La PKI es la base de cualquier postura de seguridad sólida, pero las organizaciones deben asegurarse de que sus certificados digitales, que se emiten utilizando la Infraestructura de Clave Pública (PKI), también proceden de una fuente de confianza y tienen una sólida base de seguridad.
Algunas organizaciones optan por gestionar sus propias Autoridades Certificadoras (CA) internas o privadas por comodidad, en lugar de asociarse con una CA de confianza pública basada en la nube. Sin embargo, las ventajas que ofrecen las CA internas, como el ahorro de costos y la facilidad de integración en la infraestructura existente, no son del todo claras y pueden ser engañosas. He aquí un resumen de las principales razones por las que las organizaciones tienden a optar por las CA internas, y por qué tu organización debería reconsiderar su uso para sus requisitos de seguridad.
1. Ahorro de costos
El ahorro de costos es uno de los mitos más comunes sobre por qué las organizaciones optan por CA internas y privadas en lugar de una Autoridad Certificadora de confianza pública como GlobalSign. A menudo se argumenta que los servicios de una CA pública costarán más a una empresa que podría firmar sus certificados de forma mucho más sencilla y asequible.
Sin embargo, este no suele ser el caso. Como dice el refrán, se obtiene lo que se paga. Emplear el uso de una CA interna o privada suele ser menos seguro, y las empresas implicadas en una brecha pueden encontrarse pagando mucho más que los costos iniciales de contratar los servicios de una CA de confianza pública.
Las CA públicas tendrán la agilidad y la experiencia necesarias para mantenerse al día de las amenazas a la seguridad que surjan en el mercado digital y del cumplimiento de las normativas regionales y del sector.
También hay otros costos asociados a las CA privadas. Una CA interna sigue necesitando personal para su mantenimiento y módulos de seguridad de hardware para almacenar las raíces de los certificados. La gestión del ciclo de vida de los certificados (CLM) y los servicios de validación, como la actualización y el mantenimiento de las listas de revocación de certificados (CRL), la ejecución de servicios de protocolo de estado de certificados en línea (OSCP) y la realización de auditorías de seguridad y políticas de las CA, requieren tiempo, recursos y los conocimientos adecuados.
Después de todo esto, el ahorro que supone gestionar una CA privada es, en el mejor de los casos, marginal, y sólo si no se produce una infracción, que aún podría ocurrir. Al asociarse con una CA de confianza como GlobalSign, las organizaciones pueden asegurarse de que obtienen la experiencia y las soluciones que necesitan para gestionar su infraestructura de seguridad con confianza y garantía.
Lee nuestro eBook para obtener una visión completa de los costos de gestión de una CA privada
2. Fácil integración
Las CA internas a menudo parecen atractivas para las organizaciones porque supuestamente son fáciles de integrar con sus sistemas actuales debido a las políticas de grupo personalizables y a la capacidad de integrarse con su Directorio Activo.
Sin embargo, esto es engañoso. Las CA internas suelen requerir más atención a la configuración inicial que cuando se asocia con una CA de confianza pública. La configuración inicial de una CA privada, incluida la configuración con el Directorio Activo, requiere un conjunto de conocimientos especializados en PKI y ciberseguridad. No sólo eso, sino que requiere el hardware adecuado para ejecutar la CA, auditorías periódicas de la infraestructura de seguridad y un mantenimiento constante por parte del equipo de TI interno, que puede estar sacrificando tiempo y recursos que podría haber dedicado a otros proyectos.
La cuestión es que una CA interna o privada no es necesariamente más fácil de integrar o configurar en un directorio activo que una CA pública. Soluciones como el Certificate Automation Manager de GlobalSign están totalmente automatizadas y pueden integrarse en los sistemas existentes con la flexibilidad necesaria para configurar las políticas de la organización.
Asociarse con una CA pública de confianza permite a las organizaciones ampliar sus recursos ofreciendo la experiencia y las soluciones fácilmente integrables necesarias para mantener segura la infraestructura de la organización.
