Cryptografisch houdingsbeheer uitgelegd: een kijkje in het beveiligde CBOM-platform

Kort antwoord: Cryptografisch beveiligingsbeheer is het proces van het ontdekken, inventariseren, beoordelen en beheren van alle cryptografische assets die een organisatie gebruikt: sleutels, certificaten, algoritmen en protocollen. CBOM Secure implementeert dit met geautomatiseerde detectie in de cloud, HSM's, databases, directory's, netwerk-endpoints en broncode, een gededupliceerde cryptografische materiaallijst, risicoscores van 0 tot 100, continue beleidsevaluatie volgens NIST, FIPS 140-3, CNSA 2.0 en CMMC 2.0, en CycloneDX-export voor auditklaar bewijsmateriaal.

Key afhaalrestaurants

• Cryptografisch beveiligingsbeheer gaat verder dan certificaatbeheer: het inventariseert sleutels, algoritmen en protocollen in de cloud, HSM's, databases, mappen en broncode.
• CBOM Secure Ontdekt cryptografische activa in cloud-sleutelservices, HSM's, bedrijfssleutelbeheerders, databases, directory's, netwerk-eindpunten en broncode.
• Elk bestand wordt ontdaan van duplicaten door middel van een SHA-256-vingerafdruk op basis van de openbare sleutel, krijgt een score van 0 tot 100 en wordt continu geëvalueerd aan de hand van het nalevingsbeleid.
• Het platform markeert automatisch cryptografie die kwetsbaar is voor kwantumcomputing, waardoor post-kwantummigratie niet langer een gok is, maar een afgebakend project wordt.
• Bewijsmateriaal wordt geëxporteerd in CycloneDX, de open standaard voor stuklijsten, zodat de inventaris GRC-platforms, SIEM's en auditors kan gebruiken zonder vendor lock-in.

Wat is cryptografisch houdingsbeheer?

Cryptografisch posture management omvat het continu ontdekken, inventariseren, risicobeoordelen en beheren van de cryptografische activa van een organisatie. Waar certificaatlevenscyclusbeheer zich richt op één activaklasse, omvat posture management ze allemaal: privé- en geheime sleutels, X.509-certificaten, de gebruikte algoritmen, de protocollen die op het netwerk worden gebruikt en de relaties daartussen.

Deze categorie bestaat omdat cryptografie niet langer beheersbaar is met spreadsheets. Een middelgrote onderneming bewaart cryptografisch materiaal doorgaans in cloud-sleutelservices bij meerdere providers, in hardwarebeveiligingsmodules , in database-encryptieportefeuilles, in Active Directory, in ontwikkelaarssleutelringen en hardgecodeerd in de broncode van applicaties. Geen enkel team beheert al deze systemen en geen enkel certificaatdashboard heeft er toegang toe.

Drie factoren hebben ervoor gezorgd dat deze categorie van een wenselijke optie een vast onderdeel van de begroting is geworden. NIST heeft in augustus 2024 de eerste post-kwantumcryptografiestandaarden, FIPS 203, 204 en 205, afgerond, en de NSA's CNSA 2.0-richtlijnen stellen de verwachting dat kwantumveilige systemen tegen 2030 volledig zullen worden ingevoerd. PCI DSS 4.0 heeft een inventarisatie van cryptografische cipher suites en protocollen expliciet verplicht gesteld (vereiste 12.3.3), met toekomstige vereisten die vanaf 31 maart 2025 van kracht zijn. En auditteams overal zijn het beu om de inventarisatie bij elke beoordelingscyclus handmatig opnieuw op te bouwen.

Wat is een cryptografie-stuklijst (CBOM)?

Een cryptografische materiaallijst (Cryptography Bill of Materials, CBOM) is een gestructureerde, machinaal leesbare inventaris van alle cryptografische assets in een omgeving, gemodelleerd naar de materiaallijst van software. Een complete CBOM registreert elke sleutel met het bijbehorende algoritme, grootte en opslaglocatie, elk certificaat met de uitgever en vervaldatum, elk protocol met de overeengekomen versies en cipher suites, en de onderlinge afhankelijkheden. CBOM Secure genereert er continu een en exporteert deze naar CycloneDX.

