¿Cómo PKI-as-a-Service (PKIaaS) protege el trabajo remoto?

Introducción

El trabajo remoto e híbrido distribuye certificados y claves en muchas más ubicaciones, dispositivos y redes que una oficina tradicional, lo que dificulta la gestión de la infraestructura de clave pública (PKI) únicamente con herramientas y personal internos. Este artículo explica qué es la PKI, sus componentes principales, qué es la PKI como servicio (PKIaaS) y en qué se diferencia de una implementación autogestionada, incluye una tabla comparativa para elegir entre ambas opciones y cómo automatizar la gestión del ciclo de vida de los certificados una vez implementada la plataforma.

Respuesta rápida: ¿Qué es PKI-as-a-Service (PKIaaS)?

La infraestructura de clave pública como servicio (PKIaaS) es una infraestructura de clave pública alojada en la nube que un proveedor crea y opera en nombre de una organización, utilizando claves respaldadas por HSM de nivel 3 FIPS 140-3, mientras que la organización conserva la propiedad de su Autoridad de Certificación. Reemplaza la autenticación basada únicamente en contraseñas y MFA con la autenticación basada en certificados para equipos de trabajo remotos e híbridos, sin necesidad de invertir en HSM propios.

Puntos Clave

• La infraestructura de clave pública como servicio (PKIaaS) permite a las organizaciones delegar las operaciones de la jerarquía de la CA a un proveedor, conservando al mismo tiempo la plena propiedad y el control de su Autoridad de Certificación y sus claves.
• La autenticación basada en certificados soluciona una debilidad documentada en los métodos que solo utilizan contraseñas y autenticación multifactor. El Informe de Investigaciones de Violaciones de Datos de Verizon de 2025 reveló que el 60 % de las violaciones involucran el factor humano, siendo el robo de credenciales el vector de acceso inicial más común.
• El trabajo remoto e híbrido implica que ahora los certificados deben emitirse, renovarse y revocarse continuamente, en lugar de unas pocas veces al año, lo cual es difícil de mantener únicamente mediante operaciones manuales internas de infraestructura de clave pública (PKI).
• La reducción de la validez de los certificados TLS, hasta los 47 días en 2029 según la propuesta SC-081v3 del Foro de Autoridades de Certificación/Navegadores, convierte la automatización, y no solo la accesibilidad remota, en el factor decisivo entre la infraestructura de clave pública autogestionada y la infraestructura de clave pública como servicio (PKIaaS).
• La elección correcta entre PKI autogestionada y PKIaaS depende de los requisitos de control, las obligaciones de cumplimiento y la experiencia interna en HSM y PKI, no simplemente del coste.

Por qué esto importa ahora

La encuesta Trust Pulse de DigiCert, publicada el 2 de julio de 2025, reveló que casi la mitad de las empresas sufrieron una interrupción relacionada con certificados durante el último año. El 37.5 % de los incidentes se vincularon específicamente con certificados caducados y el 18.5 % de las organizaciones afectadas reportaron pérdidas superiores a los 250 000 dólares. Un equipo de trabajo remoto o híbrido distribuye los certificados en más puntos finales y redes que una sola oficina, lo que dificulta la gestión de este riesgo de interrupción mediante el seguimiento manual.

El margen de error manual también se está reduciendo rápidamente. Según la propuesta SC-081v3 del Foro CA/Browser , aprobada el 11 de abril de 2025, la validez de los certificados TLS de confianza pública se reduce de 398 a 200 días a partir del 15 de marzo de 2026, luego a 100 días desde el 15 de marzo de 2027 y a 47 días desde el 15 de marzo de 2029 en adelante. Cumplir con este ciclo de renovación en una fuerza laboral remota distribuida es precisamente el tipo de problema de automatización que PKIaaS está diseñado para resolver.

La protección basada en contraseñas tampoco ha seguido el ritmo de este panorama de amenazas. El Informe de Investigaciones de Violaciones de Datos de Verizon de 2025 reveló que el 60 % de las violaciones involucran el factor humano, siendo las credenciales robadas o comprometidas el vector de acceso inicial más común. La autenticación basada en certificados, el caso de uso principal de PKI y PKIaaS, aborda esta vulnerabilidad directamente, ya que una clave privada no puede ser robada ni adivinada como una contraseña. A largo plazo, el NIST finalizó sus estándares de criptografía postcuántica, FIPS 203, 204 y 205, el 13 de agosto de 2024, por lo que cualquier evaluación de PKIaaS también debería preguntar sobre la agilidad criptográfica y la hoja de ruta de migración del proveedor.

