De stille crisis binnen uw PKI: hoe slimme beveiligingsteams hun cryptografische beveiliging herstellen voordat het te laat is

In juni 2024 kondigde Google aan dat Chrome na 31 oktober geen vertrouwen meer zou hebben in openbaar uitgegeven TLS -certificaten van Entrust. Mozilla volgde enkele maanden later met een soortgelijke maatregel. Voor bedrijven met Entrust-certificaten verspreid over hun omgevingen – en dat waren er veel – veranderden de daaropvolgende vier maanden in een hectische periode. De teams met geavanceerde tools voor certificaatbeheer migreerden snel en efficiënt. De teams zonder dergelijke tools waren wekenlang bezig om uit te zoeken welke van hun certificaten daadwerkelijk niet meer zouden werken en waar ze nog in gebruik waren.

Een variant van diezelfde chaos heeft zich sindsdien elk kwartaal herhaald. Een certificeringsinstantie die het vertrouwen in een bepaalde instantie verliest. Het afschaffen van een protocol. Een verlopen intern certificaat dat essentieel bleek voor een applicatie waarvan niemand zich herinnerde dat het van haar was. Een rotatie van ondertekeningssleutels als gevolg van een incident bij een leverancier. De paniek die in juli 2024 ontstond na CrowdStrike, over hoe één enkel stukje vertrouwde code een hele sector plat kan leggen, leidde tot een parallelle discussie over cryptografisch vertrouwen, omdat de impact van een gecompromitteerd of verlopen certificaat vergelijkbaar is. Geen van deze problemen is uitzonderlijk.

Elk van deze gevallen is terug te voeren op dezelfde oorzaak: een stukje cryptografie dat de organisatie technisch gezien wel bezat, maar niet daadwerkelijk had gezien. Als dat bekend klinkt, bent u niet de enige. En als het u niet bekend voorkomt, is dat op de een of andere manier nog erger, want dan is het vrijwel zeker ook u overkomen zonder dat u het doorhad.

Dit artikel gaat over waarom public key infrastructure (PKI) de meest onderbelichte beveiligingslaag binnen bedrijven is geworden, wat cryptografische positionering in 2026 werkelijk betekent en welke specifieke maatregelen volwassen beveiligingsteams nemen om dit probleem op te lossen. Daarbij bespreken we de rol van CertSecure Manager en CBOM Secure van Encryption Consulting, en hoe de dienstverlening van Encryption Consulting klanten helpt om van "we denken dat we ergens een lijst met certificaten hebben" over te stappen naar "we weten wat we hebben, waar het zich bevindt en wat het ons zou kosten als het zou mislukken."

Kort antwoord: Wat is cryptografische postuur en waarom is het nu belangrijk?

Cryptografische status is de algehele beveiligingsstatus van alle cryptografische activa waar een organisatie van afhankelijk is: certificaten, privésleutels, algoritmen, bibliotheken, sleutellengtes en protocolimplementaties. De meeste bedrijven hebben twee tot vijf keer meer certificaten dan hun officiële inventaris aangeeft. In combinatie met de verplichte geldigheidsduur van TLS van 47 dagen (maart 2029) en de NIST PQC-normen (augustus 2024) is dit tekort uitgegroeid tot een operationele crisis die niet langer kan worden uitgesteld.

Key Takeaways

• Bij vrijwel elk project dat Encryption Consulting uitvoert, blijkt uit onafhankelijk onderzoek dat er twee tot vijf keer meer certificaten in omloop zijn dan officieel is geregistreerd. In financiële dienstverleningsomgevingen staan ​​er bijvoorbeeld drieduizend certificaten in de officiële spreadsheet, terwijl er in werkelijkheid meer dan vijftienduizend actief zijn. De ontbrekende certificaten zijn precies de certificaten die het meest waarschijnlijk verlopen zonder een verlengingsmelding.
• CA/Browser Forum-stemming SC-081v3 (goedgekeurd in april 2025) verkort de maximale geldigheidsduur van openbare TLS-certificaten van 398 dagen naar 200 dagen (15 maart 2026), vervolgens naar 100 dagen (15 maart 2027) en ten slotte naar 47 dagen (15 maart 2029). Bij een geldigheidsduur van 47 dagen gaat een team dat 5,000 openbare TLS-certificaten beheert van ongeveer 14 verlengingen per dag naar ongeveer 110 verlengingen per dag. De termijn van 47 dagen is in feite een automatiseringsvereiste vermomd als een beveiligingsregel.
• NIST publiceerde op 13 augustus 2024 de eerste post-kwantumcryptografiestandaarden: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA). De dreiging van 'nu oogsten en later decoderen' betekent dat gegevens die vandaag met RSA of ECC worden versleuteld, nu al kunnen worden onderschept voor toekomstige kwantumdecodering. Alle gegevens met een vertrouwelijkheidsduur van meer dan vijf tot tien jaar lopen nu al risico.
• Uit de DigiCert Trust Pulse Survey (juli 2025) bleek dat 45 procent van de bedrijven in het voorgaande jaar te maken had met uitval als gevolg van certificaatproblemen. Deze incidenten zijn niet uitzonderlijk; ze zijn terug te voeren op certificaten die niet in de beheerde inventaris stonden, certificaten zonder automatische verlenging en cryptografische afwijkingen die door niemand werden gemonitord.
• De vier terugkerende PKI-problemen zijn: het verlopen van certificaten dat niemand zag aankomen, frauduleuze certificaten, cryptografische afwijkingen en het nalevingsgat dat tot een auditbevinding leidt. Ze hebben één oplossing gemeen: continue, geautomatiseerde, organisatiebrede zichtbaarheid van welke cryptografie de organisatie daadwerkelijk gebruikt en in welke staat deze zich bevindt.

Wie zou zich druk moeten maken over cryptografische status?

Cryptografische beveiliging heeft gevolgen voor elk team dat certificaten en cryptografische activa uitgeeft, gebruikt, beheert of controleert. De gevolgen van een zwakke beveiliging, variërend van storingen en nalevingsproblemen tot blootstelling aan datalekken, verspreiden zich door de hele organisatie wanneer ze zich voordoen.

