Inzicht in CP en CPS in PKI

Public Key Infrastructure (PKI) is gebaseerd op een raamwerk van beleid en procedures om vertrouwen te creëren. Twee belangrijke documenten in elke PKI zijn het Certificate Policy (CP) en de Certification Practice Statement (CPS) . Deze documenten definiëren de beveiligingsgaranties die een certificaat biedt en hoe een certificeringsinstantie deze levert. Dit artikel behandelt CP en CPS in detail, maakt onderscheid tussen beide en verwijst naar relevante standaarden, waaronder RFC 3647, RFC 6484, RFC 7382, WebTrust en het CA/Browser Forum.

Kort antwoord: Wat zijn CP en CPS in PKI?

Een certificaatbeleid (CP) is een document op hoog niveau dat definieert waar een certificaat voor dient en welk betrouwbaarheidsniveau het biedt. Een certificeringspraktijkverklaring (CPS) is het operationele document dat beschrijft hoe een certificeringsinstantie deze beleidsvereisten implementeert. Het CP is de strategie; de ​​CPS is de tactiek. Beide documenten zijn vereist door auditors, toezichthouders en het CA/Browser Forum voor elke PKI die aanspraak maakt op publiek of zakelijk vertrouwen.

Key Takeaways

• Het CP definieert het doel van een certificaat en het betrouwbaarheidsniveau dat het biedt. Het CPS beschrijft hoe de CA operationeel aan die eisen voldoet. Het CPS mag het CP niet tegenspreken en kan alleen specifieker of restrictiever zijn.
• Beide documenten moeten gestructureerd zijn volgens RFC 3647 voor publiekelijk vertrouwde CA's onder de basisvereisten van het CA/Browser Forum. Sectie 2.2 van de basisvereisten schrijft dit formaat expliciet voor.
• Het CA/Browser Forum vereist dat publiekelijk vertrouwde CA's hun CP/CPS minstens jaarlijks herzien en bijwerken, zelfs als er geen wijzigingen worden aangebracht. Versienummers en datums moeten worden verhoogd om te bevestigen dat de herziening heeft plaatsgevonden.
• Het CA/Browser Forum-voorstel SC-081v3 (april 2025) verkort de maximale geldigheidsduur van openbare TLS-certificaten tot 200 dagen (maart 2026), 100 dagen (maart 2027) en 47 dagen (maart 2029). Elke verkorting van de geldigheidsduur kan updates van CP/CPS vereisen om de nieuwe toegestane geldigheidsperioden en automatiseringsvereisten te weerspiegelen.
• Zonder een gedocumenteerd CP en CPS kunnen organisaties niet slagen voor WebTrust-audits voor CA's, CA/Browser Forum-nalevingscontroles uitvoeren of PKI-governance aantonen aan auditors onder HIPAA, PCI DSS, DORA of ISO 27001.

Inleiding: Wat CP en CPS inhouden

Een certificaatbeleid (CP) is een specificatie op hoog niveau van beveiligingsvereisten en regels voor certificaatgebruik. Het beschrijft waarvoor een certificaat bedoeld is en het niveau van vertrouwen of zekerheid dat het biedt, en omschrijft de grenzen en acceptabele toepassingen van certificaten van een bepaalde PKI. Een CP kan bijvoorbeeld specificeren dat een bepaalde klasse certificaten geschikt is voor het beveiligen van TLS-webservers en de vereisten voor identiteitsverificatie bij uitgifte definiëren.

Een Certification Practice Statement (CPS) is een gedetailleerde beschrijving van hoe de certificeringsinstantie voldoet aan de eisen van het CP. Het wordt gedefinieerd als een verklaring van de werkwijzen die een certificeringsinstantie hanteert bij het uitgeven, beheren, intrekken en vernieuwen van certificaten. De CPS documenteert de operationele procedures en beveiligingsmaatregelen: hoe de CA identiteitsverificatie uitvoert, haar privésleutels beschermt, certificaten genereert en intrekkingen afhandelt.

Het CPS moet consistent zijn met het CP. Het CPS beschrijft gedetailleerder hoe een CA een bepaald certificaatbeleid implementeert en mag niet in tegenspraak zijn met wat in het CP staat. Als het CP bijvoorbeeld alleen het uitgeven van certificaten voor e-mailversleuteling toestaat, mag het CPS geen procedures beschrijven voor het uitgeven van TLS-servercertificaten buiten dat toepassingsgebied.

De CP en CPS vormen samen de openbaarmaking van de bedrijfspraktijken van de CA en dienen als het governancekader voor de activiteiten van de CA. De CP moet openbaar beschikbaar zijn voor alle partijen die erop vertrouwen; de meeste CA's publiceren ook hun CPS openbaar. Sommige organisaties combineren deze voor de eenvoud in één CP/CPS-document; andere houden ze apart bij.

