La crisis silenciosa dentro de su PKI: cómo los equipos de seguridad inteligentes están reconstruyendo la postura criptográfica antes de que sea demasiado tarde.

En junio de 2024, Google anunció que Chrome dejaría de confiar en los certificados TLS emitidos públicamente. certificados de Entrust después del 31 de octubre. Mozilla siguió con su propia acción de desconfianza unos meses después. Para las empresas con certificados Entrust dispersos en sus entornos, y había muchas, los siguientes cuatro meses se convirtieron en un simulacro de incendio. Los equipos con certificados maduros inventario Las herramientas se migraron de forma precisa y sin complicaciones. Los equipos que no contaban con una pasaron semanas intentando averiguar cuáles de sus certificados dejarían de funcionar y dónde se estaban ejecutando.

Una versión de esa misma confusión se ha repetido cada trimestre desde entonces. CA Una acción que genera desconfianza. La obsolescencia de un protocolo. Un certificado interno caducado que resultó ser fundamental para una aplicación que nadie recordaba poseer. Una rotación de claves de firma provocada por un incidente con un proveedor. El pánico generado por CrowdStrike en julio de 2024 sobre cómo una sola pieza de código de confianza puede dejar a toda una industria fuera de servicio obligó a generar un conjunto paralelo de conversaciones sobre la confianza criptográfica, ya que el impacto de un certificado comprometido o caducado es similar. Ninguno de estos son problemas excepcionales.

Cada una de ellas se remonta a la misma causa raíz: un trozo de criptografía La organización era la propietaria, pero en realidad no lo veía. Si esto te suena familiar, no estás solo. Y si no te suena, es aún peor, porque casi con toda seguridad significa que te ha pasado y aún no te has dado cuenta.

Este artículo trata sobre por qué la infraestructura de clave pública se ha convertido en la capa menos gestionada en la seguridad empresarial, qué significa realmente la postura criptográfica en 2026 y las medidas específicas que están tomando los equipos de seguridad maduros para solucionarlo. A lo largo del artículo, cubriremos dónde Administrador de CertSecure y CBOM seguro desde la perspectiva de Encryption Consulting, y cómo la división de servicios de Encryption Consulting ayuda a los clientes a pasar de "creemos que tenemos una lista de certificados en algún lugar" a "sabemos qué tenemos, dónde está y cuánto nos costaría si fallara".

La incómoda verdad sobre su inventario de certificados

He aquí un experimento mental. Consulta tu inventario actual de certificados y cuenta las entradas. Ahora pídele a un ingeniero junior que dedique dos días a realizar escaneos de descubrimiento independientes en tu red, tus cuentas en la nube, tus clústeres de Kubernetes y los registros de transparencia de certificados de tus dominios.

En casi todos los proyectos que realiza Encryption Consulting, la segunda cifra es al menos el doble de la primera. A veces, es cinco veces mayor. Hemos llegado a entornos de servicios financieros con tres mil certificados en la hoja de cálculo oficial y hemos descubierto que más de quince mil están en producción.

¿De dónde vienen? Un desarrollador que necesitaba un certificado TLS rápido para una herramienta interna y usó Vamos a cifrar Porque era viernes por la tarde. Una adquisición que trajo consigo su propia autoridad de certificación y nunca se integró por completo. Un dispositivo de un proveedor con un certificado autofirmado que se renueva automáticamente. Una integración SaaS que creó un certificado de cliente durante una prueba de concepto hace tres años. Un certificado comodín que alguien copió en cuarenta servidores porque copiar era más fácil que solicitar uno nuevo.

Nada de esto es malicioso. Todo es invisible. Y todo es problema tuyo cuando algo falla o alguien solicita un registro de auditoría.

Esa brecha entre lo que crees tener y lo que realmente tienes es el hecho más importante sobre la postura criptográfica, y es el punto de partida de todo programa de seguridad serio.

Qué significa realmente la postura criptográfica

El término se usa indiscriminadamente en las presentaciones de los proveedores hasta que pierde su significado específico. Si dejamos de lado el marketing y la postura criptográfica, se reduce a esto: la seguridad de cada activo criptográfico del que depende su organización, considerada en su conjunto.

