Den tysta krisen inuti din PKI: Hur smarta säkerhetsteam återuppbygger kryptografisk hållning innan det är för sent

I juni 2024 meddelade Google att Chrome skulle sluta lita på offentligt utfärdade TLS -certifikat från Entrust efter den 31 oktober. Mozilla följde upp med sin egen misstroendeåtgärd några månader senare. För företag med Entrust-certifikat utspridda över sina miljöer, och det fanns många, förvandlades de kommande fyra månaderna till en brandövning. Teamen med mogna verktyg för certifikatinventering migrerade kirurgiskt. Teamen utan ett certifikat tillbringade veckor med att bara försöka lista ut vilka av deras certifikat som faktiskt skulle sluta fungera, och var de kördes.

En version av samma kaos har utspelat sig varje kvartal sedan dess. En misstro mot CA. En protokolldeprecering. Ett utgånget internt certifikat som visade sig vara belastningsbärande för en applikation som ingen mindes att de ägde. En rotation av signeringsnyckel utlöst av en leverantörsincident. Den CrowdStrike-drivna paniken i juli 2024 om hur en enda betrodd kod kan ta en bransch offline tvingade fram en parallell uppsättning samtal om kryptografiskt förtroende, eftersom explosionsradien för ett komprometterat eller utgånget certifikat ligger i samma område. Inget av dessa är exotiska problem.

Var och en av dem kan spåras tillbaka till samma grundorsak: en kryptografisk del som organisationen tekniskt sett ägde men inte såg. Om det låter bekant är du inte ensam. Och om det inte låter bekant är det på något sätt värre, eftersom det nästan säkert betyder att det har hänt dig och att du inte har märkt det än.

Det här är en artikel om varför infrastruktur för publika nycklar har blivit det enskilt mest underhanterade lagret inom företagssäkerhet, vad kryptografisk ställning egentligen innebär år 2026, och de mycket specifika saker som mogna säkerhetsteam gör för att åtgärda det. Längs vägen kommer vi att gå igenom var CertSecure Manager och CBOM Secure från Encryption Consulting passar in, och hur Encryption Consultings tjänsteavdelning hjälper kunder att gå från "vi tror att vi har en lista med certifikat någonstans" till "vi vet vad vi har, var det finns och vad det skulle kosta oss om det misslyckades".

Snabbt svar: Vad är kryptografisk hållning och varför spelar det roll nu?

Kryptografisk status är den aggregerade säkerhetsstatusen för varje kryptografisk tillgång som en organisation är beroende av: certifikat, privata nycklar, algoritmer, bibliotek, nyckellängder och protokollimplementeringar. De flesta företag har två till fem gånger fler certifikat än vad deras officiella inventering visar. I kombination med 47-dagars TLS-giltighetsmandatet (mars 2029) och NIST PQC-standarder (augusti 2024) har denna lucka blivit en operativ kris som inte kan skjutas upp.

Key Takeaways

• I nästan varje uppdrag som Encryption Consulting genomför hittar oberoende identifiering två till fem gånger fler certifikat än det officiella inventariet. Finansiella tjänstemiljöer har visat tre tusen certifikat i det officiella kalkylbladet och mer än femton tusen är faktiskt i produktion. De saknade certifikaten är just de som har störst risk att löpa ut utan en förnyelseavisering.
• CA/Browser Forum Ballot SC-081v3 (godkänd april 2025) minskar den maximala giltighetstiden för offentliga TLS-certifikat från 398 dagar till 200 dagar (15 mars 2026), sedan 100 dagar (15 mars 2027) och sedan 47 dagar (15 mars 2029). Vid 47 dagars giltighetstid går ett team som hanterar 5 000 offentliga TLS-certifikat från cirka 14 förnyelser per dag till cirka 110 förnyelser per dag. Tidslinjen på 47 dagar är, operativt sett, ett automatiseringsmandat förklätt som en säkerhetsregel.
• NIST publicerade de första post-kvantkryptografistandarderna den 13 augusti 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) och FIPS 205 (SLH-DSA). Hotet "harvest-now-decrypt-late" innebär att data som krypteras idag under RSA eller ECC redan kan samlas in för framtida kvantkryptering. All data med en sekretesstid som är längre än fem till tio år är nu i riskzonen.
• DigiCert Trust Pulse Survey (juli 2025) visade att 45 procent av företagen upplevde certifikatrelaterade driftstopp under föregående år. Dessa incidenter är inte exotiska; de kan spåras tillbaka till certifikat utanför det hanterade lagret, certifikat utan automatisering av förnyelse och kryptografisk drift som ingen övervakade.
• De fyra återkommande PKI-problemen är: utgångsdatumet som ingen förutspådde, det falska certifikatet, kryptografisk avvikelse och efterlevnadsbristen som blir ett granskningsresultat. De delar en lösning: kontinuerlig, automatiserad, organisationsomfattande insyn i vilken kryptografi organisationen faktiskt har och vilket tillstånd den befinner sig i.

Vem borde bry sig om kryptografisk hållning

Kryptografisk hållning påverkar alla team som utfärdar, är beroende av, styr eller granskar certifikat och kryptografiska tillgångar. Konsekvenserna av svag hållning, allt från avbrott till efterlevnadsfynd och exponering av intrång, sprider sig över hela organisationen när de uppstår.

