A PKI é a base forte de qualquer postura de segurança, mas as organizações devem garantir que seus certificados digitais, que são emitidos usando a infraestrutura de chave pública (PKI), também sejam provenientes de uma fonte confiável e tenham uma base sólida de segurança.
Algumas organizações optam por usar suas próprias autoridades de certificação (ACs) internas ou privadas por uma questão de conveniência, em vez de fazer parceria com uma AC baseada em nuvem publicamente confiável. No entanto, a conveniência oferecida pelas ACs internas, como a economia de custos e a facilidade de integração à infraestrutura existente, não representa o quadro completo e pode ser enganosa. Aqui está um resumo dos principais motivos pelos quais as organizações tendem a optar por ACs internas e porque sua organização deve reconsiderar o uso delas para seus requisitos de segurança.
1. Economia de custos
A economia de custos é um dos mitos mais comuns sobre o motivo pelo qual as organizações optam por ACs internas e privadas em vez de uma autoridade certificadora de confiança pública como a GlobalSign. Muitas vezes, é possível argumentar que os serviços de uma AC pública custarão mais para uma empresa que poderia assinar seus certificados de forma muito mais fácil e econômica.
No entanto, esse raramente é o caso. Como diz o ditado, você recebe pelo que paga. O uso de uma AC interna ou privada geralmente é menos seguro, e as empresas envolvidas em uma violação podem acabar pagando muito mais do que os custos iniciais de aquisição dos serviços de uma AC de confiança pública.
As ACs públicas terão a agilidade e a experiência necessárias para acompanhar o desenvolvimento das ameaças à segurança no mercado digital e a conformidade regulatória com os padrões regionais e do setor.
Há também outros custos associados às ACs privadas. Uma AC interna ainda precisa de pessoal para manutenção e módulos de segurança de hardware para armazenar as raízes dos certificados. O CLM (Certificate Lifecycle Management, gerenciamento do ciclo de vida do certificado) e os serviços de validação, como atualização e manutenção de CRLs (Certificate Revocation Lists, listas de revogação de certificados), execução de serviços de OSCP (Online Certificate Status Protocol, protocolo de status de certificados on-line) e realização de auditorias de políticas e segurança de ACs, exigem tempo, recursos e o conhecimento adequado.
Depois de tudo isso, a economia obtida com a execução de uma AC privada é insignificante, na melhor das hipóteses, e somente sem a ocorrência de uma violação, que ainda pode acontecer. Ao estabelecer uma parceria com uma AC confiável como a GlobalSign, as organizações podem garantir que obtenham o conhecimento e as soluções de que precisam para gerenciar sua infraestrutura de segurança com confiança e segurança.
Leia nosso eBook para obter uma visão completa dos custos de operação de uma AC privada
2. Fácil integração
As ACs internas geralmente parecem atraentes para as organizações porque são supostamente fáceis de integrar aos seus sistemas atuais devido às políticas de grupo personalizáveis e à capacidade de integração com o Diretório Ativo.
No entanto, isso é enganoso. As ACs internas geralmente exigem mais atenção à configuração inicial do que quando se faz parceria com uma AC publicamente confiável. A configuração inicial de uma AC privada, incluindo a configuração com o Diretório Ativo, exige um conjunto de habilidades especializadas em PKI e segurança cibernética. Além disso, é necessário o hardware certo para executar a AC, auditoria regular da infraestrutura de segurança e manutenção consistente pela equipe interna de TI, que pode estar sacrificando tempo e recursos que poderiam ser dedicados a outros projetos.
O fato é que uma AC interna ou privada não é necessariamente mais fácil para as organizações integrarem ou configurarem com seu diretório ativo do que quando fazem parceria com uma AC pública. Soluções como o CAM (Certificate Automation Manager - Gerenciador de Automação de Certificados) da GlobalSign são totalmente automatizadas e integráveis aos sistemas existentes, com a flexibilidade de configurar as políticas da organização.
A parceria com uma AC de confiança pública permite que as organizações ampliem ainda mais seus recursos, oferecendo a experiência e as soluções facilmente integráveis necessárias para manter a infraestrutura da organização segura.