Eso incluye lo obvio: certificados y claves privadas. También incluye los algoritmos que los sustentan, las bibliotecas que implementan esos algoritmos, las longitudes de clave utilizadas, los métodos de protección para cada clave, los protocolos que encapsulan la criptografía y el registro de auditoría que muestra quién accedió a qué y cuándo. Proteger sus datos en reposo con AES-256 no le salva si la clave maestra está encapsulada en un cifrado de 1024 bits. RSA Clave de 2009. La cadena es tan fuerte como su eslabón más débil, y la mayoría de los entornos tienen muchos más eslabones débiles de los que nadie quiere admitir.

Un equipo con una sólida postura criptográfica puede responder preguntas como: ¿qué sistemas de nuestro entorno utilizan SHA-1 actualmente?, ¿qué aplicaciones utilizan versiones obsoletas de bibliotecas criptográficas?, ¿qué almacenes de datos de larga duración siguen dependiendo de RSA-2048 en lugar de una alternativa resistente a la computación cuántica? Un equipo con una postura débil puede ofrecer una respuesta convincente a esas preguntas y estar equivocado.

La diferencia entre los dos equipos no radica en el presupuesto, sino en si decidieron tomarse esto en serio antes del incidente o después.

Los cuatro fantasmas que acechan a cada PKI

Entra en cualquier entorno que no haya invertido en PKI Si realizas un seguimiento, encontrarás los mismos cuatro problemas, aunque con un aspecto ligeramente diferente.

El primero es el una expiración que nadie vio venirUn certificado olvidado en algún lugar insignificante resulta ser fundamental para un flujo de trabajo crítico; la tarea de renovación solo existía en la mente de alguien, que se fue hace dos años, y ahora todo el equipo está en una videollamada a las 3 de la mañana intentando averiguar quién tiene la clave privada. Los ingenieros de PKI conocen esta historia. Los directores financieros la aprenden tarde o temprano. Sigue ocurriendo varias veces al año en empresas de renombre, y los casos públicos representan solo una pequeña fracción de los incidentes que los clientes perciben.

El segundo es el certificado fraudulentoLas autoridades de certificación internas son fáciles de configurar. También lo es obtener un certificado gratuito de un emisor público. Lo mismo ocurre si un desarrollador utiliza OpenSSL para generar un certificado autofirmado para pruebas. Ninguno de estos certificados cumple con su política de longitud de clave, período de validez o nomenclatura. Ninguno de ellos está en su inventario. Algunos están en producción. Algunos son la forma en que los atacantes establecen persistencia, ya que emitirse una credencial de confianza es una de las maneras más limpias de aparentar que pertenece a una red.

El tercero es deriva criptográficaLos algoritmos se deterioran. SHA-1 pasó de estar en uso a estar obsoleto en un plazo público y predecible, y aún se utiliza en sistemas en producción. RSA-1024 se encuentra en la misma situación. RSA-2048 se dirige hacia allí a medida que la computación cuántica madura. Si no se realiza un seguimiento activo de la evolución del algoritmo, se está utilizando la última versión que el equipo seleccionó, que podría haber sido hace una década.

El cuarto es el brecha de cumplimiento que se convierte en un hallazgoPCI DSS 4.0, HIPAA, NIST CSF 2.0, NIS2La Ley de Resiliencia Cibernética de la UE y una lista cada vez mayor de marcos normativos establecen requisitos específicos en materia de controles y evidencias criptográficas. Los auditores ya no se conforman con un simple «tenemos una política». Exigen registros, inventarios y pruebas de monitorización continua. Sin ello, la auditoría se convierte en una ardua tarea de seis semanas en la que el equipo de seguridad debe reconstruir la evidencia manualmente. Con ella, la auditoría se reduce a una mera consulta.

Estos cuatro fantasmas comparten un mismo exorcismo: la visibilidad. Una visibilidad continua, automatizada y a nivel de toda la organización sobre qué criptografía se tiene realmente y en qué estado se encuentra.

¿Por qué esto se volvió urgente en los últimos 24 meses?

Dos cambios en la industria han transformado la monitorización de PKI de un proyecto que se consideraba prioritario a uno que se considera imprescindible. El primero es el colapso gradual de los certificados TLS de confianza pública. esperanza de vida de alrededor de 47 días. La segunda es la migración a criptografía post-cuánticaAmbos merecen un análisis en profundidad, porque ambos transforman la forma en que debe ser la postura criptográfica para ser defendible.