Rol	Waarom het uitmaakt	Actie-item
PKI-beheerders	De eigen certificaatinventaris moet volledig zijn, de levenscyclus moet geautomatiseerd worden, de intrekkingsinfrastructuur moet goed functioneren en het beleid moet bij uitgifte worden gehandhaafd. De ontdekkingskloof van twee tot vijf keer vertegenwoordigt certificaten zonder verlengingswaarschuwingen, zonder beheer van de levenscyclus en zonder bewijs van naleving. Bij een geldigheidsduur van 47 dagen moet hetzelfde team ongeveer 110 verlengingen per dag afhandelen voor 5,000 certificaten, zonder dat het personeelsbestand lineair wordt uitgebreid.	Voer elk kwartaal onafhankelijke scans uit op netwerk-, cloud-, Kubernetes- en CI/CD-omgevingen en vergelijk het aantal met de beheerde inventaris; voeg alle certificaatpopulaties toe aan het systeem. CertSecure Manager Voor continue bewaking van de vervaldatum en geautomatiseerde verlenging op basis van ACME; beleid afdwingen bij uitgifte met betrekking tot algoritme, sleutellengte, geldigheidsperiode en goedgekeurde uitgever voordat de termijn van 47 dagen verstrijkt.
Beveiligingsarchitecten	Beheer het cryptografische beveiligingskader: definieer welke algoritmen zijn goedgekeurd, welke sleutellengtes vereist zijn, hoe privésleutels worden beschermd, hoe de crypto-agility-architectuur eruitziet en hoe de post-quantummigratie zal worden uitgevoerd; zonder een complete cryptografische inventarisatie is de migratie giswerk; cryptografische verschuivingen (SHA-1, RSA-1024, verouderde bibliotheekversies) zijn onzichtbaar zonder continue controle.	Een opdracht geven CBOM Secure Cryptografische materiaallijst voor alle omgevingen: algoritmen, bibliotheekversies, protocolimplementaties en certificaten; gebruik de kwantumgereedheidsbeoordeling om activa te classificeren op basis van risico en de PQC-migratie te plannen; ontwerp crypto-flexibiliteit in nieuwe systemen met behulp van abstractielagen en configureerbare cipher suites; betrek PQC-gereedheid Beoordelingsdiensten voor gestructureerde migratieplanning.
Platform- en DevOps-teams	Het is een uitdaging om certificaatautomatisering te integreren in CI/CD-pipelines, Kubernetes-ingangen en cloudcertificaatarchieven. Ongeautoriseerde certificaten worden meestal aangemaakt door ontwikkelaars die snel een TLS-certificaat nodig hebben en Let's Encrypt of OpenSSL buiten de beheerde workflow gebruiken. Deze certificaten hebben geen inventarisatie en geen levenscyclusbeheer. Met een geldigheidsduur van 47 dagen vormt elke pipeline die handmatig certificaten uitgeeft een betrouwbaarheidsrisico.	Integreer ACME-gebaseerde certificaatuitgifte in CI/CD-pipelines en Kubernetes-ingressconfiguraties met behulp van CertSecure Manager; voeg cryptografische bibliotheekscans toe aan buildpipelines om het gebruik van verouderde algoritmen tijdens het bouwen te detecteren in plaats van na de implementatie; neem certificaatvervalmonitoring op in platformobservatiestacks naast bestaande gezondheidscontroles.
Compliance	Er moet continu toezicht worden gehouden op cryptografische beveiligingsmaatregelen om te voldoen aan PCI DSS 4.0, HIPAA, NIST CSF 2.0, NIS2, FedRAMP en de EU Cyber ​​Resilience Act. Auditors nemen geen genoegen meer met een beleidsdocument; ze willen logboeken, inventarissen en bewijs van continue monitoring. Zonder geautomatiseerde bewijsverzameling wordt de audit een hectische periode van zes weken waarin het beveiligingsteam handmatig het bewijsmateriaal moet verzamelen.	Bevestig dat het CLM-platform bewijsmateriaal voor naleving produceert dat is afgestemd op de toepasselijke kaders; neem driemaandelijkse cryptografische inventarisbeoordelingen op CBOM-niveau op in het bewijsmateriaal voor naleving; koppel het migratieplan na de kwantumfase aan de tijdlijnen van NIST en NSA CNSA 2.0 en documenteer de naleving van elke mijlpaal; neem de PQC-migratiestatus op in de beveiligingsrapportage op bestuursniveau.
CISO's	Cryptografische beveiliging is een van die problemen waarbij de kosten van nietsdoen verborgen blijven tot het moment dat ze aan het licht komen; dan is er een storing, een auditbevinding, een datalek of een gemiste deadline die iemand aan de raad van bestuur moet uitleggen; zowel de 47-dagentermijn als de tijdlijn voor de post-quantummigratie hebben vaste data waarover niet onderhandeld kan worden; uit de DigiCert Trust Pulse Survey (juli 2025) bleek dat 45 procent van de bedrijven te maken had met downtime als gevolg van certificaten en dat 56.6 procent het verlopen van certificaten tot hun top drie van zorgen rekende.	Financier de cryptografische beveiliging als een meetbaar programma met kwartaalrapportages in plaats van een ambitieus beleid; vereis een beoordeling van de cryptografische beveiliging als eerste stap om de tekortkomingen in de inventaris vast te stellen en investeringen te prioriteren; evalueer PKI als een service Voor organisaties die het PKI-operationsteam niet kunnen opschalen naar de vernieuwingscyclus van 47 dagen: verplicht de PQC-migratie-roadmap en volg deze aan de hand van de NSA CNSA 2.0-mijlpalen. PQC Centrum van Uitmuntendheid

Checklist voor de volwassenheid van cryptografische beveiliging: probleem, impact op de bedrijfsvoering, aanbevolen actie en verantwoordelijke

Gebruik deze checklist om te bepalen welke cryptografische beveiligingslekken van toepassing zijn op uw omgeving, de impact ervan op uw bedrijfsvoering te begrijpen en de verantwoordelijkheid voor de herstelmaatregelen toe te wijzen voordat een incident of auditbevinding een reactieve aanpak noodzakelijk maakt.

