Su guía para escalar PKI de forma remota

En esta pizarra de debate, vamos a entender qué es la PKI. ¿Cuáles son los distintos componentes que la conforman ? Y, lo que es más importante, cómo la reciente pandemia mundial está obligando a las empresas a priorizar el teletrabajo, lo que a su vez supone una gran amenaza para sus datos confidenciales. Para proteger estos datos, necesitamos comprender cómo escalar la infraestructura de clave pública de forma remota para defendernos de diversos ataques de filtración de datos. ¡Comencemos!

Respuesta rápida: ¿Cómo se escala la infraestructura de clave pública (PKI) de forma remota?

Escalar la infraestructura de clave pública (PKI) de forma remota implica reemplazar los inicios de sesión basados ​​en contraseñas y la autenticación multifactor tradicional con la autenticación basada en certificados PKI, y luego automatizar la detección, implementación y renovación de certificados para que un equipo de trabajo distribuido pueda autenticarse de forma segura sin necesidad de gestionar certificados manualmente. La autenticación basada en certificados es más robusta que las claves compartidas, ya que las claves privadas nunca salen del dispositivo del cliente, y la automatización elimina la carga operativa de escalar la PKI en puntos finales remotos.

Resumen Ejecutivo

El trabajo remoto e híbrido distribuye datos confidenciales y tráfico de autenticación en muchas más ubicaciones que un perímetro de oficina tradicional, lo que dificulta confiar plenamente en la autenticación basada en contraseñas e incluso en la autenticación multifactor tradicional. La autenticación basada en certificados PKI soluciona este problema al vincular la identidad a una clave privada que nunca sale del dispositivo del cliente, en lugar de un secreto compartido que puede ser objeto de phishing, robo o ataques de fuerza bruta. Esta publicación describe tres pasos para escalar PKI de forma remota: reemplazar la protección con contraseña, reemplazar la MFA tradicional y automatizar la gestión del ciclo de vida de los certificados; una matriz de decisión para elegir entre ellos; y cómo esto se relaciona con la gestión del ciclo de vida de los certificados y la modernización de PKI en general.

¿A quién debería importarle escalar la infraestructura de clave pública (PKI) de forma remota?

La escalabilidad de la infraestructura de clave pública (PKI) para una fuerza laboral distribuida abarca la identidad, la arquitectura de seguridad, las operaciones de la plataforma y el cumplimiento normativo. A continuación, se describe lo que debe hacer cada rol.

Administradores de PKI

Adapte la capacidad de emisión y renovación de certificados a una población de dispositivos distribuidos y automatice la detección de certificados para que ningún punto final remoto quede sin seguimiento.

Arquitectos de seguridad

Diseñar la ruta de migración desde la autenticación basada en contraseñas y MFA tradicional a la autenticación basada en certificados como parte de una estrategia de seguridad Zero Trust más amplia.

Equipos de plataforma

Gestiona las herramientas de implementación de certificados y el flujo de trabajo de incorporación remota de dispositivos para que la autenticación basada en certificados se implemente sin interrumpir el acceso remoto existente.

Equipos de cumplimiento

Confirme que la autenticación remota basada en certificados cumple con los requisitos de cumplimiento aplicables y documente el proceso del ciclo de vida del certificado a efectos de auditoría.

CISO

Considere la solidez de la autenticación remota como un área de riesgo medible y promueva la transición de la autenticación con clave compartida a la autenticación basada en certificados y respaldada por infraestructura de clave pública (PKI) a gran escala.

Por qué esto importa: Datos y plazos de entrega

Según la encuesta Trust Pulse de DigiCert (2 de julio de 2025), casi la mitad de las empresas sufrieron una interrupción relacionada con certificados el año pasado, y el 18.5 % de las organizaciones afectadas reportaron pérdidas superiores a 250 000 dólares, con un 37.5 % de esos incidentes vinculados específicamente a certificados caducados. Cualquier organización que implemente la autenticación basada en certificados a gran escala en una plantilla remota hereda el mismo riesgo operativo si no automatiza la gestión del ciclo de vida de los certificados.