Roll	Varför det gäller	Åtgärdsobjekt
PKI-administratörer	Fullständighet i eget certifikatlager, livscykelautomation, återkallningsinfrastruktur och policytillämpning vid utfärdande; det två- till femfaldiga upptäcktsgapet representerar certifikat utan förnyelseaviseringar, ingen livscykelstyrning och inga bevis på efterlevnad; vid 47 dagars giltighet måste samma team hantera cirka 110 förnyelser per dag för 5 000 certifikat utan att skala antalet anställda linjärt.	Kör oberoende identifieringsskanningar kvartalsvis över nätverks-, moln-, Kubernetes- och CI/CD-miljöer och jämför antalet med det hanterade lagret; registrera alla certifikatpopulationer för att CertSecure-hanterare för kontinuerlig övervakning av utgångsdatum och automatiserad ACME-baserad förnyelse; tillämpa policy vid utfärdande för algoritm, nyckellängd, giltighetsperiod och godkänd utfärdare innan 47-dagarsmandatet anländer
Säkerhetsarkitekter	Äga det kryptografiska ramverket: definiera vilka algoritmer som är godkända, vilka nyckellängder som krävs, hur privata nycklar skyddas, hur kryptoagilitetsarkitekturen ser ut och hur post-kvantummigreringen kommer att sekvenseras; utan en fullständig kryptografisk inventering är migreringen gissningslek; kryptografisk drift (SHA-1, RSA-1024, föråldrade biblioteksversioner) är osynlig utan kontinuerlig skanning.	Kommission en CBOM-säkerhet kryptografisk materiallista i alla miljöer: algoritmer, biblioteksversioner, protokollimplementeringar och certifikat; använd kvantberedskapsbedömningen för att klassificera tillgångar efter risk och sekvensera PQC-migreringen; designa kryptoagilitet i nya system med hjälp av abstraktionslager och konfigurerbara krypteringssviter; engagera PQC-beredskap bedömningstjänster för strukturerad migrationsplanering
Plattforms- och DevOps-team	Egen integrering av certifikatautomation i CI/CD-pipelines, Kubernetes-ingresser och molncertifikatlagrar; falska certifikat skapas oftast av utvecklare som behöver ett snabbt TLS-certifikat och använder Let's Encrypt eller OpenSSL utanför det hanterade arbetsflödet; dessa certifikat har ingen inventeringshistorik och ingen livscykelhantering; vid 47 dagars giltighetstid blir varje pipeline som utfärdar certifikat manuellt en tillförlitlighetsrisk.	Integrera ACME-baserad certifikatutfärdande i CI/CD-pipelines och Kubernetes ingress-konfigurationer med hjälp av CertSecure Manager; lägg till kryptografisk biblioteksskanning för att bygga pipelines för att upptäcka föråldrad algoritmanvändning vid byggtid snarare än efter distribution; inkludera övervakning av certifikatutgång i plattformens observerbarhetsstackar tillsammans med befintliga hälsokontroller.
Compliance-team	Måste visa kontinuerlig övervakning av kryptografiska kontroller för att uppfylla PCI DSS 4.0, HIPAA, NIST CSF 2.0, NIS2, FedRAMP och EU:s Cyber ​​Resilience Act; revisorer är inte längre nöjda med ett policydokument; de vill ha loggar, inventeringar och bevis på kontinuerlig övervakning; utan automatiserad bevisinsamling blir revisionen ett sex veckor långt kaos där säkerhetsteamet bygger upp bevisspåret för hand.	Bekräfta att CLM-plattformen producerar bevis för efterlevnad i linje med tillämpliga ramverk; inkludera kvartalsvisa kryptografiska inventeringsgranskningar på CBOM-nivå i bevispaketet för efterlevnad; kartlägga färdplanen efter kvantmigrering mot NIST- och NSA CNSA 2.0-tidslinjerna och dokumentera efterlevnad mot varje milstolpe; inkludera PQC-migreringsstatus i säkerhetsrapportering på styrelsenivå.
CISO: er	Kryptografisk hållning är ett av de problem där kostnaden för att inte göra någonting är dold ända fram till det ögonblick då den inte är det; då är det ett avbrott, ett granskningsresultat, ett intrång eller en missad deadline som någon måste förklara för styrelsen; 47-dagarsmandatet och tidslinjen efter kvantmigrering har båda fasta datum som inte kan förhandlas; DigiCert Trust Pulse Survey (juli 2025) fann att 45 procent av företagen upplevde certifikatrelaterade driftstopp och 56.6 procent rankar certifikatutgång bland sina tre främsta bekymmer.	Finansieringens kryptografiska position ska vara ett mätbart program med kvartalsvis rapportering snarare än en ambitiös policy; kräv en bedömning av kryptografisk position som första steg för att fastställa lagerunderskottet och prioritera investeringar; utvärdera PKI som en tjänst för organisationer som inte kan skala upp PKI-driftsteamet till 47-dagars förnyelsekadens; kräva PQC-migreringsfärdplanen och följa den mot NSA CNSA 2.0-milstolpar genom PQC:s kompetenscentrum

Checklista för mognadsgrad för kryptografisk hållning: Problem, affärspåverkan, rekommenderad åtgärd och ägare

Använd den här checklistan för att identifiera vilka kryptografiska luckor som gäller för din miljö, förstå deras affärspåverkan och tilldela ägarskap för åtgärden innan en incident eller ett granskningsresultat tvingar fram en reaktiv respons.

