El papel indispensable de la PKI criptoágil en la seguridad moderna

La confianza digital se basa en la criptografía, y su núcleo es la infraestructura de clave pública (PKI) . La PKI permite la comunicación segura, autentica identidades y protege la integridad de los datos. A medida que las organizaciones adoptan arquitecturas nativas de la nube, flujos de trabajo DevOps y modelos de confianza cero, la PKI tradicional se ha convertido en una barrera. Suele ser manual, inflexible y lenta. Con la aparición de nuevas vulnerabilidades criptográficas y la llegada de la era cuántica, los sistemas PKI estáticos y rígidos ya no pueden seguir el ritmo. La PKI criptoágil es ahora esencial.

Respuesta rápida: ¿Qué es la infraestructura de clave pública criptoágil?

La infraestructura de clave pública criptoágil (PKI) está diseñada para actualizar o reemplazar algoritmos, claves y protocolos criptográficos de forma rápida y sin interrupciones del servicio. Admite múltiples algoritmos simultáneamente, aplica una gobernanza basada en políticas de forma centralizada y automatiza la gestión del ciclo de vida de los certificados a gran escala. La PKI criptoágil es fundamental para la preparación ante la era cuántica, ya que permite a las organizaciones migrar a algoritmos resistentes a la computación cuántica estandarizados por el NIST sin necesidad de rediseñar su infraestructura.

Puntos Clave

• La criptoagilidad es la capacidad de actualizar algoritmos, claves y protocolos criptográficos de forma rápida y sin interrupciones. Una infraestructura de clave pública (PKI) criptoágil convierte esta capacidad en un proceso sistemático y basado en políticas en toda la empresa.
• El NIST finalizó sus primeros estándares de criptografía post-cuántica en agosto de 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA). Las organizaciones que dependen únicamente de RSA o ECDSA acumulan riesgo cuántico cada día que retrasan la planificación de la migración.
• El Foro CA/Browser aprobó la propuesta SC-081v3 (abril de 2025), que reduce la validez de los certificados TLS públicos a 200 días (marzo de 2026), 100 días (marzo de 2027) y 47 días (marzo de 2029). La gestión manual de certificados no puede sobrevivir a este ciclo de renovación.
• Según la encuesta Trust Pulse de DigiCert (2 de julio de 2025), casi la mitad de las empresas experimentaron interrupciones del servicio relacionadas con certificados durante el último año. La gestión criptográfica manual supone un riesgo operativo directo.
• Un inventario criptográfico completo es un requisito indispensable para cualquier programa de migración de criptoagilidad o control de calidad. Sin conocer los algoritmos existentes en todos los sistemas, la planificación de la migración se convierte en una mera conjetura.

¿Qué es la criptoagilidad?

La criptoagilidad es la capacidad de actualizar o reemplazar algoritmos, claves y protocolos criptográficos de forma rápida y eficiente sin causar interrupciones ni fallos en los servicios. Un sistema criptoágil admite múltiples algoritmos simultáneamente, permite un reemplazo rápido cuando cambian los estándares, evita la codificación fija de opciones criptográficas en las aplicaciones, automatiza las actualizaciones de certificados y claves, y minimiza las interrupciones del servicio durante las migraciones.

Una infraestructura de clave pública (PKI) criptográficamente ágil extiende esta flexibilidad a lo largo de todo el ciclo de vida del certificado, desde su emisión hasta su renovación, revocación y aplicación de políticas. Es la diferencia entre que un cambio de algoritmo sea una actualización de política rutinaria y un evento de infraestructura de alto riesgo.

¿A quién debería importarle la infraestructura de clave pública (PKI) cripto-ágil?

La criptoagilidad no es una preocupación exclusiva de los equipos de PKI. Todos los roles que se mencionan a continuación tienen un interés directo en la creación y el mantenimiento de una PKI criptoagil.