La propuesta SC-081v3 del Foro CA/Browser, aprobada el 11 de abril de 2025, reduce gradualmente la validez máxima de los certificados TLS públicos a 200 días a partir del 15 de marzo de 2026, a 100 días a partir del 15 de marzo de 2027 y a 47 días a partir del 15 de marzo de 2029. La menor duración de los certificados hace que la gestión manual de los mismos sea aún menos viable para un equipo de trabajo remoto distribuido, lo que refuerza la importancia de la automatización como tercer y último paso para escalar la infraestructura de clave pública (PKI) de forma remota.

El NIST finalizó sus estándares de criptografía postcuántica, FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA), el 13 de agosto de 2024. Las organizaciones que implementen la autenticación basada en certificados para el trabajo remoto e híbrido deberían incorporar la agilidad criptográfica en su implementación desde ahora, de modo que la misma infraestructura PKI pueda migrar a algoritmos compatibles con PQC sin necesidad de una segunda implementación a gran escala posteriormente.

¿Sigue siendo relevante la ciberseguridad, como la infraestructura de clave pública (PKI), para el trabajo remoto e híbrido?

Para responder a esta pregunta, es necesario comprender los resultados de la encuesta realizada por PwC, que analiza las medidas financieras que los directores financieros están considerando durante la pandemia mundial de COVID-19 para reducir el impacto en sus negocios y garantizar la sostenibilidad. Un dato interesante de esta encuesta es que, del total de directores financieros que respondieron, el 67 % está considerando cancelar o aplazar las inversiones planificadas para reducir la carga financiera de sus empresas.

Del 67%, solo el 2% considera recortar las actividades planificadas en ciberseguridad, mientras que el resto no está dispuesto a reducir el presupuesto destinado a la protección de datos. Esto demuestra claramente la importancia de la ciberseguridad, especialmente del cifrado y la infraestructura de clave pública (PKI), durante la pandemia, donde los datos se encuentran dispersos geográficamente, dado que muchos empleados trabajan de forma remota. (Esta encuesta de PwC refleja la opinión de los directores financieros durante los primeros meses de la pandemia de COVID-19; la idea fundamental de que el gasto en ciberseguridad se mantiene incluso cuando se recortan otros presupuestos sigue vigente, ya que el trabajo remoto e híbrido se ha convertido en una práctica habitual para muchas organizaciones).

¿Qué hace que la ciberseguridad, especialmente la infraestructura de clave pública (PKI), sea fundamental para una plantilla distribuida?

Es bien sabido que la ciberseguridad es fundamental para cualquier empresa que maneje datos confidenciales, incluso antes de que la pandemia de COVID-19 azotara el mundo. Durante la crisis de la pandemia, este aspecto de la ciberseguridad se volvió aún más crítico, ya que los empleados que manejaban datos confidenciales en todo el mundo trabajaban de forma remota. Esto complica el proceso de rastrear los datos confidenciales (en reposo, en tránsito y en uso) y protegerlos.

Por lo tanto, la gestión remota de la infraestructura de clave pública (PKI) se ha vuelto fundamental para la revocación de certificados de corta duración y la administración de los certificados activos existentes. Además, la gestión remota de la PKI es crucial para el cumplimiento normativo, ya que las empresas pueden enfrentar multas cuantiosas por incumplimiento de diversas normas internacionales. La infraestructura de clave pública (PKI) se puede utilizar para proteger y gestionar certificados de correo electrónico, VPN, autenticación de usuarios y sitios web. La PKI se ha convertido en un activo esencial para las organizaciones con una fuerza laboral distribuida o híbrida.

¿Qué es PKI?