¿Qué es la infraestructura de clave pública (PKI)?

La infraestructura de clave pública (PKI, por sus siglas en inglés) es un marco tecnológico de ciberseguridad que protege las comunicaciones entre cliente y servidor. Los certificados autentican la comunicación entre un cliente y un servidor, y la PKI utiliza certificados X.509 y claves públicas para proporcionar cifrado de extremo a extremo. Esto permite que tanto el servidor como el cliente confíen mutuamente y confirmen la integridad de la transacción. A medida que la transformación digital avanza en todos los sectores, la PKI se ha convertido en un elemento fundamental para asegurar las transacciones en ámbitos como la sanidad y las finanzas.

¿Cuáles son los componentes principales de una infraestructura de clave pública (PKI)?

La infraestructura de clave pública (PKI) protege un entorno mediante tres componentes críticos, cada uno de los cuales desempeña un papel fundamental en la seguridad de las comunicaciones digitales y las transacciones electrónicas.

• Certificados Digitales:

  El componente más crítico de una infraestructura de clave pública (PKI). Los certificados digitales validan e identifican la conexión entre un servidor y un cliente, lo que garantiza la seguridad y la confianza en dicha conexión. Los certificados pueden emitirse internamente o adquirirse de un emisor externo de confianza, según la magnitud de las operaciones.

• Autoridad de certificación (CA):

  Una Autoridad de Certificación proporciona autenticación y salvaguarda la confianza en los certificados que emite, ya sean para sistemas individuales o servidores, y garantiza que los dispositivos confíen en las identidades digitales que representan dichos certificados.

• Autoridad de registro (RA):

  Una Autoridad de Registro (AR) está autorizada por una Autoridad de Certificación (AC) para procesar las solicitudes de certificados de usuarios autenticados, desde un certificado individual para firmar correos electrónicos hasta una AC privada creada por una empresa. La AR remite las solicitudes aprobadas a la AC para su emisión.

¿Qué es PKI-as-a-Service (PKIaaS)?

La infraestructura de clave pública como servicio (PKIaaS) es un servicio de seguridad basado en la nube que se adapta a múltiples escenarios de implementación y puede desplegarse rápidamente para dar soporte a equipos de trabajo remotos o híbridos. Una solución PKIaaS bajo demanda puede reducir significativamente los costes de hardware y personal, manteniéndolos predecibles. La autenticación basada en certificados mediante PKI proporciona una seguridad más robusta que la protección basada en contraseñas o la autenticación multifactor independiente para la protección de datos confidenciales.

La infraestructura de clave pública (PKI) también constituye una capa fundamental para un modelo de seguridad de confianza cero, tal como se define en la norma NIST SP 800-207 , que establece una definición formal de confianza cero y una hoja de ruta para su aplicación en entornos empresariales. Las organizaciones suelen evaluar tres beneficios al decidir si migrar a PKIaaS para la gestión de claves y las operaciones del ciclo de vida:

• Eficiencia

  Elimine los costes de inversión en software y hardware y adopte un servicio de pago por uso.

• Escalabilidad organizacional

  Amplíe su infraestructura de clave pública (PKI) desde cero hasta millones de certificados bajo demanda, y extienda su alcance a otros sistemas, incluidos IoT, DevOps y la nube, utilizando una biblioteca de integraciones predefinidas.

• Seguridad

  PKIaaS está diseñado con sólidos controles de seguridad que cumplen con los estándares de cumplimiento vigentes, y la propiedad de la Autoridad de Certificación raíz y su sistema de gestión permanece en manos de su organización.

PKIaaS frente a PKI autogestionada: Comparación entre desarrollar internamente y comprar.

Las empresas pueden optar por gestionar la infraestructura de clave pública (PKI) completamente en sus instalaciones, adoptar PKIaaS en la nube o implementar un modelo híbrido que combine ambas opciones. La siguiente tabla compara los enfoques de PKI autogestionada y PKIaaS según los criterios más relevantes.