Wie zou zich moeten bekommeren om CP en CPS?

Het beheer van CP en CPS is niet in handen van één enkel team. Iedere functie hieronder heeft er direct belang bij dat deze documenten volledig, actueel en in lijn zijn met zowel de operationele praktijk als de wettelijke vereisten.

Rol	Waarom het uitmaakt	Actie-item
PKI-beheerders	Beheer de operationele procedures zoals vastgelegd in de CPS: sleutelgeneratieceremonies, workflows voor certificaatuitgifte, intrekkingsprocedures en HSM-beheer.	Zorg ervoor dat CPS de huidige CA-activiteiten nauwkeurig weergeeft; signaleer alle operationele wijzigingen die een herziening van CPS vereisen; documenteer alle belangrijke ceremonies met bewijsmateriaal van dubbele controle.
Beveiligingsarchitecten	Neem de verantwoordelijkheid voor de beleidsbeslissingen die in het CP zijn vastgelegd: betrouwbaarheidsniveaus, goedgekeurde certificaattypen, algoritmenormen en het vertrouwensmodel.	Definieer CP-borgingsniveaus die aansluiten bij wettelijke verplichtingen; handhaaf de algoritme-ondergrenzen van NIST SP 800-131A; neem crypto-flexibiliteit en PQC-gereedheidsplanning op in het CP-ontwerp.
Platform-/DevOps-teams	Moet opereren binnen de certificaattypen, geldigheidsperioden en uitgifteregels zoals gedefinieerd in het CP; zelfondertekende certificaten of niet-goedgekeurde CA's schenden de CP-controles.	Raadpleeg CP om inzicht te krijgen in de goedgekeurde certificaattypen en geldigheidsperioden; integreer geautomatiseerde uitgifte op basis van ACME in pipelines, waarbij uitsluitend goedgekeurde CA's worden gebruikt.
Compliance	De controles op het gebied van cybersecurity en cybersecurity moeten worden afgestemd op de wettelijke vereisten (HIPAA, PCI DSS, DORA, ISO 27001) en de documenten moeten worden bijgewerkt wanneer de normen wijzigen.	Voer jaarlijks een CP/CPS-evaluatie uit aan de hand van de huidige CA/Browser Forum Baseline Requirements en de toepasselijke regelgeving; houd versiebeheer en goedkeuringsregistraties bij.
CISO's	Verantwoordelijk voor het algehele PKI-beheer; wijzigingen in CP kunnen goedkeuring van de CISO of PMA vereisen; hiaten in CP/CPS leiden tot directe blootstelling aan regelgeving.	Goedkeuring van CP-wijzigingen; financiering van de jaarlijkse CP/CPS-evaluatie en -ontwikkeling voor nieuwe PKI-implementaties; opname van CP/CPS-naleving in risicorapportage op bestuursniveau.

Belangrijke aspecten van een certificeringsbeleid

Een certificaatbeleid beschrijft de soorten certificaten en hun gebruik (authenticatie, digitale handtekening, encryptie) en het niveau van identiteitsverificatie of beveiliging dat vereist is voor de uitgifte van certificaten, vaak aangeduid als betrouwbaarheidsniveaus . Veel certificaatbeleidsdocumenten definiëren meerdere betrouwbaarheidsniveaus of certificaatklassen.

Voorbeeld: Het PKI-certificaatbeleid van de Canadese overheid definieert vier betrouwbaarheidsniveaus (Rudimentair, Basis, Gemiddeld, Hoog) voor elk van twee brede toepassingen (digitale handtekening en vertrouwelijkheid), wat resulteert in acht verschillende beleids-OID's binnen één CP-document.

Elk niveau kent steeds strengere eisen en komt overeen met een unieke beleidsobject -identificatiecode (OID) die in certificaten is opgenomen. Door de beleids-OID op te nemen in de extensie 'Certificate Policies' van een certificaat, wordt het certificaat gekoppeld aan de regels van het CP (Certificate Policy), waardoor software of auditors kunnen vaststellen aan welk beleid het certificaat zich naar eigen zeggen houdt.

Een CP wordt ook gebruikt om vertrouwensbeslissingen en -vergelijkingen te vergemakkelijken . Verschillende organisaties of CA's kunnen hun certificaten koppelen aan gestandaardiseerde CP OID's om aan te geven dat ze aan bepaalde gemeenschappelijke criteria voldoen. Het document 'Baseline Requirements ' van het CA/Browser Forum fungeert als een de facto certificaatbeleid voor publiekelijk vertrouwde TLS-servercertificaten en definieert de minimale vereisten waaraan al dergelijke certificaten en CA's moeten voldoen. Elke publiekelijk vertrouwde CA moet een CP/CPS openbaar maken waarin de Baseline Requirements als beleid voor TLS-uitgifte zijn opgenomen.