Hoe is de architectuur van CBOM Secure opgebouwd?

CBOM Secure is opgebouwd rond vijf platformpijlers. Als je die eenmaal kent, weet je waar elke functionaliteit zich bevindt.

Ontdekkingsbeheer

De orchestratielaag plant ontdekkingsruns in, beheert inloggegevens per doelwit en koppelt ontdekkingsprocessen aan elkaar, zodat de bevindingen van de ene scan automatisch de volgende doorvoeren. Ontdekking is een pipeline die u eenmalig configureert, geen project dat u elk kwartaal handmatig opnieuw uitvoert.

Voorraadbeheer

Alles wat de ontdekkingsfunctie vindt, komt terecht in één doorzoekbare, gededupliceerde CBOM. De deduplicatie wordt uitgevoerd op basis van SHA-256-vingerafdrukken van openbare sleutels die tijdens de ontdekking worden berekend. Zo herkent het platform dat een sleutel die voorkomt in Azure Key Vault , op een Thales Luna HSM-partitie en in een PEM-bestand op een buildserver, één enkele sleutel is die op drie verschillende plaatsen wordt hergebruikt. Het platform markeert dit als een vondst van sleutelhergebruik in plaats van drie ongerelateerde assets.

Analyse-engine

De analyselaag past risicoscores toe van 0 tot 100, evalueert elk bestand aan de hand van het geselecteerde nalevingsbeleid en markeert kwantumkwetsbaar materiaal. De ernstregels zijn expliciet. DES, RC4, MD5 en SHA-1 worden direct gemarkeerd, evenals RSA-1024 en TLS-versies 1.0 en 1.1. De NIST post-kwantumfamilie ( ML-KEM , ML-DSA , SLH-DSA en FN-DSA) wordt als veilig geclassificeerd.

Identiteitsbeheer

Deze pijler biedt op rollen gebaseerd toegangsbeheer plus native isolatie tussen meerdere organisaties. Bedrijfsonderdelen, MSP-klanten en compliance-teams werken vanuit één implementatie zonder elkaars inventaris te hoeven inzien. Dit is belangrijk voor shared-servicesteams en voor fusie- en overnamescenario's waarbij een overgenomen omgeving gescand moet worden, maar wel gescheiden moet blijven.

Rapportage

De rapportage omvat dashboards opgebouwd uit 29 widgets en 52 ingebouwde KPI's, bewijs van naleving op aanvraag, waarschuwingen via e-mail en Microsoft Teams, en een volledige inventarisexport in CycloneDX. Een fraudebestendig auditspoor registreert elke wijziging aan een asset in een cryptografisch verifieerbaar logboek: wat er is gewijzigd, wanneer en door wie.

Wat ontdekt CBOM Secure nu precies?

De reikwijdte van de detectiemogelijkheden is waar platforms voor houdingsbeheer het meest van elkaar verschillen. Hieronder ziet u de dekking die CBOM Secure biedt.

Cloud-sleutelservices

CBOM Secure inventariseert sleutels en certificaten in AWS, Azure en Google Cloud, inclusief cloud-sleutelbeheer en beheerde HSM- services, waarbij algoritme, sleutelgrootte, sleutelstatus en rotatiemetadata worden vastgelegd.

Hardwarebeveiligingsmodules en tokens

CBOM Secure omvat het hardware-ecosysteem dat bedrijven daadwerkelijk gebruiken, inclusief modules en tokens van Entrust, Thales, Utimaco, IBM, AWS, Azure, Google Cloud, Yubico, Nitrokey, Securosys en Marvell, evenals smartcards.

Privé-sleutels worden nooit gelezen of verplaatst.