Criterio	PKI autogestionada	PKI como servicio (PKIaaS)
Control	Control total sobre cada capa, pero también total responsabilidad sobre ella.	La organización conserva la propiedad y el control de la CA y sus claves mientras el proveedor opera la infraestructura.
Jerarquía de CA	Diseñado, implementado y mantenido íntegramente de forma interna.	Diseñado y operado por el proveedor según su póliza, alojado en las instalaciones, en la nube o como un modelo híbrido.
HSM	Requiere inversión de capital en hardware HSM y experiencia interna en ceremonias de llaves.	Se incluyen claves con soporte HSM FIPS 140-3 Nivel 3; no se requiere la compra de hardware.
Cumplimiento	La documentación de cumplimiento, las auditorías y la recopilación de pruebas son responsabilidad exclusiva de su equipo.	El proveedor proporciona procesos y procedimientos auditados; la evidencia de cumplimiento generalmente está integrada en el servicio.
SLA	No hay SLA externo; el tiempo de actividad depende completamente del personal y los procesos internos.	Compromisos de servicio respaldados por el proveedor, aunque los términos específicos del SLA deben confirmarse y plasmarse por escrito antes de firmar.
ERP y SAP	Cada integración (IoT, DevOps, nube) debe construirse y mantenerse internamente.	Biblioteca de integración preconfigurada para plataformas comunes de IoT, DevOps y nube.
Modelo de costo	Gastos de capital iniciales para hardware, software y personal especializado.	Gastos operativos de pago por escala, desde un puñado de certificados hasta millones.

Tabla de decisiones del comprador: ¿Qué enfoque se adapta mejor a su organización?

Situación	Enfoque recomendado	Por qué
Pequeño equipo de TI sin experiencia específica en PKI o HSM.	PKIaaS	Evita el costo y la carga de contratación que implica desarrollar experiencia interna en HSM y PKI desde cero.
Entorno altamente regulado o aislado que requiere control físico de la CA raíz.	PKI autogestionada en las instalaciones	Las políticas o los requisitos reglamentarios pueden exigir la custodia física de la infraestructura de la CA raíz.
Ampliación rápida de la plantilla remota o híbrida con diversos tipos de dispositivos (IoT, DevOps, nube).	PKIaaS	Las integraciones preconfiguradas y el escalado elástico gestionan el crecimiento sin necesidad de nuevas inversiones de capital.
Experiencia interna existente en PKI e inversión en HSM ya implementada.	Autogestionado, opcionalmente combinado con la automatización del ciclo de vida de los certificados.	Los costos hundidos y las habilidades existentes hacen que una migración completa sea innecesaria.
Necesidad de obtener valor rápidamente con un gasto inicial mínimo.	PKIaaS	El modelo de precios de pago por uso evita gastos de capital y acelera la implementación.

Por qué la autenticación basada en certificados PKI supera a las contraseñas y la autenticación multifactor (MFA).

Los mecanismos tradicionales de ciberseguridad, como la autenticación multifactor y la protección mediante contraseña, siguen siendo muy utilizados, pero ninguno es infalible y ambos siguen siendo objetivos frecuentes de los atacantes. El uso de infraestructura de clave pública (PKI) para implementar la autenticación basada en certificados proporciona una mayor seguridad para los datos confidenciales que cualquiera de los dos métodos por separado.

Infraestructura de clave pública (PKI) frente a autenticación basada en contraseña

Según el Informe de Investigaciones de Violaciones de Datos de Verizon de 2025, el 60 % de las violaciones involucran el factor humano, siendo el robo o la vulneración de credenciales el vector de acceso inicial más común. Este dato deja claro que la filtración de contraseñas, ya sea intencional, accidental o mediante técnicas como la fuerza bruta o el relleno de credenciales, sigue siendo una de las vías más frecuentes de acceso no autorizado a una violación de datos.

Los certificados de identidad de usuario basados ​​en PKI, utilizados en la autenticación basada en certificados, son una de las formas más seguras de autenticación de identidad disponibles. Esto también facilita la tarea de los empleados, quienes ya no necesitan recordar ni actualizar contraseñas con frecuencia. Razones por las que la autenticación basada en PKI supera a las contraseñas:

• La clave privada utilizada para la autenticación puede permanecer completamente dentro del entorno del cliente.
• Las claves privadas y los certificados no pueden ser robados durante su transmisión ni mientras están almacenados en repositorios de servidores, como sí puede ocurrir con una contraseña.
• A diferencia de las contraseñas, los certificados digitales tardarían años en implementarse. descifrar utilizando ataques de fuerza bruta.
• No es necesario recordar ni cambiar con frecuencia los certificados digitales, como sí ocurre con las contraseñas.