La infraestructura de clave pública (PKI, por sus siglas en inglés) es un marco tecnológico de ciberseguridad que protege las comunicaciones entre cliente y servidor. Los certificados se utilizan para autenticar la comunicación entre el cliente y el servidor. La PKI también utiliza certificados X.509 y claves públicas para proporcionar cifrado de extremo a extremo. De esta manera, tanto el servidor como el cliente pueden confiar el uno en el otro y verificar su autenticidad para demostrar la integridad de la transacción. Con el aumento de la transformación digital a nivel mundial, es fundamental utilizar la infraestructura de clave pública para garantizar transacciones seguras. La PKI tiene numerosos casos de uso en diversos sectores e industrias, incluidos los campos médico y financiero.

Explora la información completa sobre Infraestructura de Clave Pública aquí:

Fundamentos de PKI: Conozca la PKI moderna

¿Cuáles son los componentes importantes en la infraestructura de clave pública?

Existen tres componentes clave: certificados digitales , autoridad de certificación y autoridad de registro. La infraestructura de clave pública (PKI) protege el entorno mediante estos tres componentes críticos. Estos componentes desempeñan un papel fundamental en la protección y seguridad de las comunicaciones digitales y las transacciones electrónicas.

• Certificados Digitales: El componente más crítico de la infraestructura de clave pública (PKI) son los certificados digitales. Estos certificados se utilizan para validar e identificar las conexiones entre el servidor y el cliente. De esta forma, las conexiones establecidas son muy seguras y confiables. Los certificados se pueden crear individualmente según la escala de las operaciones. Si se trata de una empresa grande, los certificados digitales PKI se pueden adquirir de emisores externos de confianza.
• Autoridad de certificación: Una Autoridad de Certificación (AC) proporciona autenticación y garantiza la confianza en los certificados utilizados por los usuarios. Ya se trate de sistemas informáticos individuales o servidores, la Autoridad de Certificación asegura la autenticación de las identidades digitales de los usuarios. Los dispositivos confían en los certificados digitales emitidos por las autoridades de certificación.
• Autoridad de registro: La Autoridad de Registro (AR) es un componente autorizado por la Autoridad de Certificación para emitir certificados a usuarios autenticados, según las solicitudes. Las solicitudes de certificados de la AR abarcan desde certificados digitales individuales para firmar correos electrónicos hasta empresas que planean establecer su propia autoridad de certificación privada. La AR envía todas las solicitudes aprobadas a la CA para su procesamiento.

Eso debería haberte dado una buena respuesta a la pregunta: ¿cómo funciona una infraestructura de clave pública (PKI)? Ahora veamos por qué deberías escalar tu PKI de forma remota.

¿Por qué deberían las empresas preocuparse por escalar PKI de forma remota?

La COVID-19 no solo ha provocado una crisis sanitaria mundial, sino que también ha causado estragos en el ciberespacio, generando una ciberpandemia. Desde el inicio de la pandemia, se ha producido un aumento exponencial en el número de ciberataques. Los ciberdelincuentes están aprovechando el teletrabajo y las nuevas soluciones de acceso remoto para llevar a cabo sus ataques. Las cifras indican que, durante los primeros días de la pandemia, se registró un incremento del 33 % en el volumen de ciberataques. Los recientes ataques contra uno de los mayores gasoductos y un proveedor de carne demuestran que ni siquiera las grandes empresas con infraestructuras de gran envergadura son inmunes a estos ataques.

¿Por qué utilizar PKI?

Existen varios mecanismos tradicionales de ciberseguridad eficaces, como la autenticación multifactor y la protección mediante contraseña, para salvaguardar datos confidenciales de forma remota. Sin embargo, estas técnicas ya no son infalibles, ya que los ciberdelincuentes pueden manipularlas fácilmente y vulnerar las medidas de seguridad. Debido a esta vulnerabilidad, muchas organizaciones de investigación en ciberseguridad recomiendan abandonar estos enfoques. El uso de infraestructura de clave pública para implementar la autenticación basada en certificados ofrece mayor seguridad para los datos confidenciales en comparación con los métodos tradicionales.

¿Cómo se puede aprovechar la infraestructura de clave pública (PKI) de forma remota?