Issue	Business Impact	Aangeraden actie	Eigenaar
Tekort aan certificaatvoorraad (het vastgestelde aantal is 2-5 keer zo groot als de beheerde voorraad)	Certificaten buiten de beheerde inventaris hebben geen verlengingswaarschuwingen, geen levenscyclusbeheer, geen bewijs van naleving en geen intrekkingsprocedure; ze zijn de oorzaak van de meeste ongeplande PKI-storingen.	Voer elk kwartaal onafhankelijke scans uit op netwerk-, cloud-, Kubernetes- en CI/CD-omgevingen; voeg alle gevonden certificaten toe aan CertSecure Manager; hanteer een continue scanfrequentie in plaats van een momentopname.	PKI-beheerder
Geen automatische verlenging van certificaten vóór het verstrijken van de verplichte 47 dagen.	Bij een geldigheidsduur van 47 dagen voor certificaten (tot 15 maart 2029) vereist een portefeuille van 5,000 certificaten ongeveer 110 verlengingen per dag; handmatige processen kunnen dit tempo niet aan; gemiste verlengingen leiden tot onverwachte storingen.	Implementeer ACME-gebaseerde vernieuwingsautomatisering voor alle openbare certificaatpopulaties vóór de mijlpaal van 100 dagen (15 maart 2027); integreer CertSecure Manager-vernieuwingsworkflows met loadbalancers, webservers, Kubernetes-ingangen en cloudcertificaatarchieven.	PKI-beheerder + platformteam
Beleid wordt na uitgifte gehandhaafd in plaats van op het moment van uitgifte.	Het handhaven van beleid na uitgifte leidt tot een permanente achterstand van niet-conforme certificaten; teams halen die achterstand nooit in; elk nieuw certificaat dat buiten het beleid wordt uitgegeven, voegt zich bij de wachtrij voor herstelwerkzaamheden.	Configureer de beleidshandhaving bij uitgifte in CertSecure Manager: goedgekeurde algoritmen, minimale sleutellengtes, maximale geldigheidsperioden, goedgekeurde uitgevers en goedgekeurd sleutelgebruik; weiger niet-conforme verzoeken bij indiening.	PKI-beheerder + beveiligingsarchitect
Ongeautoriseerde certificaten buiten de beheerde inventaris	Certificaten die zijn uitgegeven door ontwikkelaars, leveranciers of geautomatiseerde tools buiten de beheerde workflow voldoen niet aan het beleid, worden niet gevolgd gedurende hun levensduur en worden in sommige gevallen door aanvallers gebruikt om persistentie te verkrijgen door zichzelf een vertrouwd certificaat te verstrekken.	Voeg monitoring van het Certificate Transparency-logboek toe voor alle domeinen van de organisatie om publiekelijk vertrouwde certificaten te detecteren die door een CA voor die domeinen zijn uitgegeven; voeg monitoring van het CA-auditlogboek toe voor interne CA's om certificaten te detecteren die buiten de goedgekeurde workflow zijn uitgegeven.	PKI-beheerder + Beveiligingsteam
Cryptografische verschuiving (SHA-1, RSA-1024, verouderde bibliotheekversies in productie)	Verouderde algoritmen zijn onzichtbaar zonder continue scanning; ze leiden tot compliancefouten, voldoen niet aan de PCI DSS 4.0- en NIST CSF 2.0-vereisten en, in het geval van post-quantum-kwetsbare algoritmen, stellen ze lang opgeslagen data bloot aan aanvallen waarbij de data nu wordt verzameld en later wordt gedecodeerd.	Implementeer CBOM Secure om een ​​cryptografische stuklijst op te stellen; configureer continue scans op naleving van algoritmen; markeer alle verouderde algoritmen met risicoscores en wijs verantwoordelijken voor de herstelwerkzaamheden toe; neem verouderde bibliotheekversies op in de scope, niet alleen certificaten.	Beveiligingsarchitect + PKI-beheerder
Geen CBOM voor post-quantum migratieplanning	De migratie naar ML-KEM, ML-DSA en SLH-DSA (NIST FIPS 203/204/205, 13 augustus 2024) vereist de identificatie van elk systeem, elke bibliotheek en elk protocol dat nog steeds gebruikmaakt van RSA of ECC; zonder een CBOM is de omvang van de migratie onbekend en is de volgorde gebaseerd op giswerk.	Geef als eerste stap in de PQC-migratieplanning opdracht tot het opstellen van een CBOM Secure cryptografische materiaallijst; gebruik de quantum-gereedheidsbeoordeling om activa te classificeren op basis van risico en geef prioriteit aan duurzame, waardevolle datastores voor migratie; schakel de PQC-gereedheidsbeoordelingsdiensten in voor de ontwikkeling van een gestructureerd migratieplan.	Beveiligingsarchitect
Privésleutels die niet hardwarematig worden ondersteund of geen toegang op basis van quorum hebben.	Het compromitteren van de root-CA en de code-ondertekeningssleutel is een van de meest impactvolle PKI-incidenten die er zijn; een gestolen ondertekeningssleutel stelt een aanvaller in staat zichzelf een vertrouwde referentie te verschaffen of kwaadaardige code te ondertekenen; de gevolgen zijn wijdverspreid binnen de organisatie.	Implementeer FIPS 140-3 Level 3 HSM's voor de opslag van root CA's en privésleutels voor codeondertekening; implementeer op quorum gebaseerde toegangscontroles die vereisen dat meerdere geautoriseerde personen sleutelbewerkingen kunnen uitvoeren; houd HSM-toegangslogboeken bij en neem deze op in de driemaandelijkse beveiligingscontroles.	PKI-beheerder + beveiligingsarchitect
Handmatig geproduceerd bewijs van naleving in plaats van continu	Handmatige bewijsverzameling voor PCI DSS 4.0-, HIPAA-, NIST CSF 2.0-, NIS2- en FedRAMP-audits vereist een hectische periode van zes weken; het bewijsmateriaal wordt achteraf verzameld in plaats van continu bijgehouden; bewijsmateriaal op een bepaald moment voldoet niet aan de eisen voor continue monitoring.	Configureer de nalevingsrapportage van CertSecure Manager in overeenstemming met de toepasselijke frameworks; automatiseer het verzamelen van bewijsmateriaal voor gebeurtenissen met betrekking tot certificaatuitgifte, -vernieuwing en -intrekking; neem cryptografische inventarisexporten op CBOM-niveau op in het kwartaalrapport over naleving.	Compliance-team + PKI-beheerder

De ongemakkelijke waarheid over uw certificaatinventaris

Laten we eens een gedachte-experiment doen. Open uw huidige certificaatinventaris en tel de vermeldingen. Vraag nu een junior engineer om twee dagen lang onafhankelijke scans uit te voeren op uw netwerk, uw cloudaccounts, uw Kubernetes-clusters en de certificaattransparantielogboeken voor uw domeinen.

Bij vrijwel elk project dat Encryption Consulting uitvoert, is het tweede getal minstens het dubbele van het eerste. Soms is het zelfs vijf keer zo hoog. We zijn bij financiële dienstverleners terechtgekomen waar op de officiële spreadsheet drieduizend certificaten stonden, en we ontdekten dat er in werkelijkheid meer dan vijftienduizend actief waren.

Waar komen ze vandaan? Een ontwikkelaar die snel een TLS-certificaat nodig had voor een interne tool en Let's Encrypt gebruikte omdat het vrijdagmiddag was. Een overname die een eigen certificeringsinstantie meebracht, maar deze nooit volledig heeft geïntegreerd. Een apparaat van een leverancier met een zelfondertekend certificaat dat zichzelf automatisch vernieuwt. Een SaaS-integratie die drie jaar geleden tijdens een proof-of-concept een clientcertificaat heeft aangemaakt. Een wildcardcertificaat dat iemand op veertig servers heeft gekopieerd omdat kopiëren makkelijker was dan een nieuw certificaat aanvragen.

Niets hiervan is kwaadwillig. Alles is onzichtbaar. En het is allemaal jouw probleem als er iets misgaat of als iemand om een ​​auditrapport vraagt.

Het verschil tussen wat je denkt te hebben en wat je daadwerkelijk hebt, is het allerbelangrijkste aspect van cryptografische beveiliging en het uitgangspunt van elk serieus beveiligingsprogramma.

Wat cryptografische houding nu eigenlijk betekent

De term wordt te pas en te onpas gebruikt in presentaties van leveranciers, totdat hij zijn betekenis verliest. Zonder de marketing en cryptografische insteek gaat het hier om: de algehele beveiliging van alle cryptografische activa waar uw organisatie van afhankelijk is.

Dat omvat de voor de hand liggende zaken, zoals certificaten en privésleutels. Maar het omvat ook de algoritmes die eraan ten grondslag liggen, de bibliotheken die deze algoritmes implementeren, de gebruikte sleutellengtes, de beveiligingsmethoden voor elke sleutel, de protocollen die de cryptografie omvatten en het auditspoor dat laat zien wie wat wanneer heeft aangeraakt. AES-256-beveiliging van uw data in rust biedt geen uitkomst als de hoofdsleutel is ingekapseld in een 1024-bits RSA- sleutel uit 2009. De keten is precies zo sterk als de zwakste schakel, en de meeste omgevingen hebben veel meer zwakke schakels dan men wil toegeven.

Een team met een sterke cryptografische basis kan vragen beantwoorden zoals: gebruikt elk systeem in onze omgeving momenteel SHA-1, roept elke applicatie een verouderde versie van een cryptografische bibliotheek aan, en vertrouwt elke langdurige dataopslag nog steeds op RSA-2048 in plaats van een kwantumresistent alternatief? Een team met een zwakke cryptografische basis kan een zelfverzekerd klinkend antwoord op die vragen geven, maar er toch naast zitten.

Het verschil tussen de twee teams zit hem niet in het budget. Het gaat erom of ze de zaak serieus hebben genomen, vóór het incident of erna.