3. CA internas para certificados internos
La confianza pública es la principal razón para asociarse con una Autoridad Certificadora. La PKI ayuda a las organizaciones a proteger los activos de cara al público, como el uso de SSL/TLS para proteger sitios web y servidores, o soluciones de firma de documentos para garantizar la protección de los documentos. Sin embargo, esto no significa que las organizaciones no necesiten una CA de confianza pública para proteger y asegurar los activos internos, como una red privada o las comunicaciones por correo electrónico.
Asociarse con una CA pública como GlobalSign, tanto si utiliza certificados para fines internos como externos, sigue siendo vital para proteger las comunicaciones empresariales y mantener las mejores prácticas de seguridad digital dentro de su organización.
Cuando se trata de la seguridad empresarial interna, hay ciertas necesidades que no pueden satisfacerse utilizando una CA interna o privada. Las organizaciones deben considerar las siguientes razones para asociarse con una CA pública para sus necesidades de seguridad:
Seguridad y experiencia inigualables: La confianza pública no sólo se aplica a los certificados públicos. Significa que tu organización también puede confiar en la seguridad de sus activos y comunicaciones digitales. No sólo esto, sino que una CA pública puede ofrecer una experiencia considerablemente mayor sobre cómo mantenerse al día de los cambios en el mercado de PKI, seguir el ritmo de la evolución de la tecnología y las amenazas a la ciberseguridad, y asesorar sobre las mejores soluciones para satisfacer los requisitos empresariales.
Mantener el cumplimiento: Las CA públicas ofrecen soluciones que ya cumplen con los estándares y requisitos industriales y regionales, por lo que asociarse con una CA pública también garantizará que las organizaciones puedan mantener el cumplimiento de estándares como GDPR y eIDAS, mitigando los riesgos de multas y daños a la reputación de la organización, en caso de que tu organización sea víctima de una infracción.
Rentabilidad: Si bien el uso de una CA interna o privada para las necesidades de seguridad puede parecer tentador al principio, su mantenimiento es costoso y laborioso para las organizaciones si se tienen en cuenta la experiencia y los recursos necesarios para hacerlo, al tiempo que no se garantiza la prevención de una violación. Las Autoridades Certificadoras públicas ofrecen soluciones rentables para proteger las comunicaciones digitales, ya cuentan con la experiencia necesaria para adaptar las soluciones a las necesidades de la empresa y, gracias a la confianza pública, pueden mitigar el riesgo de infracción y mantenerse al día de las nuevas amenazas a la seguridad.
Soluciones eficientes: Cuando se utiliza una CA interna o privada, una organización debe dedicar tiempo y recursos a configurar su Active Directory y gestionar ella misma los ciclos de vida de los certificados. Hacerlo manualmente es una tarea laboriosa y que lleva mucho tiempo al personal de TI y a los equipos de seguridad, y resta recursos a otros proyectos y tareas críticos. Las CA públicas ofrecen muchas soluciones que han creado y probado para garantizar una alta funcionalidad, seguridad y mantenimiento de la conformidad para la gestión del ciclo de vida de los certificados (CLM), como inventarios de certificados, el protocolo ACME y la gestión de automatización de certificados, para reducir la necesidad de intervención humana a la hora de mantener la seguridad de la PKI.
Asociarse con una CA de confianza pública ofrece a las organizaciones la posibilidad de proteger su infraestructura, no sólo a un costo menor que el de una CA privada, sino también con un mayor soporte, eficiencia y los conocimientos y experiencia necesarios para mantenerse al día con el cumplimiento, los cambios del sector y las amenazas a la seguridad en desarrollo dentro del mercado PKI. Las soluciones automatizadas como el Certificate Automation Manager de GlobalSign reducen la necesidad de intervención manual de TI y, por tanto, la presión de la gestión del ciclo de vida de los certificados de una forma que una CA privada o interna no puede.
Los mitos sobre la rentabilidad y la fácil integración de las CA privadas no son del todo ciertos, y las organizaciones deberían reconsiderar seriamente su aptitud para proteger las comunicaciones, los datos y los activos internos. Las organizaciones deberían considerar que asociarse con una CA de confianza pública, como GlobalSign, sería la solución más eficaz para garantizar la seguridad empresarial.
Lee nuestro eBook para obtener una visión completa de los costos de gestión de una CA privada