Utgåva	Business Impact	Rekommenderad åtgärd	Ägare
Certifikatlagergap (upptäckt antal är 2–5 gånger hanterat lagerantal)	Certifikat utanför det hanterade lagret har inga förnyelseaviseringar, ingen livscykelstyrning, inga efterlevnadsbevis och inget återkallningsarbetsflöde; de ​​är källan till de flesta oplanerade PKI-avbrott.	Kör oberoende identifieringsskanningar kvartalsvis över nätverk, moln, Kubernetes och CI/CD-miljöer; registrera alla upptäckta certifikat i CertSecure Manager; etablera en kontinuerlig identifieringskadens snarare än en granskning vid en viss tidpunkt.	PKI-administratör
Ingen automatisering av certifikatförnyelse före 47-dagars giltighetsmandat	Vid 47 dagars certifikatgiltighet (15 mars 2029) kräver ett certifikatbestånd på 5 000 certifikat cirka 110 förnyelser per dag; manuella processer kan inte skalas till denna takt; missade förnyelser leder till avbrott utan förvarning.	Implementera ACME-baserad automatisering för förnyelse av alla publika certifikatpopulationer före 100-dagarsmilstolpen (15 mars 2027); integrera CertSecure Manager-förnyelsearbetsflöden med lastbalanserare, webbservrar, Kubernetes-ingångar och molncertifikatarkiv.	PKI-administratör + plattformsteam
Policy som tillämpas efter utfärdande snarare än vid utfärdande	Policytillämpning efter utfärdande skapar en permanent eftersläpning av icke-kompatibla certifikat; teamen kommer aldrig ikapp; varje nytt certifikat som utfärdas utanför policyn ökar åtgärdskön.	Konfigurera policytillämpning vid utfärdande i CertSecure Manager: godkända algoritmer, minsta nyckellängder, maximala giltighetsperioder, godkända utfärdare och godkända nyckelanvändningar; avvisa icke-kompatibla begäranden vid inskickningstillfället	PKI-administratör + säkerhetsarkitekt
Oseriösa certifikat utanför det hanterade lagret	Certifikat som utfärdats av utvecklare, leverantörer eller automatiserade verktyg utanför det hanterade arbetsflödet har ingen policyefterlevnad, ingen livscykelspårning och används i vissa fall av angripare för att etablera persistens genom att utfärda en betrodd autentiseringsuppgift.	Lägg till övervakning av certifikattransparenslogg för alla organisationsdomäner för att fånga upp offentligt betrodda certifikat utfärdade av valfri certifikatutfärdare mot dessa domäner; lägg till övervakning av certifikatutfärdargranskningslogg för interna certifikatutfärdare för att fånga upp certifikat utfärdade utanför det godkända arbetsflödet.	PKI-administratör + säkerhetsteam
Kryptografisk drift (SHA-1, RSA-1024, föråldrade biblioteksversioner i produktion)	Föråldrade algoritmer är osynliga utan kontinuerlig skanning; de skapar efterlevnadsresultat, misslyckas med PCI DSS 4.0- och NIST CSF 2.0-krav, och när det gäller post-kvantumsårbara algoritmer exponerar de långlivad data för attacker som samlar in, dekrypterar och dekrypterar senare.	Implementera CBOM Secure för att bygga en kryptografisk stycklista; konfigurera kontinuerlig skanning av algoritmefterlevnad; flagga alla föråldrade algoritmfynd med riskpoäng och tilldela ägare till reparationer; inkludera föråldrade biblioteksversioner i omfånget, inte bara certifikat.	Säkerhetsarkitekt + PKI-administratör
Ingen CBOM för planering efter kvantmigrering	Migreringen till ML-KEM, ML-DSA och SLH-DSA (NIST FIPS 203/204/205, 13 augusti 2024) kräver att alla system, bibliotek och protokoll som fortfarande använder RSA eller ECC identifieras. Utan en CBOM är migreringens omfattning okänd och sekvenseringen är gissningar.	Beställ en säker kryptografisk materiallista för CBOM som första steget i PQC-migreringsplanering; använd kvantberedskapsbedömningen för att klassificera tillgångar efter risk och prioritera långlivade, värdefulla datalager för migrering först; anlita PQC-beredskapsbedömningstjänster för utveckling av strukturerad migreringsfärdplan.	Säkerhetsarkitekt
Privata nycklar som inte är hårdvarubaserade eller saknar kvorumbaserad åtkomst	Att en rot-CA och kodsigneringsnyckel komprometteras är en av de mest påverkande PKI-incidenterna; en stulen signeringsnyckel gör det möjligt för en angripare att utfärda en betrodd autentiseringsuppgift eller signera skadlig kod; explosionsradien är organisationsomfattande.	Implementera FIPS 140-3 nivå 3 HSM:er för rot-CA och kodsignering av privata nycklar; implementera kvorumbaserade åtkomstkontroller som kräver flera auktoriserade personer för nyckeloperationer; underhåll HSM-åtkomstloggar och inkludera dem i kvartalsvisa säkerhetsgranskningar.	PKI-administratör + säkerhetsarkitekt
Efterlevnadsbevis produceras manuellt snarare än kontinuerligt	Manuell bevisinsamling för PCI DSS 4.0-, HIPAA-, NIST CSF 2.0-, NIS2- och FedRAMP-revisioner kräver sex veckors omarbetning; bevisspåret byggs upp i efterhand snarare än att underhållas kontinuerligt; bevis vid olika tidpunkter uppfyller inte kraven på kontinuerlig övervakning.	Konfigurera CertSecure Manager-efterlevnadsrapportering i linje med tillämpliga ramverk; automatisera bevisinsamling för certifikatutfärdande, förnyelse och återkallelsehändelser; inkludera export av kryptografiska lager på CBOM-nivå i det kvartalsvisa efterlevnadspaketet	Compliance-teamet + PKI-administratör

Den obekväma sanningen om ditt certifikatlager

Här är ett tankeexperiment. Ta fram ditt nuvarande certifikatinventarium och räkna posterna. Be nu en junior ingenjör att spendera två dagar på att köra oberoende identifieringsskanningar över ditt nätverk, dina molnkonton, dina Kubernetes-kluster och certifikattransparensloggarna för dina domäner.

I nästan varje uppdrag som Encryption Consulting genomför är det andra numret minst dubbelt så högt som det första. Ibland är det fem gånger så högt som det första. Vi har gått in i finansiella tjänstemiljöer med tre tusen certifikat i det officiella kalkylbladet och funnit att mer än femton tusen faktiskt är i produktion.

Varifrån kommer de? En utvecklare som behövde ett snabbt TLS-certifikat för ett internt verktyg och använde Let's Encrypt eftersom det var fredag ​​eftermiddag. Ett förvärv som tog med sig en egen certifikatutfärdare och aldrig blev helt integrerat. En leverantörs apparat med ett självsignerat certifikat som automatiskt förnyas till sig själv. En SaaS-integration som skapade ett klientcertifikat under ett proof-of-concept för tre år sedan. Ett jokerteckencertifikat som någon kopierade över fyrtio servrar eftersom kopiering var enklare än att begära ett nytt.

Inget av detta är skadligt. Allt är osynligt. Och allt är ditt problem när något går sönder eller någon ber om en revisionslogg.

Det gapet mellan vad du tror att du har och vad du faktiskt har är det enskilt viktigaste faktumet om kryptografisk hållning, och det är den plats där varje seriöst säkerhetsprogram måste börja.

Vad kryptografisk hållning egentligen betyder

Termen kastas runt i leverantörssammanhang tills den förlorar sin specifika form. Att ta bort marknadsförings- och kryptografiska hållningen är just detta: säkerhetshälsan för varje kryptografisk tillgång som din organisation är beroende av, tagen som helhet.

Det inkluderar de uppenbara sakerna, certifikat och privata nycklar. Det inkluderar också algoritmerna bakom dem, biblioteken som implementerar dessa algoritmer, nyckellängderna som används, skyddsmetoderna för varje nyckel, protokollen som omsluter kryptografin och revisionsloggen som visar vem som rörde vad och när. AES-256 som skyddar dina vilande data räddar dig inte om huvudnyckeln är insvept i en 1024-bitars RSA- nyckel från 2009. Kedjan är precis lika stark som sin svagaste länk, och de flesta miljöer har många fler svaga länkar än någon vill erkänna.

Ett team med stark kryptografisk hållning kan svara på frågor som: varje system i vår miljö som använder SHA-1 idag, varje applikation som anropar en föråldrad kryptografisk biblioteksversion, varje långlivad datalagring som fortfarande förlitar sig på RSA-2048 istället för ett kvantumresistent alternativ. Ett team med svag hållning kan producera ett säkert svar på dessa frågor och ha fel.

