Entro il 2029 la durata massima dei certificati TLS pubblici sarà destinata a scendere fino a 47 giorni. Per le aziende questo cambiamento, oltre a rinnovare più spesso le certificazioni utilizzate per proteggere siti web, applicazioni e servizi online, comporta una trasformazione significativa dei processi di gestione della Web PKI.

Secondo lo studio Certificate Management Outlook di DigiCert, il nuovo ciclo di vita porterà le organizzazioni a effettuare rinnovi con una frequenza superiore di oltre otto volte rispetto al precedente modello e a eseguire circa 40 volte più validazioni dei domini. Un volume di attività difficilmente sostenibile attraverso fogli di calcolo, promemoria sul calendario e procedure manuali.

Il problema è soprattutto operativo. Un certificato scaduto può rendere irraggiungibile un servizio, generare errori nei browser o interrompere comunicazioni tra sistemi. E gli incidenti di questo tipo sono tutt’altro che teorici, considerando che il 34% delle aziende intervistate ha sperimentato almeno un’interruzione causata da un certificato scaduto, mentre il 40% ha associato periodi di downtime a una gestione non corretta dei certificati.

L’impatto sulla continuità operativa emerge anche dalla durata degli incidenti. Quasi tre quarti delle organizzazioni hanno accumulato almeno cinque ore di downtime nell’ultimo anno a causa di problemi legati ai certificati. Nel 21% dei casi il fermo ha raggiunto o superato le 25 ore. La dimensione economica può essere ancora più significativa se pensiamo che un’azienda su quattro dichiara che il proprio incidente più grave legato ai certificati ha prodotto un danno superiore a 250.000 dollari. È quindi riduttivo considerare la gestione TLS come una semplice attività amministrativa del reparto IT.

Il 57% delle organizzazioni considera infatti gli outage provocati dai certificati come problemi di infrastruttura IT, mentre il 17% li classifica come incidenti di sicurezza. In entrambi i casi, il denominatore comune è che un certificato dimenticato può avere conseguenze analoghe a quelle di altri guasti infrastrutturali. La crescente distribuzione delle applicazioni rende inoltre più difficile mantenere una visione completa. Più della metà delle aziende gestisce oltre 1.000 certificati digitali e il 52% considera problematica la gestione contemporanea dei certificati presenti su sistemi interni ed esterni.

Il multicloud moltiplica la complessità

La difficoltà non riguarda soltanto il numero di certificati, ma anche la loro distribuzione. Applicazioni cloud, infrastrutture on-premise, ambienti DevOps, servizi SaaS e piattaforme di terze parti possono utilizzare certificati differenti, amministrati da team diversi e sottoposti a procedure non uniformi. Questa frammentazione aumenta il rischio che un certificato sfugga all’inventario aziendale oppure che non sia immediatamente chiaro chi ne sia responsabile. Il problema diventa ancora più evidente quando l’organizzazione deve intervenire rapidamente per sostituire o revocare una credenziale.

certificati scaduti

Crediti: Shutterstock

Il 49% degli intervistati dichiara di occuparsi di gestione dei certificati e attività di sicurezza correlate almeno 12 volte all’anno, mentre un ulteriore 39% lo fa tra sei e dieci volte. Con certificati validi per appena 47 giorni, la frequenza degli interventi è destinata ad aumentare ulteriormente.

A questo si aggiungono le esigenze di compliance, la necessità di mantenere aggiornate le informazioni di validazione e la crescente attenzione alla sicurezza della supply chain software. Il certificato deve quindi essere considerato come una componente del ciclo operativo delle applicazioni, non come un elemento isolato dell’infrastruttura.

L’automazione diventa una necessità

Il passaggio ai certificati da 47 giorni nasce dall’evoluzione delle regole della Web PKI promossa dal CA/Browser Forum. Riducendo la durata delle credenziali, l’obiettivo è limitare il periodo durante il quale un certificato compromesso, errato o basato su informazioni ormai obsolete può rimanere valido. Per le aziende, però, il beneficio sul fronte della sicurezza comporta una maggiore pressione sulla gestione. Il 70% dei responsabili IT e sicurezza dichiara di essere già al lavoro per prepararsi alla riduzione della durata, mentre quasi tre quarti prevedono comunque un aumento del numero complessivo di certificati nei prossimi due anni.

L’automazione del ciclo di vita dei certificati è indicata come la terza priorità di cybersecurity, dietro alle attività di sicurezza basate sull’IA e alle tecnologie per il rilevamento e la risposta alle minacce software. E il punto non è limitarsi al rinnovo automatico. Per i prossimi 12 mesi, l’integrazione con gli ambienti DevOps rappresenta infatti la principale area di miglioramento indicata dalle aziende (seguono visibilità, compliance, sicurezza della supply chain software e riduzione delle attività manuali). Un sistema realmente automatizzato deve quindi essere in grado di individuare i certificati, verificarne lo stato, gestirne l’emissione e la distribuzione e collegarsi ai workflow nei quali vengono utilizzati.

Sistemi legacy e budget frenano la transizione

La strada verso l’automazione rimane però complessa. Più della metà delle aziende destina oltre il 10% del proprio budget di sicurezza alla gestione dei certificati e alle relative soluzioni, ma i vincoli finanziari continuano a rappresentare un ostacolo agli investimenti. Un problema ancora più concreto è rappresentato dai sistemi legacy, che possono non supportare facilmente i moderni strumenti di automazione o le nuove modalità di gestione delle credenziali. A questo si aggiungono la difficoltà nel convincere il management, l’incertezza sul ritorno dell’investimento e la carenza di competenze tecniche.

Soltanto il 10% delle organizzazioni dichiara di avere già implementato sistemi di automazione in risposta a queste esigenze. Un dato particolarmente significativo considerando che la riduzione della durata dei certificati è un cambiamento strutturale della PKI pubblica.

Il passaggio ai 47 giorni sposta quindi il problema dalla semplice gestione delle scadenze alla capacità dell’azienda di mantenere sotto controllo l’intero inventario delle proprie identità digitali. Senza discovery automatizzata, responsabilità chiaramente assegnate, integrazione con DevOps e processi di rinnovo orchestrati, l’aumento della frequenza rischia di trasformarsi in un moltiplicatore di errori e interruzioni operative.