Explicación de la gestión de la postura criptográfica: Un vistazo al interior de la plataforma segura CBOM

Respuesta rápida: La gestión de la postura criptográfica consiste en descubrir, inventariar, calificar y gobernar todos los activos criptográficos que utiliza una organización: claves, certificados, algoritmos y protocolos. CBOM Secure la implementa con descubrimiento automatizado en la nube, HSM, bases de datos, directorios, puntos finales de red y código fuente, una lista de materiales criptográficos sin duplicados, una calificación de riesgo de 0 a 100, una evaluación de políticas continua conforme a NIST, FIPS 140-3, CNSA 2.0 y CMMC 2.0, y la exportación a CycloneDX para obtener evidencia lista para auditoría.

Puntos clave

• La gestión de la postura criptográfica va más allá de la gestión de certificados: realiza un inventario de claves, algoritmos y protocolos en la nube, módulos de seguridad de hardware (HSM), bases de datos, directorios y código fuente.
• CBOM seguro Descubre activos criptográficos en servicios de claves en la nube, HSM, administradores de claves empresariales, bases de datos, directorios, puntos finales de red y código fuente.
• Cada activo se desduplica mediante la huella digital SHA-256 de clave pública, se puntúa de 0 a 100 y se evalúa continuamente en función de la política de cumplimiento.
• La plataforma etiqueta automáticamente la criptografía vulnerable a la computación cuántica, lo que convierte la migración post-cuántica de una mera conjetura en un proyecto con un alcance definido.
• Exporta las pruebas en CycloneDX, el estándar abierto de listas de materiales, de modo que el inventario alimente las plataformas GRC, SIEM y auditores sin dependencia de un proveedor específico.

¿Qué es la gestión de la postura criptográfica?

La gestión de la postura criptográfica consiste en el descubrimiento continuo, el inventario, la evaluación de riesgos y la gobernanza de políticas de los activos criptográficos de una organización. Mientras que la gestión del ciclo de vida de los certificados realiza un seguimiento de una sola clase de activos, la gestión de la postura abarca todos ellos: claves privadas y secretas, certificados X.509, los algoritmos utilizados, los protocolos que se transmiten y las relaciones entre ellos.

Esta categoría existe porque la criptografía se volvió inmanejable con hojas de cálculo. Una empresa mediana suele almacenar material criptográfico en servicios de claves en la nube de múltiples proveedores, en módulos de seguridad de hardware , en carteras de cifrado de bases de datos, en Active Directory, en llaveros de desarrolladores y codificado directamente en el código fuente de las aplicaciones. Ningún equipo controla todas estas superficies, y ningún panel de control de certificados las visualiza.

Tres presiones impulsaron esta categoría, pasando de ser una opción deseable a una partida presupuestaria fija. El NIST finalizó sus primeros estándares de criptografía post-cuántica, FIPS 203, 204 y 205, en agosto de 2024, y la guía CNSA 2.0 de la NSA establece la expectativa de una adopción totalmente segura frente a la computación cuántica para 2030. PCI DSS 4.0 convirtió el inventario de conjuntos de cifrado y protocolos criptográficos en un requisito explícito (Requisito 12.3.3), y sus requisitos futuros son exigibles desde el 31 de marzo de 2025. Además, los equipos de auditoría de todo el mundo están cansados ​​de reconstruir el inventario manualmente en cada ciclo de evaluación.

¿Qué es una lista de materiales de criptografía (CBOM)?

Una lista de materiales criptográficos (CBOM, por sus siglas en inglés) es un inventario estructurado y legible por máquina de todos los activos criptográficos de un entorno, basado en la lista de materiales de software. Una CBOM completa registra cada clave con su algoritmo, tamaño y ubicación de almacenamiento; cada certificado con su emisor y fecha de caducidad; cada protocolo con sus versiones negociadas y conjuntos de cifrado; y las dependencias que los vinculan. CBOM Secure genera una de forma continua y la exporta en CycloneDX.

¿Cómo está diseñada la arquitectura de CBOM Secure?

CBOM Secure se organiza en cinco pilares de plataforma. Una vez que los conozca, sabrá dónde reside cada funcionalidad.

Gestión de descubrimientos

La capa de orquestación programa las ejecuciones de descubrimiento, gestiona las credenciales por objetivo y encadena los flujos de descubrimiento para que los resultados de un escaneo alimenten automáticamente el siguiente. El descubrimiento es un proceso que se configura una sola vez, no un proyecto que se ejecuta manualmente cada trimestre.