Rol	POR QUÉ ES IMPORTANTE	Acción
Administradores de PKI	Diseño propio de la jerarquía de CA, emisión de certificados y flujos de trabajo de revocación que deben admitir múltiples algoritmos simultáneamente.	Implementar la gestión centralizada del ciclo de vida de los certificados; definir perfiles de políticas de algoritmos en la CA; auditar trimestralmente los algoritmos obsoletos.
Arquitectos de seguridad	Definir los estándares de política criptográfica y el modelo de confianza que rige la emisión de todos los certificados.	Aplicar requisitos mínimos de algoritmos compatibles con NIST 800-131A; diseñar jerarquías de CA teniendo en cuenta PQC; planificar la implementación de certificados híbridos para el período de transición.
Equipos de plataforma/DevOps	Implementa y renueva certificados en pipelines de CI/CD, cargas de trabajo en la nube y entornos de contenedores a velocidad de máquina.	Integre la automatización basada en ACME, SCEP o EST en los flujos de trabajo; prohíba la selección de algoritmos criptográficos codificados directamente en el código de la aplicación.
Equipos de cumplimiento	Debe demostrar el cumplimiento del algoritmo según NIST 800-57, FIPS 186-5, PCI DSS, HIPAA y los mandatos de PQC en constante evolución.	Generar informes de cumplimiento automatizados a partir del inventario de CLM; incluir la revisión del algoritmo criptográfico en el alcance de la auditoría trimestral.
CISO	Gestionar la postura de riesgo en materia de vulnerabilidad cuántica, riesgo de interrupción de certificados y cumplimiento criptográfico.	Financiar las herramientas de inventario criptográfico (CBOM Secure) y la automatización de CLM (CertSecure Manager); incluir la preparación para PQC en los informes de riesgos a nivel de junta directiva.

La creciente necesidad de criptoagilidad en las empresas actuales

Las organizaciones modernas operan en un entorno donde el cambio criptográfico es constante. Cuatro presiones convergentes hacen que la criptoagilidad ya no sea opcional.

Respuesta rápida a vulnerabilidades criptográficas

Ningún algoritmo criptográfico es permanentemente seguro. Cuando se descubren vulnerabilidades, las organizaciones deben actuar con rapidez. La infraestructura de clave pública (PKI) tradicional depende de procesos manuales que hacen que las migraciones de certificados a gran escala sean lentas y propensas a errores. Una PKI criptográficamente ágil permite la reemisión rápida y automatizada de un gran número de certificados, la adopción consistente de nuevos algoritmos en toda la empresa y la reducción de errores humanos durante las transiciones de emergencia. Sin criptografía ágil, las organizaciones se enfrentan a interrupciones del servicio, fallos de autenticación, conexiones TLS interrumpidas e incumplimiento normativo durante los cambios criptográficos urgentes.

Preparándose para la era de la criptografía post-cuántica

La computación cuántica supone una amenaza existencial para la criptografía de clave pública actual. El cifrado que hoy es seguro podría ser fácilmente vulnerado en el futuro, y los adversarios que utilizan estrategias de captura inmediata y descifrado posterior (HNDL) ya están interceptando el tráfico cifrado para su posterior descifrado. El NIST finalizó sus primeros estándares de criptografía postcuántica en agosto de 2024: FIPS 203 (ML-KEM) para la encapsulación de claves, FIPS 204 (ML-DSA) para firmas digitales de propósito general y FIPS 205 (SLH-DSA) para firmas basadas en funciones hash sin estado.

Una infraestructura de clave pública (PKI) criptográficamente ágil prepara a las organizaciones para este cambio al permitir implementaciones de certificados híbridos que combinan algoritmos clásicos con algoritmos post-cuánticos para garantizar la continuidad durante la transición, compatibilidad con algoritmos PQC estandarizados por NIST, incluidos ML-KEM, ML-DSA, FN-DSA (Falcon) y SLH-DSA (SPHINCS+), experimentación controlada y adopción por fases para que las organizaciones puedan probar el rendimiento y la compatibilidad antes de la implementación a gran escala, protección contra riesgos HNDL en protocolos como TLS, y una ruta de migración fluida y basada en políticas hacia certificados exclusivamente PQC una vez que la criptografía resistente a la computación cuántica sea obligatoria. Explore la preparación para PQC y el Centro de Excelencia PQC para la planificación de la migración alineada con NIST.

