Upgrade veilig naar Vormetric Data Security Manager en migreer naadloos naar CipherTrust Manager.

Het upgraden van Vormetric Data Security Manager (DSM) , het Thales-apparaat voor sleutel- en beleidsbeheer in Vormetric Transparent Encryption (VTE)-omgevingen, lijkt relatief eenvoudig, maar als er iets misgaat, kunnen de gegevens die door DSM-beheerde encryptie worden beschermd, verloren gaan of ontoegankelijk worden. Thales heeft aangekondigd dat Vormetric DSM in juni 2024 het einde van zijn levenscyclus bereikt, waardoor migratie naar CipherTrust Manager (CTM) een urgente, bedrijfskritische beslissing is voor alle resterende DSM-gebruikers. Dit artikel biedt geen stapsgewijze upgrade-instructies, maar behandelt waar organisaties op moeten letten: de technische en niet-technische punten die niet in de officiële upgradehandleiding worden benadrukt, en de praktische uitdagingen die DSM-upgrades en CTM-migraties in productieomgevingen met zich meebrengen. De aanbevolen aanpak: documenteer uw volledige agentinventaris en compatibiliteitsmatrix voordat u iets aanpast, breng uw DSM naar versie 6.4.5 of 6.4.6 voordat u een CTM-migratie probeert uit te voeren en voer uitgebreide pilottests uit in een niet-productieomgeving voordat u overstapt naar een productieomgeving. Voor meer informatie over sleutelbeheer, zie CipherTrust Manager en Wat is sleutelbeheer?

Kort antwoord: Wat zijn de twee mogelijkheden en welke is op jou van toepassing?

Er zijn twee verschillende operationele trajecten: het upgraden van een bestaande DSM-instantie naar een nieuwere DSM-versie en het volledig migreren van DSM naar CipherTrust Manager. De twee trajecten volgen elkaar op en zijn geen alternatief voor de meeste organisaties: als uw DSM nog niet versie 6.4.5 of 6.4.6 heeft, moet u DSM eerst upgraden voordat de migratietools uw gegevens naar CTM kunnen overzetten. Beide trajecten brengen het risico op gegevensverlies en downtime met zich mee als ze worden uitgevoerd zonder grondige planning, een compatibiliteitsmatrix en pilottests. CTM is een ander product dan DSM, niet zomaar een geüpgrade versie, dus de migratie vereist ook nieuwe runbooks, nieuwe standaardwerkprocedures, nieuwe architectuurdocumentatie en omscholing voor operationele teams.

Planning: Wat moet je documenteren voordat je begint?

Alles begint met een goede planning, en de DSM-upgrade is daarop geen uitzondering. Een volledige scan van de huidige omgeving is essentieel om eventuele toekomstige obstakels of uitdagingen in kaart te brengen.

1. Documenteer alle agents, agentversies en guardpoints. Wanneer u de DSM upgradet, kunt u de lijst met alle agents controleren en bevestigen of alle guardpoints actief en gezond zijn. Als er iets niet klopt, moet u mogelijk eerst problemen oplossen voordat u verdergaat. Agentversies kunnen ook aangeven of u agents hebt die incompatibel zijn met de DSM-versie waarnaar u wilt upgraden. Een compatibiliteitsmatrix helpt u bepalen welke agents compatibel zijn en welke moeten worden geüpgraded. U kunt op basis van deze inventarisatie ook een upgradepad ontwikkelen. Thales definieert een verplicht upgradepad dat moet worden gevolgd: als u bijvoorbeeld upgradet van DSM 5.3 naar 6.2, kunt u niet rechtstreeks naar 6.2 gaan zonder eerst de tussenliggende versie 6.0.0 te doorlopen.

2. Plan de omschakeling van de productie. Veel organisaties die willen upgraden, hebben al een werkende DSM in hun productieomgeving. Ze geven er doorgaans de voorkeur aan om de bestaande productie-DSM niet te upgraden; in plaats daarvan zetten ze een andere DSM op met de gewenste versie, voeren een pilottest uit en schakelen pas over naar de nieuwe DSM als productie-instantie nadat de tests zijn afgerond. Organisaties moeten de timing van de overstap, de communicatie en de terugdraaiprocedures plannen voordat ze met de upgrade beginnen.

