Cómo evaluar su infraestructura de clave pública (PKI): una guía de verificación de estado

Una revisión del estado de la infraestructura de clave pública (PKI, por sus siglas en inglés) es una evaluación estructurada de la infraestructura de clave pública de una organización que abarca el inventario de certificados, el diseño de la jerarquía de la CA, la protección de claves, la documentación de políticas y los procesos operativos. Esta evaluación se utiliza para identificar riesgos antes de que provoquen una interrupción del servicio, un hallazgo en una auditoría o un incidente de seguridad.

Una revisión sistemática de la infraestructura de clave pública (PKI) analiza cinco áreas: inventario y visibilidad de certificados, jerarquía de la autoridad de certificación (CA) y protección de la clave raíz, solidez del algoritmo criptográfico, políticas y documentación ( CP/CPS ), y procesos operativos como la automatización de la renovación y la respuesta a incidentes. El resultado es una lista priorizada de deficiencias y una hoja de ruta para su corrección, no solo una calificación de aprobado/reprobado.

Puntos Clave

• Un inventario completo de certificados, que abarque aquellos que no están bajo la supervisión del departamento central de TI, es el punto de partida del que dependen todas las demás partes de una comprobación del estado de la infraestructura de clave pública (PKI).
• La protección de la clave de la CA raíz, incluyendo si la raíz está correctamente fuera de línea y si existe un registro documentado de la ceremonia de clave, es una de las áreas de mayor riesgo a evaluar.
• Los algoritmos débiles o en desuso, como SHA-1 o las claves RSA de menos de 2048 bits, siguen apareciendo en las comprobaciones de estado de las implementaciones de PKI que no han recibido mantenimiento activo.
• La falta de documentación de CP/CPS o su obsolescencia es un hallazgo común, particularmente en las CA internas que se crearon rápidamente sin documentación de gobernanza.
• Una revisión de salud debería evaluar la preparación operativa para la disminución de la validez del certificado, dado que Foro de CA/Browser El cronograma del SC-081v3 alcanzará los 47 días en marzo de 2029.

¿Cuáles son las cinco áreas principales que debe abarcar una revisión del estado de la infraestructura de clave pública (PKI)?

Área	Qué evaluar
Inventario de certificados	Visibilidad completa de todos los certificados, incluidos los que están fuera del departamento de TI central.
Jerarquía de CA y protección de claves	Estado fuera de línea de la CA raíz, documentación de la ceremonia de claves y segmentación de las CA intermedias.
fuerza criptográfica	Presencia de algoritmos obsoletos (SHA-1, claves RSA cortas) y versiones de protocolo desactualizadas.
Política y documentación	Si la documentación de CP/CPS existe, está actualizada y coincide con la práctica real.
Disponibilidad operacional	Nivel de automatización para renovación, revocación y preparación para la disminución de la validez del certificado.

¿Cómo es el proceso de verificación de estado de la PKI paso a paso?

1. Descubrimiento: inventariar todos los certificados, autoridades de certificación y claves criptográficas del entorno, incluidos los sistemas informáticos no autorizados y de terceros.
2. Revisión de la documentación: comparar la documentación existente de protección infantil/servicios de protección infantil con las prácticas observadas en la realidad.
3. Evaluación técnica: comprobar la robustez del algoritmo, el tamaño de las claves, los periodos de validez de los certificados y las versiones de protocolo en uso.
4. Revisión de procesos: evaluar los procesos de renovación, revocación y respuesta a incidentes para su automatización y la clara definición de responsabilidades.
5. Análisis de brechas y priorización: clasifique los hallazgos por riesgo e impacto en el negocio, no solo por cantidad.
6. Plan de remediación: secuenciar las correcciones, comenzando por las deficiencias de mayor riesgo y mayor impacto.

¿Cuáles son los hallazgos más comunes en una revisión del estado de la infraestructura de clave pública (PKI)?

• Inventario de certificados incompleto, con un porcentaje significativo de certificados desconocidos para el equipo central que gestiona la infraestructura de clave pública (PKI).
• La CA raíz sigue en línea, o no existe ningún registro documentado de la ceremonia de generación de claves sobre cómo se generó originalmente la clave raíz.
• Algunos certificados emitidos aún contienen algoritmos o tamaños de clave obsoletos, a menudo en sistemas antiguos u olvidados.
• Documentación de protección infantil/servicios de protección infantil incompleta, desactualizada o meramente aspiracional que no refleja la práctica operativa real.
• Procesos manuales de renovación de certificados sin alertas automatizadas sobre las próximas fechas de vencimiento.

¿Con qué frecuencia se debe realizar una comprobación del estado de la infraestructura de clave pública (PKI)?

Una revisión anual del estado de la infraestructura es un punto de partida razonable para la mayoría de las organizaciones, pero la frecuencia adecuada depende de la rapidez con que cambie el entorno PKI y de la importancia de los eventos recientes, como una auditoría de cumplimiento, un incidente de seguridad en otro lugar del sector o un cambio importante en la infraestructura, como una migración a la nube. Las organizaciones que se preparan para un cambio importante, como la reducción del plazo de validez de los certificados del CA/Browser Forum, también deberían realizar una evaluación específica antes de cada fecha límite de SC-081v3 para confirmar su preparación operativa.

Cómo ayuda la consultoría de cifrado

Cómo la consultoría en cifrado ayuda a los servicios de PKI y los servicios de asesoramiento en cifrado: realizan comprobaciones estructuradas del estado de la PKI según esta metodología específica de cinco áreas, generando una hoja de ruta de remediación priorizada en lugar de un cuadro de mando genérico, y pueden convertir los resultados directamente en un proyecto de modernización de PKI con alcance definido. Respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Cuál es el primer paso en una comprobación del estado de la infraestructura de clave pública (PKI)?

El primer paso es crear un inventario completo de certificados, ya que todas las demás partes de la evaluación, desde la solidez del algoritmo hasta la revisión del proceso de renovación, dependen de saber qué certificados y claves existen realmente en el entorno, incluidos aquellos que están fuera del alcance de la visibilidad del departamento central de TI.

¿Cuánto tiempo suele tardar una comprobación de estado de la infraestructura de clave pública (PKI)?

La duración depende en gran medida del tamaño del entorno y de la exhaustividad del inventario inicial, pero una revisión estructurada del estado de una infraestructura de clave pública (PKI) de una empresa mediana o grande suele tardar varias semanas desde su detección hasta la entrega de una hoja de ruta de remediación.

¿Cuál es el hallazgo más común en las comprobaciones de estado de la infraestructura de clave pública (PKI)?

Uno de los hallazgos más comunes es la falta de un inventario completo de certificados, ya que los certificados emitidos fuera de un proceso centralizado, como por ejemplo por equipos de aplicaciones individuales, a menudo no se registran hasta que una comprobación de estado o una interrupción del servicio los saca a la luz.

¿Debería una comprobación del estado de la infraestructura de clave pública (PKI) incluir específicamente la CA raíz?

Sí, y es una de las áreas de máxima prioridad. Evaluar si la CA raíz está correctamente desconectada, si existe un registro documentado de la ceremonia de clave y cómo están segmentadas las CA intermedias aborda el componente de mayor riesgo de toda la jerarquía.

Obtenga una evaluación estructurada de su infraestructura de clave pública (PKI).

Da el siguiente paso: PKI Services realiza una revisión estructurada del estado de PKI en cinco áreas y proporciona una hoja de ruta de remediación priorizada, no solo un cuadro de mando. Explora PKI Services para programar tu evaluación.