La infraestructura de clave pública (PKI) ofrece estándares de seguridad más robustos y superiores en comparación con la protección basada en contraseñas o la autenticación multifactor, que se utilizan habitualmente para proteger datos confidenciales. Como señalan varias firmas de investigación, como Forrester y Gartner, siempre es preferible adoptar un modelo de seguridad de confianza cero para reducir el riesgo de exposición de su empresa y sus empleados. La PKI puede ser una de las capas más importantes para lograr una estrategia de confianza cero. Existen tres pasos fundamentales que su organización puede seguir para escalar la infraestructura de clave pública de forma remota y proteger los datos distribuidos en diferentes ubicaciones:

1. La autenticación basada en certificados PKI se puede utilizar para reemplazar la protección tradicional basada en contraseña.
2. La autenticación con certificado PKI se puede utilizar para reemplazar la autenticación multifactor tradicional.
3. También se puede implementar la automatización de la gestión de certificados de identidad.

Autenticación basada en certificados PKI frente a protección basada en contraseñas

Según el informe "Investigaciones de filtraciones de datos 2019" de Verizon, el 62 % de las filtraciones se deben a phishing, robo de credenciales o ataques de fuerza bruta. A partir de estos datos, podemos deducir que la mayoría de las filtraciones de datos implicaron la fuga de contraseñas, ya sea de forma voluntaria o accidental, o bien se realizaron mediante técnicas de piratería informática, como ataques de fuerza bruta, lo que hace que esta técnica de protección sea más vulnerable.

Por otro lado, los certificados de identidad de usuario basados ​​en PKI, utilizados en la autenticación basada en certificados, pueden considerarse uno de los métodos más robustos de autenticación de identidad. Esto también facilita el proceso a los empleados, ya que no tienen que recordar ni actualizar sus contraseñas con frecuencia. En la autenticación basada en certificados, se utilizan certificados digitales para la autenticación de usuarios.

Razones por las que la autenticación basada en PKI es mejor:

• La clave privada se utiliza para la autenticación y puede residir siempre en el entorno del cliente.
• Las claves/certificados privados no se pueden robar en tránsito o en reposo (en los repositorios del servidor).
• A diferencia de las contraseñas, los certificados digitales pueden tardar varios años en descifrarse mediante ataques de fuerza bruta.
• No es necesario recordar o cambiar con frecuencia los certificados digitales como las contraseñas.

Autenticación mediante certificado PKI frente a autenticación multifactor tradicional.

Es bien sabido que la autenticación multifactor, ya sea mediante un dispositivo de token de hardware o mediante SMS/llamada móvil, proporciona mayor seguridad que la protección basada únicamente en contraseñas. Desafortunadamente, este proceso resulta engorroso para los empleados, ya que implica pasos adicionales durante el ciclo de autenticación. La autenticación basada en certificados PKI ayuda a eliminar este paso adicional y, al mismo tiempo, proporciona una mayor seguridad de los datos.

Las ventajas de utilizar la autenticación mediante certificados PKI frente a la autenticación multifactor tradicional son:

• Los empleados no necesitan preocuparse por llevar y proteger tokens o dispositivos de hardware adicionales para mayor seguridad.
• Se puede evitar el paso adicional de introducir un identificador de token seguro o una contraseña de un solo uso (OTP).
• Los dispositivos conectados pueden ser confiables y autenticados.
• Mediante la autenticación con certificados PKI, se pueden lograr diversos casos de uso para múltiples entidades, como usuarios, máquinas y dispositivos (móviles).
• Mediante la infraestructura de clave pública (PKI), puede satisfacer múltiples casos de uso, como la autenticación de usuarios, la autenticación de máquinas, el inicio de sesión en Windows, el acceso a correos electrónicos corporativos y el acceso VPN, entre otros.

Automatización de la gestión de certificados de identidad

El último paso para escalar la infraestructura de clave pública (PKI) de forma remota es automatizar la gestión de certificados. Esto reducirá la carga de trabajo del personal de TI al eliminar el laborioso proceso de implementación, renovación y revocación de certificados. De esta manera, el personal de TI podrá reemplazar o revocar certificados con rapidez.