Manejo de inventario:

Todo lo que detecta el proceso de descubrimiento se almacena en un único CBOM (Consejo de Gestión de Claves) desduplicado y con capacidad de búsqueda. La deduplicación se realiza mediante huellas digitales SHA-256 de clave pública calculadas en el momento del descubrimiento. De esta forma, la plataforma reconoce que una clave que aparece en Azure Key Vault , en una partición de Thales Luna HSM y en un archivo PEM en un servidor de compilación es una sola clave reutilizada en tres ubicaciones, y la marca como un hallazgo de reutilización de clave en lugar de tres activos no relacionados.

Motor de análisis

La capa de análisis aplica una puntuación de riesgo de 0 a 100, evalúa cada activo según la política de cumplimiento seleccionada y etiqueta el material vulnerable a la computación cuántica. Las reglas de gravedad son explícitas. DES, RC4, MD5 y SHA-1 se marcan automáticamente, al igual que RSA-1024 y las versiones 1.0 y 1.1 de TLS. La familia post-cuántica del NIST ( ML-KEM , ML-DSA , SLH-DSA y FN-DSA) se clasifica como segura.

Gestión de identidad

Este pilar proporciona control de acceso basado en roles, además de aislamiento nativo entre múltiples organizaciones. Las unidades de negocio, los clientes de MSP y los equipos de cumplimiento operan desde una única implementación sin tener acceso al inventario de los demás, lo cual es importante para los equipos de servicios compartidos y para escenarios de fusiones y adquisiciones donde un entorno adquirido debe ser analizado pero mantenido separado.

Informes

Los informes incluyen paneles de control con 29 widgets y 52 KPI integrados, comprobantes de cumplimiento bajo demanda, alertas por correo electrónico y Microsoft Teams, y exportación completa del inventario en CycloneDX. Un registro de auditoría a prueba de manipulaciones documenta cada cambio de activo en un registro criptográficamente verificable: qué cambió, cuándo y quién lo hizo.

¿Qué descubre realmente CBOM Secure?

La amplitud de detección es donde más difieren las plataformas de gestión de postura. Esta es la cobertura que ofrece CBOM Secure.

Servicios de clave en la nube

CBOM Secure realiza inventarios de claves y certificados en AWS, Azure y Google Cloud, incluyendo la administración de claves en la nube y los servicios HSM administrados , capturando el algoritmo, el tamaño de la clave, el estado de la clave y los metadatos de rotación.

Módulos y tokens de seguridad de hardware

CBOM Secure abarca el ecosistema de hardware que las empresas utilizan habitualmente, incluidos módulos y tokens de Entrust, Thales, Utimaco, IBM, AWS, Azure, Google Cloud, Yubico, Nitrokey, Securosys y Marvell, así como tarjetas inteligentes.

El material de clave privada nunca se lee ni se mueve.

Administradores clave empresariales a través de KMIP

CBOM Secure funciona con gestores de claves empresariales que cumplen con los estándares, incluidos Thales CipherTrust Manager, Entrust KeyControl, IBM Security Key Lifecycle Manager, Fortanix Data Security Manager, Utimaco ESKM, Oracle Key Vault, HashiCorp Vault y otros servidores compatibles. Los objetos se rastrean a lo largo de todo su ciclo de vida, por lo que el inventario refleja tanto los cambios de estado como su existencia.

Bases de datos con cifrado de datos transparente

CBOM Secure lee los metadatos TDE de SQL Server, Oracle Database, MySQL y MariaDB, capturando la información que solicitan los auditores: algoritmo, certificado de protección, huella digital y fecha de caducidad. Nunca accede al material clave.

Directorios e infraestructura de Windows

La cobertura abarca Active Directory en varios bosques y dominios, directorios LDAP empresariales comunes y almacenes de certificados de Windows, por lo que los certificados residentes en el directorio y el material clave aparecen en el mismo inventario que todo lo demás.

puntos finales de red

CBOM Secure realiza un análisis TLS en tiempo real en cualquier punto final. Señaliza las versiones de protocolo obsoletas, enumera los conjuntos de cifrado disponibles, incluidos los híbridos post-cuánticos, y registra la cadena X.509 completa.

Código fuente, archivos y llaveros

CBOM Secure analiza el uso de criptografía en el código fuente en siete lenguajes y marca las claves codificadas como CRÍTICAS. También abarca los formatos de archivo de claves y almacenes de claves más comunes, los llaveros de claves GnuPG y HashiCorp Vault, y se integra de forma nativa con la plataforma de gestión del ciclo de vida de certificados CertSecure Manager.

¿Cómo convierte la correlación una lista en un inventario?