Compatibilidad con arquitecturas de nube, DevOps y confianza cero

Las infraestructuras modernas son dinámicas y distribuidas, abarcando entornos multinube, cargas de trabajo de Kubernetes, pipelines de CI/CD automatizados, servicios de escalado rápido y certificados de corta duración para cargas de trabajo efímeras. Los sistemas PKI heredados tienen dificultades con esta escala y velocidad. La PKI criptoágil admite la emisión, renovación y revocación automatizadas a través de API y se integra con herramientas nativas de la nube y DevOps para mantener las operaciones rápidas y seguras. La propuesta SC-081v3 del CA/Browser Forum (abril de 2025) reduce la validez máxima de los certificados TLS públicos de 398 días a 200 días (a partir del 15 de marzo de 2026), 100 días (15 de marzo de 2027) y 47 días (15 de marzo de 2029). Con una cadencia de renovación de 47 días, la gestión manual de certificados es matemáticamente insostenible. La automatización a través de una plataforma de gestión del ciclo de vida de los certificados es la única vía viable.

Garantizar el cumplimiento y la gobernanza continuos

Las políticas criptográficas —incluidos los tamaños de clave recomendados, los algoritmos aprobados y los periodos de validez de los certificados— cambian con frecuencia a medida que evolucionan los estándares y se descubren vulnerabilidades. Las organizaciones deben mantener el cumplimiento normativo en diversos entornos simultáneamente. Una infraestructura de clave pública (PKI) criptográficamente ágil permite la aplicación centralizada de políticas, la visibilidad de certificados y claves en toda la empresa, la gobernanza y la generación de informes automatizadas, y la rápida corrección de activos que no cumplen con los requisitos. Esto reduce los fallos en las auditorías, las brechas de seguridad y el esfuerzo manual que los equipos de cumplimiento dedican actualmente a recopilar pruebas.

Requisitos básicos para construir una PKI criptoágil

Una infraestructura de clave pública (PKI) preparada para el futuro debe ofrecer seis capacidades. Cada una es un requisito previo para las demás.

• Flexibilidad en la integración de algoritmos: Capacidad para introducir nuevos algoritmos criptográficos, incluidos los estándares NIST PQC, sin necesidad de rediseñar las jerarquías de las CA ni reconstruir las integraciones de las aplicaciones.
• Inventario criptográfico unificado: Un registro completo y sin duplicados de todos los certificados, claves, algoritmos y relaciones de confianza en entornos locales, en la nube e híbridos. CBOM seguro Automatiza este descubrimiento y genera una lista de materiales criptográficos (CBOM) estandarizada.
• Integración con el ecosistema nativo: Conexión fluida con plataformas en la nube, pipelines de DevOps, sistemas de identidad y herramientas empresariales mediante protocolos estándar como ACME, SCEP, EST y API REST.
• Gestión automatizada del ciclo de vida: Emisión, renovación, reingreso de claves y revocación totalmente automatizadas que eliminan los cuellos de botella manuales y admiten el ciclo de renovación de certificados de 47 días que llegará en 2029.
• Aplicación centralizada de políticas: Un único plano de control que abarca los algoritmos permitidos, la longitud de las claves, los períodos de validez y los puntos de confianza de la CA en todos los entornos, eliminando la desviación de los algoritmos.
• Abstracción de la capa de aplicación: Las aplicaciones deben basarse en capas criptográficas abstractas en lugar de en algoritmos predefinidos, por lo que las actualizaciones de algoritmos son cambios de política en lugar de cambios de código.

Hoja de ruta de migración de PQC por clase de activo

Utilice esta tabla para priorizar su migración criptográfica por clase de activos. Las clasificaciones de prioridad reflejan la vulnerabilidad cuántica, la exposición operativa y la viabilidad de una solución a corto plazo. Las referencias a los estándares del NIST corresponden a las publicaciones finales de agosto de 2024.