Skillnaden mellan de två lagen är inte budgeten. Det handlar om huruvida de bestämde sig för att ta detta på allvar före eller efter händelsen.

De fyra spökena som hemsöker varje PKI

Gå in i vilken miljö som helst som inte har investerat i PKI- övervakning och du kommer att stöta på samma fyra problem, iklädda lite olika kläder.

Det första är utgångsdatumet som ingen förutspådde . Ett certifikat som legat begravt någonstans oviktigt visar sig plötsligt vara bärande för ett kritiskt arbetsflöde, förnyelseuppgiften levde i någons huvud, som någon lämnade för två år sedan, och nu sitter hela teamet i ett videosamtal klockan 3 på morgonen och försöker lista ut vem som har den privata nyckeln. PKI-ingenjörer känner till den här historien. Finanschefer lär sig den så småningom. Det händer fortfarande med välkända företag flera gånger om året, och de offentliga är bara den lilla bråkdelen av incidenter som kunderna märker.

Det andra är det oseriösa certifikatet . Interna CA:er är enkla att konfigurera. Detsamma gäller att hämta ett gratis certifikat från en offentlig utfärdare. Detsamma gäller för en utvecklare som kör OpenSSL för att generera ett självsignerat certifikat för testning. Inget av dessa certifikat följer din policy för nyckellängd, giltighetsperiod eller namngivning. Inget av dem finns i ditt inventarium. Några av dem är i produktion. Några av dem är hur angripare etablerar persistens, eftersom att utfärda en betrodd autentiseringsuppgift till sig själv är ett av de renaste sätten att se ut som att man hör hemma i ett nätverk.

Den tredje är kryptografisk drift . Algoritmer förfaller. SHA-1 gick från att vara "fortfarande i bruk" till "föråldrad" i en offentlig, förutsägbar tidslinje, och den körs fortfarande på system i produktion idag. RSA-1024 är på samma plats. RSA-2048 är på väg dit i takt med att kvantberäkningar mognar. Om du inte aktivt övervakar drift kör du på de algoritmval ditt team gjorde förra gången de rörde systemet, vilket kan vara ett decennium sedan.

Det fjärde är efterlevnadsgapet som blir ett fynd . PCI DSS 4.0, HIPAA , NIST CSF 2.0, NIS2 , EU:s Cyber ​​Resilience Act och en växande lista med ramverk har alla specifika krav kring kryptografiska kontroller och bevis. Revisorer är inte längre nöjda med "vi har en policy". De vill ha loggar, inventeringar och bevis på kontinuerlig övervakning. Utan det blir din revision ett sex veckor långt kaos där säkerhetsteamet bygger upp bevisspåret för hand. Med det blir revisionen en fråga.

Dessa fyra spöken delar en enda exorcism. Synlighet. Kontinuerlig, automatiserad, organisationsomfattande insyn i vilken kryptografi du faktiskt har och vilket tillstånd den befinner sig i.

Varför detta blev brådskande under de senaste 24 månaderna

Två branschförändringar har förvandlat PKI-övervakning från ett "vi borde nog ta itu med det"-projekt till ett "vi kan inte skjuta upp det här längre". Det första är den etappvisa kollapsen av offentligt betrodda TLS-certifikats livslängd mot 47 dagar. Det andra är migreringen till postkvantkryptografi . Båda förtjänar en egen djupdykning, eftersom båda omformar hur kryptografisk hållning måste se ut för att vara försvarbar.

47-dagarsuppgörelsen: Vad CA/Browser Forum-omröstningen faktiskt betyder

I april 2025 godkände CA/Browser Forum Ballot SC-081v3, den mest betydande ändringen av offentligt betrodda TLS-certifikat på ett decennium. Huvudsiffran är 47 dagar. Detaljerna nedan är en tidslinje i etapper, och varje steg är viktigt operativt.

Den första milstolpen trädde i kraft den 15 mars 2026. Maximal giltighetstid för nya offentligt betrodda TLS-certifikat minskade från 398 dagar till 200 dagar, och den maximala återanvändningsperioden för valideringsbevis för domänkontroll minskade samtidigt till 200 dagar. De flesta företag lever inom detta system just nu.

Den andra milstolpen inträffar den 15 mars 2027. Maximal giltighetstid sjunker till 100 dagar och återanvändningen av DCV minskar i takt. Den tredje milstolpen inträffar den 15 mars 2029. Giltighetstiden når 47 dagar. Återanvändningen av DCV sjunker till 10 dagar. Det är den sista siffran som överraskar team. Efter början av 2029 kan man inte utfärda ett ettårigt certifikat. Man kan inte utfärda ett kvartalslångt certifikat. Man kan inte förlita sig på ett cachat domänkontrollbevis i mer än en och en halv vecka innan man måste validera om.

Räkna ut vad detta påverkar verksamheten. Ett team som idag hanterar 5 000 publika TLS-certifikat, med en ungefär årlig förnyelsetakt, bearbetar cirka 14 förnyelser per dag. Vid 100-dagarsmilstolpen år 2027 genererar samma inventering cirka 50 förnyelser per dag. Vid 47-dagarsmilstolpen år 2029 genererar samma inventering närmare 110 förnyelser per dag, med DCV-omvalidering för de flesta av dem var tionde dag. Inget team skalar linjärt med den belastningen. Inget team borde försöka.

47-dagars tidslinjen är, operativt sett, ett automatiseringsmandat förklätt som en säkerhetsregel. Manuell förnyelse slutar fungera långt före 2029. ACME-baserad utfärdande, API-driven automatisering och djupa integrationer med de system som faktiskt förbrukar certifikaten blir den enda realistiska vägen. De team som kommer att få det svårt är de som väntar tills volymen tvingar dem att göra det. De team som kommer att klara sig bra är de som automatiserade förnyelseprocessen innan de behövde.

Det är precis detta område som CertSecure Manager byggdes för. Plattformen automatiserar utfärdande, förnyelse och driftsättning via ACME, REST API:er och direkta integrationer mellan lastbalanserare, webbservrar, Kubernetes-ingångar, hantering av mobila enheter och molnbaserade certifikatlagrar. Den hanterar miljöer med flera CA:er, så en ändring av en offentlig CA:s villkor eller en migrering mellan utfärdare bryter inte förnyelseprocessen.