Een gedegen planning zorgt ervoor dat de volgende stappen soepel verlopen en dat DSM kan worden geüpgraded naar de gewenste versie zonder onverwachte verstoringen van gegevens of diensten.

Het upgraden van DSM's: uitdagingen in de praktijk

Planning kan het upgradeproces versoepelen, maar het upgraden van een productie-DSM brengt vaak uitdagingen aan het licht die tijdens de planning niet zichtbaar waren. Uitdagingen die zich voordoen bij daadwerkelijke productie-upgrades zijn onder andere:

1. Overstappen van de oude naar de nieuwe DSM zonder de agentregistratie te verstoren, wat een zorgvuldige coördinatie van de herregistratieprocedure vereist.
2. Het upgraden van DSM naar een versie waarin alle bestaande agents compatibel blijven, met name wanneer de omgeving een mix van agentversies uit verschillende tijdperken bevat.
3. Het configureren van high-availability (HA) clusters met DSM's op verschillende subnetten brengt complexiteiten met zich mee op het gebied van netwerken en clustersynchronisatie die niet in de standaard upgrade-documentatie worden behandeld.
4. Planning van de upgradeduur: DSM-upgrades kunnen, afhankelijk van de omvang van de omgeving, aanzienlijke tijd in beslag nemen. Zonder een goede overgangsplanning kunnen productiesystemen te maken krijgen met ongeplande downtime. Met een adequate planning kan de DSM-overgang naadloos en zonder downtime verlopen.

Organisaties moeten zich grondig voorbereiden op het upgraden van DSM's, omdat een fout in het upgradeproces ertoe kan leiden dat versleutelde gegevens permanent ontoegankelijk worden.

Migratie naar CipherTrust Manager

Thales heeft aangekondigd dat Vormetric DSM in juni 2024 het einde van zijn levenscyclus bereikt. Als gevolg hiervan migreren organisaties hun DSM's naar CipherTrust Manager . De migratie van DSM naar CTM brengt een andere uitdaging met zich mee: CTM is een ander product, niet zomaar een geüpgrade DSM, en de migratie vereist het volledig opnieuw opzetten van operationele procedures, naast de technische migratie van sleutels, beleidsregels en configuraties.

Organisaties hebben vaak de volgende zorgen bij het plannen van een CTM-migratie:

• Migratie van beleidsregels, sleutels, gebruikerssets en processets: welke objecten worden overgezet en welke moeten opnieuw worden opgebouwd?
• Migratie van hosts en herregistratie van agents naar CTM
• High Availability-configuratie in de CTM-architectuur, die verschilt van DSM HA.
• Uitval en systeemstoringen tijdens de migratieperiode
• Risico op gegevensverlies door onjuiste sleutelmigratie of configuratiefouten in het beveiligingspunt

Als organisaties al DSM 6.4.5 of 6.4.6 gebruiken, kunnen ze migreren naar CipherTrust Manager en de volgende objecten herstellen:

1. Agent-sleutels, inclusief versiebeheerde sleutels en via KMIP toegankelijke agent-sleutels.
2. Kluissleutels
3. Bring Your Own Keys (BYOK)-objecten
4. Klantgroepen
5. CipherTrust Transparent Encryption (CTE)-configuratie

Objecten die NIET worden hersteld tijdens de migratie

1. De meeste Sleutelbeheer KMIP-sleutels (Interoperability Protocol), met uitzondering van KMIP-toegankelijke agentsleutels.
2. Sleutels die gekoppeld zijn aan CipherTrust Cloud Key Manager (CCKM), inclusief sleutels voor Key Material as a Service (KMaaS).
3. DSM-hostnaam en hostconfiguratie