El ajuste de cuentas de 47 días: ¿Qué significa realmente la votación del foro CA/Browser?

En abril de 2025, el Foro CA/Browser aprobó la propuesta SC-081v3, el cambio más trascendental en los certificados TLS de confianza pública en una década. El plazo máximo es de 47 días. A continuación, se detalla un cronograma por etapas, y cada etapa tiene implicaciones operativas.

El primer hito entró en vigor el 15 de marzo de 2026. La validez máxima de los nuevos certificados TLS de confianza pública se redujo de 398 a 200 días, y el período máximo de reutilización de la evidencia de validación de control de dominio también se redujo a 200 días. La mayoría de las empresas se encuentran actualmente bajo este régimen.

El segundo hito llega el 15 de marzo de 2027. La validez máxima se reduce a 100 días y la reutilización de DCV disminuye en consecuencia. El tercer hito llega el 15 de marzo de 2029. La validez alcanza los 47 días. La reutilización de DCV se reduce a 10 días. Este último dato es el que suele sorprender a los equipos. Después de principios de 2029, no se podrá emitir un certificado de un año. No se podrá emitir un certificado trimestral. No se podrá confiar en una prueba de control de dominio almacenada en caché durante más de una semana y media antes de tener que volver a validarla.

Analicemos las consecuencias para las operaciones. Un equipo que actualmente gestiona 5,000 certificados TLS públicos, con una frecuencia de renovación anual aproximada, procesa alrededor de 14 renovaciones diarias. Al cumplirse los 100 días en 2027, el mismo inventario generará cerca de 50 renovaciones diarias. Al cumplirse los 47 días en 2029, el mismo inventario generará cerca de 110 renovaciones diarias, con la revalidación de DCV para la mayoría de ellas cada diez días. Ningún equipo puede escalar linealmente con esa carga. Ningún equipo debería intentarlo.

El plazo de 47 días es, operativamente, una imposición de automatización disfrazada de norma de seguridad. La renovación manual dejará de ser viable mucho antes de 2029. La emisión basada en ACME, la automatización mediante API y las integraciones profundas con los sistemas que realmente consumen los certificados se convierten en la única vía viable. Los equipos que tendrán dificultades serán aquellos que esperen hasta que el volumen los obligue a actuar. Los equipos que no tendrán problemas serán aquellos que automatizaron el proceso de renovación antes de que fuera necesario.

Este es precisamente el territorio Administrador de CertSecure La plataforma fue diseñada para automatizar la emisión, renovación e implementación mediante ACME, API REST e integraciones directas con balanceadores de carga, servidores web, entradas de Kubernetes, administración de dispositivos móviles y almacenes de certificados en la nube. Admite entornos con múltiples CA, por lo que un cambio en los términos de una CA pública o una migración entre emisores no interrumpe el proceso de renovación.

Aplica la política en el momento de la emisión, por lo que un período de validez reducido no genera una acumulación de certificados que no cumplen con los requisitos. Además, el motor de detección identifica todos los certificados del entorno, incluidos aquellos que nadie tiene en cuenta, que son precisamente los que tienen más probabilidades de fallar silenciosamente cuando el plazo de renovación se reduce de 398 a 47 días.

Para las organizaciones que no desean gestionar ellas mismas el proceso de renovación, Encryption Consulting ofrece PKI como servicio El compromiso elimina por completo el problema. El equipo diseña, construye y ejecuta las operaciones de certificados en nombre del cliente, incluyendo la implementación de CertSecure Manager, la HSM integración, monitoreo y renovación diarios. Para la mayoría de las empresas, la combinación de herramientas de automatización y operaciones gestionadas es lo que permite superar el hito de 2029 sin un aumento significativo de personal.

La migración post-cuántica: ¿Por dónde empezar realmente?

