Hoe u uw persoonlijke risico-identificatie (PKI) kunt beoordelen: een gezondheidscheckgids

Een PKI-gezondheidscontrole is een gestructureerde beoordeling van de Public Key Infrastructure (PKI) van een organisatie. Deze beoordeling omvat de certificaatinventaris, het ontwerp van de CA-hiërarchie, de sleutelbeveiliging, de beleidsdocumentatie en de operationele processen. Het doel is om risico's te identificeren voordat ze leiden tot een storing, een auditbevinding of een beveiligingsincident.

Een PKI-gezondheidscontrole beoordeelt systematisch vijf gebieden: certificaatinventaris en -zichtbaarheid, CA-hiërarchie en bescherming van de root-sleutel, sterkte van cryptografische algoritmen, beleid en documentatie ( CP/CPS ), en operationele processen zoals automatische verlenging en incidentafhandeling. Het resultaat is een geprioriteerde lijst met tekortkomingen en een stappenplan voor herstel, en niet alleen een score van geslaagd of niet geslaagd.

Key Takeaways

• Een complete inventarisatie van certificaten, inclusief certificaten die buiten het zicht van de centrale IT-afdeling vallen, is het uitgangspunt waarop elk ander onderdeel van een PKI-gezondheidscontrole is gebaseerd.
• De bescherming van de root-CA-sleutel, inclusief de vraag of de root-CA correct offline is en of er een gedocumenteerd sleutelceremonieverslag bestaat, is een van de risicovolste gebieden om te beoordelen.
• Zwakke of verouderde algoritmen, zoals SHA-1 of RSA-sleutels korter dan 2048 bits, komen nog steeds naar voren in gezondheidscontroles van PKI-implementaties die niet actief zijn onderhouden.
• Ontbrekende of verouderde CP/CPS-documentatie komt vaak voor, met name bij interne CA's die snel zijn opgezet zonder governance-documentatie.
• Een gezondheidscheck moet de operationele gereedheid beoordelen voor de afnemende geldigheidsduur van certificaten, gezien de CA/Browser Forum's Het SC-081v3-schema zal in maart 2029 47 dagen duren.

Wat zijn de vijf belangrijkste gebieden die een PKI-gezondheidscheck moet omvatten?

De Omgeving	Wat te beoordelen
Certificaatinventaris	Volledig inzicht in alle certificaten, inclusief die buiten de centrale IT-omgeving.
CA-hiërarchie en sleutelbeveiliging	Offline status van de root-CA, documentatie van de sleutelceremonie en segmentatie van de tussenliggende CA.
Cryptografische sterkte	Aanwezigheid van verouderde algoritmen (SHA-1, korte RSA-sleutels) en verouderde protocolversies
Beleid en documentatie	Of er documentatie over CP/CPS bestaat, of deze actueel is en overeenkomt met de daadwerkelijke praktijk.
Operationele gereedheid	Automatiseringniveau voor verlenging, intrekking en voorbereiding op een kortere geldigheidsduur van certificaten

Hoe ziet de PKI-gezondheidscontrole er stap voor stap uit?

1. Ontdekking: inventariseer elk certificaat, elke certificeringsinstantie (CA) en elke cryptografische sleutel in de gehele omgeving, inclusief schaduw-IT en systemen van derden.
2. Documentatiebeoordeling: vergelijk de bestaande CP/CPS-documentatie met de daadwerkelijk waargenomen praktijken.
3. Technische beoordeling: controleer de sterkte van het algoritme, de sleutelgroottes, de geldigheidsperioden van de certificaten en de gebruikte protocolversies.
4. Procesevaluatie: beoordeel de processen voor verlenging, intrekking en incidentafhandeling op automatisering en duidelijke verantwoordelijkheid.
5. Gap-analyse en prioritering: rangschik de bevindingen op basis van risico en impact op de bedrijfsvoering, niet alleen op basis van het aantal.
6. Herstelplan: volgorde van oplossingen, te beginnen met de grootste risico's en de grootste impact.