Het niet-migreren van standaard KMIP-sleutels en CCKM-sleutels is een van de meest onderschatte risico's. Organisaties met KMIP-gebaseerde integraties moeten een plan opstellen voor het opnieuw opzetten van deze integraties in CTM voordat ze met de migratie beginnen. Bij migratie is een grondige pilottest essentieel om ervoor te zorgen dat de migratie zonder gegevensverlies verloopt. Klanten moeten ook een opschoonsessie van de DSM uitvoeren vóór de migratie, waarbij alle buiten gebruik gestelde servers en inactieve gebruikers worden verwijderd, zodat alleen geldige, actuele configuraties naar CTM worden overgezet. Bij migratie van DSM naar CTM moeten agents die VTE-agents gebruiken van een versie lager dan 7.0 worden geüpgraded naar CipherTrust Transparent Encryption (CTE) voordat de migratie kan worden uitgevoerd.

Voordelen van migratie naar CipherTrust Manager

1. Verbeterde, browsergebaseerde gebruikersinterface die de oudere interface van DSM vervangt.
2. Geen hypervisorbeperking: CTM ondersteunt implementatie in fysieke en virtuele omgevingen zonder de hypervisorbeperkingen van DSM.
3. Volledig functionele CLI-interface op afstand voor operationeel beheer
4. Geïntegreerde CipherTrust Cloud Key Manager (CCKM) voor uniform beheer van cloudsleutels in AWS, Azure, GCP en andere cloudproviders.
5. Verbeterde mogelijkheden voor sleutelbeheer met KMIP-sleutelmateriaal: integreert beleid, registratie en beheer in een vereenvoudigde en uitgebreidere KMIP-ervaring.
6. Ondersteunt CTE-agents (voorheen VTE-agents) vanaf versie 7.0, wat een duidelijke weg voorwaarts biedt voor versleuteld hostbeheer.
7. Nieuwe REST API voor automatisering, die integratie met DevOps-toolchains en beveiligingsorkestratieplatformen mogelijk maakt.

Naast deze platformbrede verbeteringen biedt CTM ook gespecialiseerde mogelijkheden die het overwegen waard zijn:

1. Wachtwoord- en PED-authenticatie: Net als bij de Luna HSM S-serie biedt Thales de keuze tussen een wachtwoord en een pincode-invoerapparaat (PED) als authenticatiemechanisme voor CTM. PED-authenticatie biedt verbeterde beveiliging, maar is alleen beschikbaar voor fysieke k570-apparaten.
2. Multicloud- en hybride implementatie: CTM ondersteunt implementatie in multi-cloudomgevingen, waaronder AWS, Azure, GCP, VMware, HyperV en Oracle VM. Organisaties kunnen ook hybride clusters vormen door fysieke en virtuele appliances te combineren voor omgevingen met hoge beschikbaarheid, wat een implementatieflexibiliteit biedt die DSM niet ondersteunde.

DSM-upgrade versus CTM-migratie: beslissingstabel

Scenario	Aangeraden actie	Belangrijkste vereiste	Primair risico
DSM lager dan 6.4.5 en er is nog geen CTM-migratie gepland.	Upgrade DSM naar 6.4.5 of 6.4.6 via het verplichte Thales-upgradepad.	Volledige inventarisatie van agenten en bewakingspunten; compatibiliteitsmatrix	Agentincompatibiliteit; verstoring van het beveiligingspunt tijdens de upgrade
DSM op 6.4.5 of 6.4.6 en planning van CTM-migratie	Voer een uitgebreide CTM-pilot uit in een niet-productieomgeving voordat u de migratie naar de productieomgeving uitvoert.	Upgrade alle VTE-agents lager dan versie 7.0 naar CTE; voer een DSM-opruiming uit vóór de migratie.	Niet-gemigreerde KMIP-sleutels zorgen ervoor dat integraties na de migratie niet meer werken.
DSM met aanzienlijke KMIP-integraties	Breng alle KMIP-integraties in kaart vóór de migratie; plan de herinstallatie in CTM.	Identificeer alle KMIP-sleutels die niet zullen worden gemigreerd en plan de herregistratie.	KMIP-afhankelijke applicaties verliezen toegang tot sleutels na migratie
DSM in HA-configuratie op verschillende subnetten	Schakel Encryption Consulting in voor architectuurspecifieke migratieplanning.	Documenteer alle configuratiegegevens van het HA-netwerk; plan de routering van de subnetten.	Een verkeerde configuratie van het HA-cluster kan leiden tot een split-brain-situatie of een synchronisatiefout.
DSM heeft het einde van zijn levenscyclus al bereikt en er is geen migratieplan.	Begin direct met de migratieplanning; geef prioriteit op basis van de kritische aard van de gegevens.	Toegang tot Thales-ondersteuning en -documentatie; verificatie van het upgradepad.	Niet-ondersteunde DSM-versie leidt tot risico's op het gebied van compliance en beveiliging.