El segundo plazo que está transformando los programas criptográficos es la era post-cuántica, y cada año resulta más difícil ignorarlo. El NIST finalizó el primer conjunto de estándares post-cuánticos en agosto de 2024. FIPS 203 abarca ML-KEM, el mecanismo de encapsulación de claves anteriormente conocido como Kyber. FIPS 204 abarca ML-DSA, el esquema de firma digital anteriormente conocido como Dilithium. FIPS 205 abarca SLH-DSA, el esquema de firma basado en hash sin estado anteriormente conocido como SPHINCS+. El NIST tiene estándares adicionales en desarrollo, incluido FIPS 206 que abarca FN-DSA (Falcon), y seleccionó HQC en marzo de 2025 como mecanismo de encapsulación de claves de respaldo en caso de que se detecte algún problema futuro con ML-KEM.

La razón principal de estos estándares es la amenaza de "recolectar ahora, descifrar después". Un adversario paciente captura el tráfico cifrado hoy y espera a que una computadora cuántica con capacidad criptográfica permita su descifrado. Cualquier dato con un período de confidencialidad superior a cinco o diez años —propiedad intelectual, planes estratégicos, historiales médicos, modelos financieros, datos gubernamentales clasificados— ya está en riesgo. El hecho de que las computadoras cuánticas no puedan descifrar RSA-2048 hoy es irrelevante. El objetivo son los datos que se capturan hoy. El tiempo ya ha comenzado.

El conjunto de algoritmos comerciales de seguridad nacional 2.0 de la Agencia de Seguridad Nacional de EE. UU. establece plazos concretos para la migración de los sistemas de seguridad nacional, y esos plazos también están redefiniendo las expectativas comerciales. La firma de software y firmware debería preferir las firmas post-cuánticas para 2025 y utilizarlas exclusivamente para 2030. Los navegadores web, servidores y servicios en la nube deberían preferirlas para 2025 y utilizarlas exclusivamente para 2033. Los sistemas operativos deberían preferirlas para 2027 y utilizarlas exclusivamente para 2033. Equipos especializados para 2030 y 2033. Aplicaciones personalizadas y sistemas heredados para 2033. Todos los sistemas de seguridad nacional para 2035. Los reguladores financieros, los organismos sanitarios y sus equivalentes en la UE están publicando directrices paralelas que, si bien son menos explícitas, se sitúan en el mismo rango.

La migración en sí no es un cambio de bandera. En la práctica, se asemeja a un programa de seis pasos. Primero, se descubren todos los activos criptográficos del entorno, no solo los certificados y las claves, sino también las bibliotecas criptográficas, las implementaciones de protocolos y las dependencias subyacentes. Segundo, se clasifican esos activos según el riesgo cuántico, en función del tiempo de confidencialidad de los datos que protegen y la longevidad operativa del sistema.

En tercer lugar, priorice la migración para que los datos valiosos y de larga duración se protejan primero y los sistemas de corta duración y bajo impacto puedan esperar. En cuarto lugar, implemente sistemas híbridos piloto: certificados e intercambios de claves que combinen un algoritmo clásico con uno post-cuántico, de modo que una falla en cualquiera de ellos no comprometa el sistema. En quinto lugar, valide las implementaciones post-cuánticas de extremo a extremo en cada biblioteca, protocolo y consumidor de la cadena. En sexto lugar, migre, supervise y retire los componentes clásicos según un cronograma.

El primer paso es donde casi todos los programas se estancan, porque la mayoría de las organizaciones no pueden producir un completo inventario criptográfico. Esto es lo que CBOM seguro La plataforma crea la lista de materiales criptográficos al descubrir cada algoritmo en uso, cada clave con su longitud y método de protección, cada biblioteca criptográfica y su versión, cada implementación de protocolo y cada certificado, para luego integrar toda esta información en una única imagen consultable. El motor de puntuación de riesgos resalta los algoritmos obsoletos y la criptografía vulnerable a la computación cuántica. La evaluación de preparación cuántica compara el inventario con los estándares NIST PQC e identifica los sistemas que necesitan migrar primero.

Una vez que exista el inventario detallado, CertSecure Manager se encarga de la parte del certificado en la migración.Admite la emisión y gestión de certificados híbridos que combinan algoritmos clásicos y post-cuánticos, se integra con los HSM que ya ofrecen soporte post-cuántico y proporciona controles de políticas que permiten al equipo de seguridad exigir gradualmente algoritmos post-cuánticos para las nuevas emisiones, al tiempo que se eliminan progresivamente los certificados exclusivamente clásicos. CBOM Secure dice Usted decide qué migrar y en qué orden. CertSecure Manager se encarga de los aspectos operativos para lograrlo.