De vier geesten die elke PKI achtervolgen

Loop een willekeurige omgeving binnen die niet heeft geïnvesteerd in PKI- monitoring en je zult dezelfde vier problemen aantreffen, zij het in een iets ander jasje.

Het eerste voorbeeld is de verlopen certificaatdatum die niemand zag aankomen . Een certificaat dat ergens onbelangrijk is weggestopt, blijkt plotseling cruciaal te zijn voor een essentiële workflow. De taak om het certificaat te verlengen zat in iemands hoofd, die persoon is twee jaar geleden vertrokken, en nu zit het hele team om 3 uur 's nachts in een videogesprek te proberen uit te vinden wie de privésleutel heeft. PKI-engineers kennen dit verhaal. CFO's komen er uiteindelijk ook achter. Het overkomt bekende bedrijven nog steeds meerdere keren per jaar, en de beursgenoteerde gevallen vormen slechts een klein deel van de incidenten die klanten opmerken.

Het tweede probleem is het frauduleuze certificaat . Interne certificeringsinstanties (CA's) zijn eenvoudig op te zetten. Dat geldt ook voor het verkrijgen van een gratis certificaat van een openbare uitgever. Of voor een ontwikkelaar die OpenSSL gebruikt om een ​​zelfondertekend certificaat te genereren voor testdoeleinden. Geen van deze certificaten voldoet aan uw beleid met betrekking tot sleutellengte, geldigheidsperiode of naamgeving. Geen van deze certificaten bevindt zich in uw inventaris. Sommige ervan worden wel in productie gebruikt. Een paar ervan worden door aanvallers gebruikt om persistentie te creëren, omdat het uitgeven van een vertrouwd certificaat aan uzelf een van de meest nette manieren is om de indruk te wekken dat u toegang heeft tot een netwerk.

Het derde punt is cryptografische verschuiving . Algoritmen verouderen. SHA-1 ging van "nog steeds in gebruik" naar "verouderd" in een publiek en voorspelbaar tijdsbestek, en het draait nog steeds op systemen die vandaag de dag in productie zijn. RSA-1024 bevindt zich in dezelfde positie. RSA-2048 is op weg daarheen naarmate kwantumcomputers volwassen worden. Als u niet actief op zoek bent naar verschuivingen, draait u op de algoritmes die uw team heeft gekozen toen ze het systeem voor het laatst onder handen namen, wat wel tien jaar geleden kan zijn.

Het vierde punt betreft de nalevingskloof die als bevinding naar voren komt . PCI DSS 4.0, HIPAA , NIST CSF 2.0, NIS2 , de EU Cyber ​​Resilience Act en een groeiend aantal frameworks stellen allemaal specifieke eisen aan cryptografische controles en bewijsmateriaal. Auditors nemen geen genoegen meer met "we hebben een beleid". Ze willen logboeken, inventarissen en bewijs van continue monitoring. Zonder dat wordt uw audit een hectische periode van zes weken waarin het beveiligingsteam handmatig het bewijsmateriaal moet verzamelen. Met dat bewijsmateriaal wordt de audit een vraag.

Deze vier spoken delen één enkele exorcisme: transparantie. Continue, geautomatiseerde, organisatiebrede transparantie over welke cryptografie je daadwerkelijk gebruikt en in welke staat deze zich bevindt.

Waarom dit de afgelopen 24 maanden urgent is geworden

Twee verschuivingen in de sector hebben PKI-monitoring veranderd van een project waar we "misschien eens aan zouden moeten beginnen" naar een project dat we "niet langer kunnen uitstellen". De eerste is de geleidelijke verkorting van de levensduur van publiekelijk vertrouwde TLS-certificaten naar 47 dagen. De tweede is de migratie naar post-kwantumcryptografie . Beide verdienen een diepgaande analyse, omdat ze beide de manier waarop cryptografie moet worden verdedigd, herdefiniëren.

De 47-daagse afrekening: Wat de stemming van het CA/Browserforum werkelijk betekent

In april 2025 keurde het CA/Browser Forum wetsvoorstel SC-081v3 goed, de meest ingrijpende wijziging voor publiekelijk vertrouwde TLS-certificaten in tien jaar. Het belangrijkste getal is 47 dagen. De details daaronder vormen een gefaseerd tijdschema, waarbij elke fase operationeel van belang is.

De eerste mijlpaal trad in werking op 15 maart 2026. De maximale geldigheidsduur voor nieuwe, publiekelijk vertrouwde TLS-certificaten daalde van 398 dagen naar 200 dagen, en de maximale hergebruiksperiode voor domeincontrole-validatiebewijs daalde eveneens naar 200 dagen. De meeste bedrijven bevinden zich momenteel in deze nieuwe situatie.

De tweede mijlpaal wordt bereikt op 15 maart 2027. De maximale geldigheidsduur daalt naar 100 dagen en het hergebruik van DCV's neemt eveneens af. De derde mijlpaal wordt bereikt op 15 maart 2029. De geldigheidsduur daalt naar 47 dagen. Het hergebruik van DCV's daalt naar 10 dagen. Dat laatste getal is wat teams vaak verrast. Na begin 2029 kunt u geen certificaat meer uitgeven met een geldigheidsduur van één jaar. U kunt geen certificaat meer uitgeven met een geldigheidsduur van een kwartaal. U kunt niet langer dan anderhalve week vertrouwen op een in de cache opgeslagen domeincontrolebewijs voordat u een nieuwe validatie moet uitvoeren.

Bereken eens wat dit voor de bedrijfsvoering betekent. Een team dat momenteel 5,000 openbare TLS-certificaten beheert, met een ongeveer jaarlijkse vernieuwingscyclus, verwerkt zo'n 14 vernieuwingen per dag. Bij de mijlpaal van 100 dagen in 2027 genereert dezelfde inventaris ongeveer 50 vernieuwingen per dag. Bij de mijlpaal van 47 dagen in 2029 genereert dezelfde inventaris bijna 110 vernieuwingen per dag, waarbij de meeste certificaten elke tien dagen opnieuw gevalideerd moeten worden. Geen enkel team kan lineair meegroeien met die belasting. Geen enkel team zou dat moeten proberen.

De termijn van 47 dagen is in feite een automatiseringsvereiste vermomd als een beveiligingsregel. Handmatige verlenging werkt al lang voor 2029 niet meer. ACME-gebaseerde uitgifte, API-gestuurde automatisering en diepe integraties met de systemen die de certificaten daadwerkelijk gebruiken, worden de enige realistische optie. De teams die het moeilijk zullen krijgen, zijn de teams die wachten tot het volume hen dwingt om actie te ondernemen. De teams die het goed zullen doen, zijn de teams die het verlengingsproces hebben geautomatiseerd voordat het nodig was.

Dit is precies het terrein waarvoor CertSecure Manager is ontwikkeld. Het platform automatiseert de uitgifte, verlenging en implementatie via ACME, REST API's en directe integraties met load balancers, webservers, Kubernetes ingresses, beheer van mobiele apparaten en cloudcertificaatarchieven. Het ondersteunt omgevingen met meerdere certificeringsinstanties (CA's), waardoor een wijziging in de voorwaarden van een openbare CA of een migratie tussen uitgevers de verlengingsprocedure niet verstoort.

Het handhaaft het beleid al bij de uitgifte, zodat een verkorte geldigheidsperiode geen opeenhoping van niet-conforme certificaten veroorzaakt. En de detectie-engine brengt elk certificaat in de omgeving aan het licht, inclusief de certificaten die momenteel door niemand worden herkend. Dit zijn precies de certificaten die het meest waarschijnlijk ongemerkt zullen falen wanneer de verlengingsperiode wordt verkort van 398 naar 47 dagen.

