前回、「PKIオートメーションの欠如に圧倒された企業について - DIGICERTの調査」（Enterprises Overwhelmed In The Absence Of PKI Automation, DigiCert Finds）では、デジサートが行った調査で、近年、ほとんどの組織で証明書の数が増加していることを明らかにしました。デジサートのPKI自動化調査では、可視性が限られているために、多くの組織が証明書の停止に見舞われていることも明らかになりました。これは、PKIの自動化に向けた組織の動きを説明するものです。

PKIの自動化に必要なもの

さまざまな要因が、組織のPKI自動化への移行を促しています。しかしその前にまず自動化とは何かを分類する必要があります。自動化というと、サーバに証明書をインストールしたり、証明書がどこにあっても見つけられるようにしたり、環境に合わせて調整したりすることが思い浮かびます。そのプロセスには様々なものが関わっていますが、チームがそれを見つけたら、組織はそれを一覧化し、管理し、確認したいと考えます。

しかし、それでは組織が通知のバケツで埋もれてしまうことになります。チームは毎日ダッシュボードにログインするわけではありませんし、状況は常に変化しています。このことを考えると、組織は、検出し続け、発見し続け、関連する情報を中央のデータベースに出力し続け、適切なチャネルを介して変更を通知する方法を必要としています。その場所にはメールは含まれていません。その代わりに、ITMS（ITマネジメントサービス）システム、Splunk（総合ログ管理ツール）、または変更管理を行う運用システムに接続し、環境を通して変更を推進する必要があります。変更には手作業が必要な場合もありますし、ポリシーや仕様に基づいて鍵を生成しなければならないような、最後の自動化を求めている組織もあるでしょう。ここでは、証明書のライフサイクル全体が関係しています。

PKIの自動化は、人々が物事をコントロールし、管理したいと考えるダイナミックな状況に対応しています。それがお客さまの心をつかむのです。検出、管理／報告、通知、自動化（特権アクセス管理やVault機密情報管理ツールを使用）、そして認証局の統合やサードパーティの認証局や証明書のインポートなどが挙げられます。

PKIの自動化について組織はどのように感じているか？

PKIの自動化についての感想を聞くと、ほとんどの組織が熱意を示しました。デジサートの調査では、回答者の10人に9人以上（91％）が、少なくともPKIの自動化について検討していると答えています。さらに、調査参加者の70％が、12ヶ月以内にPKIオートメーションソリューションを導入する予定であると回答し、4分の1弱（24％）が、すでにソリューションを導入している段階、またはすでにソリューションを導入している段階であると回答しました。

デジサートの「2021年PKIオートメーションの現状調査」

そこで、PKIの自動化を採用する組織の傾向について考えてみましょう。その中でも特に重要なのが、不正な証明書です。この問題は、以前はIT部門の誰かが、ある問題を解決するために証明書を立ち上げ、事態が収拾できなくなったことがありました。そのため、組織はこの問題をどのように管理するかを考える必要がありました。

不正な証明書は、今日では別の問題です。今でも問題は発生していますが、PKIがあらゆるものに使用されているため、拡大しています。証明書は、独自のPKIシステムを搭載したルーターやスイッチを保護することができます。例えば、組織が同じデバイスをいくつか集めれば、PKIシステムを使ってそれらを経由するトラフィックの証明書に署名することができます。多くのテクノロジーは、このようにして自己完結型のPKIを備えています。ソフトウェア環境も同様です。(DevOps開発と運用を組み合わせたソフトウェア開発手法)　このようなハードウェア、ソフトウェア、サービスの入口は、組織にとって証明書を管理する上で負担となります。

PKIの自動化を促進している要因は、不正な証明書だけではありません。量子コンピューティングが主流になり、組織が暗号化手法を迅速に変更しなければならなくなった場合にも備える必要があります。また、パブリックTLSの証明書の有効期間が短くなっていること、管理が必要な証明書の数が急増していること、リモートワークへの移行が進んでいることなどが、この傾向を後押ししています。

スペクトルとしてのPKI自動化

組織によっては、自動化の過程で課題を抱えているところもあります。これらの課題には、自動化のための高いコスト、複雑さ、コンプライアンスの問題、変化に対するスタッフや経営陣の抵抗などがあります。

デジサートの「2021年PKIオートメーションの現状調査」

組織がこれらの課題にどのように対応するかによって、PKI自動化の「リーダー」、「遅れている」、「中間にいる」などの違いが出てきます。

「リーダー」と「遅れている」組織の違いは何でしょう？　「リーダー」は、物事がインフラにどのように流入するかを管理するためのプロセスを備えているのが特徴です。これらのプロセスには、IT資産の検証と管理のための成熟したセキュリティ運用が含まれ、PKIは1つの要素にすぎません。その下流で、「リーダー」は、暗号を自動化して管理する方法も検討してきました。そのため、暗号に関する組織ポリシー、すなわち、鍵の共有、不正なアルゴリズム、信頼できないアルゴリズム、弱い鍵のサイズなどを削減するためのフレームワークを定めています。また不正な証明書やPKI証明書の管理にかかる時間を懸念しているため、PKI自動化ソリューションをすでに導入している可能性も高くなります。

デジサートの「2021年PKIオートメーションの現状調査」

一方、「遅れている」組織は、これらの項目のうち少なくとも2～4つの項目が欠けています。PKI証明書を管理するスキルが不足していたために、ペナルティを経験しています。これらの結果として、コンプライアンス問題、セキュリティ問題、生産性の低下、遅延、顧客喪失、収益喪失、過労状態などが挙げられます。

終わりに

最終回となる第3回では、デジサートの調査で目立った興味深い傾向をご紹介します。