CP- en CPS-woordenlijst: belangrijke termen, wanneer ze relevant zijn en overwegingen bij de implementatie

Gebruik deze referentietabel om de belangrijkste CP- en CPS-concepten te begrijpen, te bepalen wanneer elk concept van toepassing is op uw omgeving en de juiste implementatieaanpak te kiezen.

Concept	Definitie	Als het er toe doet	Implementatieoverwegingen
Certificaatbeleid (CP)	Een document op hoog niveau waarin wordt gedefinieerd waar een certificaat voor dient, welk niveau van zekerheid het biedt en aan welke eisen moet worden voldaan voordat het wordt afgegeven.	Elke PKI-implementatie; vereist door WebTrust, CA/Browser Forum, HIPAA, PCI DSS, DORA en ISO 27001	Structuur conform RFC 3647; definieer beleids-OID's voor elk certificaattype en betrouwbaarheidsniveau; maak deze openbaar beschikbaar.
Certificeringspraktijkverklaring (CPS)	Operationeel document waarin wordt beschreven hoe een certificeringsinstantie (CA) de CP-vereisten implementeert: identiteitsverificatie, sleutelceremonies, uitgifte en intrekking van certificaten en auditcontroles.	Bij elke CA-implementatie vragen auditors hier als eerste om; dit is vereist volgens sectie 2.2 van de basisvereisten van het CA/Browser Forum.	Structuur volgens RFC 3647; mag niet in tegenspraak zijn met het CP; kan restrictiever zijn; minimaal jaarlijks bijwerken.
Beleid OID	Object-ID ingebed in uitgegeven certificaten die het certificaat koppelt aan een specifiek CP-borgingsniveau, waardoor geautomatiseerde vertrouwensbeslissingen mogelijk worden.	Bij het afgeven van certificaten die een specifiek betrouwbaarheidsniveau claimen (bijv. EV, IV, DV); vereist voor EV-certificaten volgens de CABF EV-richtlijnen.	Definieer OID's in het CP; zorg ervoor dat het CLM-platform de juiste OID in de uitgegeven certificaten opneemt; documenteer de OID-naar-beleid-mapping.
Beveiligingsniveau	Een classificatie binnen het CP die de strengheid van de identiteitsverificatie definieert die vereist is voordat een certificaat wordt afgegeven (bijv. Rudimentair, Basis, Gemiddeld, Hoog).	Bij het uitgeven van certificaten voor verschillende gebruiksscenario's die verschillende niveaus van identiteitsvertrouwen vereisen (apparaat versus persoon versus organisatie)	Koppel de beveiligingsniveaus aan de procedures voor identiteitsverificatie in het CPS; stem de niveaus af op de wettelijke vereisten (CMMC, FedRAMP, eIDAS).
RFC 3647-raamwerk	De IETF-standaard (2003) biedt een gestandaardiseerd raamwerk van negen secties voor CP- en CPS-documenten, waardoor een consistente structuur mogelijk is voor verschillende CA's.	Alle CP- en CPS-auteursrechten; verplicht gesteld door CA/Browser Forum Baseline Requirements Sectie 2.2; aanbevolen door WebTrust	Gebruik de sectienummering van RFC 3647; schrijf 'Geen bepaling' voor niet-toepasselijke secties in plaats van ze leeg te laten.
Geen bepaling	De formulering die in een CP of CPS wordt gebruikt om expliciet aan te geven dat een sectie niet van toepassing is, waarmee wordt bevestigd dat de weglating opzettelijk is volgens de richtlijnen van CA/Browser Forum.	Wanneer een certificeringsinstantie (CA) een specifieke functie niet uitvoert (bijvoorbeeld, het niet toestaat dat certificaten worden opgeschort)	Laat secties van RFC 3647 nooit leeg; gebruik 'Geen bepaling' om opzettelijke niet-toepasselijkheid te bevestigen.
Beleidsbeheerautoriteit (PMA)	Het bestuursorgaan dat verantwoordelijk is voor het goedkeuren van wijzigingen in het CP kan intern zijn (CISO plus PKI-beheerder) of extern (CA/Browser Forum voor basisvereisten).	Elke wijziging van het CP; verzoeken om kruiscertificering waarbij een gelijkwaardigheidsbepaling van het beleid vereist is.	Definieer de PMA in het CP; documenteer het goedkeuringsproces en de quorumvereisten voor CP-wijzigingen.
Registratie Autoriteit (RA)	Een entiteit die door een certificeringsinstantie (CA) is gemachtigd om namens de CA identiteitsverificatie uit te voeren, maar die zelf geen certificaten uitgeeft.	Wanneer identiteitsverificatie wordt uitbesteed aan een derde partij; gebruikelijk in PKI-omgevingen binnen bedrijven (bijvoorbeeld HR als RA voor werknemerscertificaten).	Documenteer de verantwoordelijkheden en beperkingen van de RA in het CPS; de RA moet voldoen aan de relevante CP/CPS-bepalingen volgens de WebTrust-vereisten.

