Report, réalisé en partenariat avec le Ponemon Institute. Le rapport de cette année montre que les organisations ont encore du mal à jeter les bases d'une gestion efficace de PKI à grande échelle, alors même que la prise de conscience de la nécessité de PKI pour l'entreprise ne cesse de croître. 

• L'adoption de la confiance zéro, des dispositifs IoT et des services basés sur l'informatique en nuage favorisent le déploiement des clés, PKI, et des certificats. 
• Pour la première fois dans l'histoire du rapport, la "réduction de la complexité de l'infrastructure PKI " a été classée en tête des priorités. 
• La pénurie de main-d'œuvre continue d'inciter les organisations à définir une stratégie PKI et MIM à l'échelle de l'entreprise.

La réalité de l'informatique quantique se rapproche, les cas d'utilisation des identités des machines se multiplient et les pannes deviennent des enjeux de plus en plus importants. S'il est largement admis que chaque machine a besoin d'une identité, la gestion de ces identités fait l'objet d'un manque de discussion et de compréhension. 

So what can organizations start doing now to manage machine identities better? This year’s State of Machine Identity Management Report offers several considerations on which to build a machine identity management (MIM) strategy that can enable greater crypto-agility for the future. 

1. Établir la propriété de l'identité de la machine

Les certificats sont utilisés par des équipes dans toute l'entreprise - sécurité, informatique, DevOps, cloud, et autres. Chaque équipe a ses propres besoins en matière d'outils et d'utilisation, mais personne n'est véritablement propriétaire d'une stratégie globale d'identité des machines.

That’s partly because there isn’t one. In this year’s report, only 47% of organizations said they have an enterprise-wide strategy for managing PKI and machine identities.

Lorsque la stratégie PKI n'appartient à personne, il ne peut y avoir d'alignement sur les meilleures pratiques, de prise de décision sur les conflits liés à l'identité, ou de soutien inter-organisationnel pour les questions de certificat. Il en résulte un risque accru de pannes et des temps de réponse plus longs. 

Dans le passé, les organisations ont fait appel à des équipes de sécurité pour déployer et gérer les certificats et la cryptographie. Cependant, la cryptographie est devenue un ensemble d'initiatives stratégiques qui nécessitent des connaissances plus larges et une stratégie à plus long terme.

Establishing a Crypto Center of Excellence (CCoE) or a machine identity working group that includes cross-functional participants has proven effective at preventing silos and maintaining visibility of cryptographic assets. The stakeholders who make up this group live and breathe their use cases every day, so they can make decisions around tooling and processes that truly enable productivity and deliver business value. Additionally, they can serve as a single point of contact for users across the enterprise, offering unified answers that enforce the overall mission.

2. Investissez dans votre stratégie de gestion de l'identité des machines

The formulation of any strategy requires a human element, which the machine identity working group supplies. Once the vision is defined, organizations must make investments that enable and accelerate that vision with automation, visibility, and centralized control over certificate lifecycles.

Gaining visibility is the first and perhaps most difficult step. In this year’s report, 62% of respondents said they don’t know how many keys and certificates their organization has — that’s up from 55% in 2022 and 53% in 2021. 

This may feel conflicting, as awareness of machine identities and the maturity of management technologies are on the rise. But it goes to show that the explosion in volume and use cases around machine identities is outpacing the organizational ability to manage them. This challenge will only grow more difficult as certificate lifecycles become shorter. 

L'une des premières étapes d'un groupe de travail sur l'identité des machines nouvellement formé devrait être d'auditer le paysage de l'identité des machines de l'organisation et d'identifier les lacunes. À partir de là, ils peuvent explorer les outils et les processus qui répondent aux besoins spécifiques des différentes équipes et les intégrer aux outils, flux de travail et applications existants. 

Le compromis entre un CCOE centralisé et dédié à PKI et un groupe de travail sur l'identité des machines est que les membres du groupe de travail ont d'autres responsabilités. En particulier dans un contexte de pénurie de main-d'œuvre, les organisations feraient bien de donner aux membres du groupe de travail les moyens de gérer les responsabilités liées à l'identité des machines de la manière la plus efficace possible.

3. Réduire la complexité de votre PKI

A major headline emerging from this year’s State of Machine Identity Report is the importance of reducing the complexity around PKI. Reducing complexity in PKI ranked as the top strategic priority, up from 50% in 2021 to 58% in this year’s report.

Mais rendre PKI moins compliqué peut être, en fait, compliqué. Plusieurs facteurs entrent en jeu.

• Higher volume of machine identities
  
  71% of respondents said their organizations are deploying more cryptographic keys and digital certificates, up from 60% in 2021.

• Fewer resources to dedicate to PKI
  
  53% of respondents said their organizations don’t allocate enough resources and staff dedicated to PKI deployment.
• PKI and CA sprawl clutter machine identity strategies
  
  On average, organizations use 9 different PKI and CA solutions, with a mix of internal private PKI, self-signed certificates, cloud-based services, and tools built into DevOps platforms.

Ce type de dispersion résulte d'un manque d'appropriation autour de PKI. Seulement 31% des personnes interrogées ont déclaré que leur organisation disposait d'un groupe de travail mature sur l'identité des machines. 

Les équipes travaillant en vase clos adoptent leurs propres outils, ce qui accroît la redondance et élargit la surface d'attaque de l'organisation. En l'absence d'une stratégie globale ou au moins d'un processus unifié pour prendre des décisions sur le site PKI , il est difficile d'identifier des solutions qui répondent à de nombreux besoins.

Les pannes liées aux certificats frappent durement les organisations

In this year’s report, 55% of respondents said certificate-related outages have caused severe disruption to customer-facing services, while another 50% said outages have caused major disruption to internal users or a subset of customers. 

Pour aggraver la situation, le délai de rétablissement après une panne de certificat s'allonge : 3,79 heures en moyenne, contre 3,3 heures dans le rapport de l'année dernière. 

D'autres facteurs font de PKI un problème plus urgent à résoudre. La pénurie de main-d'œuvre dans le domaine des cybercompétences se poursuit, tandis que la sécurité de la signature des codes fait de plus en plus partie intégrante des stratégies de gestion de l'identité des machines. 

Keyfactor’s 2023 State of Machine Identity Report speaks to these challenges. No matter where you are in your PKI journey, enabling long-term scale and efficiency is possible. We hope this year’s report gives you clarity and excitement about the future. At Keyfactor, we’ll keep working to deliver insights that help you navigate the machine identity landscape and establish digital trust enterprise-wide.

Lire le rapport complet ici.