Voor organisaties die het vernieuwingsproces niet zelf willen beheren, neemt de PKI as a Service- oplossing van Encryption Consulting dit probleem volledig uit handen. Het team ontwerpt, bouwt en beheert de certificaatprocessen namens de klant, inclusief de implementatie van CertSecure Manager, de HSM- integratie en de dagelijkse monitoring en vernieuwing. Voor de meeste bedrijven is de combinatie van automatiseringstools en beheerde processen de sleutel tot het behalen van de mijlpaal van 2029, zonder een significante personeelsuitbreiding.

De post-kwantummigratie: waar moeten we nu eigenlijk beginnen?

De tweede belangrijke deadline voor de herziening van cryptografische programma's is het post-kwantumtijdperk, en het wordt elk jaar moeilijker om deze te negeren. NIST heeft op 13 augustus 2024 de eerste reeks post-kwantumstandaarden afgerond. FIPS 203 behandelt ML-KEM, het sleutelinkapselingsmechanisme dat voorheen bekend stond als Kyber. FIPS 204 behandelt ML-DSA, het digitale handtekeningsschema dat voorheen Dilithium heette. FIPS 205 behandelt SLH-DSA, het stateless hash-gebaseerde handtekeningsschema dat voorheen SPHINCS+ heette. NIST heeft nog meer standaarden in ontwikkeling, waaronder FIPS 206 voor FN-DSA (Falcon), en heeft HQC in maart 2025 geselecteerd als een back-up sleutelinkapselingsmechanisme voor het geval er in de toekomst problemen met ML-KEM worden geconstateerd.

De drijvende kracht achter deze standaarden is de dreiging van "nu verzamelen, later decoderen". Een geduldige tegenstander onderschept vandaag nog versleuteld verkeer en wacht tot een cryptografisch geschikte kwantumcomputer de decodering mogelijk maakt. Alle gegevens met een vertrouwelijkheidsduur van meer dan vijf tot tien jaar, waaronder intellectueel eigendom, strategische plannen, medische dossiers, financiële modellen en geclassificeerde overheidsgegevens, lopen al risico. Het feit dat kwantumcomputers RSA-2048 vandaag de dag niet kunnen kraken, is irrelevant. De gegevens die vandaag worden onderschept, zijn het doelwit. De tijd begint al te lopen.

De Commercial National Security Algorithm Suite 2.0 van de Amerikaanse National Security Agency (NSA) stelt concrete tijdlijnen vast voor de migratie van nationale veiligheidssystemen, en deze tijdlijnen veranderen ook de commerciële verwachtingen. Software en firmware zouden vanaf 2025 de voorkeur moeten geven aan post-quantum handtekeningen en deze vanaf 2030 volledig moeten gebruiken. Webbrowsers, servers en clouddiensten zouden er vanaf 2025 de voorkeur aan moeten geven en deze vanaf 2033 volledig moeten gebruiken. Besturingssystemen zouden er vanaf 2027 de voorkeur aan moeten geven en deze vanaf 2033 volledig moeten gebruiken. Niche-apparatuur tegen 2030 en 2033. Maatwerkapplicaties en legacy-systemen tegen 2033. Alle nationale veiligheidssystemen tegen 2035. Financiële toezichthouders, zorginstellingen en EU-equivalenten publiceren parallelle richtlijnen die, hoewel minder expliciet, in dezelfde orde van grootte liggen.

De migratie zelf is geen simpele omschakeling. In de praktijk lijkt het op een programma van zes stappen. Ten eerste: breng alle cryptografische assets in de omgeving in kaart, niet alleen certificaten en sleutels, maar ook de cryptografische bibliotheken, protocolimplementaties en onderliggende afhankelijkheden. Ten tweede: classificeer die assets op basis van het kwantumrisico, rekening houdend met de vertrouwelijkheidsduur van de gegevens die ze beschermen en de operationele levensduur van het systeem.

Ten derde, geef prioriteit aan de migratie zodat langlevende, waardevolle data als eerste wordt beschermd en kortlevende, minder impactvolle systemen kunnen wachten. Ten vierde, test hybride implementaties, certificaten en sleuteluitwisselingen die een klassiek algoritme combineren met een post-kwantumalgoritme, zodat een storing in een van beide het systeem niet in gevaar brengt. Ten vijfde, valideer de post-kwantumimplementaties van begin tot eind in elke bibliotheek, protocol en gebruiker in de keten. Ten zesde, migreer, monitor en beëindig de klassieke componenten volgens een schema.

Stap één is waar bijna elk programma vastloopt, omdat de meeste organisaties geen complete cryptografische inventaris kunnen samenstellen . Daarvoor is CBOM Secure er. Het platform bouwt de cryptografische materiaallijst op door elk gebruikt algoritme, elke sleutel met zijn lengte en beveiligingsmethode, elke cryptografische bibliotheek en versie, elke protocolimplementatie en elk certificaat te ontdekken en dit alles samen te voegen tot één overzichtelijk beeld. De risicoscore-engine markeert verouderde algoritmen en cryptografie die kwetsbaar is voor kwantumaanvallen. De beoordeling van de kwantumgereedheid vergelijkt de inventaris met de NIST PQC-standaarden en geeft aan welke systemen als eerste moeten migreren.

Zodra de gedetailleerde inventarisatie beschikbaar is, neemt CertSecure Manager de certificaatkant van de migratie voor zijn rekening . Het ondersteunt de uitgifte en het beheer van hybride certificaten die klassieke en post-kwantumalgoritmen combineren, integreert met HSM's die post-kwantumondersteuning bieden en biedt beleidscontroles waarmee het beveiligingsteam geleidelijk post-kwantumalgoritmen kan vereisen voor nieuwe uitgiften, terwijl certificaten die alleen klassieke algoritmen gebruiken, worden uitgefaseerd. CBOM Secure vertelt u wat u moet migreren en in welke volgorde. CertSecure Manager regelt de operationele aspecten van de migratie. Voor organisaties die een gestructureerd migratieplan opstellen, bieden de PQC Readiness Assessment Services de risicogebaseerde prioritering en roadmap, met doorlopende begeleiding via het PQC Center of Excellence.

Voor organisaties die deskundige begeleiding nodig hebben tijdens de meerjarige implementatie, biedt de post-quantummigratie-adviespraktijk van Encryption Consulting diensten aan op het gebied van cryptografische ontdekking, risicogebaseerde prioritering, hybride algoritme-strategie, analyse van leveranciers- en productcompatibiliteit en programmamanagement. Het werk is zelden glamoureus. Het komt neer op het verschil tussen het op schema halen van de mijlpaal voor softwareondertekening in 2030 en het moeten uitleggen aan een toezichthouder waarom je die mijlpaal hebt gemist.

Wat volwaardige programma's daadwerkelijk doen

De teams die dit goed doen, zien er van buitenaf misschien niet zo glamoureus uit. Ze passen geen geavanceerde AI toe op hun cryptografische data. Ze doen ongeveer acht specifieke dingen, consistent en gedurende jaren.