Wat zijn de meest voorkomende bevindingen bij een PKI-gezondheidscheck?

• De certificateninventaris is onvolledig, met een aanzienlijk percentage certificaten dat onbekend is bij het centrale team dat de PKI beheert.
• De root-CA is nog steeds online, of er is geen gedocumenteerd verslag van de sleutelceremonie waarmee de root-sleutel oorspronkelijk is gegenereerd.
• Verouderde algoritmen of sleutelgroottes zijn nog steeds aanwezig op sommige uitgegeven certificaten, vaak op oudere of vergeten systemen.
• Ontbrekende, verouderde of puur idealistische CP/CPS-documentatie die de daadwerkelijke operationele praktijk niet weerspiegelt.
• Handmatige processen voor het verlengen van certificaten, zonder automatische waarschuwingen voor naderende vervaldatums.

Hoe vaak moet een PKI-gezondheidscontrole worden uitgevoerd?

Een jaarlijkse gezondheidscontrole is een redelijke basis voor de meeste organisaties, maar de juiste frequentie hangt af van hoe snel de PKI-omgeving verandert en hoe belangrijk recente gebeurtenissen zijn geweest, zoals een compliance-audit, een beveiligingsincident elders in de sector of een grote infrastructuurwijziging zoals een cloudmigratie. Organisaties die zich voorbereiden op een grote verandering, zoals de verkorting van de geldigheidsduur van certificaten door het CA/Browser Forum, zouden ook een gerichte beoordeling moeten uitvoeren vóór elke SC-081v3- deadline om de operationele gereedheid te bevestigen.

Hoe encryptieconsultancy kan helpen

Hoe Encryption Consulting helpt: PKI Services en Encryption Advisory Services voeren gestructureerde PKI-gezondheidscontroles uit volgens deze specifieke methodologie met vijf gebieden. Dit resulteert in een prioriteitsgericht herstelplan in plaats van een algemene scorekaart, en kan de bevindingen direct omzetten in een specifiek PKI-moderniseringsproject. Ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.

Veelgestelde Vragen / FAQ

Wat is de eerste stap bij een PKI-gezondheidscontrole?

De eerste stap is het opstellen van een complete inventaris van certificaten, aangezien elk ander onderdeel van de beoordeling, van de sterkte van het algoritme tot de evaluatie van het verlengingsproces, afhankelijk is van de kennis van welke certificaten en sleutels er daadwerkelijk in de omgeving aanwezig zijn, inclusief certificaten en sleutels die buiten het zicht van de centrale IT-afdeling vallen.

Hoe lang duurt een PKI-gezondheidscontrole doorgaans?

De duur is sterk afhankelijk van de omvang van de omgeving en de volledigheid van de inventarisatie vooraf, maar een gestructureerde gezondheidscontrole voor een PKI van een middelgrote tot grote onderneming duurt doorgaans enkele weken, van de ontdekking tot de oplevering van een herstelplan.

Wat is de meest voorkomende bevinding bij PKI-gezondheidscontroles?

Een onvolledige certificaatinventaris is steevast een van de meest voorkomende bevindingen, omdat certificaten die buiten een gecentraliseerd proces zijn uitgegeven, bijvoorbeeld door individuele applicatieteams, vaak niet worden geregistreerd totdat een systeemcontrole of een storing ze aan het licht brengt.

Moet een PKI-gezondheidscontrole specifiek de root-CA omvatten?

Ja, en het is een van de belangrijkste aandachtspunten. Het beoordelen of de root-CA correct offline is, of er een gedocumenteerd sleutelceremonieverslag bestaat en hoe de tussenliggende CA's zijn gesegmenteerd, pakt het onderdeel met het hoogste risico in de hele hiërarchie aan.

Ontvang een gestructureerde beoordeling van uw PKI

Neem de volgende stap. PKI Services voert een gestructureerde PKI-gezondheidscheck uit op vijf gebieden en levert een stappenplan met prioriteiten voor herstel, niet zomaar een scorekaart. Ontdek PKI Services en plan uw beoordeling in.