Что шифровать в корпоративной системе? И зачем это делать?

Компания GlobalSign провела опрос, как и почему компании вообще используют инфраструктуру открытых ключей (PKI). В опросе приняли участие около 750 человек: им также задавали вопросы о цифровых подписях и DevOps.

Если вы не знакомы с термином, то PKI позволяет системам безопасно обмениваться данными и проверять владельцев сертификатов. Решения PKI включают в себя аутентификацию цифровых сертификатов и открытые ключи для шифрования и криптографической проверки аутентичности данных. Любая конфиденциальная информация полагается на систему PKI, а GlobalSign считается одним из ведущих мировых поставщиков таких систем.

Итак, рассмотрим несколько ключевых выводов исследования.

Что шифруется?

В целом, PKI в том или ином виде используют 61,76% компаний.

Один из главных вопросов, который интересовал исследователей — какие конкретно системы шифрования и цифровые сертификаты используют респонденты. Неудивительно, что около 75% заявили, что используют публичные сертификаты SSL или TLS, а около 50% полагаются на частные SSL и TLS. Это и есть самое популярное применение современной криптографии — шифрование сетевого трафика.

Этот вопрос задавали компаниям, которые положительно ответили на предыдущие вопрос об использовании систем PKI, и он допускал несколько вариантов ответа

Треть участников (30%) сказали, что используют сертификаты для цифровых подписей, в то время как немного меньше полагаются на PKI для защиты электронной почты (S/MIME). S/MIME — это широко распространённый протокол для отправки зашифрованных сообщений с цифровой подписью и способ защиты пользователей от фишинга. Учитывая рост числа фишинговых атак, понятно, почему это всё более популярное решение для обеспечения безопасности предприятий.

Мы также рассмотрели, почему компании изначально выбирают технологии, основанные на PKI. Более 30% указали на масштабируемость интернета вещей (IoT), а 26% считают, что PKI можно применять в самых разных отраслях. 35% респондентов отметили, что ценят PKI за обеспечение целостности данных.

Общие проблемы во внедрении

Хотя мы знаем, что PKI имеет большую ценность для организации, криптография — довольно сложная технология. Из-за этого возникают проблемы с внедрением. Мы спросили, что думают респонденты о главных проблемах внедрения. Выяснилось, что одна из самых больших проблем — нехватка внутренних IT-ресурсов. Просто не хватает квалифицированных работников, которые разбираются в криптографии. Кроме того, 17% респондентов сообщили о длительном времени развёртывания проектов, а почти 40% упомянули, что управление жизненным циклом может отнимать много времени. Для многих барьером является высокая стоимость специализированных решений PKI.

Мы узнали из опроса, что многие компании до сих пор используют собственный внутренний удостоверяющий центр, несмотря на нагрузку, которую он создаёт на IT-ресурсы компании.

Исследование также указало на рост использования цифровых подписей. Более 50% участников опроса заявили, что активно используют цифровые подписи для защиты целостности и подлинности контента.

Что касается того, почему они выбрали цифровые подписи, 53% респондентов сказали, что главной причиной было соблюдение нормативных требований, а 60% указали на внедрение безбумажных технологий. В качестве одной из основных причин перехода на цифровые подписи названа экономия времени. Также как и возможность сократить время обработки документов — одно из главных преимуществ использования технологии PKI.

Шифрование в DevOps

Исследование не было бы полным, если бы респондентов не спросили об использовании систем шифрования в DevOps — это быстрорастущий рынок, который, по прогнозам, должен достичь $13 млрд к 2025 году. Хотя рынок IT очень быстро перешёл на методологию DevOps (development + operations) с её автоматизированными бизнес-процессами, гибкостью и подходами Agile, но в реальности эти подходы открывают новые риски для безопасности. В настоящее время процесс получения сертификатов в среде DevOps сложен, трудоёмок и подвержен ошибкам. Вот с чем сталкиваются разработчики и компании:

• Всё больше ключей и сертификатов, которые служат идентификаторами машин в балансировщиках нагрузки, виртуальных машинах, контейнерах и сетях обслуживания. Хаотичное управление этими идентификаторами без правильной технологии быстро превращается в дорогостоящий и рискованный процесс.
• Слабые сертификаты или неожиданное истечение срока действия сертификатов, когда отсутствует надлежащая практика применения политик и мониторинга. Излишне говорить, что такие простои оказывают значительное влияние на бизнес.

Поэтому GlobalSign предлагает решение PKI для DevOps, которое непосредственно интегрируется с REST API, EST или облаком Venafi, так что команда разработчиков продолжает работать в прежнем темпе, не жертвуя безопасностью.

Криптосистемы с открытым ключом — одна из самых фундаментальных технологий безопасности. И останется таковой в обозримом будущем. А с учётом взрывного роста, который мы наблюдаем в секторе IoT, в текущем году мы ожидаем ещё большего числа внедрений систем PKI.

Источник: habr.com