Certificeringspraktijkverklaring (CPS): Implementatie van het beleid

Als het CP het 'wat' en 'waarom' beschrijft, dan beschrijft het CPS het 'hoe'. Het CPS is een gedetailleerd, technisch document dat de werkwijzen en procedures beschrijft die een CA gebruikt om te voldoen aan de eisen van een of meer CP's. Dit omvat onder andere hoe de CA de identificatie en authenticatie van aanvragers uitvoert, hoe sleutels worden gegenereerd en beveiligd, hoe certificaten worden uitgegeven en geleverd, hoe intrekkingsinformatie wordt gepubliceerd en andere operationele details.

Een CPS (Certificate Practice Statement) wordt doorgaans geschreven vanuit het perspectief van de bedrijfsvoering van de certificeringsinstantie en gebruikt door auditors, interne beveiligingsteams en beleidsmakers om te controleren of de daadwerkelijke werkwijzen van de CA in overeenstemming zijn met het beleid. In tegenstelling tot CP's (die vaak worden vastgesteld door een beleidsmaker of brancheorganisatie), wordt een CPS meestal door de CA zelf opgesteld. De meeste publieke CA's maken hun CPS openbaar voor transparantie; in sommige private of interne PKI's (Public Key Infrastructures) kan een CPS intern blijven en alleen worden gedeeld met vertrouwende partijen, auditors of partners.

Typische inhoud van een CPS

• Organisatorische verantwoordelijkheden: rollen zoals CA, registratieautoriteit en abonnee.
• Procedures voor identiteitsverificatie: hoe de CA of RA de identiteit van certificaataanvragers verifieert.
• Beheer van de levenscyclus van certificaten: procedures voor uitgifte, verlenging, hercodering, wijziging, schorsing en intrekking.
• Beveiliging van faciliteiten en personeel: fysieke beveiliging, personeelsbeveiliging, antecedentenonderzoek, functiescheiding.
• Technische beveiligingsmaatregelen: cryptografische modulenormen voor HSM'ssleutelgeneratieceremonies, sleutelbescherming, back-up en herstel
• Certificaat- en CRL/OCSP-profielen: technische details over het certificaatformaat en de intrekkingsinfrastructuur.
• Nalevings- en auditvereisten: hoe de CA aantoont te voldoen aan de CP.

De belangrijkste regel: CPS mag de CP niet tegenspreken.

De CPS kan specifieker of restrictiever zijn dan de CP, maar mag geen enkele vereiste uit de CP versoepelen. Als de CP een persoonlijke identiteitsverificatie met een overheidsidentificatiebewijs vereist, mag de CPS geen verificatie via e-mail alleen toestaan. Een CPS mag aanvullende procedures bevatten die verder gaan dan de CP, zolang deze de vereisten van de CP niet ondermijnen. Deze consistentie maakt de CP tot de gezaghebbende bron van waarheid voor de vertrouwensclaims van de PKI.

CP versus CPS: verschillen en relatie

Het CP is de strategie; het CPS is de tactiek. Het CP richt zich op welke doelstellingen of garanties moeten worden behaald (en voor wie), terwijl het CPS zich richt op hoe deze in de praktijk te bereiken zijn.

Aspect	Certificaatbeleid (CP)	Certificeringspraktijkverklaring (CPS)
Doel	Definieert waarvoor het certificaat bedoeld is en welke beveiligingsgaranties of -vereisten van toepassing zijn. Algemene regels of criteria voor het gebruik van het certificaat.	Beschrijft hoe de CA voldoet aan de beleidsvereisten. Gedetailleerde beschrijving van de procedures voor het uitgeven en beheren van certificaten.
Focus en doelgroep	Richt zich op de behoeften van de partijen die gebruikmaken van de trust en de trustgemeenschap. Wordt vaak vastgesteld door een beleidsautoriteit of brancheorganisatie.	Richt zich op de interne werking en controles van de CA. Wordt gebruikt door auditors en interne PMA's. Opgesteld door de CA zelf.
Beschrijving	Algemene vereisten, reikwijdte en toepasbaarheid: certificaatgebruik, definities van het betrouwbaarheidsniveau, algemene vereisten. Elk beleid wordt geïdentificeerd door een OID in de uitgegeven certificaten.	Gedetailleerde procedures en technische controles: stappen voor identiteitsverificatie, cryptografische procedures (HSM-details, sleutellengtes), fysieke beveiliging, personeelsbeveiliging, incidentafhandeling.
Veelheid	Eén CP kan meerdere CA's of een volledige PKI beheren; één document kan meerdere gerelateerde beleidsregels bevatten (meerdere betrouwbaarheidsniveaus of certificaattypen).	Doorgaans is er één CPS per CA of CA-familie. Een enkele CPS kan meerdere CP's omvatten. Organisaties voegen CP's en CPS'en soms samen in één document.
Bestuur en veranderingen	Wijzigingen in CP vereisen mogelijk goedkeuring van een beleidsbeheersautoriteit (PMA) of een externe instantie. Vaak worden versies beheerd en gecontroleerd op een hoger niveau.	Wijzigingen in CPS worden doorgaans door de CA onder toezicht van PMA doorgevoerd. Openbare CA's moeten CP/CPS minstens jaarlijks herzien en bijwerken. Belangrijke wijzigingen kunnen worden gerapporteerd aan auditors of rootprogramma's.