DIVERSIFICACION DE ACTIVOS	Exposición a algoritmos	Prioridad	Estándar NIST	Propietario	Cronología recomendada
Certificados TLS/SSL (públicos)	RSA / ECDSA (vulnerable a la computación cuántica; validez de 47 días hasta 2029)	Critical	FIPS 204 (ML-DSA) para firma; CA/B Forum SC-081v3	Equipo de administración y plataforma de PKI	Comience a automatizar ahora; certificaciones híbridas en pruebas para 2026.
Certificados de firma de código	RSA / ECDSA (larga duración; gran radio de explosión si se ve comprometido)	Critical	FIPS 204 (ML-DSA) o FIPS 205 (SLH-DSA)	Arquitecto de seguridad + DevOps	Inventario para el tercer trimestre de 2026; inicio de la evaluación de preparación para HSM.
Certificados raíz e intermedios de CA	RSA / ECDSA (el de mayor duración; ancla de confianza para todos los certificados dependientes)	Critical	FIPS 204 (ML-DSA)	Administrador de PKI + CISO	Evaluar la compatibilidad con HSM PQC; planificar una nueva jerarquía de CA para 2027.
Certificados TLS/SSL (internos)	RSA / ECDSA (menor presión del Foro CA/B pero mismo riesgo cuantioso)	Alto	FIPS 203 (ML-KEM) + FIPS 204 (ML-DSA)	Equipo de administración y plataforma de PKI	Automatice la renovación; comience las pruebas PQC para 2027.
Certificados de identidad de dispositivos (IoT/OT)	RSA / ECDSA (integrado; difícil de actualizar; larga vida útil)	Alto	FIPS 204 (ML-DSA) o FIPS 205 (SLH-DSA)	Equipo de plataforma + Arquitecto de seguridad	Inventariar los dispositivos; evaluar la capacidad de actualización del firmware para 2026.
Llaves SSH	RSA / ECDSA (a menudo sin seguimiento; sin control de caducidad)	Alto	NIST 800-57 Parte 1 (ciclo de vida de la clave); PQC pendiente para SSH	Arquitecto de seguridad + Equipo de plataforma	Inventario completo vía SSH seguro; política de rotación para el cuarto trimestre de 2026.
Certificados de correo electrónico S/MIME	RSA / ECDSA (orientado al usuario; menor radio de explosión operativa)	Media	FIPS 204 (ML-DSA)	Administración y cumplimiento de PKI	Inventario; planifique la migración junto con la transición a TLS.
Claves de firma de firmware	RSA / ECDSA (fundamental para la cadena de suministro; de larga duración)	Alto	Se recomienda la norma FIPS 205 (SLH-DSA) para la firma de larga duración.	Arquitecto de seguridad + Ingeniería	Evaluar la preparación del proveedor en materia de gestión de seguridad de hardware (HSM); implementar un programa piloto de firma híbrida para 2027.

Por qué un inventario criptográfico es el punto de partida

La criptoagilidad es prácticamente imposible sin conocer la criptografía existente en el entorno. Antes de cualquier transición de algoritmo, las organizaciones necesitan un inventario completo de: todos los certificados con su CA emisora, algoritmo, tamaño de clave, fecha de vencimiento y propietario; todas las claves privadas y sus ubicaciones de almacenamiento (HSM, almacén de claves de software o KMS en la nube); las bibliotecas criptográficas utilizadas en las aplicaciones y sus conjuntos de algoritmos compatibles; los puntos finales TLS y sus conjuntos de cifrado negociados; los certificados de firma de código, firma de firmware e identidad de dispositivos; y cualquier clave SSH, token de API o credenciales de cuenta de servicio que utilicen criptografía clásica.

Sin este inventario, la planificación de la migración se convierte en una mera conjetura. Las organizaciones no pueden evaluar la exposición cuántica, priorizar la remediación ni validar que los cambios de política hayan entrado en vigor. CBOM Secure automatiza este descubrimiento en entornos locales, en la nube, SaaS e híbridos, y genera una lista de materiales criptográficos (CBOM) estandarizada que sirve como base para la migración y como registro continuo de evidencia de cumplimiento. Para obtener una lista de verificación paso a paso, consulte la Lista de verificación de inventario criptográfico de EC para la era poscuántica.