Pre-migratie checklist

• Documenteer alle DSM-agents, agentversies en guardpoints; maak een complete agentinventaris voordat er upgrades of migraties plaatsvinden.
• Ontwikkel een compatibiliteitsmatrix die bevestigt welke agenten compatibel zijn met de beoogde DSM-versie of CTM.
• Controleer het verplichte DSM-upgradepad en identificeer alle tussenliggende versies die nodig zijn om de doelversie te bereiken.
• Controleer of de DSM-versie 6.4.5 of 6.4.6 is voordat u met de CTM-migratie begint; upgrade DSM eerst als het een oudere versie betreft.
• Upgrade alle VTE-agents lager dan versie 7.0 naar CipherTrust Transparent Encryption (CTE)-agents vóór de CTM-migratie.
• Voer een DSM-opschoonsessie uit: verwijder alle buiten gebruik gestelde servers, inactieve gebruikers, verouderde beleidsregels en ongebruikte objecten vóór de migratie.
• Identificeer alle KMIP-sleutels en CCKM-sleutels in DSM die niet naar CTM worden gemigreerd; plan de herinstallatie van deze integraties in CTM.
• Zet een niet-productie CTM-instantie op en voer een grondige pilotmigratie uit voordat u de productie-DSM aanraakt.
• Valideer alle beveiligingspunten en de toegankelijkheid van sleutels in de CTM-pilotomgeving voordat u de migratie naar de productieomgeving plant.
• Plan de overgang naar een nieuwe productieomgeving met vastgestelde onderhoudsvensters en informeer alle belanghebbenden over de verwachte impact op de dienstverlening.
• Documenteer alle nieuwe CTM-runbooks, standaardwerkprocedures en architectuurdocumentatie vóór de ingebruikname in productie.
• Plan de CTM HA-configuratie voor productie; test de HA-failover in de niet-productieomgeving vóór de implementatie in productie.

Conclusie

Het upgraden van DSM kan een uitdaging zijn en vereist grondige planning en probleemoplossing. Migreren naar CTM is complexer, omdat CTM een ander product is en niet zomaar een geüpgrade versie van DSM. Organisaties die migreren, moeten naast de technische migratie van sleutels en configuraties ook nieuwe runbooks, standaardwerkprocedures en architectuurdocumenten ontwikkelen. Aangezien DSM in juni 2024 de end-of-life-status bereikt, lopen organisaties die nog steeds DSM gebruiken een toenemend risico door een niet-ondersteund platform en zouden ze onmiddellijk prioriteit moeten geven aan migratieplanning. Encryption Consulting kan klanten helpen bij het plannen, upgraden en migreren van hun bestaande DSM's. Als gecertificeerd partner van Thales en een organisatie die Vormetric-klanten al jarenlang ondersteunt met implementaties en upgrades, kan Encryption Consulting helpen bij het plannen van een volledige migratie naar CipherTrust Manager en zorgen voor gap-analyses en voorbereidende planning om ervoor te zorgen dat klanten geen dataverlies, downtime of productieproblemen ondervinden. Neem voor meer informatie contact met ons op via [email protected].

