前回は、デジサートが「2021年PKIオートメーションの現状調査」で明らかにした、PKI自動化のリーダーと遅れている組織を分けるものについて説明しました。今回のブログでは、この調査で目立った3つの傾向についてご紹介します。

トレンド1：ワイルド・ウェスト効果

デジサートが調査データを調べたところ、一部の組織にとって証明書の管理がどれほど簡単かという期待値と、それらの組織が PKI 証明書管理で経験したこととの間に矛盾があることに気づきました。この傾向は、証明書の導入数が最も少ない組織で特に顕著でした。これらの組織のPKI証明書の印象が比較的低いことから、デジサートは、これらの組織がそれほど困難な状況に陥ることはないだろうと予測していました。しかし、その逆が真実でした。これらの組織は、予期せぬ証明書の期限切れに関連した停止に見舞われる可能性が高く、さまざまなPKI管理指標において、証明書の導入数が多い組織よりもパフォーマンスが低下していました。このような調査結果を踏まえれば、これらの「PKI証明書の導入数が少ない」組織がPKI管理証明書に要する時間について懸念を示す割合が、証明書の導入数が多い企業に比べて50%も高いことは、驚くべきことではありません。

この開発は、PKI管理の成熟度に帰結します。証明書の導入数が少ない組織は、自分たちの環境を見て、「管理すべき証明書の数はそれほど多くない。なぜ自動化が必要なのか？」と重要であることに納得せずに、重要な統合やPKIの自動化に関連するその他の作業を行わない可能性があります。

そのような組織は、PKIの力を発揮できていないので、問題です。彼らは自動化やPKIを日常的に処理していないので、自動化にあまり力を入れません。まるで西部開拓時代のようです。管理すべき証明書の数が少ない組織には標準的なルールがないので、皆が独自のやり方で仕事を進めているということです。

このような少量のPKI証明書の組織は、角を曲がったところに、さらに多くのものがあること、あるいはすでにかなりのものが目の前に立ちはだかっていることに気づいていないのです。これは、「少量の証明書組織」という言葉が少し誤解されている可能性があることにもつながります。これらの組織の多くは、外部から内部へのあらゆるものに証明書が適用されることを忘れているかもしれません。例えば、オンプレミスの作業量的には5,000枚の証明書しかないと思っているかもしれませんが、DevOpsやクラウドの展開を考慮していません。また同じように証明書を使用している他の領域を可視化できない可能性もあります。従って、PKI証明書管理プログラムでは、組織全体での発見が非常に重要になります。

裏を返せば、大量のPKI証明書を持つ組織は、証明書の管理に関して問題があることを理解しているということです。また自動化の必要性も理解しているので、できるだけ早く対応しようとします。それは、包括的なセキュリティ戦略の中で最終的に位置づけることができる、完璧な経験になります。

トレンド2：自己評価のパラドックス

デジサートが発見した2つ目の傾向は、PKI証明書管理への取り組みに対する組織の評価に見られます。PKI証明書の管理を課題として捉えていると答えた組織は、不正な証明書の発見や証明書の停止を懸念していると答えた割合が5倍も高い結果となりました。しかし実際は、話が違っていました。これらの組織では、他の調査参加者に比べて、不正な証明書や証明書の停止が少ないことが報告されています。

これは、セキュリティ関連の調査でも時々出てくるものです。注意を払っている組織は、自分たちのミスやできていないことに気づくため、結果的に評価が下がります。その知識をもとに、PKI証明書やその他のセキュリティ対策をより強固なものにするための変更を行います。

それほど気にしていない組織の場合は話が違ってきます。問題があると思わなければ、PKI証明書管理への取り組み方に注意を払うことはないでしょう。そのため、ミスをしてもセキュリティインシデントが発生する前に対処することができないという傾向が強くなるかもしれません。

Trend #3: 持続的な可視性の欠如

最後の3つ目の傾向は、すべての証明書に対する可視性を実現するという継続的な課題に関係しています。この問題は、組織のさまざまな部分で行われている可能性があるため、非常に根深いものです。あるグループには、可視性があっても、別のグループは違うことをしているかもしれない。セキュリティ担当者が気づいていなければ、組織が危機にさらされたままになりえます。

デジサートは、今回の調査でこの問題の全容を明らかにしました。例えば、証明書を管理する部署が3つ以上ある組織が37％に上ることがわかりました。一般的な企業が管理されていない証明書を1,200個保有している理由や、調査参加者の約半数（47％）がこれらの「不正な」証明書を頻繁に発見している理由は、この複雑さにあります。

組織は、インフラのこれらの領域を可視化している人を見つけ、協力していく必要があります。そして、PKIの証明書管理プロセスを可能な限り効率化する必要があります。この2つを両立させるには、証明書の調達、インストール、管理のためのポリシーを一元化し、セキュリティチームが監査可能な証跡を残すことが唯一の方法です。

まだ始まったばかり

デジサートの調査には、組織がPKI証明書管理にどのように取り組んでいるか、またPKIの自動化がどのように進化しているかについて、多くの重要な知見が含まれています。これらの結果やその他の結果については、デジサートの調査報告書をこちらからダウンロードしてご覧ください。