La correlación es lo que permite utilizar el inventario bajo presión. CBOM Secure vincula los certificados con sus claves subyacentes, rastrea qué servicios dependen de qué activos, detecta la reutilización de claves mediante la comparación de huellas digitales y separa la criptografía inactiva del material en uso activo en producción. La prueba práctica es la respuesta a incidentes: cuando una autoridad de certificación se ve comprometida o un algoritmo queda obsoleto de la noche a la mañana, se consulta el inventario por autoridad emisora, algoritmo o cualquier atributo, y se obtiene información sobre el alcance del impacto en minutos. Sin correlación, la misma pregunta se convierte en un proyecto de investigación que dura varios días y que involucra a varios equipos.

Esta misma propiedad resulta ventajosa en fusiones y adquisiciones. Implementar un proceso de descubrimiento en un entorno adquirido permite obtener un inventario criptográfico completo con hallazgos de riesgo priorizados en cuestión de horas, lo que constituye una debida diligencia basada en evidencia, en lugar de la hoja de cálculo del vendedor.

¿Cómo genera la gobernanza evidencia de auditoría?

La gobernanza en CBOM Secure implica tres mecanismos concretos:

• Evaluación de políticas continua: Cada activo se verifica continuamente con respecto a la política seleccionada, y los resultados se visualizan como tendencias de aprobación/rechazo a lo largo del tiempo, de modo que se puede consultar el nivel de cumplimiento en un panel de control en lugar de reconstruirlo una vez al año.
• Visibilidad del riesgo: Desglose de criticidad por Crítico, Alto, Medio, Bajo y Seguro; intervalos de vencimiento de certificados a 30 y 180 días; recuento de claves protegidas por HSM frente a claves protegidas por software; y totales de seguridad cuántica frente a no seguridad cuántica, cada uno respaldado por un KPI específico.
• Prueba exportable: La función de exportación CycloneDX y el registro de auditoría a prueba de manipulaciones proporcionan a los evaluadores evidencia del estado actual e historial verificable en un solo paquete.

Marco conceptual	Lo que aporta CBOM Secure
Norma NIST SP 800-131A	Indicadores de algoritmos obsoletos y en transición, incluidos 3DES, SHA-1 y short RSA llaves.
FIPS 140-3	Separa las claves protegidas por HSM de las protegidas por software para evidenciar el uso autorizado del módulo.
CNSA 2.0	Etiqueta algoritmos vulnerables a la computación cuántica y mide la adopción de tecnologías seguras frente a la computación cuántica a lo largo del tiempo.
CMMC 2.0 (Niveles 2/3)	Proporciona documentación sobre control criptográfico e identificación de vulnerabilidades.
PCI DSS 4.0 (Requisitos 4.2 y 12.3)	Existen pruebas contundentes de la criptografía de transporte y del inventario criptográfico requerido.
NIST-IR 8547	Revela toda la criptografía asimétrica vulnerable a la computación cuántica para la planificación de la migración.
FedRAMP / Orden Ejecutiva 14028	Inventario criptográfico continuo en consonancia con los mandatos federales de modernización.
SOC 2 / ISO 27001 / RGPD / HIPAA	Pruebas de que existen medidas de seguridad de cifrado, que están vigentes y que cumplen con las políticas establecidas.

¿Cómo se compara CBOM Secure con la gestión del ciclo de vida de los certificados?

Ambas categorías se complementan, y la mayoría de los programas consolidados las gestionan ambas. En resumen: CLM gestiona de forma excelente el ciclo de vida de una clase de activos, los certificados. La gestión de la postura criptográfica realiza un inventario de todas las clases de activos y las relaciones entre ellas.

Área de cobertura	Cómo se comparan los dos
Certificados en balanceadores de carga y puntos finales	Las herramientas CLM ofrecen una buena cobertura; CBOM Secure también la cubre mediante TLS y la detección de almacenes de certificados.
Claves en HSM, servidores KMIP y KMS en la nube	Fuera del alcance típico de CLM, CBOM Secure los cubre a través de HSM, administrador de claves y descubrimiento en la nube.
Algoritmos codificados directamente en el código fuente.	CLM no lo ve; CBOM Secure analiza el código fuente en siete idiomas.
Claves y monederos TDE de la base de datos	No visible para CLM; cubierto mediante el descubrimiento de TDE en la base de datos.
Material clave residente en la enfermedad de Alzheimer (NGC, gMSA, DPAPI)	No es visible para CLM; está cubierto mediante la detección de Active Directory.
Etiquetado de vulnerabilidades cuánticas en todos los activos	CLM solo ve certificados; CBOM Secure etiqueta claves, certificados y protocolos en todo el sistema.

