מה להצפין במערכת ארגונית? ולמה לעשות את זה?

חברת GlobalSign ערכו סקר, כיצד ומדוע חברות משתמשות בתשתית מפתח ציבורי (PKI) מלכתחילה. כ-750 אנשים השתתפו בסקר: הם נשאלו גם שאלות על חתימות דיגיטליות ו-DevOps.

אם אינך מכיר את המונח, PKI מאפשר למערכות להחליף נתונים בצורה מאובטחת ולאמת בעלי אישורים. פתרונות PKI כוללים אימות של תעודות דיגיטליות ומפתחות ציבוריים להצפנה ואימות קריפטוגרפי של מקוריות הנתונים. כל מידע רגיש מסתמך על מערכת PKI, ו-GlobalSign נחשבת לאחת הספקיות המובילות בעולם של מערכות כאלה.

אז בואו נסתכל על כמה ממצאים מרכזיים מהמחקר.

מה מוצפן?

בסך הכל, 61,76% מהחברות משתמשות ב-PKI בצורה כזו או אחרת.

אחת השאלות העיקריות שעניינו חוקרים הייתה באילו מערכות הצפנה ספציפיות ותעודות דיגיטליות משתמשים המשיבים. אין זה מפתיע שכ-75% אמרו שהם משתמשים בתעודות ציבוריות SSL או TLS, וכ-50% מסתמכים על SSL ו-TLS פרטיים. זהו היישום הפופולרי ביותר של קריפטוגרפיה מודרנית - הצפנת תעבורת רשת.

שאלה זו נשאלה לחברות שענו בחיוב על שאלות קודמות לגבי שימוש במערכות PKI, והיא אפשרה אפשרויות תשובה מרובות.

שליש מהמשתתפים (30%) אמרו שהם משתמשים באישורים עבור חתימות דיגיטליות, בעוד שמעט פחות מסתמכים על PKI לאבטחת דוא"ל (S / MIME). S/MIME הוא פרוטוקול בשימוש נרחב לשליחת הודעות מוצפנות חתומות דיגיטלית ודרך להגן על משתמשים מפני הונאות דיוג. עם עלייה במתקפות פישינג, ברור מדוע זהו פתרון פופולרי יותר ויותר לאבטחת ארגונים.

בדקנו גם מדוע חברות בוחרות בתחילה בטכנולוגיות מבוססות PKI. יותר מ-30% ציינו את המדרגיות של האינטרנט של הדברים (IOT), ו-26% מאמינים שניתן ליישם PKI במגוון רחב של תעשיות. 35% מהמשיבים ציינו שהם מעריכים את PKI להבטחת שלמות הנתונים.

אתגרי יישום נפוצים

למרות שאנו יודעים של-PKI יש ערך רב עבור ארגון, קריפטוגרפיה היא טכנולוגיה מורכבת למדי. זה גורם לבעיות ביישום. שאלנו את המשיבים מה הם חושבים על אתגרי היישום העיקריים. התברר שאחת הבעיות הגדולות ביותר היא המחסור במשאבי IT פנימיים. פשוט אין מספיק עובדים מוסמכים שמבינים בקריפטוגרפיה. בנוסף, 17% מהמשיבים דיווחו על זמני פריסה ארוכים של פרויקטים, וכמעט 40% ציינו שניהול מחזור החיים יכול להיות גוזל זמן. עבור רבים, החסם הוא העלות הגבוהה של פתרונות PKI מותאמים אישית.

מהסקר למדנו שחברות רבות עדיין משתמשות ברשות האישורים הפנימית שלהן, למרות העומס שהיא יוצרת על משאבי ה-IT של החברה.

המחקר גם הצביע על עלייה בשימוש בחתימות דיגיטליות. יותר מ-50% מהמשיבים בסקר אמרו שהם משתמשים באופן פעיל בחתימות דיגיטליות כדי להגן על היושרה והאותנטיות של התוכן.

באשר למה הם בחרו בחתימות דיגיטליות, 53% מהמשיבים אמרו שציות היא הסיבה העיקרית, כאשר 60% ציינו את האימוץ של טכנולוגיות ללא נייר. חיסכון בזמן צוינה כאחת הסיבות העיקריות למעבר לחתימות דיגיטליות. כמו גם היכולת להפחית את זמן עיבוד המסמכים היא אחד היתרונות העיקריים של שימוש בטכנולוגיית PKI.

הצפנה ב-DevOps

המחקר לא יהיה שלם בלי לשאול את המשיבים לגבי השימוש במערכות הצפנה ב-DevOps, שוק צומח במהירות שצפוי להגיע ל-13 מיליארד דולר עד 2025. למרות ששוק ה-IT עבר מהר מאוד למתודולוגיית DevOps (פיתוח + תפעול) עם תהליכים עסקיים אוטומטיים, גמישות וגישות Agile, במציאות גישות אלו פותחות סיכוני אבטחה חדשים. נכון לעכשיו, תהליך השגת אישורים בסביבת DevOps הוא מורכב, גוזל זמן ונוטה לשגיאות. הנה מה שמתמודדים מפתחים וחברות:

• ישנם יותר ויותר מפתחות ותעודות המשמשים כמזהי מכונה במאזני עומסים, מכונות וירטואליות, קונטיינרים ורשתות שירות. ניהול כאוטי של זהויות אלה ללא הטכנולוגיה הנכונה הופך במהירות לתהליך יקר ומסוכן.
• אישורים חלשים או תפוגה בלתי צפויה של אישורים כאשר חסרים נוהלי אכיפה וניטור טובים של מדיניות. מיותר לציין שלהשבתה כזו יש השפעה משמעותית על העסק.

לכן GlobalSign מציעה פתרון PKI עבור DevOps, אשר משתלב ישירות עם REST API, EST או ענן Venafi, כך שצוות הפיתוח ימשיך לעבוד באותו קצב מבלי לוותר על האבטחה.

מערכות קריפטו של מפתח ציבורי הן אחת מטכנולוגיות האבטחה הבסיסיות ביותר. וזה יישאר כך בעתיד הנראה לעין. ובהתחשב בצמיחה הנפיצה שאנו רואים במגזר ה-IoT, אנו מצפים לפריסות PKI עוד יותר השנה.

מקור: www.habr.com