Para las organizaciones que necesitan orientación experta durante la secuenciación plurianual, la práctica de consultoría en migración post-cuántica de Encryption Consulting abarca el descubrimiento criptográfico, la priorización basada en riesgos, la estrategia de algoritmos híbridos, el análisis de compatibilidad de proveedores y productos, y la gestión de programas. El trabajo rara vez es glamuroso. Es simplemente la diferencia entre alcanzar el hito de firma de software de 2030 a tiempo y tener que explicar a un regulador por qué no se cumplió.

Lo que realmente hacen los programas maduros

Los equipos que lo hacen bien no parecen muy llamativos desde fuera. No utilizan inteligencia artificial de vanguardia en sus datos criptográficos. Simplemente hacen unas ocho cosas específicas, de forma constante, durante años.

Crean un inventario completo antes de hacer cualquier otra cosa. El descubrimiento es la base sobre la que se sustenta todo lo demás, y un inventario del 80 % es prácticamente inútil porque el 20 % restante es precisamente donde reside la próxima interrupción. El verdadero descubrimiento combina el escaneo de red, la recopilación basada en agentes, las API de proveedores de la nube, el escaneo de canalizaciones de CI/CD y la monitorización de registros de transparencia de certificados. Se detectan los certificados emitidos hoy y los emitidos por cualquier persona, en cualquier lugar, contra sus dominios.

Automatizan el ciclo de vida de los certificados. La renovación manual es la principal causa de incidentes de infraestructura de clave pública (PKI) evitables en el sector. La automatización mediante ACME, API REST e integraciones directas con los sistemas que consumen los certificados elimina el cuello de botella humano. El objetivo final es que el sistema renueve e implemente los certificados, valide que la implementación se haya realizado correctamente y solo recurra a un humano cuando algo esté realmente mal.

La política se aplica en el momento de la emisión, no después. Aplicar la política a posteriori genera una acumulación permanente de certificados que no cumplen con los requisitos y que nadie tiene tiempo de corregir. Aplicar la política en el momento de la emisión evita la creación de esos certificados desde el principio.

Centralizan la gestión de claves con almacenes de claves basados ​​en hardware. Utilizan HSM, bóvedas de claves en la nube con respaldo de hardware y tecnologías similares. El acceso basado en quórum para las claves más sensibles (especialmente las claves de firma de CA raíz y las claves de firma de código) es la norma, no una excepción. El coste de un HSM es bajo en comparación con el coste de una clave de firma robada.

Ellos construyeron cripto-agilidad en su arquitectura. La criptoagilidad es la capacidad de intercambiar un algoritmo por otro sin reescribir la aplicación. Implica capas de abstracción, conjuntos de cifrado configurables y bibliotecas criptográficas modulares. Los equipos con criptoagilidad migran a la era post-cuántica en meses. Los equipos sin ella tardan años.

Analizan su entorno comparándolo con marcos de referencia como NIST SP 800-57, NIST SP 800-131A, FIPS 140-3 y los requisitos básicos del CA/Browser Forum. Su lectura es imprescindible; constituyen la base de cualquier programa criptográfico seguro.

Realizan un seguimiento continuo y alertan de forma inteligente. Un sistema de monitorización que avisa a alguien cada vez que un certificado tiene 90 días de vigencia será ignorado en una semana. Un sistema que distingue entre certificados protegidos automáticamente y certificados que requieren intervención humana, que escala las alertas según la criticidad del servicio protegido y que se integra con las herramientas de gestión de incidentes existentes, es un sistema que realmente se utiliza.

Ahora están planificando la migración post-cuántica. Aunque el equipo aún no esté listo para comenzar la migración, sí están preparados para saber con qué cuentan y qué tan grande será el trabajo.

Dónde encaja CertSecure Manager

Administrador de CertSecure es la plataforma de gestión del ciclo de vida de los certificados de Encryption Consulting, y está diseñada en torno a la compleja realidad de que casi ninguna infraestructura de clave pública (PKI) empresarial es de nueva creación. El entorno típico cuenta con Microsoft ADCS para certificados internos, autoridades de certificación públicas como DigiCert o Sectigo para certificados de confianza externa, AWS Private CA para cargas de trabajo en la nube, media docena de emisores internos para sistemas heredados y una larga lista de certificados autofirmados que nadie posee por completo.