Beneficios de automatizar el ciclo de vida de los certificados :

• Descubrimiento de certificados: Realizar actividades de investigación para identificar los certificados que se utilizan en todo el entorno empresarial.
• Implementación del certificado: Emisión automatizada de certificados e instalación.
• Revisión del certificado: Renueve automáticamente los certificados cuando sea necesario y revoque los certificados si caducan.

Matriz de decisión: Cómo escalar la infraestructura de clave pública (PKI) de forma remota

Caso de uso	Impacto en la seguridad	Esfuerzo Operacional	Ajuste de automatización	Propietario recomendado
Reemplazar el inicio de sesión basado en contraseñas con certificados PKI.	Alto	Medio (lanzamiento inicial)	Alto	Arquitectos de seguridad, equipos de plataforma
Reemplazar la autenticación multifactor tradicional con la autenticación mediante certificados PKI.	Alto	Medio (lanzamiento inicial)	Alto	Arquitectos de seguridad
Automatice la detección, implementación y renovación de certificados.	Alto	Bajo una vez automatizado	Muy Alta	administradores de PKI
Continuar con contraseña + MFA tradicional solamente, sin PKI	Bajo	Bajo	Bajo	No recomendado; informar al CISO/departamento de cumplimiento como un riesgo.

PKI administradas de Encryption Consulting

Encryption Consulting LLC (EC) se encargará por completo del entorno de infraestructura de clave pública, lo que significa que EC se ocupará de construir la infraestructura PKI para liderar y administrar el entorno PKI (en las instalaciones, PKI en la nube, infraestructura PKI híbrida basada en la nube) de su organización.

Encryption Consulting implementará y brindará soporte a su infraestructura de clave pública (PKI) mediante un conjunto de procedimientos y procesos auditados, completamente desarrollados y probados. No se requerirán derechos de administrador en su Active Directory, y usted siempre mantendrá el control sobre su PKI y sus procesos comerciales asociados. Además, por motivos de seguridad, las claves de la CA se almacenarán en módulos de seguridad de hardware (HSM) con certificación FIPS 140-2 Nivel 3, alojados en su centro de datos seguro o en nuestro centro de datos de Encryption Consulting en Dallas, Texas.

Gestión del ciclo de vida de los certificados y modernización de la infraestructura de clave pública (PKI)

La escalabilidad remota de la infraestructura de clave pública (PKI) depende de las mismas capacidades de detección y automatización de certificados que respaldan cualquier proyecto de modernización de PKI a gran escala. CertSecure Manager automatiza la detección, emisión y renovación de certificados en una red de dispositivos distribuidos, eliminando así las deficiencias que provocan interrupciones y errores manuales durante las implementaciones a gran escala de autenticación basada en certificados.

Las organizaciones que necesitan escalar la infraestructura de clave pública (PKI) sin gestionarla internamente pueden recurrir a PKI como servicio (PKI-as-a-Service) para modernizar su PKI en la nube, adaptándose así al crecimiento de su plantilla remota o híbrida. Antes de implementar una autenticación basada en certificados a gran escala, conviene crear un inventario de identidades de máquinas mediante CBOM Secure y realizar una evaluación de preparación para PQC . De esta forma, el descubrimiento de certificados para la autenticación remota también fomenta la agilidad criptográfica para la transición post-cuántica. El Centro de Excelencia PQC de Encryption Consulting ofrece orientación sobre la secuenciación de estas iniciativas.

Para obtener más información sobre la importancia de la automatización de certificados en todo el entorno, consulte los artículos de nuestro Centro de Educación sobre las etapas del ciclo de vida de un certificado y cómo evitar interrupciones en el servicio de certificados.

Medición del éxito y auditorías continuas

Realizar un seguimiento del porcentaje de usuarios y dispositivos remotos autenticados mediante certificados PKI frente a contraseñas o autenticación multifactor tradicional, el número de fallos de autenticación relacionados con certificados y si la detección y renovación de certificados están totalmente automatizadas. Auditar trimestralmente los registros de emisión de certificados, los registros de autenticación de acceso remoto y los paneles de control de caducidad de certificados para detectar factores relacionados con las políticas, y de forma continua para detectar la caducidad de los certificados y evitar que la implementación remota de PKI provoque una interrupción de la autenticación.