Den tillämpar policyn vid utfärdande, så ett komprimerat giltighetsfönster skapar inte en eftersläpning av icke-kompatibla certifikat. Och identifieringsmotorn visar alla certifikat i miljön, inklusive de som ingen för närvarande har på sin radar, vilket är just de certifikat som är mest sannolikt att misslyckas tyst när förnyelsefönstret minskar från 398 dagar till 47.

För organisationer som inte själva vill hantera förnyelseprocessen, eliminerar Encryption Consultings PKI as a Service- uppdrag hela problemet. Teamet designar, bygger och driver certifikatoperationerna åt kunden, inklusive CertSecure Manager-distributionen, HSM- integrationen samt daglig övervakning och förnyelse. För de flesta företag är kombinationen av automatiseringsverktyg och hanterad verksamhet det som gör att milstolpen 2029 är överlevbar utan en betydande ökning av personalstyrkan.

Post-kvantmigrationen: Var man egentligen ska börja

Den andra deadline för att omforma kryptografiska program är post-kvantum, och den blir svårare att ignorera för varje år. NIST slutförde den första uppsättningen post-kvantumstandarder den 13 augusti 2024. FIPS 203 täcker ML-KEM, nyckelinkapslingsmekanismen tidigare känd som Kyber. FIPS 204 täcker ML-DSA, det digitala signaturschemat tidigare Dilithium. FIPS 205 täcker SLH-DSA, det statslösa hashbaserade signaturschemat tidigare SPHINCS+. NIST har ytterligare standarder på gång, inklusive FIPS 206 som täcker FN-DSA (Falcon), och valde HQC i mars 2025 som en reservmekanism för nyckelinkapsling ifall framtida problem skulle upptäckas med ML-KEM.

Drivkraften bakom dessa standarder är hotet "skörda nu, dekryptera senare". En tålmodig motståndare fångar krypterad trafik idag och väntar på att en kryptografiskt relevant kvantdator ska göra dekryptering möjlig. All data med en sekretesstid som är längre än fem till tio år, inklusive immateriella rättigheter, strategiska planer, vårdjournaler, finansiella modeller och sekretessbelagd myndighetsdata, är redan i fara. Det faktum att kvantdatorer inte kan bryta RSA-2048 idag är irrelevant. Den data som samlas in idag är målet. Klockan har redan startat.

Den amerikanska säkerhetsmyndigheten National Security Agency (NSA) (Commercial National Security Algorithm Suite 2.0) sätter konkreta tidslinjer för migreringen av nationella säkerhetssystem, och dessa tidslinjer omformar även de kommersiella förväntningarna. Programvaru- och firmware-signering bör föredra post-kvantumsignaturer senast 2025 och använda dem uteslutande senast 2030. Webbläsare, servrar och molntjänster bör föredra dem senast 2025 och använda dem uteslutande senast 2033. Operativsystem bör föredra dem senast 2027 och använda dem uteslutande senast 2033. Nischutrustning senast 2030 och 2033. Anpassade applikationer och äldre system senast 2033. Alla nationella säkerhetssystem senast 2035. Finansiella tillsynsmyndigheter, hälso- och sjukvårdsorgan och EU-motsvarigheter publicerar parallella riktlinjer som, även om de är mindre explicita, landar i samma intervall.

Själva migreringen är inte ett flaggskifte. I praktiken ser det ut som ett program i sex steg. Först, upptäck varje kryptografisk tillgång i miljön, inte bara certifikat och nycklar, utan även de kryptografiska biblioteken, protokollimplementeringarna och beroendena under dem. För det andra, klassificera dessa tillgångar efter kvantrisk baserat på konfidentialitetstiden för de data de skyddar och systemets operativa livslängd.

För det tredje, prioritera migreringen så att långlivad data med högt värde skyddas först och att kortlivade system med låg påverkan kan vänta. För det fjärde, pilotprojektera hybridimplementeringar, certifikat och nyckelutbyten som kombinerar en klassisk algoritm med en post-kvantumalgoritm, så att ett avbrott i någon av dem inte äventyrar systemet. För det femte, validera post-kvantumimplementeringarna från början till slut i varje bibliotek, protokoll och konsument i kedjan. För det sjätte, migrera, övervaka och pensionera de klassiska komponenterna enligt ett schema.

Steg ett är där nästan alla program stannar, eftersom de flesta organisationer inte kan producera en komplett kryptografisk inventering . Det är detta CBOM Secure finns för. Plattformen bygger kryptografilistan genom att upptäcka varje algoritm som används, varje nyckel med dess längd och skyddsmetod, varje kryptografiskt bibliotek och version, varje protokollimplementering och varje certifikat, och sedan sammanfoga allt till en enda frågabar bild. Riskbedömningsmotorn lyfter fram föråldrade algoritmer och kvantumsårbar kryptografi. Kvantumberedskapsbedömningen kartlägger inventeringen mot NIST PQC-standarderna och flaggar de system som behöver migreras först.

När den detaljerade inventeringen finns hanterar CertSecure Manager certifikatsidan av migreringen . Den stöder utfärdande och hantering av hybridcertifikat som kombinerar klassiska och post-kvantumalgoritmer, integrerar med HSM:er som har börjat leverera post-kvantumstöd och tillhandahåller policykontroller som gör det möjligt för säkerhetsteamet att gradvis kräva post-kvantumalgoritmer för nyutgivning samtidigt som de fasar ut klassiska certifikat. CBOM Secure berättar vad som ska migreras och i vilken ordning. CertSecure Manager hanterar den operativa mekaniken för att komma dit. För organisationer som bygger en strukturerad migreringsplan tillhandahåller PQC Readiness -bedömningstjänster riskbaserad prioritering och färdplan, med kontinuerlig vägledning tillgänglig via PQC Center of Excellence.

För organisationer som behöver expertvägledning genom den fleråriga sekvenseringen täcker Encryption Consultings rådgivningsverksamhet efter kvantmigrering kryptografisk upptäckt, riskbaserad prioritering, hybridalgoritmstrategi, analys av leverantörs- och produktkompatibilitet samt programhantering. Arbetet är sällan glamoröst. Det är bara skillnaden mellan att nå milstolpen för programvarusignering 2030 i tid och att förklara för en tillsynsmyndighet varför man missade den.

Vad mogna program faktiskt gör

De team som gör detta rätt ser oglamorösa utifrån. De använder inte banbrytande AI på sina kryptografiska data. De gör ungefär åtta specifika saker, konsekvent, under årens lopp.

