前回、「PKIオートメーションの欠如に圧倒された企業について - DIGICERTの調査」(Enterprises Overwhelmed In The Absence Of PKI Automation, 逗阴馆 Finds)では、デジサートが行った調査で、近年、ほとんどの組織で証明書の数が増加していることを明らかにしました。デジサートのPKI自动化調査では、可视性が限られているために、多くの组织が証明书の停止に见舞われていることも明らかになりました。これは、PKIの自动化に向けた组织の动きを説明するものです。
さまざまな要因が、組織のPKI自动化への移行を促しています。しかしその前にまず自动化とは何かを分類する必要があります。自动化というと、サーバに証明書をインストールしたり、証明書がどこにあっても見つけられるようにしたり、環境に合わせて調整したりすることが思い浮かびます。そのプロセスには様々なものが関わっていますが、チームがそれを見つけたら、組織はそれを一覧化し、管理し、確認したいと考えます。
しかし、それでは組織が通知のバケツで埋もれてしまうことになります。チームは毎日ダッシュボードにログインするわけではありませんし、状況は常に変化しています。このことを考えると、組織は、検出し続け、発見し続け、関連する情報を中央のデータベースに出力し続け、適切なチャネルを介して変更を通知する方法を必要としています。その場所にはメールは含まれていません。その代わりに、ITMS(ITマネジメントサービス)システム、Splunk(総合ログ管理ツール)、または変更管理を行う運用システムに接続し、環境を通して変更を推進する必要があります。変更には手作業が必要な場合もありますし、ポリシーや仕様に基づいて鍵を生成しなければならないような、最後の自动化を求めている組織もあるでしょう。ここでは、証明書のライフサイクル全体が関係しています。
PKIの自动化は、人々が物事をコントロールし、管理したいと考えるダイナミックな状況に対応しています。それがお客さまの心をつかむのです。検出、管理/報告、通知、自动化(特権アクセス管理やVault機密情報管理ツールを使用)、そして認証局の統合やサードパーティの認証局や証明書のインポートなどが挙げられます。
PKIの自动化についての感想を聞くと、ほとんどの組織が熱意を示しました。デジサートの調査では、回答者の10人に9人以上(91%)が、少なくともPKIの自动化について検討していると答えています。さらに、調査参加者の70%が、12ヶ月以内にPKIオートメーションソリューションを導入する予定であると回答し、4分の1弱(24%)が、すでにソリューションを導入している段階、またはすでにソリューションを導入している段階であると回答しました。
デジサートの「2021年笔碍滨オートメーションの现状调査」
そこで、PKIの自动化を採用する組織の傾向について考えてみましょう。その中でも特に重要なのが、不正な証明書です。この問題は、以前はIT部門の誰かが、ある問題を解決するために証明書を立ち上げ、事態が収拾できなくなったことがありました。そのため、組織はこの問題をどのように管理するかを考える必要がありました。
不正な証明书は、今日では别の问题です。今でも问题は発生していますが、笔碍滨があらゆるものに使用されているため、拡大しています。証明书は、独自の笔碍滨システムを搭載したルーターやスイッチを保護することができます。例えば、組織が同じデバイスをいくつか集めれば、笔碍滨システムを使ってそれらを経由するトラフィックの証明書に署名することができます。多くのテクノロジーは、このようにして自己完結型のPKIを備えています。ソフトウェア環境も同様です。(DevOps开発と运用を组み合わせたソフトウェア开発手法) このようなハードウェア、ソフトウェア、サービスの入口は、组织にとって証明书を管理する上で负担となります。
PKIの自动化を促進している要因は、不正な証明書だけではありません。量子コンピューティングが主流になり、組織が暗号化手法を迅速に変更しなければならなくなった場合にも備える必要があります。また、パブリック罢尝厂の証明书の有効期间が短くなっていること、管理が必要な証明书の数が急増していること、リモートワークへの移行が进んでいることなどが、この倾向を后押ししています。
組織によっては、自动化の過程で課題を抱えているところもあります。これらの課題には、自动化のための高いコスト、複雑さ、コンプライアンスの問題、変化に対するスタッフや経営陣の抵抗などがあります。
デジサートの「2021年笔碍滨オートメーションの现状调査」
組織がこれらの課題にどのように対応するかによって、PKI自动化の「リーダー」、「遅れている」、「中間にいる」などの違いが出てきます。
「リーダー」と「遅れている」組織の違いは何でしょう? 「リーダー」は、物事がインフラにどのように流入するかを管理するためのプロセスを備えているのが特徴です。これらのプロセスには、IT資産の検証と管理のための成熟したセキュリティ運用が含まれ、PKIは1つの要素にすぎません。その下流で、「リーダー」は、暗号を自动化して管理する方法も検討してきました。そのため、暗号に関する組織ポリシー、すなわち、鍵の共有、不正なアルゴリズム、信頼できないアルゴリズム、弱い鍵のサイズなどを削減するためのフレームワークを定めています。また不正な証明書や笔碍滨証明书の管理にかかる时间を悬念しているため、PKI自动化ソリューションをすでに导入している可能性も高くなります。
デジサートの「2021年笔碍滨オートメーションの现状调査」
一方、「遅れている」組織は、これらの項目のうち少なくとも2~4つの項目が欠けています。笔碍滨証明书を管理するスキルが不足していたために、ペナルティを経験しています。これらの結果として、コンプライアンス問題、セキュリティ問題、生産性の低下、遅延、顧客喪失、収益喪失、過労状態などが挙げられます。
最终回となる第3回では、デジサートの调査で目立った兴味深い倾向をご绍介します。