¿Qué es la gestión de la postura criptográfica? 

La gestión de la postura criptográfica (CPM, por sus siglas en inglés) es la práctica continua de descubrir, evaluar y mejorar la criptografía que utiliza una organización, comparándola con sus políticas e impulsando la corrección a lo largo del tiempo.

La gestión de la postura criptográfica considera la criptografía como un elemento que debe inventariarse, medirse y mejorarse continuamente, de forma similar a la gestión de vulnerabilidades en el software. Utiliza un inventario criptográfico ( CBOM ) para identificar algoritmos, claves y certificados, los evalúa según una política criptográfica y prioriza las medidas correctivas. La gestión de la postura criptográfica proporciona la visibilidad continua necesaria para el cumplimiento normativo, la criptoagilidad y la migración post-cuántica.

Puntos Clave

• La CPM es la práctica continua de descubrir, evaluar y mejorar la criptografía.
• Se basa en un CBOM, que proporciona el inventario subyacente de activos criptográficos.
• Mide la criptografía en función de las políticas establecidas, prioriza las vulnerabilidades e impulsa la corrección de las mismas.
• CPM proporciona la visibilidad continua necesaria para el cumplimiento normativo y la preparación para la era post-cuántica.
• Es el modelo operativo que sustenta un programa exitoso de criptoagilidad y control de calidad de contraseñas (PQC).

¿Qué es la gestión de la postura criptográfica?

La gestión de la postura criptográfica (CPM) aplica la lógica de la gestión continua de la seguridad a la criptografía. En lugar de tratar la criptografía como una configuración única, la CPM detecta continuamente dónde se utiliza, la compara con las políticas establecidas e impulsa su mejora. Está estrechamente vinculada a un CBOM (Manual de Operaciones Basado en Computación), que proporciona el inventario sobre el que actúa la gestión de la postura.

Por qué es importante la gestión de la postura criptográfica

La criptografía es omnipresente y está en constante evolución. Los certificados caducan, las bibliotecas se actualizan, se implementan nuevos sistemas y los estándares cambian, como demuestra la transición a la criptografía postcuántica. Sin una supervisión continua, la criptografía débil u obsoleta se acumula sin que nadie la observe. CPM proporciona la visibilidad continua necesaria para gestionar este riesgo, cumplir con las normativas y prepararse para la migración cuántica.

CPM frente a CBOM

Ambos conceptos son complementarios. Un CBOM es el inventario estructurado de activos criptográficos en un momento dado. La gestión de la postura criptográfica es el programa continuo que mantiene actualizado dicho inventario, lo evalúa conforme a una política criptográfica, prioriza las deficiencias y realiza un seguimiento de las medidas correctivas. En resumen, el CBOM es el mapa y la CPM es la navegación constante.

Qué incluye un programa CPM

• Descubrimiento continuo: Escaneo continuo de código, tráfico, certificados y almacenes de claves para detectar el uso de criptografía.
• Un inventario mantenido: Un CBOM vivo que refleje el estado actual, no una instantánea obsoleta.
• Política y evaluación: Una política criptográfica definida y una medición continua en función de la misma.
• Remediación priorizada: Clasificación de las debilidades por riesgo e impulso de soluciones.
• Seguimiento a lo largo del tiempo: Seguimiento de la situación a medida que cambian el entorno y las amenazas.

CPM y preparación post-cuántica

La gestión de la postura criptográfica es el modelo operativo que sustenta una transición post-cuántica exitosa. Mantiene el inventario actualizado durante la migración, mide el progreso con respecto a los algoritmos objetivo y fomenta la agilidad criptográfica necesaria para la adaptación continua. Se basa directamente en el descubrimiento y el inventario criptográficos.

Cómo ayuda la consultoría de cifrado

CBOM Secure proporciona a las organizaciones un descubrimiento criptográfico continuo y un inventario dinámico, la base de la gestión de la postura criptográfica, mientras que el asesoramiento de Encryption Consulting ayuda a definir políticas y priorizar las medidas correctivas. Todo ello respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Qué es la gestión de la postura criptográfica?

La gestión de la postura criptográfica (CPM) es la práctica continua de descubrir, evaluar y mejorar la criptografía que utiliza una organización. Considera la criptografía como un elemento que debe inventariarse, medirse según las políticas establecidas y corregirse periódicamente, de forma similar a como la gestión de vulnerabilidades trata los fallos de software. El objetivo es lograr una visibilidad y un control constantes sobre el riesgo criptográfico.

¿En qué se diferencia un CPM de un CBOM?

Una CBOM (Lista de Materiales Criptográficos) es el inventario de activos criptográficos. La gestión de la postura criptográfica es el programa continuo que utiliza dicho inventario para evaluar el riesgo en relación con las políticas, priorizar las vulnerabilidades e impulsar la remediación. La CBOM son los datos; la CPM es el proceso continuo y la gobernanza que se construye sobre ellos.

¿Por qué es importante la gestión de la postura criptográfica?

La criptografía está presente en todas partes y cambia constantemente a medida que caducan los certificados, se actualizan las bibliotecas y evolucionan los estándares. Sin una gestión continua, los algoritmos débiles y las claves no gestionadas se acumulan sin ser detectados. La gestión del rendimiento criptográfico (CPM) proporciona visibilidad constante, esencial para la migración post-cuántica, el cumplimiento normativo y la reducción del riesgo de interrupciones o filtraciones relacionadas con la criptografía.

¿Qué incluye un programa de gestión de la postura criptográfica?

Un programa CPM incluye descubrimiento criptográfico continuo, un inventario mantenido (CBOM), una política criptográfica definida, evaluación de riesgos en función de dicha política, remediación priorizada y monitoreo a lo largo del tiempo. A menudo integra la gestión del ciclo de vida de los certificados y la gestión de claves, y contribuye directamente a la criptoagilidad y la preparación para la era post-cuántica.

¿Quién necesita gestión de la postura criptográfica?

Cualquier organización con una importante huella criptográfica se beneficia, especialmente aquellas en sectores regulados o que se preparan para la migración post-cuántica. Los sectores financiero, gubernamental, sanitario y de infraestructuras críticas se enfrentan a la presión del cumplimiento normativo y a grandes cantidades de certificados y claves, lo que hace que la gestión continua de la postura criptográfica sea particularmente valiosa.

Gestiona tu postura criptográfica

¿Listo para tener visibilidad continua de su criptografía? Vea CBOM Secure en acción o lea qué es un CBOM.