CBOM Secure también se integra de forma nativa con CertSecure Manager , el gestor del ciclo de vida de los certificados propio de Encryption Consulting, de modo que los resultados de la detección y las operaciones del ciclo de vida de los certificados permanecen conectados en lugar de residir en consolas separadas.

¿Cómo se implementa CBOM Secure?

La plataforma se implementa en las instalaciones, en la nube, en entornos híbridos o como SaaS, incluyendo entornos aislados. La recopilación no requiere agentes para las API en la nube , los servidores KMIP, las bases de datos, los HSM y los puntos finales TLS, y sí los requiere para los sistemas de archivos, el código fuente y los almacenes de confianza del sistema operativo. Los agentes se autentican mediante JWT de corta duración, limitados únicamente a las escrituras de descubrimiento. La mayoría de las implementaciones en producción combinan ambos modos. Una arquitectura de complementos permite añadir nuevas fuentes de descubrimiento como componentes modulares, de modo que la infraestructura personalizada o propietaria se integra al inventario sin necesidad de modificar la plataforma principal.

Preguntas frecuentes

¿Qué es la gestión de la postura criptográfica?

El descubrimiento continuo, el inventario, la evaluación de riesgos y la gobernanza de políticas de todos los activos criptográficos de una organización: claves, certificados, algoritmos y protocolos, abarcando tanto la infraestructura como el código. Extiende la gestión de certificados a todo el conjunto de activos criptográficos.

¿Cuál es la diferencia entre un CBOM y un SBOM?

Un SBOM (Building Service Object) gestiona los componentes y versiones del software. Un CBOM (Building Code Object) gestiona los activos criptográficos y sus relaciones. Ambos se pueden expresar en CycloneDX, el formato que exporta CBOM Secure.

¿Qué proveedores de HSM son compatibles con CBOM Secure?

Cualquier módulo compatible con PKCS#11 v2.x, con cobertura probada que incluye Entrust nCipher y nShield, Thales Luna, Utimaco SecurityServer, IBM 4767, 4768 y 4769, AWS CloudHSM, Azure Dedicated HSM, Yubico YubiHSM 2, Nitrokey HSM 2, Securosys Primus, Marvell LiquidSecurity y SoftHSM2.

¿Qué servidores KMIP cubre?

Cualquier servidor que utilice el protocolo KMIP versiones 1.0 a 2.1, incluidos Thales CipherTrust Manager, Entrust KeyControl, IBM SKLM, Fortanix DSM, Utimaco ESKM, Oracle Key Vault y HashiCorp Vault en modo KMIP.

¿CBOM Secure lee el material de clave privada?

No. Los registros de descubrimiento de HSM, bases de datos, directorios y tokens de hardware solo contienen metadatos y entradas de existencia. Las claves privadas permanecen donde están.

¿Cómo facilita la migración post-cuántica?

Los algoritmos vulnerables a la computación cuántica se etiquetan automáticamente en claves, certificados, protocolos y código fuente. Los indicadores clave de rendimiento (KPI) integrados informan sobre la cantidad de algoritmos seguros frente a los que no lo son, lo que permite medir la adopción según las normas CNSA 2.0 y NIST IR 8547 en lugar de simplemente afirmarla.

¿Qué exporta?

El inventario completo en CycloneDX, además de paneles de control, informes de KPI y un registro de auditoría criptográficamente verificable de cada cambio de activo.

¿Reemplaza esto mi administrador de certificados?

No. Complementa las herramientas de gestión del ciclo de vida de los certificados al abarcar las clases de activos que estas no cubren, y se integra de forma nativa con CertSecure Manager.

Conclusión

La gestión de la postura criptográfica cierra la brecha que dejan los paneles de certificados y las hojas de cálculo: una visión completa y actualizada continuamente de cada clave, certificado, algoritmo y protocolo del entorno. CBOM Secure ofrece esta visión mediante el descubrimiento automatizado , un inventario CycloneDX sin duplicados, una puntuación de riesgo de 0 a 100 y una evaluación de políticas permanente en función de los marcos que los auditores citan. Ya sea que el motivo sea el requisito de inventario de PCI DSS 4.0, el cronograma post-cuántico de CNSA 2.0 o el próximo ciclo de auditoría, el trabajo comienza con conocer la criptografía que se utiliza. CBOM Secure hace que este conocimiento sea continuo en lugar de anual.

Empezar

Una prueba de concepto se desarrolla más rápidamente cuando se pueden especificar los objetivos: qué HSM, qué servidor KMIP, qué bases de datos, qué repositorios. Traiga esa lista para una demostración y le mostraremos los resultados. Póngase en contacto con Encryption Consulting en [email protected] o visite www.encryptionconsulting.com.