Strategia inwentaryzacji kryptografii dla gotowości na kwanty

Wprowadzenie

Post-quantum cryptography się zbliża, ale Microsoft twierdzi, że największym wyzwaniem dla większości organizacji nie jest wybór nowych algorytmów. Jest nim zrozumienie, gdzie kryptografia jest już używana w aplikacjach, infrastrukturze, urządzeniach i usługach. Bez tej widoczności zespoły bezpieczeństwa nie mogą ocenić ryzyka, zaplanować migracji ani szybko reagować na nowe luki i wymogi zgodności.

Co rekomenduje Microsoft

Nowe wytyczne Microsoft koncentrują się na budowie inwentaryzacji kryptografii: żywego katalogu certyfikatów, kluczy, protokołów, bibliotek, algorytmów, sekretów, HSM i szyfrowanych sesji w całym środowisku.

Firma przedstawia to jako fundament Cryptography Posture Management (CPM), czyli ciągłego cyklu, a nie jednorazowego projektu wykrywania.

Sześciostopniowy cykl CPM

• Discover sygnały kryptograficzne w kodzie, środowisku uruchomieniowym, ruchu sieciowym i pamięci masowej
• Normalize dane do spójnego schematu inwentaryzacji
• Assess risk względem polityk, standardów i znanych podatności
• Prioritize ustalenia według ekspozycji, krytyczności zasobów i wpływu na zgodność
• Remediate poprzez rotację kluczy, aktualizacje bibliotek, zmiany protokołów i wymianę algorytmów
• Continuously monitor pod kątem nowych wdrożeń, odchyleń, odnowień i pojawiających się zagrożeń

Cztery obszary do objęcia

Microsoft zaleca mapowanie działań inwentaryzacyjnych w następujących obszarach:

• Code: biblioteki kryptograficzne i prymitywy w kodzie źródłowym
• Storage: certyfikaty, klucze, sekrety i zawartość vaultów
• Network: TLS, SSH, negocjacje cipher suite i szyfrowane sesje
• Runtime: aktywne operacje kryptograficzne i użycie kluczy w pamięci

Dlaczego to ważne dla zespołów IT i bezpieczeństwa

Te wytyczne mają znaczenie nie tylko w kontekście przyszłego planowania migracji do ery kwantowej. Microsoft zauważa, że inwentaryzacja kryptografii jest coraz silniej powiązana z wymaganiami dotyczącymi ładu i regulacji, w tym DORA, OMB M-23-02 i PCI DSS 4.0.

Dla administratorów kompletna inwentaryzacja poprawia:

• Gotowość do zgodności poprzez wskazanie, gdzie stosowane są regulowane mechanizmy kryptograficzne
• Priorytetyzację ryzyka poprzez oddzielenie słabości o wysokiej ekspozycji od mniej ryzykownych zasobów wewnętrznych
• Crypto agility poprzez ułatwienie znajdowania i aktualizowania systemów, których dotyczą zmiany algorytmów lub bibliotek

Kluczowy przekaz Microsoft jest taki, że zarządzanie stanem kryptografii wymaga jasnego przypisania odpowiedzialności i powtarzalnych procesów. Jednorazowe skanowanie nie nadąży za zmieniającymi się certyfikatami, nowym kodem ani ewoluującymi bazami polityk.

Kolejne kroki

Organizacje, które już korzystają z Microsoft Security i narzędzi Azure, mogą mieć już wdrożoną dużą część wymaganej telemetrii. Zalecanym kolejnym krokiem jest połączenie tych sygnałów w znormalizowaną inwentaryzację, a następnie rozszerzenie widoczności o rozwiązania partnerów tam, gdzie potrzebne jest głębsze pokrycie.

Liderzy bezpieczeństwa powinni zacząć od zdefiniowania zakresu inwentaryzacji, przypisania odpowiedzialności między zespołami oraz wskazania zasobów o najwyższej wartości do oceny w pierwszej kolejności. Te operacyjne podstawy będą kluczowe zarówno dla planowania post-quantum, jak i dla codziennej higieny kryptograficznej.