Gérer des milliers de certificats PKI peut facilement devenir un casse-tête pour les entreprises, d’autant plus qu’un simple renouvellement manqué peut entraîner des pannes ou des problèmes de conformité. Keyfactor, la solution de sécurité » identity-first « , livre les 6 conseils pour les aider à gérer et faire évoluer leurs certificats PKI de manière optimale et… sans stress. Tribune KeyFactor.
1 – Créer un inventaire complet des certificats PKI
De nombreuses entreprises ne savent pas exactement combien elles ont de certificats, c’est pourtant la première étape d’une gestion efficace. La question est donc de savoir comment gérer des certificats dont elles ignorent l’existence. Si certaines entreprises priorisent l’identification de leurs certificats, près de la moitié d’entre elles (48%) le font via des solutions développées en interne comme les feuilles de calcul[1]oudes outils fournis par les autorités de certification(réputés pour ne pas prendre en compte les certificats frauduleux)créant ainsi des failles de sécurité importantes.La solution ? Utiliser un outil automatisé, capable d’analyser l’infrastructure à la recherche de tous les certificats, actifs ou expirés, et de fournir un inventaire centralisé facile à gérer.Les entreprises doivent s’assurer que l’outil choisi s’intègre facilement à leurs systèmes, qu’il permette l’automatisation et, surtout, qu’il soit évolutif.
2 – Gérer le cycle de vie des certificats
La durée de validité des certificats PKI est de plus en plus courte. Elle est passée de 398 à 90 jours, et ce en raison de problèmes croissants de sécurité. Selon le rapport 2024 PKI and Digital Trust, la plupart des entreprises s’inquiètent de l’augmentation de la charge de travail et des risques de pannes causés par la réduction de la durée de vie des certificats. Cette crainte n’est pas sans fondement. Les équipes informatiques et de sécurité étant débordées, la gestion des certificats PKI est reléguée au second plan, entraînant l’oubli de renouvellements, des interruptions de service et de potentielles compromissions. La meilleure façon d’y remédier est d’utiliser un outil de gestion du cycle de vie des certificats (CLM) qui analyse tous les certificats d’une entreprise et garantit des renouvellements en temps voulu.
3 – Automatiser et centraliser les certificats
Si une entreprise suit manuellement les dates de renouvellement de tous ses certificats numériques, les choses se compliquent quand survient le processus de renouvellement proprement dit. Effectué manuellement le renouvellement des certificats est, en effet, long, fastidieux et source d’erreurs, en particulier lorsqu’il est effectué par des personnes manquant d’expertise. Pour contourner ces problèmes il est possible d’automatiser les process. Une plateforme de gestion PKI centralisée est, en effet, capable de gérer des milliers, voire des millions de certificats numériques. Elle prend en charge les déploiements dans le cloud, sur site ou hybrides, avec la possibilité d’évoluer à la demande sans infrastructure complexe.
4 – Assurer la crypto-agilité
Aucune mise en œuvre de la sécurité n’est infaillible, et aucune méthode de cryptage individuelle n’est invincible. Il faut demeurer agile et plus particulièrement crypto-agile dans le cas de la PKI. Cette « capacité à reconsidérer et faire évoluer en permanence tous les aspects du chiffrement » – non seulement lorsque les certificats expirent mais aussi lorsque des vulnérabilités sont découvertes – permet aux entreprises de remédier aux failles avant qu’elles ne soient exploitées. Une mise en œuvre manuelle avec quelques certificats est sujette aux erreurs, car il faut mettre à jour les algorithmes, réviser le code, réémettre les certificats et s’assurer qu’ils correspondent aux protocoles et formats appropriés. Il est donc impossible d’agir à grande échelle avec des milliers de certificats. Un outil PKIaaS est recommandé pour modifier rapidement et automatiquement les algorithmes cryptographiques lorsque des failles de sécurité sont détectées. Une telle solution permet de répondre instantanément aux pannes et aux changements d’algorithmes, en particulier dans les systèmes comportant de nombreux certificats.
5 – Mettre en place une équipe expérimentée
Les professionnels formés à la gestion complexe des certificats PKI ne sont pas nombreux, pourtant les entreprises hésitent à investir dans une formation. Or, même si une entreprise dispose d’outils PKI, ils ne sont pas très utiles si l’équipe qui les utilise manque d’expérience. Les entreprises qui disposent des ressources nécessaires doivent mettre en place une équipe interne dédiée à la PKI. Le cas échéant, elles peuvent envisager d’externaliser cette gestion des certificats à des solutions PKI-as-a-service tierces qui contrôlent la multiplication des AC et des certificats tout en identifiant et en traitant les cas de non-conformité et les identités faibles. Ces solutions peuvent notamment fournir des alertes de renouvellement automatisées, programmer des rapports de conformité et s’intégrer aux outils SIEM et ITSM externes pour rationaliser les workflows et améliorer les alertes. Dans les deux cas, il est important de créer un groupe de travail – souvent composé des acteurs IAM, DevOps, Infrastructure et Cloud – pour prendre des décisions sur les politiques, les outils et les meilleures pratiques en matière de PKI et assurer l’alignement entre les outils tiers et les besoins spécifiques des entreprises.
6 – Intégrer les technologies modernes
Les technologies modernes telles que DevOps, l’IoT et le travail à distance ont entraîné une montée en puissance des certificats numériques. Les appareils, les déploiements de logiciels, les connexions à distance et les services cloud doivent, en effet, tous être sécurisés et chiffrés. Mais la maintenance des certificats PKI en interne nécessite des ressources importantes et une expertise spécialisée, qui est aujourd’hui de plus en plus difficile à trouver. Un outil d’entreprise PKI peut donc s’avérer utile pour simplifier les choses. Il offre un déploiement facile, de la flexibilité et de l’évolutivité et permet aux équipes informatiques de se concentrer sur d’autres tâches de sécurité essentielles tout en gérant des milliers de certificats. Par ailleurs, il peut s’intégrer de manière transparente dans les flux de travail IoT et DevOps, offrant une sécurité de type « identity-first » pour les appareils, les workloads et les utilisateurs.