Enterprise key managers via KMIP

CBOM Secure werkt met standaardconforme keymanagers voor bedrijven, waaronder Thales CipherTrust Manager, Entrust KeyControl, IBM Security Key Lifecycle Manager, Fortanix Data Security Manager, Utimaco ESKM, Oracle Key Vault, HashiCorp Vault en andere conforme servers. Objecten worden gedurende hun volledige levenscyclus gevolgd, zodat de inventaris zowel statuswijzigingen als het bestaan ​​ervan weergeeft.

Databases met transparante gegevensversleuteling

CBOM Secure leest TDE-metadata uit SQL Server, Oracle Database, MySQL en MariaDB en legt vast waar auditors naar vragen: algoritme, beschermend certificaat, vingerafdruk en vervaldatum. Het raakt nooit het sleutelmateriaal aan.

Mappen en Windows-infrastructuur

De dekking omvat Active Directory in meerdere forests en domeinen, gangbare LDAP-directory's voor bedrijven en Windows-certificaatarchieven, zodat certificaten en sleutelmateriaal die in de directory zijn opgeslagen, in dezelfde inventaris verschijnen als al het andere.

Netwerk-eindpunten

CBOM Secure voert live TLS-analyse uit op elk eindpunt. Het markeert verouderde protocolversies, somt de aangeboden cipher suites op, inclusief post-quantum hybriden, en registreert de volledige X.509-keten.

Broncode, bestanden en sleutelhangers

CBOM Secure analyseert het cryptografische gebruik in broncode van zeven programmeertalen en markeert hardgecodeerde sleutels als CRITIEK. Het ondersteunt ook gangbare sleutel- en keystore-bestandsformaten, GnuPG-sleutelringen en HashiCorp Vault, en integreert naadloos met het CertSecure Manager-certificaatlevenscyclusplatform.

Hoe kan correlatie een lijst in een inventaris veranderen?

Correlatie maakt de inventaris bruikbaar onder druk. CBOM Secure koppelt certificaten aan de onderliggende sleutels, traceert welke services afhankelijk zijn van welke assets, detecteert hergebruik van sleutels door middel van fingerprint-matching en scheidt slapende cryptografie van materiaal dat actief in productie wordt gebruikt. De praktische test is incidentrespons: wanneer een certificeringsinstantie wordt gecompromitteerd of een algoritme 's nachts niet meer wordt ondersteund, kunt u de inventaris raadplegen op basis van de uitgevende instantie, het algoritme of een willekeurig attribuut, en binnen enkele minuten de impact aflezen. Zonder correlatie zou dezelfde vraag een meerdaags archeologisch project zijn dat teamgrenzen overstijgt.

Diezelfde eigenschap werpt zijn vruchten af ​​bij fusies en overnames. Pas de ontdekkingsmethode toe in een overgenomen omgeving en u krijgt binnen enkele uren een complete cryptografische inventaris met geprioriteerde risicobevindingen. Dit is due diligence gebaseerd op bewijs in plaats van op de spreadsheet van de verkoper.

Hoe levert goed bestuur bewijsmateriaal op voor audits?

Governance binnen CBOM Secure betekent drie concrete mechanismen:

• Evaluatie van het beleid 'Continue activiteit': Elk onderdeel wordt continu gecontroleerd aan de hand van het geselecteerde beleid, waarbij de resultaten worden gevisualiseerd als trends in geslaagde/mislukte resultaten over tijd. Zo kunt u de nalevingsstatus aflezen op een dashboard in plaats van deze jaarlijks opnieuw te moeten berekenen.
• Risicozichtbaarheid: Uitsplitsingen naar kritikaliteit in Kritiek, Hoog, Gemiddeld, Laag en Veilig; vervaldatums van certificaten van 30 en 180 dagen; aantallen HSM-beveiligde versus softwarebeveiligde sleutels; en totalen van kwantumveilige versus niet-kwantumveilige sleutels, elk onderbouwd met een specifieke KPI.
• Exporteerbaar bewijs: De CycloneDX-export en het fraudebestendige auditspoor bieden beoordelaars in één pakket bewijs van de huidige situatie en een verifieerbare geschiedenis.