3. ACs privadas para certificados internos
A confiança pública é o principal motivo para fazer parceria com uma autoridade de certificação. A PKI ajuda as organizações a proteger ativos voltados para o público, como o uso de SSL/TLS para proteger sites e servidores, ou soluções de assinatura de documentos para garantir a proteção de documentos. No entanto, isso não significa que as organizações não precisem de uma autoridade certificadora de confiança pública para se proteger e proteger ativos internos, como uma rede privada ou comunicações por e-mail.
A parceria com uma AC pública, como a GlobalSign, independentemente de você estar usando certificados para fins internos ou externos, ainda é vital para proteger as comunicações comerciais e manter as práticas recomendadas de segurança digital em sua organização.
Quando se trata de segurança comercial interna, há certas necessidades que não podem ser atendidas com o uso de uma AC interna ou privada. As organizações devem considerar os seguintes motivos para fazer parceria com uma AC pública para suas necessidades de segurança:
- Segurança e experiência inigualáveis: A confiança pública não se aplica apenas a certificados públicos. Isso significa que sua organização também pode ter confiança na segurança de seus ativos e comunicações digitais. Além disso, uma AC pública pode oferecer um conhecimento consideravelmente maior sobre como acompanhar as mudanças no mercado de PKI, permanecendo no ritmo da tecnologia em evolução e das ameaças à segurança cibernética, além de aconselhar sobre as melhores soluções para atender aos requisitos comerciais.
- Manutenção da conformidade: As ACs públicas oferecem soluções que já atendem aos padrões e requisitos industriais e regionais e, portanto, a parceria com uma AC pública também garantirá que as organizações possam manter a conformidade com padrões como o GDPR e o eIDAS, reduzindo os riscos de multas e danos à reputação da organização, caso ela seja vítima de uma violação.
- Custo-benefício: Embora o uso de uma AC interna ou privada para atender às necessidades de segurança possa parecer tentador no início, elas são caras e trabalhosas para as organizações manterem quando se leva em conta a experiência e os recursos necessários para isso, além de não garantirem a prevenção de uma violação. As ACs públicas oferecem soluções econômicas para proteger as comunicações digitais, já contam com a experiência necessária para adequar as soluções às necessidades da empresa e, por meio da confiança pública, podem reduzir o risco de uma violação e acompanhar as novas ameaças à segurança em evolução.
- Soluções eficientes: Ao usar uma AC interna ou privada, a organização precisa gastar tempo e recursos para configurar o Diretório Ativo e gerenciar os ciclos de vida dos certificados por conta própria. Fazer isso manualmente é uma tarefa onerosa e demorada para o pessoal de TI e para as equipes de segurança, além de retirar recursos de outros projetos e tarefas essenciais. As ACs públicas oferecem muitas soluções que foram desenvolvidas e aprovadas para garantir alta funcionalidade, segurança e manutenção da conformidade para o CLM (Certificate Lifecycle Management), como inventários de certificados, o protocolo ACME e o CAM (Gerenciador de Automação de Certificados), para reduzir a necessidade de intervenção humana na manutenção da segurança da PKI.
A parceria com uma AC de confiança pública oferece às organizações a capacidade de proteger sua infraestrutura, não apenas a um custo menor do que o de uma AC privada, mas também com maior suporte, eficiência e conhecimento e experiência para acompanhar a conformidade, as mudanças no setor e o desenvolvimento de ameaças à segurança no mercado de PKI. As soluções automatizadas, como o CAM (Gerenciador de Automação de Certificados) da GlobalSign, reduzem a necessidade manual de intervenção de TI e, portanto, reduzem a pressão do gerenciamento do ciclo de vida do certificado de uma forma que uma AC privada ou interna não pode fazer.
Os mitos sobre a relação custo-benefício e a facilidade de integração das ACs privadas não fazem parte do panorama geral, e as organizações devem reconsiderar seriamente sua aptidão para proteger as comunicações, os dados e os ativos internos. As organizações devem considerar que a parceria com uma AC de confiança pública, como a GlobalSign, seria a solução mais eficaz para garantir a segurança dos negócios.
Comece a proteger seu futuro: Leia agora o nosso eBook “Além do Orçamento”
