Pour les responsables IT d’aujourd’hui, la gestion des certificats dans des environnements informatiques de plus en plus complexes, imbriqués et distribués constitue un véritable défi. Dans l’environnement actuel, et dans le monde de plus en plus numérisé de demain, les certificats numériques basés sur une infrastructure à clés publiques (PKI) sont la solution. Ils offrent aux entreprises le meilleur moyen pour authentifier les identités numériques. Protection cyber particulièrement forte et méthode d’authentification extrêmement simple d’utilisation, la PKI constitue une excellente solution de chiffrement pour les réseaux d’entreprise.

Dans cet article, nous passerons en revue les avantages à automatiser la PKI et les raisons pour lesquelles l’automatisation représente le moyen idéal pour gérer les certificats tout au long de leur cycle de vie.

Qu’est-ce qu’une infrastructure à clés publiques (PKI) ?

La PKI est une stratégie de cybersécurité qui fonctionne comme une passerelle sécurisée pour les communications entre serveurs — entre un employé et son employeur, ou entre un client et une entreprise. Des certificats sont générés pour authentifier chaque utilisateur. L’utilisation de certificats X.509 et de clés publiques pour assurer le chiffrement de bout en bout constitue un gage de confiance. Les serveurs peuvent ainsi se faire mutuellement « confiance » et accepter de communiquer entre eux dès qu’un certificat numérique est authentifié.

Gestion automatisée vs gestion manuelle de PKI : les avantages

De nombreux grands groupes confient la gestion de leurs certificats numériques à des autorités de certification (CA) tierces, tandis que d’autres optent pour une gestion en interne. Si cette solution permet aux entreprises de conserver le contrôle total de leurs procédures d’authentification, elle comporte également des inconvénients. En effet, une AC privée doit pouvoir gérer rapidement et efficacement toutes les étapes du cycle de vie des certificats (CLM, Certificate Lifecycle Management) — depuis leur émission, leur déploiement, et jusqu’à leur renouvellement et leur remplacement.

Les architectures IT doivent pouvoir prendre en charge toute combinaison d’AC racine et d’AC émettrice, ce qui représente un coût non négligeable et peut provoquer des vulnérabilités sur le réseau.
La gestion manuelle d’une PKI requiert beaucoup de manipulations complexes. C’est la raison pour laquelle nous préconisons l’automatisation de cette partie. La gestion manuelle d’une PKI présente un risque particulièrement élevé du fait d’une importante marge d’erreur. Une erreur isolée peut avoir des conséquences catastrophiques pour une entreprise, comme dans le cas d’un certificat expiré.

Au-delà des répercussions sur votre image de marque, une erreur de ce type peut plonger vos départements et infrastructures IT dans des situations de stress intenses et se révéler très coûteuse. C’est la triste expérience qu’en a faite la société Ericsson en 2018 à la suite de l’expiration d’un certificat numérique. Plusieurs dizaines de millions d’utilisateurs s’étaient alors retrouvés privés de service mobile en Europe et en Asie. Mais même une fois la crise résolue, Ericsson a dû faire face à de lourdes amendes (la bagatelle de 100 millions d’euros environ) pour non-respect de ses accords de niveaux de services.

L’automatisation de la PKI réduit les coûts et limite les risques

Heureusement, les entreprises peuvent choisir de recourir à une technologie avancée de gestion du cycle de vie des certificats pour automatiser la gestion de leurs certificats numériques. L’adoption de tels systèmes leur permet de gérer leurs certificats numériques de manière cohérente et efficace, et de respecter les exigences de conformité.

Une gestion automatisée du cycle de vie des certificats doit englober ces étapes clés :
• Création de clés publiques ou privées et de la demande de signature de certificat (CSR) avec un chiffrement utilisant des algorithmes à jour
• Inscription, ou demande et récupération
• Installation sur le(s) point(s) de terminaison et provisionnement des certificats
• Renouvellement/révocation

Si le processus derrière les certificats numériques (dont la durée de vie est limitée) n’est pas automatisé, les certificats expirés peuvent rester inaperçus et provoquer des temps d’arrêts imprévus. Pour les entreprises, les répercussions de ces interruptions d’activité peuvent être financières et réputationnelles. L’adoption d’une stratégie de gestion automatisée du cycle de vie des certificats permet aux administrateurs de confiance de contrôler en permanence les infrastructures à clés publiques. Leur objectif : empêcher que des événements imprévus nuisent à l’entreprise.

L’instauration de procédures de cybersécurité fiables pour votre infrastructure IT permet de limiter les risques pour l’entreprise sans sacrifier les critères d’efficacité et la capacité à collaborer. Ce point est particulièrement important pour les petites entreprises qui acceptent les paiements en ligne. Si elles veulent être payées à temps, la transaction doit, dans l’idéal, être pratique et rapide, mais aussi très sûre pour les clients.

L’automatisation de la PKI réduit les erreurs humaines

L’automatisation de la PKI réduit considérablement les erreurs humaines et garantit la création du certificat numérique approprié en temps voulu, ainsi que l’utilisation du bon modèle et des paramètres ad hoc. En atténuant le risque d’expiration des certificats – principale cause de pannes système dans les environnements de PKI gérés manuellement – la continuité d’activité n’est jamais menacée.

L’automatisation systématise non seulement la demande et l’émission des certificats appropriés, mais garantit aussi la prise en compte rapide des points de terminaison nécessitant de nouveaux certificats. Enfin, l’automatisation de la PKI élimine le risque que des certificats non sécurisés, des racines non fiables ou de mauvaises clés soient créés par des points de terminaison que l’on aurait oubliés.

Selon de récentes statistiques sur la cybersécurité, l’erreur humaine serait la principale cause de « succès » des actes de cybercriminalité et des violations de données. Lorsque les responsables IT choisissent de gérer manuellement des infrastructures numériques de plus en plus complexes, ils exposent leur entreprise à une configuration intrinsèquement risquée. La gestion manuelle des certificats numériques peut en outre pénaliser les entreprises qui veulent pouvoir évoluer rapidement.

La cybercriminalité a atteint ces dernières années des niveaux records. Les experts prévoient un coût mondial de 10,25 mille milliards de dollars de la cybercriminalité d’ici 2025. Avec quelles conséquences ? Détournements de fonds, fraude, chantage et dégradation de la réputation des marques visées lorsque les clients sont touchés, les risques sont là.

Mais les dégâts ne s’arrêtent pas là. Entre les pertes de revenus, la compromission de données alternatives, le vol de propriété intellectuelle, la perte de productivité, les coûts de renonciation… le niveau de protection va devoir être renforcé, à la fois pour les employeurs, les employés et les clients. Pour protéger leurs transactions et s’épargner les conséquences d’incidents de cybercriminalité, les entreprises doivent faire le bon choix : opter pour une PKI automatisée et correctement gérée.

En conclusion

Si la rapidité et l’efficacité sont essentielles à la conduite des affaires, la sécurité physique et cyber le sont tout autant. Heureusement, avec un framework de cybersécurité axé sur une PKI automatisée, nul besoin de sacrifier l’une au profit de l’autre. L’automatisation complète de votre infrastructure à clés publiques constitue un point essentiel pour gérer une entreprise prospère en 2022. Les certificats numériques pourront ainsi être demandés, émis, gérés et résiliés dans les règles de l’art et avec la rapidité requise.