Su implantación de PKI: ¿en qué consiste?
La gestión de la implantación estricta de la infraestructura de clave pública (PKI ) no es opcional, sino necesaria. Tanto si su organización se dedica a la tecnología inalámbrica como si está implantando una iniciativa BYOD o abordando la actualización a SHA-2, la gestión de un proyecto de PKI no es un proceso sencillo. Sin embargo, hay una serie de prácticas recomendadas que su empresa puede emplear para garantizar el éxito de la implantación.
Si está pensando en crear una PKI utilizando recursos internos, asegúrese de que conoce los posibles obstáculos a los que puede enfrentarse si depende de su personal para poner en marcha una PKI:
- Nivel y disponibilidad adecuados de conocimientos internos.
Es fundamental disponer de personal con los conocimientos necesarios para configurar, implantar y mantener una PKI de forma continuada. Como recomienda Microsoft, necesitará especialistas con capacidad para:
-Emitir y revocar certificados.
-Realizar tareas de administración de servidores: hardware, aplicación de parches y copias de seguridad.
-Publicar Listas de Revocación de Certificados y gestionar la propia CA.
- Sensibilidad extrema a las políticas y prácticas.
Una PKI no puede implantarse al azar. Deben establecerse políticas y prácticas sólidas para mantener la PKI a largo plazo y garantizar la confianza de que no se ve ni se verá comprometida.
Buenas prácticas para una implantación con éxito
El mayor obstáculo para un proyecto PKI sólido es comprender que todo el proyecto, desde las fases iniciales hasta la implantación, debe prepararse adecuadamente. Más allá de eso, Michael Thomas, Director de Entrega de CSS, comentó que las siguientes mejores prácticas son buenas consideraciones para iniciar la implementación:
- Un error común que cometen las organizaciones antes de iniciar un proyecto de PKI es no comprender plenamente lo que implica el diseño: puede parecer sencillo sobre el papel, pero es fundamental verificar el proceso de creación de un diseño que se adapte a sus necesidades empresariales y casos de uso antes de empezar. Conozca de antemano sus necesidades y los casos de uso aplicables.
- Elabore una sólida declaración de políticas y prácticas para que su equipo de seguridad disponga de una base de referencia con la que comprometerse a la hora de garantizar la buena salud de la PKI a lo largo de su ciclo de vida.
- La ceremonia de firma de la raíz debe planificarse y contabilizarse. La cadena de custodia debe estar intacta desde el minuto cero hasta el final de su vida útil. Si por casualidad hay malware instalado en una máquina, o la seguridad de una CA raíz se ve comprometida, su PKI ya no es de fiar.
- A medida que se avanza hacia un estado estable, hay que asegurarse de que todos los componentes están correctamente operativos. Cuando una PKI pasa a formar parte de la infraestructura corporativa y ya no hay un equipo de proyecto, es fundamental asegurarse de que se lleva a cabo un mantenimiento continuo adecuado.
¿Internamente o con un socio de PKI?
No hay nada malo en llevar a cabo una implantación de PKI internamente, siempre y cuando se cuente con los sólidos conocimientos y herramientas necesarios para ejecutar correctamente todos los aspectos del proyecto. Los mayores escollos comunes son la falta de los conocimientos adecuados y no dar credibilidad a los pasos de preparación. PKI es complejo, pero si su equipo de seguridad es sustancial y está armado con conocimientos sobre todos los aspectos de PKI, es un proyecto que puede llevarse a cabo favorablemente.
La ventaja de trabajar con una parte externa es tener acceso a las mejores prácticas del sector para tratar con una infraestructura compleja, así como el conocimiento y la sensibilidad de las políticas para garantizar que su PKI no se vea comprometida desde el primer momento. Si no está seguro de contar con los especialistas internos adecuados, no intente implantar una PKI usted solo.
No presione sin conocer los hechos
Tanto si realiza la implantación internamente como si trabaja con un proveedor de confianza que pueda respaldar su proyecto de PKI, tiene que hacerlo bien. Tome la mejor decisión para su empresa en función de los recursos de que disponga.