Kader	Wat CBOM Secure bijdraagt
NIST-SP 800-131A	Markeer verouderde en overgangsalgoritmen, waaronder 3DES, SHA-1 en short. RSA sleutels.
FIPS 140-3	Scheidt HSM-beveiligde sleutels van softwarebeveiligde sleutels om goedgekeurd modulegebruik aan te tonen.
CNSA 2.0	Labelt kwantumkwetsbare algoritmen en meet de adoptie van kwantumveilige algoritmen in de loop van de tijd.
CMMC 2.0 (Niveaus 2/3)	Levert documentatie voor cryptografische controle en identificatie van zwakke punten.
PCI DSS 4.0 (Vereisten 4.2, 12.3)	Sterk bewijs voor transportcryptografie en de vereiste cryptografische inventaris.
NIST-IR 8547	Brengt alle kwantumkwetsbare asymmetrische cryptografie aan het licht voor migratieplanning.
FedRAMP / EO 14028	Continue cryptografische inventarisatie afgestemd op federale moderniseringsmandaten.
SOC 2 / ISO 27001 / AVG / HIPAA	Bewijs dat er beveiligingsmaatregelen voor encryptie bestaan, dat deze actueel zijn en voldoen aan het beleid.

Hoe verhoudt CBOM Secure zich tot certificaatlevenscyclusbeheer?

De twee categorieën vullen elkaar aan en de meeste volwaardige programma's gebruiken ze allebei. Kort gezegd: CLM beheert de levenscyclus van één activaklasse, certificaten, zeer goed. Cryptografisch posture management inventariseert elke activaklasse en de relaties daartussen.

Dekkingsgebied	Hoe de twee zich tot elkaar verhouden
Certificaten op loadbalancers en eindpunten	Dit wordt goed afgedekt door CLM-tools; CBOM Secure dekt dit ook via TLS en certificaatopslagdetectie.
Sleutels in HSM's, KMIP-servers en cloud-KMS	Buiten het gebruikelijke CLM-bereik dekt CBOM Secure deze aspecten via HSM, sleutelbeheer en clouddetectie.
Algoritmen die in de broncode zijn vastgelegd	Niet zichtbaar voor CLM; CBOM Secure scant broncode in zeven talen.
Database TDE-sleutels en -wallets	Niet zichtbaar voor CLM; gedekt via database TDE-detectie.
Belangrijk materiaal dat in AD voorkomt (NGC, gMSA, DPAPI)	Niet zichtbaar voor CLM; gedekt via Active Directory-detectie.
Kwantumkwetsbaarheidsmarkering voor alle activa	CLM ziet alleen certificaten; CBOM Secure tagt sleutels, certificaten en protocollen voor de gehele organisatie.

CBOM Secure integreert ook naadloos met CertSecure Manager , het certificaatbeheersysteem van Encryption Consulting, waardoor ontdekkingsresultaten en certificaatbeheerprocessen met elkaar verbonden blijven in plaats van in aparte consoles te worden beheerd.

Hoe wordt CBOM Secure ingezet?

Het platform kan on-premises, in de cloud, hybride of als SaaS worden ingezet, inclusief omgevingen zonder internetverbinding. Het verzamelen van gegevens gebeurt agentloos voor cloud- API's , KMIP-servers, databases, HSM's en TLS-eindpunten, en agentgebaseerd voor bestandssystemen, broncode en OS-vertrouwensarchieven. Agents authenticeren via kortstondige JWT's die alleen zijn gekoppeld aan schrijfbewerkingen voor ontdekking. De meeste productieomgevingen combineren beide modi. Een plug-inarchitectuur voegt nieuwe ontdekkingsbronnen toe als modulaire componenten, waardoor aangepaste of eigen infrastructuur aan de inventaris kan worden toegevoegd zonder wijzigingen in het kernplatform.