Normen en kaders voor CP en CPS

RFC 3647: Het raamwerk voor CP en CPS

Om consistentie te creëren in de manier waarop CP's en CPS'en worden opgesteld, publiceerde de IETF in 2003 RFC 3647: "Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework". RFC 3647 biedt een gestandaardiseerd overzicht van onderwerpen die een CP- of CPS-document moet behandelen, waardoor het voor beleidsmakers, lezers, auditors en certificeringsinstanties gemakkelijker wordt om informatie in verschillende CP/CPS-documenten te vinden en te vergelijken.

Het raamwerk van RFC 3647 is onderverdeeld in negen hoofdsecties:

1. Inleiding (omvang, documentidentificatie)
2. Publicatie- en repositoryverantwoordelijkheden
3. Identificatie en authenticatie (hoe identiteiten worden gecontroleerd)
4. Levenscyclusvereisten van het certificaat (aanvraag, uitgifte, acceptatie, intrekking, verlenging)
5. Facilitaire, beheers- en operationele controles (fysieke beveiliging, personeelsbeveiliging, auditregistratie)
6. Technische beveiligingsmaatregelen (sleutelbeheer, cryptografische controles, levenscyclusbeveiligingsmaatregelen)
7. Certificaat-, CRL- en OCSP-profielen (details over de technische certificaatindeling)
8. Compliant Audits en andere beoordelingen
9. Overige zakelijke en juridische zaken (disclaimers, financiële verantwoordelijkheid, privacy, vertrouwelijkheid)

Door deze gemeenschappelijke structuur te volgen, dekken een CP en een CPS voor dezelfde CA dezelfde categorieën informatie, waardoor het eenvoudig is te zien hoe de praktijken (CPS) van de CA aan elke beleidsvereiste voldoen. Het CA/Browser Forum heeft in 2015 zijn Baseline Requirements bijgewerkt en vereist nu dat CA's hun CP/CPS structureren volgens RFC 3647. Paragraaf 2.2 van de Baseline Requirements stelt expliciet: het Certificate Policy en/of Certification Practice Statement MOET worden gestructureerd in overeenstemming met RFC 3647 en MOET al het materiaal bevatten dat vereist is door RFC 3647.

Als een bepaald onderdeel niet van toepassing is, moet in de documenten expliciet "Geen bepaling" staan ​​in plaats van het veld leeg te laten. Dit bevestigt voor de lezer dat de weglating opzettelijk is. Als een certificeringsinstantie bijvoorbeeld geen schorsing van certificaten toestaat, zou het CPS-gedeelte over schorsing vermelden: "Niet van toepassing; de certificeringsinstantie schorst geen certificaten."

RFC 6484: Certificaatbeleid voor de RPKI

RFC 6484 is een specifiek certificaatbeleid: "Certificaatbeleid (CP) voor de Resource Public Key Infrastructure (RPKI)". De RPKI is een gespecialiseerde PKI die wordt gebruikt om internetroutering te beveiligen door certificaten uit te geven voor IP-adresblokken en Autonomous System (AS)-nummers. RFC 6484 dient als het gemeenschappelijke, overeengekomen CP voor alle RPKI-deelnemers, inclusief de Regional Internet Registries (RIR's). Het is gestructureerd volgens het RFC 3647-sjabloon en behandelt identificatievereisten voor IP-adrescertificaten, operationele vereisten en intrekkingstermijnen die specifiek zijn voor de RPKI-context.

RFC 7382: CPS-sjabloon voor de RPKI

Als aanvulling op de CP van de RPKI in RFC 6484 publiceerde de IETF in 2015 RFC 7382: "Template for a Certification Practice Statement (CPS) for the RPKI". Dit is een standaard CPS, aangepast aan de RPKI-omgeving en gebaseerd op de structuur van RFC 3647. De richtlijnen zijn specifiek voor RPKI-bewerkingen, zoals sleutelvernieuwingen, beschikbaarheid van repositorygegevens en de operationele vereisten van een RPKI CA, zoals een RIR.