El camino para volverse criptoágil

Lograr la criptoagilidad requiere tanto un cambio tecnológico como una gobernanza sólida. La secuencia que funciona en la práctica es la siguiente:

1. Primero, cree el inventario criptográfico. Ejecuta un descubrimiento automatizado en todos los entornos utilizando una herramienta como CBOM seguroIdentifique cada certificado, clave y algoritmo en uso. No proceda a la corrección hasta que el inventario esté completo y sea confiable.
2. Automatice la gestión del ciclo de vida de los certificados. Reemplace los procesos PKI manuales con flujos de trabajo centralizados y escalables. Implemente Administrador de CertSecure Automatizar la emisión, renovación y revocación en todos los entornos mediante las API ACME, SCEP, EST y REST.
3. Definir y aplicar la política criptográfica. Establezca estándares criptográficos claros para toda la empresa: algoritmos aprobados (sin RSA-1024 ni SHA-1), tamaños mínimos de clave, períodos máximos de validez de los certificados y requisitos de anclaje de confianza de la CA. Implemente estos estándares a través de su plataforma CLM, no mediante hojas de cálculo.
4. Modernice las aplicaciones para eliminar la criptografía codificada. Colaborar con los equipos de aplicaciones y plataformas para reemplazar las opciones de algoritmos codificadas de forma rígida con capas criptográficas abstractas que se rijan por políticas aplicadas centralmente.
5. Comience con las pruebas PQC tempranas y el despliegue híbrido. Certificados híbridos piloto que combinan firmas clásicas y post-cuánticas en entornos de prueba. Validar la interoperabilidad con balanceadores de carga, navegadores, clientes API y HSM. Utilizar el Centro de Excelencia PQC Entorno de pruebas para testear los certificados ML-DSA antes de su implementación en producción.
6. Establecer un cronograma de migración por fases. Asigne a cada clase de activos una prioridad y un cronograma de migración utilizando la tabla de la hoja de ruta anterior. Alinee con los plazos de los estándares PQC del NIST y las directrices regulatorias de CISA, NSA CNSA 2.0 y EU NIS2.

Cómo puede ayudar la consultoría de cifrado

Encryption Consulting ayuda a las organizaciones en cada etapa del proceso de agilidad criptográfica, desde el descubrimiento criptográfico inicial hasta la migración a PQC y la gobernanza continua del ciclo de vida.

Nuestros servicios de asesoramiento en criptografía de precisión (PQC) ofrecen un análisis exhaustivo de las vulnerabilidades criptográficas, mitigación de riesgos específica y planificación de la transición a PQC alineada con el estándar NIST. Transformamos su entorno en una infraestructura resistente a la computación cuántica y preparada para auditorías, garantizando una transición fluida y segura a los estándares criptográficos de próxima generación, incluidos FIPS 203, 204 y 205.

Con CertSecure Manager , nuestra plataforma de gestión del ciclo de vida de certificados de nivel empresarial, las organizaciones pueden construir una base sólida para operaciones criptográficas ágiles mediante:

• Detección automatizada de certificados En entornos locales, en la nube e híbridos, se proporciona el inventario unificado que requiere la agilidad criptográfica.
• Emisión y renovación centralizadas para reducir el esfuerzo manual, evitar interrupciones por renovaciones no realizadas y dar soporte al ciclo de certificados TLS de 47 días que llegará en marzo de 2029.
• Gobernanza y cumplimiento impulsados ​​por políticas A lo largo de todo el ciclo de vida del certificado, con informes automatizados que cumplen con las normas FIPS 140-3, NIST 800-57, PCI DSS y HIPAA.
• Gestión escalable Para entornos PKI empresariales grandes y complejos, incluidos despliegues multi-CA, multi-nube e híbridos.
• Una base criptográfica preparada para el futuro Diseñado para admitir la implementación de certificados híbridos, el despliegue del algoritmo PQC y la criptoagilidad en toda la infraestructura empresarial.

Para las organizaciones que necesitan un entorno PKI gestionado en lugar de una plataforma autogestionada, PKI-as-a-Service ofrece un entorno CA de inquilino único totalmente gestionado con criptoagilidad integrada, compatibilidad con PQC y protección de claves HSM conforme a FIPS 140-3. Además, para todo el conjunto de activos criptográficos, más allá de los certificados, CBOM Secure crea y mantiene la lista de materiales criptográficos que sustenta tanto la auditoría de cumplimiento como la planificación de la migración a PQC.