Veelgestelde vragen

Wat is cryptografisch houdingsbeheer?

Het continu opsporen, inventariseren, risicobeoordelen en beheren van alle cryptografische activa binnen een organisatie: sleutels, certificaten, algoritmen en protocollen, in zowel infrastructuur als code. Het breidt certificaatbeheer uit naar het volledige cryptografische ecosysteem.

Wat is het verschil tussen een CBOM en een SBOM?

Een SBOM inventariseert softwarecomponenten en -versies. Een CBOM inventariseert cryptografische activa en hun onderlinge relaties. Beide kunnen worden weergegeven in CycloneDX, het formaat dat CBOM Secure exporteert.

Welke HSM-leveranciers worden door CBOM Secure ondersteund?

Elke PKCS#11 v2.x-compatibele module, met geteste dekking inclusief Entrust nCipher en nShield, Thales Luna, Utimaco SecurityServer, IBM 4767, 4768 en 4769, AWS CloudHSM, Azure Dedicated HSM, Yubico YubiHSM 2, Nitrokey HSM 2, Securosys Primus, Marvell LiquidSecurity en SoftHSM2.

Welke KMIP-servers vallen hieronder?

Elke server die KMIP 1.0 tot en met 2.1 ondersteunt, inclusief Thales CipherTrust Manager, Entrust KeyControl, IBM SKLM, Fortanix DSM, Utimaco ESKM, Oracle Key Vault en HashiCorp Vault in KMIP-modus.

Leest CBOM Secure privé-sleutelmateriaal?

Nee. HSM-, database-, directory- en hardware-token-detectiegegevens bevatten alleen metadata en vermeldingen van het bestaan ​​ervan. Privésleutels blijven op hun plaats.

Hoe ondersteunt het post-kwantummigratie?

Algoritmen die kwetsbaar zijn voor kwantumaanvallen worden automatisch gemarkeerd in sleutels, certificaten, protocollen en broncode. Ingebouwde KPI's rapporteren het aantal kwantumveilige versus niet-kwantumveilige algoritmen, zodat u de implementatie kunt meten aan de hand van CNSA 2.0 en NIST IR 8547 in plaats van deze te beweren.

Wat exporteert het?

De volledige inventaris in CycloneDX, plus dashboards, KPI-rapporten en een cryptografisch verifieerbaar auditspoor van elke activawijziging.

Vervangt het mijn certificaatbeheerder?

Nee. Het vormt een aanvulling op tools voor de levenscyclus van certificaten door de activaklassen te dekken die deze tools niet dekken, en het integreert naadloos met CertSecure Manager.

Conclusie

Cryptografisch posture management dicht de leemte die dashboards en spreadsheets met certificaten openlaten: een compleet, continu bijgewerkt overzicht van elke sleutel, elk certificaat, elk algoritme en elk protocol in de omgeving. CBOM Secure levert dat overzicht door middel van geautomatiseerde detectie , een gededupliceerde CycloneDX-inventaris, een risicoscore van 0 tot 100 en een continue evaluatie van het beleid aan de hand van de frameworks die auditors daadwerkelijk aanhalen. Of het nu gaat om de inventarisvereiste van PCI DSS 4.0, de post-quantum tijdlijn van CNSA 2.0 of de volgende auditcyclus, het begint met weten welke cryptografie u gebruikt. CBOM Secure zorgt ervoor dat die kennis continu beschikbaar is in plaats van jaarlijks.

Start

Een proof of concept verloopt het snelst wanneer u de doelwitten kunt benoemen: welke HSM's, welke KMIP-server, welke databases, welke repositories. Neem die lijst mee naar een walkthrough en wij laten u zien wat de discovery-resultaten opleveren. Neem contact op met Encryption Consulting via [email protected] of bezoek www.encryptionconsulting.com.