Ze stellen een complete inventaris op voordat ze iets anders doen. Ontdekking is de basis waarop alles rust, en een inventaris van 80 procent is in feite nutteloos, omdat de ontbrekende 20 procent precies de bron van de volgende storing is. Echte ontdekking combineert netwerkscans, agentgebaseerde gegevensverzameling, API's van cloudproviders, CI/CD-pipeline-scans en monitoring van certificaattransparantielogboeken. Je detecteert de certificaten die vandaag zijn uitgegeven en je detecteert certificaten die door iedereen, waar dan ook, voor jouw domeinen zijn uitgegeven.

Ze automatiseren de levenscyclus van certificaten. Handmatige verlenging is de grootste bron van vermijdbare PKI-incidenten in de branche. Automatisering via ACME, REST API's en directe integraties met de systemen die de certificaten gebruiken, elimineert de menselijke factor. De gewenste situatie is er een waarin het systeem de certificaten vernieuwt en implementeert, valideert of de implementatie is gelukt en alleen een menselijke tussenkomst vereist wanneer er daadwerkelijk iets mis is.

Ze handhaven het beleid al bij de uitgifte, niet achteraf. Beleidshandhaving achteraf leidt tot een permanente achterstand van niet-conforme certificaten die niemand de tijd heeft om te corrigeren. Beleidshandhaving bij de uitgifte zorgt ervoor dat dergelijke certificaten überhaupt niet meer worden aangemaakt.

Ze centraliseren het sleutelbeheer met hardwarematige sleutelopslag. HSM's, hardwarematige sleutelkluizen in de cloud en vergelijkbare technologieën. Quorumgebaseerde toegang voor de meest gevoelige sleutels (met name root CA-ondertekeningssleutels en codeondertekeningssleutels) is standaard, geen uitzondering. De kosten van een HSM zijn gering in vergelijking met de kosten van een gestolen ondertekeningssleutel.

Ze bouwen crypto-flexibiliteit in hun architectuur. Crypto-flexibiliteit is het vermogen om het ene algoritme door het andere te vervangen zonder de applicatie opnieuw te hoeven schrijven. Het betekent abstractielagen, configureerbare cipher suites en modulaire cryptografische bibliotheken. Teams met crypto-flexibiliteit migreren binnen enkele maanden naar post-quantum. Teams zonder crypto-flexibiliteit doen daar jaren over.

Ze brengen hun omgeving in kaart aan de hand van frameworks. NIST SP 800-57, NIST SP 800-131A, FIPS 140-3, de basisvereisten van het CA/Browser Forum. Dit zijn geen optionele lectuur. Ze vormen de ruggengraat van elk verdedigbaar cryptografisch programma.

Ze monitoren continu en geven intelligente waarschuwingen. Een monitoringsysteem dat iemand waarschuwt telkens wanneer een certificaat nog 90 dagen geldig is, zal binnen een week genegeerd worden. Een systeem dat onderscheid maakt tussen certificaten die geautomatiseerd worden beschermd en certificaten die menselijke tussenkomst vereisen, dat escaleert op basis van de kritieke aard van de beschermde dienst en dat integreert met bestaande incidenttools, is een systeem dat daadwerkelijk gebruikt wordt.

Ze plannen nu al de migratie na de kwantumcrisis. Zelfs als het team nog niet klaar is om te beginnen met migreren, willen ze wel graag weten wat ze hebben en hoe groot de klus zal zijn.

Waar past CertSecure Manager in?

CertSecure Manager is het platform voor certificaatlevenscyclusbeheer van Encryption Consulting en is gebouwd rond de complexe realiteit dat bijna geen enkele PKI-omgeving binnen een bedrijf volledig nieuw is. De typische omgeving omvat Microsoft ADCS voor interne certificaten, openbare CA's zoals DigiCert of Sectigo voor extern vertrouwde certificaten, een AWS Private CA voor cloudworkloads, een half dozijn interne uitgevers voor legacy-systemen en een lange reeks zelfondertekende certificaten waarvan niemand de volledige eigenaar is.

CertSecure Manager brengt al deze gegevens samen in een uniforme inventaris via netwerkscans, agentgebaseerde en agentloze gegevensverzameling, cloudintegraties en monitoring van certificaattransparantielogboeken. Het behandelt de lastige uitzonderingen (certificaten van meerdere SAN's, wildcards, certificaten met niet-standaard extensies, certificaten van CA's die niet meer bestaan) die generieke tools voor assetmanagement vaak problemen opleveren.

Wat de levenscyclus betreft, automatiseert het de uitgifte, verlenging, implementatie en intrekking van certificaten via ACME , REST API's en directe integraties met load balancers, webservers, Kubernetes ingresses en beheer van mobiele apparaten. Goedkeuringsprocessen kunnen worden geconfigureerd per certificaattype, omgeving en bedrijfseenheid, zodat productiecertificaten een handtekening vereisen, terwijl certificaten voor de ontwikkelomgeving automatisch worden verwerkt.

Het handhaven van beleid is de functie waarvan de meeste klanten ons vertellen dat deze vanaf dag één de grootste impact heeft. U definieert uw standaarden (minimale sleutellengte, toegestane algoritmen, maximale geldigheidsperiode, goedgekeurde uitgevers, goedgekeurd sleutelgebruik) en het systeem wijst verzoeken af ​​die niet aan die regels voldoen. Deze ene functionaliteit elimineert de hele categorie van bevindingen die pas tijdens de audit aan het licht kwamen.

De rapportagelaag genereert bewijsmateriaal dat voldoet aan de eisen van PCI DSS , HIPAA, FedRAMP en andere frameworks waar auditors waarde aan hechten, met een auditspoor dat u zonder aarzeling kunt overhandigen. Dashboards zijn geschikt voor zowel de beveiligingsmanager die in één oogopslag de beveiligingsstatus wil zien als de engineer die een specifiek incident nader wil onderzoeken.

In één zin: CertSecure Manager is dé manier om duizenden certificaten gezond, conform en actueel te houden, zonder dat u uw team hoeft uit te breiden naarmate het aantal certificaten toeneemt.

Waar past CBOM Secure?

CertSecure Manager beheert certificaten en sleutels als operationele middelen. CBOM Secure gaat een stap verder. Het is het Cryptography Bill of Materials-platform van Encryption Consulting en het is bedoeld om u inzicht te geven in elke cryptografische component binnen uw omgeving, inclusief maar niet beperkt tot certificaten.

Een CBOM is voor cryptografie wat een SBOM is voor softwareafhankelijkheden. Het catalogiseert elk gebruikt algoritme, elke sleutel (met de lengte, het type en de beveiligingsmethode), elke cryptografische bibliotheek en versie, elke protocolimplementatie en elk certificaat. Het voegt dit alles samen tot één overzichtelijk beeld dat je kunt raadplegen.

Dit biedt drie mogelijkheden die met geen enkel ander product mogelijk zijn.

Klaar voor het post-kwantumtijdperk. De migratie naar ML-KEM, ML-DSA en SLH-DSA vereist het identificeren van elk systeem, elke bibliotheek en elk protocol dat nog steeds gebruikmaakt van kwetsbare klassieke cryptografie. De inventaris van CBOM Secure stelt u in staat de migratie nauwkeurig in kaart te brengen, deze intelligent te plannen met waardevolle, langlevende data als eerste, en de daadwerkelijke voortgang ten opzichte van de deadline te volgen. Zonder een CBOM wordt de migratie giswerk.

Gerichte reactie op kwetsbaarheden. Wanneer een cryptografische bibliotheek of protocolimplementatie een CVE-fout bevat, geeft een CBOM binnen enkele minuten aan welke systemen daadwerkelijk getroffen zijn. Dit verandert de incidentrespons van een hectische, organisatiebrede scan naar een nauwkeurige lijst met patches.

