Inzicht in sleutelbeheer en het belang ervan voor uw algehele beveiligingshouding is essentieel voor het opzetten van de beste cryptografische infrastructuur voor uw onderneming. Sleutels en certificaten worden voor veel verschillende taken gebruikt en zijn essentieel voor de gegevensbeveiliging van uw organisatie. Uw Hardware Security Module (HSM) is als de motor van een auto – hij is ontworpen voor krachtige cryptografische bewerkingen. Sleutelbeheer is net als de rest van de auto – het is een combinatie van de mensen die hem bedienen, de processen die hem aandrijven en de technologie die hem aandrijft.

Ik heb onlangs deelgenomen aan Encryptie Consulting's virtuele conferentie van 2022, waar ik sprak over encryptie, sleutelbeheer en hoe u het volwassenheidsniveau van uw organisatie op het gebied van sleutelbeheer kunt beoordelen. In dit artikel wil ik een aantal van de nieuwste trends, technologieën en best practices samenvatten om bruikbare informatie over sleutelbeheer te bieden die u in uw organisatie kunt toepassen.

De eerste stap is het beoordelen van het key management maturity level van uw organisatie. Ontwerp vervolgens een key management-vriendelijk ecosysteem en overweeg factoren die belangrijk kunnen zijn voor applicatieontwikkelaars. Bij Futurex hebben we een key management maturity matrix ontwikkeld die hierbij zeer nuttig is en organisaties helpt om zelf te bepalen waar ze staan. De maturity matrix kan solution providers ook helpen bepalen hoe ze hun technologie optimaal kunnen positioneren.

De Key Management Maturity Matrix vraagt organisaties om de volgende vragen te overwegen:

Hoe worden sleutels bewaard?
Waar worden sleutels geïndexeerd?
Hoe wordt de levenscyclus onderhouden?
Hoe worden audits op belangrijk materiaal uitgevoerd?
Wat is uw vermogen om crypto-agility-concepten in de praktijk te brengen?
Hoe wordt beleid gehandhaafd met betrekking tot belangrijk materiaal?

Soms vinden organisaties dat hun key managementstrategie er rommelig uitziet. Toch is het een goede gewoonte om precies te bepalen waar uw organisatie op de matrix staat en hard te werken om die positie te verbeteren. Het model "volledig volwassen, rechtsboven in de grafiek" is echter niet per se het beste voor iedereen.

Key Management Maturity Matrix-niveaus

Geen sleutelbeheermodel

Dit model wordt doorgaans gebruikt nadat een applicatie al is ontwikkeld, wanneer iemand zich realiseert dat cryptografische bewerkingen nodig zijn waarvoor sleutelmateriaal nodig is. Vaak worden deze sleutels opgeslagen op werkstations van ontwikkelaars, of erger nog, in de softwarecode. Het model "geen sleutelbeheer" is een slecht model en brengt aanzienlijke risico's met zich mee voor een onderneming. Dit model is ook niet ideaal, omdat de kans dat iemand uw producten zal gebruiken vrijwel nihil is. Wat we hebben ontdekt, is dat gebrek aan bewustzijn de belangrijkste reden is dat sommige organisaties dit model gebruiken. Een organisatie met dit niveau van volwassenheid op het gebied van sleutelbeheer heeft doorgaans een IT-team dat zich fundamenteel niet bewust is van het probleem. Opleiding is erg belangrijk op dit niveau.
Toepassingsspecifiek sleutelbeheermodel

Applicaties ontwikkelen tools of implementeren applicatiespecifieke tools van derden. Op dit niveau van sleutelbeheer kunnen HSM's worden gebruikt om sleutelmateriaal te beveiligen, maar sleutels kunnen softwarematig zijn. Omdat dit door de applicatie wordt afgedwongen, zijn gebruikers afhankelijk van de mogelijkheden van de applicatie.
Semi-centraal beheerd sleutelbeheermodel

In dit semi-centraal beheerde sleutelbeheermodel heeft een organisatie doorgaans een systeem geïmplementeerd dat sleutels centraal kan beheren. Er kunnen zich echter een paar problemen voordoen. Aan de ene kant is de tool die ze hebben geïmplementeerd mogelijk niet uitgebreid vanuit een oogpunt van functionaliteit en is de organisatie beperkt in het aantal applicaties dat ermee kan communiceren. Aan de andere kant kan een organisatie een volwassen systeem hebben geïmplementeerd met een groot aanbod vanuit compatibiliteitsoogpunt, maar zijn ze nog bezig met de migratie van applicaties ernaar.

In beide fasen zien we een 'vallei van wanhoop'-effect. Soms is er een groot verschil tussen de architecten die het systeem ontwerpen en de rest van de organisatie. Je kunt alle technologie ter wereld hebben, maar als het te complex is om te implementeren en je CFO een cheque met zes nullen aan het eind moet uitschrijven om er de volledige voordelen van te zien, is de kans groot dat het nergens toe leidt.