Infraestructura de clave pública (PKI) frente a la autenticación multifactor tradicional

La autenticación multifactor, ya sea mediante un token de hardware o un método basado en SMS o llamadas, proporciona seguridad adicional en comparación con la protección mediante contraseña únicamente. Sin embargo, es un proceso engorroso para los empleados, ya que añade pasos adicionales al ciclo de autenticación. La autenticación basada en certificados PKI elimina ese paso adicional a la vez que proporciona una mayor seguridad de los datos. Las ventajas de la autenticación PKI sobre la autenticación multifactor tradicional incluyen:

• Los empleados no necesitan llevar consigo ni guardar un dispositivo o token de hardware adicional.
• Se elimina el paso adicional de introducir un identificador de token seguro o una contraseña de un solo uso (OTP).
• Los dispositivos conectados pueden ser reconocidos y autenticados directamente.
• La autenticación mediante certificados PKI admite múltiples casos de uso y entidades, incluidos usuarios, máquinas y dispositivos móviles.

Mediante el uso de PKI, una organización puede satisfacer múltiples casos de uso, incluyendo la autenticación de usuarios, la autenticación de máquinas, el inicio de sesión en Windows, el acceso al correo electrónico corporativo y el acceso VPN.

Automatización de la gestión del ciclo de vida de los certificados con PKIaaS

Tres maneras en que PKIaaS automatiza la gestión de certificados

La ampliación de la infraestructura de clave pública (PKI) para una plantilla remota o híbrida mediante PKIaaS suele seguir tres pasos:

1. Sustituya la protección tradicional basada en contraseñas por la autenticación basada en certificados PKI.
2. Sustituya la autenticación multifactor tradicional por la autenticación mediante certificados PKI.
3. Automatice la gestión de certificados de identidad de principio a fin.

Beneficios de automatizar el ciclo de vida de los certificados

La automatización de la gestión de certificados reduce la carga de trabajo del personal de TI al eliminar el trabajo técnicamente complejo de implementación, renovación y revocación de certificados, y ayuda al personal a reemplazar o revocar certificados rápidamente cuando sea necesario.

• Descubrimiento de certificados

  Identifique todos los certificados que se utilizan en la empresa, incluidos los emitidos fuera de un proceso centralizado.

• Implementación de certificados

  Automatice la emisión e instalación de certificados en lugar de gestionarlos manualmente uno por uno.

• Revisión de certificado

  Renueve automáticamente los certificados cuando sea necesario y revoquelos una vez que caduquen o ya no sean necesarios.

Lista de verificación de SLA y controles de seguridad para evaluar un proveedor de PKIaaS

Control o Requisito	Qué verificar	POR QUÉ ES IMPORTANTE
Nivel de validación FIPS de HSM	Confirme que el proveedor utiliza HSM validados según FIPS 140-3 Nivel 3, y no únicamente HSM con certificación FIPS 140-2.	Las validaciones FIPS 140-2 pasarán a tener estado histórico el 21 de septiembre de 2026.
Propiedad de la clave CA	Confirme que la propiedad y el control de la CA y sus claves permanecen en su organización, no en el proveedor.	Evita la dependencia de un único proveedor y la pérdida de la custodia de las claves.
compromiso de tiempo de actividad del SLA	Obtenga un porcentaje de SLA por escrito y un tiempo de respuesta a incidentes definido en el contrato.	El tiempo de inactividad durante la emisión o renovación de certificados puede provocar interrupciones en las aplicaciones.
Registro de auditoría	Confirme que existen registros de auditoría centralizados y exportables para cada operación de CA.	Se requiere presentar pruebas durante una auditoría de cumplimiento.
Cobertura de integración	Confirme que existen integraciones preconfiguradas para sus tipos de dispositivos, incluidas las plataformas de IoT, DevOps y en la nube.	Evita el trabajo de integración personalizada y los retrasos.
Alojamiento y residencia de datos	Confirme dónde se alojan las claves y la infraestructura de CA, y si eso cumple con sus requisitos de residencia de datos.	Necesario para el cumplimiento normativo y de la soberanía de los datos.

Requisitos de HSM y cumplimiento que debe verificar antes de elegir un proveedor.