CertSecure Manager integra toda esta información en un inventario unificado mediante escaneo de red, recopilación con y sin agente, integraciones en la nube y monitorización de registros de transparencia de certificados. Gestiona los casos excepcionales (certificados multi-SAN, comodines, certificados con extensiones no estándar, certificados de CA que ya no existen) que suelen causar problemas a las herramientas genéricas de gestión de activos.

En lo que respecta al ciclo de vida, automatiza la emisión, renovación, despliegue y revocación a través de CUMBRE, API REST e integraciones directas con balanceadores de carga, servidores web, Kubernetes Entradas y gestión de dispositivos móviles. Las aprobaciones del flujo de trabajo se pueden configurar por tipo de certificado, entorno y unidad de negocio, de modo que los certificados de producción se aprueban mientras que los certificados del entorno de desarrollo se procesan automáticamente.

La aplicación de políticas es la función que, según la mayoría de los clientes, tiene el mayor impacto desde el primer día. Usted define sus estándares (longitud mínima de clave, algoritmos permitidos, período máximo de validez, emisores aprobados, usos de clave aprobados) y el sistema rechaza las solicitudes que no cumplen con esas reglas. Esta capacidad elimina por completo la categoría de hallazgos del tipo «lo descubrimos durante la auditoría».

La capa de informes produce evidencia de cumplimiento alineada con PCI DSSCumplimos con HIPAA, FedRAMP y otros marcos de referencia que interesan a los auditores, con un registro de auditoría que puede entregar sin reparos. Los paneles de control son útiles tanto para el ejecutivo de seguridad que busca una visión general como para el ingeniero que necesita analizar en detalle un incidente específico.

En una sola frase: CertSecure Manager es la solución para mantener miles de certificados en buen estado, conformes a la normativa y actualizados sin necesidad de aumentar el tamaño de su equipo al mismo ritmo que la cantidad de certificados.

Donde encaja CBOM Secure

CertSecure Manager gestiona los certificados y las claves como activos operativos. CBOM seguro Se aleja un nivel más. Es Plataforma de lista de materiales de criptografía de Encryption Consultingy su función es brindarle visibilidad de cada componente criptográfico en su entorno, incluidos los certificados, pero no limitados a ellos.

Un CBOM es a la criptografía lo que un SBOM es a las dependencias de software. Cataloga cada algoritmo en uso, cada clave (con su longitud, tipo y método de protección), cada biblioteca y versión criptográfica, cada implementación de protocolo y cada certificado. Reúne toda esta información en una única imagen que se puede consultar.

Esto desbloquea tres cosas que ninguna otra cosa desbloquea.

Preparación para la era post-cuántica. La migración a ML-KEM, ML-DSA y SLH-DSA requiere identificar todos los sistemas, bibliotecas y protocolos que aún utilizan criptografía clásica vulnerable. El inventario de CBOM Secure permite definir el alcance de la migración con precisión, secuenciarla de forma inteligente priorizando los datos de alto valor y larga duración, y realizar un seguimiento del progreso real en relación con el plazo establecido. Sin CBOM, la migración se convierte en una mera conjetura.

Respuesta dirigida a vulnerabilidades. Cuando una biblioteca criptográfica o la implementación de un protocolo se ve afectada por una vulnerabilidad CVE, un CBOM indica en cuestión de minutos qué sistemas se ven afectados. Esto transforma la respuesta ante incidentes, pasando de una revisión exhaustiva de toda la organización a una lista de parches precisa.

Transparencia en la cadena de suministro. Los reguladores y las grandes empresas clientes son cada vez más explícitos respecto a la transparencia criptográfica. La expectativa de que los proveedores proporcionen CBOM del mismo modo que proporcionan SBOM está pasando de ser un requisito futuro a una solicitud actual. Los equipos que disponen de un CBOM llevan ventaja. Los que no, se encuentran en una situación difícil.

CBOM Secure también incluye una puntuación de riesgo (para que sepa qué algoritmos obsoletos son los que deben retirarse con mayor urgencia), una evaluación de preparación cuántica que compara su inventario con los estándares PQC del NIST e integraciones de canalización CI/CD que detectan la desviación criptográfica en tiempo de compilación en lugar de después de la implementación.