Bronnen:

• Documentatieportaal van het CipherTrust-platform: DSM-migratie (thalesdocs.com)
• CipherTrust Platform Documentatieportaal: CTE-DSM Migratie (thalesdocs.com)

Veelgestelde Vragen / FAQ

Wat is Vormetric Data Security Manager (DSM) en wat is CipherTrust Manager (CTM)?

Vormetric Data Security Manager (DSM) is het sleutel- en beleidsbeheerapparaat van Thales dat encryptiesleutels, beleidsregels, gebruikerssets, processets en guardpoints beheert voor VTE-agents op beveiligde hosts. CipherTrust Manager (CTM) is het databeveiligingsbeheerplatform van de volgende generatie van Thales dat DSM vervangt. Het beschikt over een moderne, browsergebaseerde gebruikersinterface, geen hypervisorbeperkingen, ingebouwde CCKM voor cloud-sleutelbeheer, verbeterde KMIP-functionaliteit, ondersteuning voor CTE-agents vanaf versie 7.0 en een REST API voor automatisering. Thales heeft aangekondigd dat DSM in juni 2024 het einde van zijn levenscyclus heeft bereikt.

Welke objecten worden van DSM naar CipherTrust Manager gemigreerd en welke niet?

Objecten die van DSM 6.4.5 of 6.4.6 naar CTM worden gemigreerd, zijn onder andere: agent-sleutels (inclusief versiebeheerde sleutels en via KMIP toegankelijke agent-sleutels), kluissleutels, BYOK-objecten, domeinen en CTE-configuratie. Objecten die niet worden gemigreerd, zijn onder andere: de meeste KMIP-sleutels, met uitzondering van via KMIP toegankelijke agent-sleutels, CCKM- en KMaaS-sleutels, en DSM-hostnaam- en hostconfiguratie. Het niet-migreren van standaard KMIP-sleutels is een van de meest onderschatte hiaten in migratieplanning.

Welke versie van DSM moet een organisatie gebruiken voordat ze kan migreren naar CipherTrust Manager?

Organisaties moeten DSM-versie 6.4.5 of 6.4.6 gebruiken voordat ze naar CTM kunnen migreren. Als een organisatie een oudere versie gebruikt, moet DSM eerst via het verplichte Thales-upgradetraject worden geüpgraded naar 6.4.5 of 6.4.6. Bovendien moeten alle VTE-agents van een oudere versie dan 7.0 worden geüpgraded naar CTE-agents voordat de CTM-migratie kan worden uitgevoerd.

Wat zijn de grootste risico's bij een DSM-upgrade of CTM-migratie?

De grootste risico's zijn: gegevensverlies door fouten bij de beveiligingscontrole of sleutelmigratie waardoor versleutelde gegevens permanent ontoegankelijk worden; productieuitval door een slecht geplande overgang; incompatibiliteit van de agent met de beoogde DSM- of CTM-versie; en configuratieproblemen in KMIP-integraties die afhankelijke applicaties na de migratie onbruikbaar maken. Deze risico's worden beperkt door een volledige inventarisatie voorafgaand aan de upgrade, het ontwikkelen van een compatibiliteitsmatrix, parallelle testomgevingen voor de upgrade, het opschonen van DSM vóór de migratie en uitgebreide pilottests vóór de daadwerkelijke implementatie in productie.

Kan een DSM-upgrade of CTM-migratie worden uitgevoerd zonder downtime?

Een DSM-migratie kan zonder productieuitval worden uitgevoerd met behulp van een parallelle upgradebenadering, waarbij een nieuwe DSM-omgeving met de gewenste versie wordt opgestart en agents zonder onderbreking worden overgezet. Een migratie van DSM naar CTM betreft een ander product en een andere architectuur en vereist doorgaans geplande onderhoudsvensters voor specifieke migratieoperaties. De duur van de uitval hangt af van de complexiteit van de omgeving, het aantal agents en of de migratie gefaseerd kan worden uitgevoerd.