De bygger upp en komplett inventering innan de gör något annat. Identifiering är grunden som allt annat vilar på, och en inventering på 80 procent är funktionellt värdelös eftersom de saknade 20 procenten är exakt där nästa avbrott sker. Verklig identifiering kombinerar nätverksskanning, agentbaserad insamling, molnleverantörs-API:er, CI/CD-pipelineskanning och övervakning av certifikattransparensloggar. Du fångar upp de certifikat som utfärdats idag och du fångar upp de certifikat som utfärdats av vem som helst, var som helst, mot dina domäner.

De automatiserar certifikatens livscykel. Manuell förnyelse är den största källan till förebyggbara PKI-incidenter i branschen. Automatisering genom ACME, REST API:er och direkta integrationer med de system som använder certifikaten tar bort den mänskliga flaskhalsen. Destinationsläget är ett tillstånd där systemet förnyar och driftsätter, validerar att driftsättningen fungerade och bara eskalerar till en människa när något verkligen är fel.

De tillämpar policyer vid utfärdande, inte efteråt. Policytillämpning i efterhand är hur man får en permanent eftersläpning av icke-kompatibla certifikat som ingen har tid att åtgärda. Policytillämpning vid utfärdande är hur man slutar skapa dessa certifikat från första början.

De centraliserar nyckelhantering med hårdvarubaserade nyckellager. HSM:er, molnnyckelvalv som stöds av hårdvara och liknande tekniker. Kvorumbaserad åtkomst för de känsligaste nycklarna (särskilt signeringsnycklar för rot-CA och kodsigneringsnycklar) är en standard, inte ett undantag. Kostnaden för en HSM är liten i förhållande till kostnaden för en stulen signeringsnyckel.

De bygger in kryptoagilitet i sin arkitektur. Kryptoagilitet är förmågan att byta ut en algoritm mot en annan utan att skriva om applikationen. Det innebär abstraktionslager, konfigurerbara krypteringssviter och modulära kryptografiska bibliotek. Team med kryptoagilitet migrerar till postkvantitet på månader. Team utan den migrerar på år.

De kartlägger sin miljö mot ramverk. NIST SP 800-57, NIST SP 800-131A, FIPS 140-3, CA/Browser Forums baskrav. Dessa är inte valfri läsning. De är ryggraden i alla försvarbara kryptografiska program.

De övervakar kontinuerligt och varnar intelligent. Ett övervakningssystem som söker någon varje gång ett certifikat har 90 dagar kvar kommer att ignoreras inom en vecka. Ett system som skiljer mellan certifikat som skyddas av automatisering och certifikat som kräver en människa, eskalerar baserat på hur kritisk den skyddade tjänsten är och integrerar med befintliga incidentverktyg är ett som faktiskt används.

De planerar post-kvantmigrering nu. Även om teamet inte är redo att börja migrera än, är de redo att veta vad de har och hur stort jobbet kommer att bli.

Var CertSecure Manager passar in

CertSecure Manager är Encryption Consultings plattform för hantering av certifikatlivscykeln, och den är byggd kring den röriga verkligheten att nästan inga företags-PKI är nya. Den typiska miljön har Microsoft ADCS för interna certifikat, publika CA:er som DigiCert eller Sectigo för externt betrodda, AWS Private CA för molnarbetsbelastningar, ett halvdussin interna utfärdare för äldre system och en lång svans av självsignerade certifikat som ingen äger helt och hållet.

CertSecure Manager samlar allt detta i en enhetlig inventering genom nätverksskanning, agentbaserad och agentlös insamling, molnintegrationer och övervakning av certifikattransparensloggar. Den hanterar de obekväma edge-fall (multi-SAN-certifikat, jokertecken, certifikat med icke-standardiserade tillägg, certifikat från CA:er som inte längre finns) som sätter generiska verktyg för tillgångshantering i sticket.

På livscykelsidan automatiserar den utfärdande, förnyelse, distribution och återkallelse via ACME , REST API:er och direkta integrationer med lastbalanserare, webbservrar, Kubernetes- ingångar och hantering av mobila enheter. Arbetsflödesgodkännanden kan konfigureras efter certifikattyp, miljö och affärsenhet, så produktionscertifikat signeras medan certifikat för utvecklarmiljön flödar igenom automatiskt.

Policytillämpning är den funktion som de flesta kunder uppger har störst effekt från dag ett. Du definierar dina standarder (minimal nyckellängd, tillåtna algoritmer, maximal giltighetsperiod, godkända utfärdare, godkänd nyckelanvändning) och systemet avvisar förfrågningar som faller utanför dessa regler. Den enda funktionen eliminerar hela kategorin "vi fick reda på det under granskningen"-fynd.

Rapporteringsskiktet producerar efterlevnadsbevis i linje med PCI DSS , HIPAA, FedRAMP och andra ramverk som revisorer bryr sig om, med den typ av revisionslogg som du kan lämna över utan att tveka. Dashboards fungerar både för säkerhetschefen som vill ha överblick över processen och ingenjören som behöver granska en specifik incident.

I en mening: CertSecure Manager är hur du håller tusentals certifikat friska, kompatibla och aktuella utan att skala ditt team i takt med ditt certifikatantal.

Där CBOM Secure passar in

CertSecure Manager hanterar certifikat och nycklar som operativa tillgångar. CBOM Secure zoomar ut en nivå högre. Det är Encryption Consultings plattform för kryptografisk materialhantering , och dess uppgift är att ge dig insyn i varje kryptografisk komponent i din miljö, inklusive men inte begränsat till certifikat.

En CBOM är för kryptografi vad en SBOM är för programvaruberoenden. Den katalogiserar varje algoritm som används, varje nyckel (med dess längd, typ och skyddsmetod), varje kryptografiskt bibliotek och version, varje protokollimplementering och varje certifikat. Den sammanfogar allt detta till en enda bild som du kan fråga efter.

Tre saker detta låser upp som inget annat gör.

Post-kvantumberedskap. Migreringen till ML-KEM, ML-DSA och SLH-DSA kräver att alla system, bibliotek och protokoll som fortfarande använder sårbar klassisk kryptografi identifieras. CBOM Secures inventering låter dig noggrant avgränsa migreringen, sekvensera den intelligent med högvärdig långlivad data först och följa verkliga framsteg mot deadline. Utan en CBOM blir migreringen gissningslek.

Riktad sårbarhetshantering. När ett kryptografiskt bibliotek eller en protokollimplementering drabbas av en CVE, informerar en CBOM dig inom några minuter om vilka system som faktiskt är drabbade. Det förändrar incidenthanteringen från en frenetisk organisationsomfattande genomsökning till en exakt patchlista.