WebTrust-principes en CA/Browser Forum-richtlijnen

WebTrust for Certification Authorities moedigt openbare certificeringsinstanties (CA's) sterk aan en vereist in feite dat een CA een CP/CPS-document heeft dat voldoet aan het standaardraamwerk. WebTrust-auditors controleren of de CA haar praktijken met betrekking tot de levenscyclus van sleutels en certificaten openbaar maakt via een CP/CPS-document en of de CA deze openbaar gemaakte praktijken daadwerkelijk naleeft. Externe registratie-instanties die door een CA worden gebruikt, moeten voldoen aan de relevante bepalingen van het CP/CPS-document van de CA, waardoor het CP/CPS-document de gezaghebbende bron is voor wat een registratie-instantie wel of niet mag doen.

De basisvereisten van het CA/Browser Forum (CABF) dienen als een overkoepelend CP (Certificate Profile) dat alle publiekelijk vertrouwde CA's (Certificate Authoritys) moeten implementeren. Belangrijke vereisten zijn onder meer: ​​het CP/CPS moet 24/7 publiekelijk beschikbaar zijn in tekstformaat en in het Engels; het CP/CPS moet duidelijk aangeven op welke certificaten (rootcertificaten, sub-CA's) het van toepassing is; het CP/CPS moet voldoen aan het RFC 3647-formaat, waarbij elke subsectie is ingevuld (zelfs als dit slechts "Geen bepaling" is); uitgevers van EV-certificaten moeten een specifieke beleids-OID in EV-certificaten opnemen en de naleving van de EV-richtlijnen in hun CP/CPS bevestigen; en CA's moeten hun CP/CPS minstens jaarlijks herzien en bijwerken , waarbij het versienummer en de datum worden verhoogd, zelfs als er geen operationele wijzigingen zijn.

De combinatie van RFC 3647 en deze branchevereisten heeft de structuur en het onderhoud van CP/CPS-systemen in de hele branche vrijwel uniform gemaakt. Een vertrouwende partij of auditor kan elk CP/CPS-systeem raadplegen en vinden waar het betrekking heeft op identiteitsverificatie (sectie 3 van RFC 3647) of sleutelbeheer (sectie 6), en dit vergelijken met de documenten van een andere certificeringsinstantie of met de verwachte standaarden.

CP/CPS en certificaatlevenscyclusbeheer

Het CP definieert de regels waaraan een platform voor certificaatlevenscyclusbeheer (CLM) moet voldoen. Goedgekeurde CA's, toegestane geldigheidsperioden voor certificaten, vereiste algoritmen en vereisten voor identiteitsverificatie, zoals vastgelegd in het CP, moeten allemaal worden weerspiegeld in het beleid van het CLM-platform. Het CPS beschrijft hoe de CA deze regels operationeel implementeert.

Aangezien de CA/Browser Forum-stemming SC-081v3 (april 2025) de maximale geldigheidsduur van openbare TLS-certificaten per maart 2029 terugbrengt tot 47 dagen, moeten CP/CPS-documenten worden bijgewerkt om deze nieuwe toegestane geldigheidsperioden weer te geven. Daarnaast moet CLM-automatisering worden ingezet om de resulterende vernieuwingscyclus te beheren. Handmatig certificaatbeheer kan een vernieuwingscyclus van 47 dagen bij een aanzienlijk certificaatvolume niet aan.

Voor organisaties die hun PKI bouwen of moderniseren, bieden PKI-as-a-Service -providers doorgaans een CPS aan die de beheerde CA-infrastructuur dekt. ​​Organisaties kunnen hiernaar verwijzen in hun eigen CP/CPS-documentatie. Voor organisaties die hun cryptografische infrastructuur in kaart moeten brengen voordat ze een CP opstellen, automatiseert CBOM Secure de cryptografische ontdekking in hybride en multi-cloudomgevingen en genereert een cryptografische materiaallijst die als basis dient voor de definitie van de CP-scope. Voor de planning van de voorbereiding op de post-quantumcrisis biedt het PQC Center of Excellence richtlijnen die zijn afgestemd op NIST FIPS 203, 204 en 205 en die als leidraad kunnen dienen voor beleidsbeslissingen met betrekking tot CP-algoritmen.

Hoe encryptieconsultancy kan helpen

Encryption Consulting LLC biedt gespecialiseerde expertise in het ontwikkelen van Certificate Policy (CP) en Certification Practice Statement (CPS) documenten om ervoor te zorgen dat de PKI van een klant voldoet aan de regelgeving, veilig is en in lijn met de industriestandaarden. Consultants gebruiken RFC 3647 als sjabloon voor CP/CPS-documentatie , waarbij ervoor wordt gezorgd dat alle vereiste secties en controles worden behandeld volgens de CA/Browser Forum Baseline Requirements en WebTrust-criteria, afgestemd op de unieke omgeving en specifieke complianceverplichtingen van de organisatie.