Cómo puede ayudar la consultoría de cifrado

Las herramientas solucionan el problema técnico, pero no el organizativo. La mayoría de los equipos que tienen dificultades con la seguridad criptográfica no las tienen porque no sepan evaluar un producto, sino porque no disponen de los recursos necesarios para realizar un análisis exhaustivo, crear el inventario, redactar las políticas, capacitar al equipo y gestionar el programa a diario, además de desempeñar sus funciones habituales.

Encryption Consulting se fundó específicamente para subsanar esa deficiencia, y su división de servicios lleva más de una década trabajando en este campo para clientes de los sectores financiero, sanitario, manufacturero, gubernamental y tecnológico. Los proyectos que marcan la diferencia suelen encajar en unas pocas categorías bien definidas.

A evaluación de la postura criptográfica Suele ser el primer paso correcto. Se trata de un análisis exhaustivo que genera un inventario real, un análisis de brechas con respecto a los requisitos de NIST y CA/Browser Forum, una evaluación de la preparación para la computación cuántica y una hoja de ruta priorizada. La mayoría de los clientes descubren en las dos primeras semanas de una evaluación aspectos que modifican su planificación para los próximos dos años.

A Compromiso con PKI como servicio El equipo de Encryption Consulting se encarga de la gestión operativa, desde el diseño y la implementación hasta la puesta en marcha de la infraestructura de clave pública (PKI), incluyendo el despliegue de CertSecure Manager, la integración con el módulo de seguridad de hardware (HSM), el marco de políticas y la monitorización y renovación diarias. Para las organizaciones que no desean gestionar un equipo de PKI, esta es la solución más sencilla para lograr un programa sólido.

Asesoramiento sobre migración post-cuántica Se ha convertido en una de las áreas de servicio de mayor crecimiento en los últimos dieciocho meses. El trabajo abarca el descubrimiento criptográfico mediante CBOM Secure, la priorización basada en riesgos para determinar qué sistemas migrarán primero, la estrategia de algoritmos híbridos, el análisis de compatibilidad de proveedores y productos, y la gestión de programas de migración. Para la mayoría de las empresas, se trata de un programa plurianual, y la fase inicial de descubrimiento y planificación es donde reside la clave del éxito.

Firma de código diseño de programa, Implementación y gestión del ciclo de vida de HSM, estrategia de cifrado empresarial, y compromisos de preparación para el cumplimiento normativo Las normativas PCI, HIPAA, FedRAMP y marcos similares completan la práctica.

Lo que los clientes valoran más no son las herramientas, sino la combinación de la experiencia de expertos en PKI y criptografía, los productos que definen los estándares de calidad y el soporte operativo para implementar el programa una vez desarrollado. Las herramientas por sí solas solo cubren la mitad del camino; la combinación completa el resto.

Conclusión

La seguridad criptográfica es uno de esos problemas en los que el coste de la inacción permanece oculto hasta el momento en que se hace evidente. Entonces, se produce una interrupción del servicio, un hallazgo en una auditoría, una brecha de seguridad o un incumplimiento de plazo que alguien debe explicar a la junta directiva.

Los equipos que saldrán fortalecidos de los próximos cinco años no serán los que cuenten con los mayores presupuestos. Serán aquellos que, en el primer trimestre, cuando tuvieron una visión clara del panorama post-cuántico y la trayectoria de la vida útil de los certificados, decidieron tomarse esto en serio. Crearon el inventario. Automatizaron el ciclo de vida. Implementaron políticas en el momento de la emisión. Convirtieron la postura criptográfica en algo medible en lugar de una aspiración.

La combinación de CertSecure Manager, CBOM Secure y los servicios de Encryption Consulting está diseñada precisamente para esa trayectoria. Puede comenzar con el problema operativo más acuciante que tenga hoy y desarrollar la capacidad estratégica sin desechar el trabajo realizado inicialmente. Cuanto antes empiece, menor será el esfuerzo.

Si buscas un siguiente paso concreto, la evaluación de la postura criptográfica es la forma más económica de descubrir dónde están los problemas. Las respuestas suelen sorprender a todos, y casi siempre cambian el rumbo de la conversación sobre dónde invertir a continuación.