Además de la lista de verificación de SLA y controles de seguridad mencionada anteriormente, confirme que la protección HSM y el cumplimiento normativo del proveedor de PKIaaS se ajustan a sus obligaciones regulatorias antes de firmar. Como mínimo, busque HSM validados según FIPS 140-3 Nivel 3 que protejan las claves privadas de la CA, junto con evidencia de auditoría independiente como ISO/IEC 27001, SOC 2 y, cuando corresponda a su sector, la conformidad con GDPR o PCI DSS. Un proveedor que no puede proporcionar informes de auditoría actualizados cuando se le solicitan no es un lugar seguro para alojar una CA raíz, independientemente de lo que afirme su publicidad.

¿A quién debería importarle esto?

Elegir entre PKI autogestionada y PKIaaS no es solo una decisión de TI. Esto es lo que cada parte interesada debería tener en cuenta.

Administradores de PKI

Gestionar las operaciones diarias de certificados independientemente del modelo elegido. Acción: asignar todos los certificados emitidos actualmente a puntos finales remotos o híbridos y confirmar que cada uno tenga una ruta de renovación automatizada.

Arquitectos de seguridad

Tomar la decisión de construir internamente o comprar, así como el diseño de la jerarquía de CA resultante. Acción: evaluar el entorno actual según la tabla de decisiones del comprador anterior antes de recomendar una solución.

Equipos de plataforma

Gestionar las integraciones que conectan PKI o PKIaaS con IoT, DevOps y plataformas en la nube. Acción: confirmar qué integraciones actuales se gestionan manualmente y se beneficiarían más de una biblioteca preconfigurada de un proveedor de PKIaaS.

Equipos de cumplimiento

Verificar que el nivel de validación HSM y la evidencia de auditoría de cualquier proveedor de PKIaaS cumplan con sus obligaciones regulatorias. Acción recomendada: solicitar la documentación actualizada de FIPS, ISO 27001 y SOC 2 antes de firmar cualquier contrato.

CISO

Toma la decisión final sobre si desarrollar internamente, comprar o implementar una solución híbrida para la infraestructura de clave pública (PKI). Acción recomendada: evaluar el costo y el riesgo continuos de gestionar la PKI internamente frente a un proveedor de PKIaaS que mantenga la propiedad de la CA por parte de tu organización mientras opera la infraestructura.

Nuestra opinión: Cómo la consultoría en cifrado respalda la infraestructura de clave pública (PKIaaS).

Encryption Consulting LLC puede gestionar por completo su infraestructura de clave pública (PKI). Esto significa que diseñamos, dirigimos y administramos su PKI, ya sea en sus instalaciones, en la nube o en una implementación híbrida, utilizando un conjunto de procedimientos totalmente desarrollados y probados, así como procesos auditados. No se requieren derechos de administrador en su Active Directory, y usted siempre tendrá el control de su PKI y sus procesos de negocio asociados. Las claves de la CA se almacenan en HSM FIPS 140-3 Nivel 3 alojados en un centro de datos seguro, y la propiedad de la Autoridad de Certificación y el control de sus claves nunca salen de su organización.

Más allá de PKIaaS, nuestra plataforma CertSecure Manager automatiza la detección, implementación y renovación de certificados en todos los entornos mencionados anteriormente, eliminando la brecha de emisión manual señalada en la sección de la lista de verificación. En cuanto a la agilidad criptográfica planteada anteriormente, nuestro Centro de Excelencia PQC y la Evaluación de Preparación PQC ayudan a los equipos a planificar la migración final desde RSA y ECDSA, y nuestra plataforma de detección e inventario criptográfico CBOM Secure proporciona a los arquitectos de seguridad un inventario completo de identidades de máquinas en una fuerza laboral distribuida y con capacidad de trabajo remoto. Para obtener más información sobre la automatización de la gestión del ciclo de vida de los certificados una vez elegida la plataforma, consulte nuestra publicación relacionada sobre cómo CLM ayuda a mitigar los ataques comunes de SSL/TLS.

Conclusión

El trabajo remoto e híbrido dificultó la gestión manual de la infraestructura de clave pública (PKI), pero no la hizo menos importante. La PKI como servicio (PKIaaS) soluciona este problema al permitir que un proveedor gestione la jerarquía de la CA, la infraestructura HSM y la automatización de certificados, mientras que su organización conserva la propiedad y el control de la Autoridad de Certificación y sus claves. La PKI autogestionada sigue siendo una opción viable para organizaciones con experiencia o requisitos normativos que exigen un control físico directo, pero para la mayoría de las organizaciones que se enfrentan a periodos de validez de certificados cada vez más cortos y a una plantilla distribuida, la PKIaaS es la vía más rápida y de menor riesgo para la autenticación basada en certificados, que supera tanto a las contraseñas como a la autenticación multifactor independiente.