Transparens i leveranskedjan. Tillsynsmyndigheter och stora företagskunder är alltmer tydliga med kryptografisk transparens. Förväntningen att leverantörer tillhandahåller CBOM på samma sätt som de tillhandahåller SBOM går från "framtida krav" till "nuvarande förfrågan". Team som har en CBOM ligger före. Team som inte har en CBOM kämpar.

CBOM Secure inkluderar även riskbedömning (så att du vet vilka föråldrade algoritmer som är mest brådskande att pensionera), en kvantumberedskapsbedömning som kartlägger ditt inventarium mot NIST:s PQC-standarder och CI/CD-pipelineintegrationer som fångar kryptografisk drift vid byggtid snarare än efter distribution.

Hur krypteringskonsulting kan hjälpa

Verktyg löser det tekniska problemet. De löser inte det organisatoriska. De flesta team som kämpar med kryptografisk hållning kämpar inte för att de inte kan utvärdera en produkt. De kämpar för att de inte har bandbredden för att köra en ren upptäckt, bygga inventeringen, skriva policyerna, utbilda teamet och driva programmet dagligen samtidigt som de gör sina faktiska jobb.

Encryption Consulting grundades specifikt för att täppa till den klyftan, och tjänsteavdelningen har utfört detta arbete i mer än ett decennium inom finansiella tjänster, hälso- och sjukvård, tillverkning, myndigheter och teknikkunder. De åtaganden som gör skillnad tenderar att falla inom ett par tydliga former.

En kryptografisk bedömning av läget är oftast det rätta första steget. Det är ett fokuserat engagemang som producerar en verklig inventering, en gapanalys mot NIST och CA/Browser Forums krav, en kvantumberedskapsbedömning och en prioriterad färdplan. De flesta kunder lär sig saker under de första två veckorna av en bedömning som förändrar hur de planerar de kommande två åren.

Ett PKI as a Service-uppdrag avlastar kunden helt och hållet. Encryption Consultings team designar, bygger och driver PKI:n, inklusive den underliggande CertSecure Manager-distributionen, HSM-integrationen, policyramverket och den dagliga övervakningen och förnyelseverksamheten. För organisationer som inte vill driva ett PKI-team är detta den renaste vägen till ett moget program.

Rådgivning efter kvantmigrering har blivit ett av de snabbast växande tjänsteområdena under de senaste arton månaderna. Arbetet omfattar kryptografisk identifiering via CBOM Secure, riskbaserad prioritering av vilka system som migreras först, hybridalgoritmstrategi, analys av leverantörs- och produktkompatibilitet samt hantering av migreringsprogram. För de flesta företag är detta ett flerårigt program och det är i den tidiga identifierings- och planeringsfasen som hävstångseffekten finns.

Design av kodsigneringsprogram , HSM-distribution och livscykelhantering , företagskrypteringsstrategi och efterlevnadsåtaganden för PCI, HIPAA, FedRAMP och liknande ramverk avrundar praktiken.

Det kunderna säger att de värdesätter mest är inte verktygen. Det är kombinationen av senior PKI- och kryptografisk expertis, produkterna som kodifierar hur bra ser ut, och det operativa stödet för att köra programmet när det väl är byggt. Bara verktygen räcker kanske halvvägs. Kombinationen räcker resten av vägen.

Slutsats

Kryptografisk hållning är ett av de problem där kostnaden för att inte göra någonting är dold ända fram till det ögonblick då den inte gör det. Då är det ett avbrott, ett granskningsresultat, ett intrång eller en missad deadline som någon måste förklara för styrelsen.

De team som kommer ut ur de kommande fem åren i god form kommer inte att vara de med de största budgetarna. Det kommer att vara de som under första kvartalet, när de hade en tydlig bild av tidslinjen efter kvantumshandeln och certifikatens livslängd, bestämde sig för att ta detta på allvar. De byggde upp inventeringen. De automatiserade livscykeln. De tillämpade policyn vid utfärdandet. De gjorde kryptografisk hållning till en mätbar sak istället för en ambitiös sådan.

Kombinationen av CertSecure Manager, CBOM Secure och Encryption Consultings tjänster är byggd för just den utvecklingen. Du kan börja med det mest smärtsamma operativa problemet du har idag och växa till strategisk kapacitet utan att slänga det arbete du gjorde i början. Ju tidigare starten, desto mindre lyft.

Om du vill ha ett konkret nästa steg är den kryptografiska positionsbedömningen det billigaste sättet att ta reda på var kropparna är begravda. Svaren överraskar vanligtvis människor i båda riktningarna, och de förändrar nästan alltid samtalet om var man ska investera härnäst.

Vanliga frågor om partihandel med mat och dryck

Vad är den viktigaste slutsatsen från Den tysta krisen inuti din PKI?

De flesta företag har två till fem gånger fler certifikat än vad deras officiella inventering visar. Den skillnaden är det enskilt viktigaste faktumet om kryptografisk ställning, eftersom certifikaten utanför det hanterade inventeringen är just de som mest sannolikt orsakar avbrott, efterlevnadsproblem och säkerhetsincidenter. I kombination med CA/Browser Forums minskning av giltigheten för offentliga TLS till 47 dagar senast i mars 2029 och NIST:s post-kvantumstandarder som publicerades den 13 augusti 2024 (FIPS 203, 204, 205) har inventeringsgapet blivit en operativ kris som inte kan skjutas upp.

Varför är kryptografisk hållning viktig för PKI-team på stora företag?

Företags-PKI-team står inför tre ökande påfrestningar samtidigt: lagerunderskottet (två till fem gånger fler certifikat än den officiella siffran), hastighetsökningen (cirka 110 förnyelser per dag för 5 000 certifikat med 47 dagars giltighet jämfört med 14 per dag idag) och tiden efter kvantmigrering (attacker som skördar-nu-dekrypterar-senare innebär att långlivad data nu är i fara). DigiCert Trust Pulse Survey (juli 2025) fann att 45 procent av företagen upplevde certifikatrelaterade driftstopp under föregående år. Dessa incidenter kan spåras tillbaka till certifikat utanför det hanterade lagret, certifikat utan automatisering av förnyelser och kryptografisk drift som ingen övervakade.

Vilka risker ökar om kryptografisk postur hanteras manuellt?