Gapanalyse en PKI-nalevingsbeoordelingen

Encryption Consulting ondersteunt klanten met uitgebreide PKI-beoordelingen en gap-analyses om te voldoen aan de compliance-eisen. De PKI-beoordelingsdiensten omvatten een gedetailleerde gap-analyse waarbij cryptografische werkwijzen, operationele procedures en bestaand beleid worden vergeleken met de beste praktijken in de branche en de vereiste normen. Hierbij worden kwetsbaarheden of niet-conforme gebieden blootgelegd die de PKI in gevaar kunnen brengen.

Als onderdeel van deze beoordelingen voert Encryption Consulting een gerichte beleidsanalyse uit, waarbij bestaande CP- en CPS-documenten worden gecontroleerd op afstemming met de NIST-richtlijnen, ISO 27001 en andere regelgevende kaders. Afwijkingen worden gesignaleerd voor correctie. Door zwakke punten in governance, certificeringspraktijken of technische controles te identificeren, bereidt Encryption Consulting organisaties voor op het met vertrouwen doorstaan ​​van audits (intern, extern of WebTrust voor openbare CA's). Rapporten en richtlijnen dienen als een routekaart voor continue naleving in plaats van een eenmalige audit.

Conclusie

CP's en CPS'en belichamen het principe van vertrouwen, maar ook van verificatie. Het zijn de documenten waarmee we kunnen verifiëren waarom we een digitaal certificaat zouden moeten vertrouwen en hoe dat vertrouwen wordt beheerd. De CP stelt de regels vast; de CPS bewijst dat de CA zich eraan houdt. Samen vormen ze het governancekader dat toezichthouders, auditors en vertrouwende partijen gebruiken om de betrouwbaarheid van PKI's te beoordelen.

In een wereld die steeds afhankelijker wordt van PKI, van HTTPS en codeondertekening tot slimme netwerken en IoT-apparaatidentificatie, blijven deze beleids- en praktijkrichtlijnen een cruciale rol spelen in cybersecurity. Naarmate de geldigheidsduur van certificaten korter wordt, post-kwantumalgoritmen hun intrede doen en de wettelijke eisen toenemen, is het actueel houden van CP- en CPS-documenten niet alleen een kwestie van compliance, maar een operationele noodzaak.

Veelgestelde Vragen / FAQ

Wat is de belangrijkste conclusie uit 'Inzicht in CP en CPS in PKI'?

Het certificaatbeleid (CP) en de certificeringspraktijkverklaring (CPS) vormen de basis voor het bestuur van elke PKI. Het CP definieert het doel van een certificaat en het betrouwbaarheidsniveau dat het biedt. De CPS beschrijft hoe de certificeringsinstantie (CA) deze betrouwbaarheid in de praktijk levert. Samen vormen ze de documenten die auditors, toezichthouders en vertrouwende partijen gebruiken om te beoordelen of een PKI te vertrouwen is.

Waarom zijn CP en CPS belangrijk voor PKI-teams binnen bedrijven?

Enterprise PKI-teams moeten beschikken over gedocumenteerde CP- en CPS-procedures om audits te doorstaan ​​onder HIPAA, PCI DSS, DORA, ISO 27001, WebTrust en de basisvereisten van het CA/Browser Forum. Zonder deze documenten is er geen governancekader om aan te tonen dat de procedures voor certificaatuitgifte, -intrekking en sleutelbeheer voldoen aan de wettelijke eisen. Het CA/Browser Forum vereist dat publiekelijk vertrouwde CA's hun CP/CPS-procedures minstens jaarlijks herzien en bijwerken.

Welke risico's nemen toe als er geen gedocumenteerde CP en CPS aanwezig zijn?

Zonder gedocumenteerde CP en CPS worden organisaties direct geconfronteerd met auditbevindingen onder HIPAA, PCI DSS, DORA en ISO 27001; het onvermogen om het betrouwbaarheidsniveau van uitgegeven certificaten aan te tonen; inconsistente CA-activiteiten die leiden tot een kloof tussen beleidsintentie en de daadwerkelijke praktijk; het risico op onjuiste uitgifte omdat medewerkers geen gedocumenteerde uitgifteregels hebben; en het onvermogen om kruiscertificering te verkrijgen met andere PKI's waarvoor gedocumenteerde beleidsgelijkwaardigheid vereist is.

Welke teams zouden de CP en CPS moeten bezitten?