Preguntas frecuentes

¿Cuál es la principal conclusión de su guía para escalar PKI de forma remota?

Escalar la infraestructura de clave pública (PKI) de forma remota implica reemplazar la autenticación basada en contraseñas y la autenticación multifactor (MFA) tradicional con la autenticación basada en certificados PKI, y luego automatizar el descubrimiento, la implementación y la renovación de certificados para que el despliegue no genere una nueva carga operativa.

¿Por qué es importante esto para los equipos de PKI empresariales?

Los equipos de PKI son directamente responsables de escalar la capacidad de emisión, detección y renovación de certificados para adaptarla a una población de dispositivos distribuidos, remotos o híbridos, sin provocar interrupciones en la autenticación.

¿Qué riesgos aumentan si este tema se aborda manualmente?

La gestión manual de certificados para una plantilla distribuida aumenta el riesgo de que no se produzcan renovaciones, de que la inscripción sea inconsistente en los distintos dispositivos remotos y de que la respuesta sea más lenta cuando sea necesario revocar un certificado para un empleado cuyo sistema se haya visto comprometido o que vaya a abandonar la empresa.

¿Qué equipos deberían asumir la responsabilidad de este cambio?

Los arquitectos de seguridad diseñan la migración de la autenticación basada en contraseñas/MFA a la autenticación basada en certificados, los administradores de PKI escalan la emisión y la automatización, los equipos de plataforma se encargan de la incorporación de dispositivos y los equipos de cumplimiento verifican que el despliegue cumpla con los requisitos aplicables.

¿Cómo se relaciona esto con la gestión del ciclo de vida de los certificados?

Cada dispositivo remoto migrado a la autenticación basada en certificados añade un certificado adicional que debe emitirse, renovarse y revocarse. La escalabilidad remota de la infraestructura de clave pública (PKI) solo es sostenible si se trata como parte del mismo programa de gestión del ciclo de vida de los certificados que cualquier otro tipo de certificado.

¿Cómo deberían las organizaciones medir el éxito?

Realizar un seguimiento del porcentaje de usuarios y dispositivos remotos que utilizan autenticación basada en certificados frente a contraseñas o autenticación multifactor (MFA), el número de fallos de autenticación relacionados con certificados y si la detección y renovación de certificados están totalmente automatizadas.

¿Qué se debe auditar o supervisar periódicamente?

Realice auditorías periódicas de los registros de emisión de certificados, los registros de autenticación de acceso remoto y los paneles de control de vencimiento de certificados para detectar fallos de renovación antes de que interrumpan el acceso remoto.

¿Cómo afecta este tema a las infraestructuras de clave pública (PKI) en la nube, híbridas o con múltiples autoridades de certificación (CA)?

Las organizaciones que utilizan una infraestructura de clave pública (PKI) híbrida o con múltiples autoridades de certificación (CA) necesitan que los certificados emitidos de forma remota sean confiables de manera consistente en todas las CA emisoras y puntos de acceso, lo que requiere un descubrimiento centralizado de certificados y una cadena de confianza consistente en todo el entorno.

¿Qué errores comunes deben evitar los equipos?

Entre los errores comunes se incluyen la implementación de la autenticación basada en certificados sin automatizar la renovación, dejar algunos dispositivos remotos con la autenticación de contraseña heredada de forma indefinida y no aumentar la capacidad de la CA emisora ​​para que coincida con el tamaño de la población de dispositivos remotos.

¿Qué se debe renovar trimestralmente?

Revise el inventario de dispositivos remotos para detectar nuevos puntos finales que necesiten autenticación basada en certificados, confirme los plazos de caducidad de los certificados según el calendario de validez actual de CA/Browser Forum y vuelva a verificar que ningún dispositivo haya vuelto a la autenticación solo con contraseña.