Conclusión

La infraestructura de clave pública (PKI) criptográfica y ágil transforma la criptografía, pasando de un control de infraestructura estático a una capacidad dinámica y resiliente. Gracias a la automatización, la flexibilidad y la gobernanza centralizada, las organizaciones pueden responder instantáneamente a nuevas vulnerabilidades, realizar una transición fluida a la criptografía postcuántica, respaldar la rápida adopción de la nube y DevOps, mantener el cumplimiento normativo en ecosistemas complejos y reducir el riesgo operativo, evitando al mismo tiempo las interrupciones del servicio.

El cronograma es real. El NIST finalizó las normas FIPS 203, 204 y 205 en agosto de 2024. El mandato de certificados TLS de 47 días del CA/Browser Forum ya está llegando por fases a partir de marzo de 2026. Las organizaciones que desarrollen agilidad criptográfica ahora —mediante un inventario criptográfico completo, una gestión automatizada del ciclo de vida y una gobernanza de algoritmos basada en políticas— comprobarán que la migración a PQC es una transición planificada, no una crisis. Quienes esperen la enfrentarán como una emergencia.

Preguntas frecuentes

¿Cuál es la principal conclusión de esta publicación sobre PKI criptoágil?

La infraestructura de clave pública (PKI) criptográficamente ágil transforma la criptografía, pasando de un control de infraestructura estático a una capacidad dinámica basada en políticas. Las organizaciones que implementan criptoagilidad ahora pueden responder a nuevas vulnerabilidades, migrar a la criptografía postcuántica y mantener el cumplimiento normativo en entornos complejos sin necesidad de reestructuraciones de emergencia ni interrupciones del servicio. Es un requisito fundamental para la preparación ante la era postcuántica.

¿Por qué es importante la infraestructura de clave pública (PKI) criptográficamente ágil para los equipos de PKI empresariales?

Los equipos de PKI empresariales son responsables de los anclajes de confianza de certificados que utiliza cada sistema de la organización. Dado que el CA/Browser Forum reduce la validez de los certificados TLS a 47 días para marzo de 2029 (Ballot SC-081v3, abril de 2025) y el NIST finaliza los estándares post-cuánticos FIPS 203, 204 y 205 (agosto de 2024), los equipos de PKI deben automatizar la gestión del ciclo de vida e incorporar flexibilidad algorítmica en sus jerarquías de CA ahora, o se enfrentarán a eventos de reemisión de emergencia más adelante.

¿Qué riesgos aumentan si la criptoagilidad se gestiona manualmente?

La gestión criptográfica manual aumenta significativamente el riesgo de que la falta de renovación de certificados provoque interrupciones del servicio, la persistencia de algoritmos obsoletos en los sistemas y la lentitud en las respuestas ante emergencias cuando se detectan vulnerabilidades. Según la encuesta Trust Pulse de DigiCert (2 de julio de 2025), casi la mitad de las empresas experimentaron interrupciones del servicio relacionadas con certificados durante el último año. Los procesos manuales también generan deficiencias en el cumplimiento de las normas NIST 800-57, PCI DSS y FIPS 140-3.

¿Qué equipos deberían liderar la transición a la infraestructura de clave pública (PKI) criptográficamente ágil?

La propiedad es compartida. Los administradores de PKI son responsables del diseño de la jerarquía de CA y la automatización del ciclo de vida de los certificados. Los arquitectos de seguridad definen la política criptográfica y los estándares de algoritmos. Los equipos de plataforma y DevOps integran la emisión automatizada de certificados en los flujos de CI/CD y las cargas de trabajo en la nube. Los equipos de cumplimiento auditan el cumplimiento de los algoritmos según NIST 800-131A, FIPS 186-5 y los requisitos del marco de trabajo. Los CISO son responsables de la postura de riesgo y financian el inventario criptográfico y las herramientas CLM necesarias.