De PKI-beheerders zijn verantwoordelijk voor de operationele procedures die in het CPS zijn vastgelegd. Beveiligingsarchitecten zijn verantwoordelijk voor de beleidsbeslissingen die in het CP zijn vastgelegd. Compliance-teams zorgen ervoor dat het CP en het CPS aansluiten op de wettelijke vereisten en worden bijgewerkt wanneer normen veranderen. CISO's zijn verantwoordelijk voor het algehele beheer en keuren alle belangrijke wijzigingen in het CP goed.

Hoe zijn CP en CPS gekoppeld aan certificaatlevenscyclusbeheer?

Het CP (Certificate Policy) definieert de regels die een CLM-platform (Certificate Lifecycle Management) moet handhaven: welke CA's (Certificate Authority) zijn goedgekeurd, welke geldigheidsperioden voor certificaten zijn toegestaan, welke algoritmen vereist zijn en welke identiteitsverificatie nodig is vóór uitgifte. Een CLM-platform zoals CertSecure Manager automatiseert de handhaving van CP-regels voor elk certificaat, waardoor beleidsschendingen geen aanleiding geven tot auditbevindingen of verstoringen van de dienstverlening.

Hoe moeten organisaties succes meten in het beheer van kinderbeschermings- en kinderbeschermingssystemen?

Belangrijke meetpunten zijn onder meer: ​​CP- en CPS-documenten worden minstens jaarlijks beoordeeld en versiebeheerd; alle workflows voor certificaatuitgifte zijn gedocumenteerd in de CPS en consistent met de CP; er zijn geen auditbevindingen met betrekking tot niet-gedocumenteerde PKI-praktijken; er zijn geen discrepanties tussen CP/CPS en de praktijk vastgesteld tijdens interne audits; en er is een volledige afstemming tussen de beleidsvereisten van de CP en de handhavingsregels van het CLM-platform.

Wat moet er in een CP/CPS-programma regelmatig gecontroleerd of gemonitord worden?

Jaarlijkse audit: CP- en CPS-documenten controleren op afstemming met de huidige CA/Browser Forum Baseline Requirements, NIST-richtlijnen en toepasselijke regelgeving; versiebeheer en goedkeuringsdocumenten; en consistentie tussen beleid en praktijk, waarbij wordt bevestigd dat de CA-activiteiten overeenkomen met de CPS-beschrijvingen. Kwartaalevaluatie: nieuwe wijzigingen in de regelgeving of het CABF-beleid die mogelijk een update van de CP/CPS vereisen, en operationele wijzigingen die een herziening van de CPS vereisen.

Welke invloed hebben CP en CPS op cloud-, hybride- of multi-CA PKI-omgevingen?

In hybride en multi-CA-omgevingen moet elke CA in de hiërarchie een eigen CPS hebben die de specifieke operationele procedures beschrijft, die allemaal worden beheerst door een gemeenschappelijke CP. Zonder deze structuur kunnen verschillende CA's volgens tegenstrijdige regels werken, wat tot lacunes in de governance kan leiden. PKI-as-a-Service- providers bieden doorgaans een CPS aan voor hun beheerde CA-infrastructuur, waarnaar organisaties kunnen verwijzen in hun eigen CP/CPS-documentatie.

Welke veelgemaakte fouten moeten teams vermijden bij het schrijven van een CP of CPS?

De meest voorkomende fouten zijn: het niet structureren van de CP en CPS volgens RFC 3647; het leeg laten van secties in plaats van "Geen bepaling" te schrijven voor niet-toepasselijke gebieden; het toestaan ​​dat de CPS de CP tegenspreekt; het niet jaarlijks bijwerken van de CP/CPS, zelfs als er geen operationele wijzigingen plaatsvinden; en het niet koppelen van CP-beleids-OID's aan daadwerkelijke certificaatuitgiften, waardoor beleidsclaims niet kunnen worden geverifieerd in uitgegeven certificaten.

Wat moet er in een CP/CPS-bestuursprogramma elk kwartaal of jaarlijks worden herzien?

Kwartaaloverzicht: updates van het CA/Browser Forum-beleid (Baseline Requirements, EV Guidelines, S/MIME BR) voor wijzigingen die CP/CPS-updates vereisen; NIST-algoritmerichtlijnen (SP 800-131A, SP 800-57) voor wijzigingen in cryptografische standaarden; en eventuele operationele wijzigingen in de CA-omgeving. Jaarlijks overzicht: volledige CP- en CPS-documenten op nauwkeurigheid ten opzichte van de huidige praktijken; de koppeling tussen CP-borgingsniveaus en de handhaving van het CLM-beleid; en kruiscertificeringsovereenkomsten die naar de CP verwijzen. Raadpleeg het PQC Center of Excellence voor richtlijnen met betrekking tot NIST FIPS 203-, 204- en 205-algoritmebeleidsupdates.