Manuell kryptografisk hantering producerar fyra sammansatta riskkategorier: utgångsdatum som ingen ser komma (certifikat utanför det hanterade inventariet har ingen förnyelsevarning); otillåtna certifikat (utvecklare och automatiserade verktyg utfärdar certifikat utanför policykontroller utan inventeringsregister); kryptografisk drift (SHA-1, RSA-1024 och föråldrade biblioteksversioner finns kvar i produktion på system som senast uppdaterades för flera år sedan); och efterlevnadsgap (PCI DSS 4.0, NIST CSF 2.0, NIS2 och liknande ramverk kräver kontinuerlig övervakningsbevis som manuella program inte kan producera vid granskningstillfället).

Vilka team bör äga styrning av kryptografisk postur?

PKI-administratörer äger fullständigheten av certifikatinventeringen, livscykelautomationen, återkallningsinfrastrukturen och policytillämpningen vid utfärdande. Säkerhetsarkitekter äger ramverket för kryptografisk hållning: godkända algoritmer, nyckellängder, krav på nyckelskydd och arkitektur för kryptoagilitet. Plattforms- och DevOps-team äger integrationen av certifikatautomation i CI/CD-pipelines, Kubernetes-ingångar och molncertifikatlagrar. Compliance-team äger bevisinsamling för PCI DSS-, HIPAA-, FedRAMP-, NIS2- och NIST CSF-krav. CISO:er äger styrningsbeslutet att kryptografisk hållning är ett mätbart, finansierat program med kvartalsvis rapportering.

Hur kopplas kryptografisk postur till hantering av certifikatlivscykeln?

Certifikatlivscykelhantering är det operativa lagret som gör kryptografisk status mätbar och hållbar. En CLM-plattform som CertSecure Manager tillhandahåller kontinuerlig identifiering som avslöjar det två- till femfaldiga certifikatgapet, automatiserar förnyelser via ACME- och REST-API:er för att hantera 47-dagars hastighetsökning, tillämpar policy vid utfärdande för att förhindra att icke-kompatibla certifikat skapas och producerar efterlevnadsbevis i linje med de ramverk som granskare kontrollerar. Utan CLM är kryptografisk status en statisk ögonblicksbild. Med den blir den ett kontinuerligt övervakat, granskbart tillstånd.

Hur bör organisationer mäta framgång med att återuppbygga kryptografisk ställning?

Nyckeltal: fullständighet i inventeringen (förhållandet mellan oberoende upptäckta certifikat och hanterade inventeringscertifikat, mål 1:1); andel oplanerade certifikat som förfaller (mål: noll per kvartal); policyefterlevnad (procentandel av alla certifikat som följer godkänd algoritm, nyckellängd, giltighetsperiod och utfärdarpolicy, mål: 100 procent); tid för återkallelse vid viktiga komprometteringshändelser (mål: inom 24 timmar för offentligt betrodda TLS-certifikat); täckning för PQC-migrering (procentandel kryptografiska tillgångar inventerade via CBOM och klassificerade efter kvantriskpoäng); och fullständighet i efterlevnadsbevis (granskningslogg för alla certifikatpopulationer tillgängliga för alla ramverk inom ramen).

Vad bör granskas eller övervakas regelbundet för kryptografisk status?

Övervaka kontinuerligt: ​​certifikatutgång i alla miljöer, inklusive privata PKI-populationer; efterlevnad av algoritmer och nyckellängder med hjälp av identifiering på CBOM-nivå; och CA-granskningsloggar för oväntade utfärdandehändelser. Granska kvartalsvis: kör oberoende identifieringsskanningar och jämför antalet med det hanterade lagret; granska alla certifikat som utfärdats utanför CLM-plattformens arbetsflöde; testa CRL- och OCSP-nåbarhet från alla nätverkssegment; och granska PQC-migreringsfärdplanen mot aktuell NIST- och NSA CNSA 2.0-riktlinjer för eventuella tidslinjeändringar.

Hur skiljer sig kryptografisk hållning i moln-, hybrid- eller multi-CA-miljöer?

I moln- och hybridmiljöer distribueras certifikatutfärdandet över flera CA-källor: lokala AD CS, AWS Private CA, Azure Key Vault, molnbaserade service mesh-CA:er och externa publika CA:er. Utan en CLM-plattform som täcker alla CA-källor i en enhetlig inventering producerar multi-CA-miljön exakt det två till fem gånger större upptäcktsgap som orsakar avbrott och efterlevnadsresultat. Problemet med kryptografisk drift förvärras i hybridmiljöer eftersom äldre lokala system ofta kör äldre algoritmkonfigurationer. En kryptografisk inventering på CBOM-nivå som omfattar alla miljöer och alla CA-källor via CBOM Secure är den enda praktiska grunden för konsekvent styrning av kryptografisk postur över hybridarkitekturer med flera CA:er.

Vilka vanliga misstag bör team undvika när de återuppbygger kryptografisk ställning?

De vanligaste misstagen: att behandla certifikatinventeringen som komplett när den byggdes genom att be teamen att själva rapportera (självrapporterade inventeringar missar de certifikat som ingen aktivt hanterar); att tillämpa certifikatpolicyn efter utfärdande snarare än vid utfärdande (skapar en permanent eftersläpning av icke-kompatibla certifikat); att vänta tills 47-dagars giltighetsmandatet tvingar fram automatisering (manuell förnyelse slutar fungera långt före mars 2029; team som automatiserar under deadlinepress gör misstag); att anta att PQC-migrering kan påbörjas utan en fullständig kryptografisk inventering (inventeringen är steg ett); och att behandla kryptografisk ställning som ett PKI-teamproblem snarare än ett tvärfunktionellt styrningsprogram.

Vad bör uppdateras kvartalsvis för styrning av kryptografisk postur?

Kvartalsvis: kör oberoende certifikatidentifiering och jämför antalet med det hanterade inventariet; granska det kryptografiska inventariet på CBOM-nivå för nya föråldrade algoritmfynd från programuppdateringar eller nya tjänstedistributioner; granska PQC-migreringsfärdplanen mot NIST- och NSA CNSA 2.0-riktlinjer; granska fullständigheten av efterlevnadsbevis för alla tillämpliga ramverk; granska konfigurationen av policytillämpning för nuvarande algoritm- och nyckellängdsstandarder; och bekräfta att HSM-åtkomstkontroller och nyckeloperationsgranskningsloggar för rot-CA och kodsigneringsnycklar har granskats. För aktuell PQC-migreringsvägledning, se PQC Center of Excellence.