¿Cómo se relaciona la infraestructura de clave pública (PKI) criptoágil con la gestión del ciclo de vida de los certificados?

La gestión del ciclo de vida de los certificados (CLM) es la capa operativa que hace posible la criptoagilidad. Una plataforma CLM como CertSecure Manager automatiza la emisión, renovación, cambio de clave y revocación de certificados en todos los entornos. Cuando cambian los algoritmos, CLM aplica la nueva política de forma coherente en todo el conjunto de certificados, en lugar de requerir actualizaciones manuales para cada aplicación. Sin CLM, la criptoagilidad se queda en papel y no se puede implementar a gran escala.

¿Cómo deberían las organizaciones medir el éxito en la infraestructura de clave pública (PKI) criptoágil?

Las métricas clave incluyen: porcentaje de certificados bajo gestión automatizada del ciclo de vida; tiempo medio para la reemisión de certificados tras un cambio de algoritmo; porcentaje del conjunto criptográfico sin algoritmos obsoletos como RSA-1024 o SHA-1; tasa de aprobación de auditorías para el cumplimiento de la política criptográfica; y porcentaje de sistemas validados para la compatibilidad con algoritmos post-cuánticos. También se realiza un seguimiento de la proporción de certificados detectables mediante inventario automatizado frente a aquellos que requieren identificación manual.

¿Qué aspectos deben auditarse o supervisarse periódicamente en un programa de infraestructura de clave pública (PKI) criptográficamente ágil?

Auditoría trimestral: cumplimiento de algoritmos en todo el inventario de certificados, incluyendo cualquier RSA-1024 o SHA-1 aún en uso; vigencia del almacén de confianza de la CA; precisión de la vinculación certificado-identidad; y acceso privilegiado a los sistemas de la CA. Monitoreo continuo: plazos de vencimiento de certificados, estado de CRL y OCSP, intentos de inscripción fallidos y cualquier certificado nuevo emitido por CA inesperadas. Utilice CBOM Secure para mantener una lista completa de materiales criptográficos en entornos híbridos y multinube.

¿Cómo afecta la infraestructura de clave pública (PKI) criptográficamente ágil a los entornos PKI en la nube, híbridos o con múltiples autoridades de certificación?

En entornos híbridos y con múltiples autoridades de certificación (CA), estas pueden aplicar políticas de algoritmos distintas, lo que genera inconsistencias criptográficas. Una infraestructura de clave pública (PKI) criptográficamente ágil con aplicación centralizada de políticas resuelve este problema al aplicar estándares de algoritmos consistentes, independientemente de la CA que emita el certificado. Las plataformas PKI como servicio (PKI-as-a-Service) son especialmente eficaces en este caso, ya que proporcionan una capa de gestión unificada para CA internas, CA en la nube y proveedores externos.

¿Cómo respalda la infraestructura de clave pública (PKI) criptoágil la preparación para la era post-cuántica?

La infraestructura de clave pública (PKI) criptoágil es un requisito previo para la preparación post-cuántica. El NIST finalizó las normas FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) en agosto de 2024. Sin una arquitectura criptoágil, la migración a estas normas requiere rediseñar las jerarquías de las CA, actualizar manualmente los perfiles de certificados por aplicación y coordinar la reemisión de emergencia de millones de certificados. Una PKI criptoágil convierte esto en un cambio de configuración de políticas en lugar de una revisión completa de la infraestructura. Comience con el Centro de Excelencia PQC.

¿Qué se debe inventariar antes de comenzar una migración a un entorno de criptoagilidad o control de calidad de procesos (PQC)?

Antes de migrar, realice un inventario de: todos los certificados con su CA emisora, algoritmo, tamaño de clave, fecha de vencimiento y propietario; todas las claves privadas y sus ubicaciones de almacenamiento; las bibliotecas criptográficas en las aplicaciones y sus conjuntos de algoritmos compatibles; los puntos finales TLS y sus conjuntos de cifrado negociados; los certificados de firma de código y de firmware; y los certificados de identidad de dispositivos en IoT, sistemas embebidos y equipos OT. CBOM Secure automatiza este descubrimiento en entornos híbridos y multinube.