Preguntas frecuentes

¿Cuál es la principal conclusión de esta guía sobre PKI como servicio?

La infraestructura de clave pública como servicio (PKIaaS) permite que un proveedor opere la jerarquía de CA y la infraestructura HSM detrás de la PKI de una organización, mientras que la organización mantiene la propiedad y el control de su Autoridad de Certificación y sus claves, lo que hace que la autenticación basada en certificados sea práctica para una fuerza laboral remota o híbrida.

¿Por qué es importante PKIaaS para los equipos de PKI empresariales que dan soporte al trabajo remoto e híbrido?

Los equipos de trabajo remotos e híbridos distribuyen los certificados en muchos más puntos finales y redes que una sola oficina, lo que dificulta el seguimiento y la renovación manuales, especialmente a medida que se reducen los periodos de validez de los certificados TLS.

¿Qué riesgos aumentan si la gestión de certificados para el trabajo remoto se realiza manualmente?

La gestión manual de certificados aumenta el riesgo de que se pasen por alto las renovaciones, de que se emitan certificados no detectados fuera de un proceso centralizado y de que se produzcan interrupciones del servicio, ya que la encuesta Trust Pulse de DigiCert reveló que el 37.5 % de los incidentes relacionados con certificados están vinculados específicamente a certificados caducados.

¿Qué equipos deberían ser los responsables de la decisión de adoptar PKIaaS?

Los arquitectos de seguridad suelen ser los responsables de la decisión de desarrollar internamente o comprar, los administradores de PKI se encargan de las operaciones diarias con certificados, los equipos de plataforma se encargan de las integraciones, el departamento de cumplimiento verifica el HSM y la evidencia de auditoría, y el CISO es responsable de la decisión general y su presupuesto.

¿Cómo se conecta PKIaaS con la gestión del ciclo de vida de los certificados?

Por lo general, PKIaaS incluye la gestión del ciclo de vida de los certificados (descubrimiento, implementación, renovación y revocación) como parte del servicio, de modo que los certificados emitidos a una plantilla remota se rastrean y renuevan automáticamente en lugar de requerir intervención manual.

¿Cómo deberían las organizaciones medir si PKIaaS está funcionando?

Realizar un seguimiento de las interrupciones relacionadas con los certificados y los incidentes de certificados caducados, determinar si la emisión y la renovación se realizan de forma automatizada en lugar de manual, y comprobar si el acuerdo de nivel de servicio (SLA) del proveedor y la evidencia de auditoría siguen vigentes y cumplen con las expectativas.

¿Qué aspectos deben auditarse o supervisarse periódicamente con un proveedor de PKIaaS?

Revise periódicamente el nivel de validación FIPS del proveedor, los informes de auditoría ISO 27001 y SOC 2, el historial de rendimiento del SLA y confirme que la propiedad y el control de la CA y sus claves siguen estando en manos de su organización.

¿Cómo afecta PKIaaS a los entornos PKI en la nube, híbridos o con múltiples autoridades de certificación?

PKIaaS puede funcionar como una jerarquía de CA en la nube independiente o junto con una CA local existente en un modelo híbrido, y sus integraciones preconfiguradas suelen facilitar la ampliación de la cobertura de certificados a entornos de IoT, DevOps y multinube, en comparación con la creación de cada integración internamente.

¿Qué errores comunes deben evitar los equipos al evaluar a los proveedores de PKIaaS?

Entre los errores más comunes se incluyen no confirmar quién conserva la propiedad de la CA y sus claves, aceptar las afirmaciones de cumplimiento o de FIPS de un proveedor sin solicitar la documentación actualizada y omitir un SLA por escrito con compromisos definidos de tiempo de actividad y respuesta a incidentes.

¿Qué elementos deben actualizarse trimestralmente en una implementación de PKIaaS?

Revise los paneles de control de vencimiento de certificados, confirme que la documentación FIPS y de cumplimiento del proveedor siga vigente, revise la tabla de decisiones del comprador para detectar cualquier caso de uso nuevo agregado desde la última revisión y confirme que los cambios en el período de validez de CA/Browser Forum se reflejen en la automatización de la renovación.