Transparantie in de toeleveringsketen. Toezichthouders en grote zakelijke klanten stellen steeds hogere eisen aan cryptografische transparantie. De verwachting dat leveranciers CBOM's leveren op dezelfde manier als SBOM's, verschuift van een "toekomstige vereiste" naar een "huidige eis". Teams die een CBOM hebben, hebben een voorsprong. Teams die er geen hebben, zitten in de problemen.

CBOM Secure bevat ook risicoscores (zodat u weet welke verouderde algoritmen het meest urgent zijn om uit te faseren), een beoordeling van de kwantumgereedheid die uw inventaris vergelijkt met de PQC-normen van NIST, en CI/CD-pipeline-integraties die cryptografische afwijkingen tijdens het bouwproces detecteren in plaats van na de implementatie.

Hoe encryptieconsultancy kan helpen

Tools lossen het technische probleem op. Ze lossen het organisatorische probleem niet op. De meeste teams die worstelen met cryptografische beveiliging, worstelen niet omdat ze een product niet kunnen evalueren. Ze worstelen omdat ze niet de capaciteit hebben om een ​​grondige analyse uit te voeren, de inventaris op te bouwen, het beleid te schrijven, het team te trainen en het programma dagelijks te beheren, terwijl ze ook nog hun eigen werkzaamheden moeten verrichten.

Encryption Consulting is specifiek opgericht om die kloof te dichten, en de dienstverlenende tak voert dit werk al meer dan tien jaar uit voor klanten in de financiële dienstverlening, gezondheidszorg, productie, overheid en technologie. De projecten die echt een verschil maken, vallen doorgaans in een paar duidelijke categorieën.

Een cryptografische beveiligingsbeoordeling is doorgaans de juiste eerste stap. Het is een gerichte aanpak die resulteert in een grondige inventarisatie, een analyse van de tekortkomingen ten opzichte van de NIST- en CA/Browser Forum-vereisten, een beoordeling van de kwantumgereedheid en een prioriteitenlijst. De meeste klanten leren in de eerste twee weken van een beoordeling zaken die hun planning voor de komende twee jaar beïnvloeden.

Een PKI as a Service-oplossing neemt de operationele last volledig van de klant weg. Het team van Encryption Consulting ontwerpt, bouwt en beheert de PKI, inclusief de onderliggende CertSecure Manager-implementatie, de HSM-integratie, het beleidsraamwerk en de dagelijkse monitoring- en vernieuwingsprocessen. Voor organisaties die geen eigen PKI-team willen, is dit de meest efficiënte manier om een ​​volwaardig programma te realiseren.

Advies over post-quantummigratie is de afgelopen achttien maanden uitgegroeid tot een van de snelstgroeiende dienstverleningsgebieden. De werkzaamheden omvatten cryptografische detectie via CBOM Secure, risicogebaseerde prioritering van welke systemen als eerste migreren, hybride algoritmestrategie, analyse van leveranciers- en productcompatibiliteit en beheer van migratieprogramma's. Voor de meeste bedrijven is dit een meerjarig programma en ligt de cruciale factor in de vroege fase van detectie en planning.

Het ontwerpen van codeondertekeningsprogramma 's , de implementatie en het levenscyclusbeheer van HSM's , de encryptiestrategie voor bedrijven en de voorbereiding op naleving van PCI, HIPAA, FedRAMP en vergelijkbare raamwerken maken de praktijk compleet.

Wat klanten het meest waarderen, zijn niet de tools zelf. Het is de combinatie van expertise op het gebied van PKI en cryptografie, de producten die de norm voor goede oplossingen vaststellen, en de operationele ondersteuning om het programma te beheren zodra het is gebouwd. De tools alleen brengen je misschien halverwege. De combinatie brengt je de rest van de weg.

Conclusie

Cryptografische beveiliging is een van die problemen waarbij de kosten van nietsdoen verborgen blijven tot het moment dat ze aan het licht komen. Dan is er een storing, een bevinding bij een audit, een datalek of een gemiste deadline die iemand aan de raad van bestuur moet uitleggen.

De teams die er de komende vijf jaar goed voor staan, zullen niet de teams met de grootste budgetten zijn. Het zullen de teams zijn die in het eerste kwartaal, toen ze een duidelijk beeld hadden van de tijdlijn na de kwantumcomputers en de verwachte levensduur van certificaten, besloten dat ze dit serieus zouden nemen. Ze bouwden de inventaris op. Ze automatiseerden de levenscyclus. Ze handhaafden het beleid bij de uitgifte. Ze maakten cryptografische beveiliging meetbaar in plaats van een ambitieus doel.

De combinatie van CertSecure Manager, CBOM Secure en de diensten van Encryption Consulting is precies op dat traject afgestemd. U kunt beginnen met het meest urgente operationele probleem van vandaag en doorgroeien naar de strategische capaciteit zonder het werk dat u in het begin hebt verricht, te hoeven weggooien. Hoe eerder u begint, hoe kleiner de inspanning.

Als u een concrete volgende stap wilt, is een cryptografische beveiligingsanalyse de goedkoopste manier om te achterhalen waar de lijken begraven liggen. De antwoorden verrassen mensen meestal, zowel van binnen als van buiten, en ze veranderen vrijwel altijd het gesprek over waar u vervolgens in moet investeren.

Veelgestelde Vragen / FAQ

Wat is de belangrijkste conclusie uit 'De stille crisis binnen uw PKI'?

De meeste bedrijven hebben twee tot vijf keer meer certificaten dan hun officiële inventaris aangeeft. Dat verschil is de belangrijkste factor voor de cryptografische beveiliging, omdat juist de certificaten buiten de beheerde inventaris de grootste kans hebben op storingen, nalevingsproblemen en beveiligingsincidenten. In combinatie met de verkorting van de geldigheidsduur van openbare TLS-certificaten door het CA/Browser Forum naar 47 dagen in maart 2029 en de NIST-standaarden voor post-kwantumtechnologie die op 13 augustus 2024 zijn gepubliceerd (FIPS 203, 204, 205), is het tekort aan certificaten in de inventaris uitgegroeid tot een operationele crisis die niet langer kan worden genegeerd.

Waarom is cryptografische beveiliging belangrijk voor PKI-teams binnen bedrijven?

Enterprise PKI-teams worden tegelijkertijd geconfronteerd met drie elkaar versterkende problemen: het tekort aan certificaten (twee tot vijf keer meer certificaten dan officieel geregistreerd), de toegenomen snelheid (ongeveer 110 verlengingen per dag voor 5,000 certificaten met een geldigheidsduur van 47 dagen, tegenover 14 per dag nu) en de tijdsdruk na de kwantummigratie (aanvallen waarbij gegevens nu worden gestolen en later worden gedecodeerd, betekenen dat lang bewaard gebleven data nu in gevaar zijn). Uit de DigiCert Trust Pulse Survey (juli 2025) bleek dat 45 procent van de bedrijven in het voorgaande jaar te maken had met downtime als gevolg van certificaatproblemen. Deze incidenten zijn terug te voeren op certificaten buiten de beheerde inventaris, certificaten zonder automatische verlenging en cryptografische afwijkingen die niet werden gemonitord.

Welke risico's nemen toe als de cryptografische beveiliging handmatig wordt beheerd?