Bij Futurex is het onze taak als beveiligingsarchitecten en technologiemanagers om ervoor te zorgen dat we hier rekening mee houden. Het is niet genoeg om te zeggen: "Hier, ik heb een Ferrari-motor gebouwd, nu moet jij bedenken hoe je de auto eromheen bouwt."
Hardware-ondersteund, centraal beheerd sleutelbeheermodel

Op dit niveau van hardware-ondersteund, centraal beheerd sleutelbeheermodel heeft een organisatie een robuuste, servicegerichte architectuur voor haar cryptografische infrastructuur geïmplementeerd.

Waar bevindt uw organisatie zich in de Key Management Maturity Matrix?

Er zijn verschillende factoren die het volwassenheidsniveau van het sleutelmanagement van een onderneming bepalen:

De organisatiecultuur van boven naar beneden als het gaat om applicatiebeveiliging en cryptografie.
Regelgevende en auditvereisten.
Toepassingsbehoeften

De behoeften en vereisten van applicaties vormen doorgaans de belangrijkste drijfveer, aangezien applicatieontwikkelaars cryptografische sleutels nodig hebben. Ontwikkelaars en projectleiders die op de hoogte zijn van veelvoorkomende cryptografische aanvallen en sleutelbeheerprincipes, zullen vaak het beveiligingsteam raadplegen om het organisatiebeleid voor sleutelbeheer te bespreken. Naarmate deze verzoeken toenemen, ontstaat er behoefte aan een volwassener sleutelbeheermodel.

Wanneer organisaties zich realiseren dat centraal beheerde sleutelbeheerinfrastructuur cruciaal is, is er vaak een uitdaging om deze bedrijfsbreed te implementeren. Na dit besef wordt een tool geïmplementeerd en begint het proces van het verplaatsen van sleutelbeheeractiviteiten naar de nieuwe infrastructuur.

Bij voorbeeldWe hebben ATM-serviceproviders geholpen bij het loskoppelen van sleutelbeheer van hun ATM-transactieverwerkingsinfrastructuur, zodat ze de beveiliging en het beheer van hun sleutellevenscyclus konden centraliseren. Daarnaast zijn er vele andere voorbeelden die niet branchespecifiek zijn, zoals het ontwikkelen van automatiseringstools die de implementatie van nieuwe applicaties vereenvoudigen. We hebben ontdekt dat elke organisatie met de juiste kennis en tools de overstap kan maken naar een hardwarematige, centraal beheerde infrastructuur.

Er zijn verschillende best practices die sleutelbeheer vereenvoudigen. Een van de belangrijkste vereisten voor uw sleutelbeheerinfrastructuur is dat deze absoluut moet worden aangestuurd door robuuste hardware. U kunt uw oplossing niet volledig 'harden' zonder speciale hardware die gecertificeerd is volgens de strengste internationale compliance-eisen, zoals PCI PTS HSM v3 en FIPS 140-3 Level 3. Uw oplossing moet ook alle use cases voor sleutelbeheer binnen uw organisatie ondersteunen. U wilt niet dat uw sleutelbeheerbeleid versnipperd raakt. Naarmate de complexiteit toeneemt, stijgen de kosten en neemt de beveiliging af.

Met de verkeerde tool kan uw toegangscontrolebeleid al snel aanvoelen als een koorddans met de verkeerde tool. Maak het daarom gedetailleerd genoeg zonder het te belastend te maken om het goed te beheren. Het belangrijkste is dat de levenscyclus van uw sleutels, die niet alleen per organisatie maar ook per use case verschilt, correct moet worden gehandhaafd. U hebt "crypto-agility" nodig om uw bestaande infrastructuur met minimale investeringen in nieuwe projecten toe te passen.

Welke applicatie-integraties zijn belangrijk voor uw organisatie?

Integratie van applicaties met Oracle TDE, Microsoft SQL TDE, VMWare vSphere, Apache Tomcat, Google Workspace en andere aangepaste applicaties voor gegevensbescherming moet allemaal worden overwogen om te bepalen wat zinvol is voor uw organisatie. De volgende stap is het opstellen van een tijdlijn voor de migratie naar een gecentraliseerde sleutelbeheerinfrastructuur en het bepalen van de volgorde.

U moet de sleutelbeheerserver configureren, definiëren welke eindpunten toegang hebben tot het sleutelmateriaal, definiëren hoe die toegang wordt verleend (via een externe identiteitsprovider of nieuw gegenereerde referenties) en de toepassing zelf configureren.

Zoals u ziet, kan het implementeren van best practices voor sleutelbeheer binnen uw organisatie aanzienlijk worden vereenvoudigd met de deskundige begeleiding en tools van Futurex. We kijken ernaar uit u en uw organisatie te mogen begeleiden bij uw sleutelbeheertraject.

Bezoek onze website voor meer informatie over de sleutelbeheeroplossingen van Futurex. Sleutelbeheer