Handmatig cryptografisch beheer leidt tot vier cumulatieve risicocategorieën: het verlopen van certificaten dat niemand ziet aankomen (certificaten buiten de beheerde inventaris hebben geen verlengingswaarschuwing); malafide certificaten (ontwikkelaars en geautomatiseerde tools geven certificaten uit buiten de beleidscontroles om, zonder dat dit in de inventaris wordt geregistreerd); cryptografische afwijking (SHA-1, RSA-1024 en verouderde bibliotheekversies blijven in gebruik op systemen die jaren geleden voor het laatst zijn aangepast); en nalevingslacunes (PCI DSS 4.0, NIST CSF 2.0, NIS2 en vergelijkbare frameworks vereisen continue monitoring en bewijsmateriaal dat handmatige programma's niet tijdens een audit kunnen leveren).

Welke teams zouden verantwoordelijk moeten zijn voor het beheer van de cryptografische status?

PKI-beheerders zijn verantwoordelijk voor de volledigheid van de certificaatinventaris, de automatisering van de levenscyclus, de intrekkingsinfrastructuur en de handhaving van het beleid bij uitgifte. Beveiligingsarchitecten zijn verantwoordelijk voor het cryptografische beveiligingskader: goedgekeurde algoritmen, sleutellengtes, vereisten voor sleutelbescherming en de crypto-agility-architectuur. Platform- en DevOps-teams zijn verantwoordelijk voor de integratie van certificaatautomatisering in CI/CD-pipelines, Kubernetes-ingangen en cloudcertificaatarchieven. Compliance-teams zijn verantwoordelijk voor het verzamelen van bewijsmateriaal voor PCI DSS, HIPAA, FedRAMP, NIS2 en NIST CSF-vereisten. CISO's zijn verantwoordelijk voor de governancebeslissing dat cryptografische beveiliging een meetbaar, gefinancierd programma is met kwartaalrapportages.

Hoe hangt cryptografische beveiliging samen met certificaatlevenscyclusbeheer?

Certificaatlevenscyclusbeheer (CLM) is de operationele laag die cryptografische beveiliging meetbaar en duurzaam maakt. Een CLM-platform zoals CertSecure Manager biedt continue detectie die de twee- tot vijfvoudige certificaatkloof aan het licht brengt, automatiseert de verlenging via ACME en REST API's om de toename van 47 dagen in de vernieuwingstermijn op te vangen, handhaaft beleid bij uitgifte om te voorkomen dat niet-conforme certificaten worden aangemaakt, en genereert bewijs van naleving dat is afgestemd op de frameworks die auditors controleren. Zonder CLM is cryptografische beveiliging een statische momentopname. Met CLM wordt het een continu bewaakte, controleerbare status.

Hoe moeten organisaties het succes meten van het herstellen van hun cryptografische beveiliging?

Belangrijkste meetwaarden: volledigheid van de inventaris (verhouding tussen onafhankelijk ontdekte certificaten en certificaten in de beheerde inventaris, streefwaarde 1:1); ongepland vervalpercentage van certificaten (streefwaarde: nul per kwartaal); nalevingspercentage van het beleid (percentage van alle certificaten die voldoen aan het goedgekeurde algoritme, de sleutellengte, de geldigheidsperiode en het beleid van de uitgever, streefwaarde: 100 procent); tijd tot intrekking bij sleutelcompromittering (streefwaarde: binnen 24 uur voor publiekelijk vertrouwde TLS-certificaten); dekkingsgraad van PQC-migratie (percentage van cryptografische activa die via CBOM zijn geïnventariseerd en geclassificeerd op basis van de kwantumrisicoscore); en volledigheid van het bewijsmateriaal voor naleving (auditspoor voor alle certificaatpopulaties beschikbaar voor alle frameworks binnen het toepassingsgebied).

Wat moet er regelmatig gecontroleerd of gemonitord worden om de cryptografische beveiliging te waarborgen?

Continue monitoring: certificaatvervaldatum in alle omgevingen, inclusief private PKI-populaties; naleving van algoritme- en sleutellengtevereisten met behulp van CBOM-niveau discovery; en CA-auditlogboeken voor onverwachte uitgiftegebeurtenissen. Kwartaalcontrole: onafhankelijke discovery-scans uitvoeren en het aantal vergelijken met de beheerde inventaris; alle certificaten beoordelen die buiten de CLM-platformworkflow zijn uitgegeven; CRL- en OCSP-bereikbaarheid testen vanuit alle netwerksegmenten; en de PQC-migratieroadmap beoordelen aan de hand van de huidige NIST- en NSA CNSA 2.0-richtlijnen voor eventuele wijzigingen in de planning.

Hoe verschilt de cryptografische beveiliging in cloud-, hybride- of multi-CA-omgevingen?

In cloud- en hybride omgevingen is de uitgifte van certificaten verdeeld over meerdere CA-bronnen: on-premises AD CS, AWS Private CA, Azure Key Vault, cloud-native service mesh CA's en externe openbare CA's. Zonder een CLM-platform dat alle CA-bronnen in een uniforme inventaris omvat, leidt de multi-CA-omgeving tot een ontdekkingskloof van twee tot vijf keer die storingen en complianceproblemen veroorzaakt. Het probleem van cryptografische drift wordt in hybride omgevingen verergerd doordat legacy on-premises systemen vaak oudere algoritmeconfiguraties gebruiken. Een cryptografische inventaris op CBOM-niveau die alle omgevingen en alle CA-bronnen omvat via CBOM Secure is de enige praktische basis voor consistent beheer van de cryptografische status in hybride multi-CA-architecturen.

Welke veelgemaakte fouten moeten teams vermijden bij het herstellen van hun cryptografische beveiliging?

De meest voorkomende fouten: het certificaatoverzicht als compleet beschouwen op het moment dat het is opgesteld door teams te vragen zelf te rapporteren (zelfgerapporteerde overzichten missen certificaten die niemand actief beheert); het certificaatbeleid pas na uitgifte afdwingen in plaats van tijdens uitgifte (dit creëert een permanente achterstand van niet-conforme certificaten); wachten tot de geldigheidsduur van 47 dagen automatisering afdwingt (handmatige verlenging werkt niet meer lang vóór maart 2029; teams die onder tijdsdruk automatiseren, maken fouten); ervan uitgaan dat de PQC-migratie kan beginnen zonder een volledig cryptografisch overzicht (het overzicht is stap één); en de cryptografische status beschouwen als een probleem van het PKI-team in plaats van een overkoepelend governanceprogramma.

Wat moet er elk kwartaal worden bijgewerkt voor het beheer van de cryptografische status?

Driemaandelijks: voer een onafhankelijke certificaatdetectie uit en vergelijk het aantal met de beheerde inventaris; controleer de cryptografische inventaris op CBOM-niveau op nieuwe verouderde algoritmen die zijn gevonden bij software-updates of nieuwe service-implementaties; controleer de PQC-migratieroadmap aan de hand van de NIST- en NSA CNSA 2.0-richtlijnen; controleer de volledigheid van het bewijsmateriaal voor naleving van alle toepasselijke frameworks; controleer de configuratie voor beleidshandhaving voor de huidige algoritme- en sleutellengtenormen; en bevestig dat de toegangscontroles van de HSM en de auditlogboeken voor sleutelbewerkingen voor root-CA's en codeondertekeningssleutels zijn gecontroleerd. Raadpleeg het PQC Center of Excellence voor de actuele PQC-migratierichtlijnen.