公開鍵基盤（PKI）は、通信の安全確保、データ保護、接続されたシステムへの信頼構築に不可欠ですが、脆弱な実装はすぐに単一障害点となりかねません。チームはライフサイクル管理、スケーラビリティ、量子耐性などを考慮する必要があります。更新忘れ、時代遅れのアルゴリズム、管理されていない鍵は、システム停止、コンプライアンス違反、重大なセキュリティ侵害を引き起こす可能性があるためです。
PKIの成功的な導入は証明書の発行だけではなく、包括的で将来を見据えたフレームワークが必要です。以下では、Forbes Technology Councilのメンバーが、チームがPKIを効果的に実装し、システムの進化に伴って信頼を維持するために取るべき重要なステップを共有しています。
1. 初日から暗号アジリティを組み込む
ハードウェアが10年以上現場で使用される場合、今日安全なPKIも、量子コンピューティングの登場により明日には破られる可能性があります。初日から暗号アジリティを組み込み、ハードウェアを交換せずにアルゴリズムと証明書を交換できるようにすることで、数学的基盤が変わる前に信頼性を将来にわたって確保できます。-Leon Doyle,Pairpoint.io
2. スケーラビリティを早期に計画する
PKI実装における重要なステップは、スケーラビリティの計画です。IoTやマイクロサービスなどの環境では、チームは一度に何千もの証明書を管理する必要があるかもしれません。この成長を予測し、迅速で自動化された発行と更新プロセスを確保することで、システムの拡大に伴うシステム停止を防ぎ、セキュリティを維持できます。-Ilakiya Ulaganathan, JPモルガン・チェース
3. 信頼できる認証局と鍵のライフサイクル管理を確立する
PKIを実装する際は、安全で信頼できる認証局を確立し、発行、更新、失効を含む厳格な鍵のライフサイクル管理を実施しましょう。これによりシステムの完全性が確保され、悪用を防ぎ、すべての通信における信頼を維持できます。-Ro'ee Margalit,Rotate
4. 量子コンピューティングを見据えた計画を立てる
企業は今、量子耐性のある公開鍵基盤の導入について計画し考え始める必要があります。最初に保護すべき領域は保存データです。キャプチャされた暗号化データは、将来の量子時代においても安全である必要があるからです。-Kevin Beasley,VAI
5. リアルタイムの証明書失効確認を実装する
証明書失効確認は緩く実装されがちですが、非常に重要です。オンライン証明書ステータスプロトコル（OCSP）や証明書失効リスト（CRL）を使用してリアルタイムで実行し、侵害された証明書や期限切れの証明書を迅速にブロックする必要があります。確認が遅れたり無視されたりすると、攻撃者は信頼を悪用してシステムになりすまし、トラフィックを傍受したり、マルウェアを拡散したりして、PKIへの信頼を損なう可能性があります。-Tushar Vartak,RAKBank
6. 明確で包括的な証明書ポリシーと手順を作成する
PKIを実装する上で最も重要なステップは、明確で包括的なポリシーと手順（証明書ポリシーと証明書実践ステートメント）を確立することです。これらは発行から失効までのライフサイクル全体のルールを定義し、デジタル証明書と鍵の信頼性、一貫性、コンプライアンス、効果的な管理を確保します。これにより、エラーを最小限に抑え、セキュリティを強化し、堅牢なPKIシステムに不可欠な要素となります。-Srikanth Mandru,シスコシステムズ
7. 鍵と証明書の管理を棚卸しして自動化する
PKIを導入する前に、Kubernetes、CI/CDパイプライン、組み込みシステムなどのすべての鍵と証明書を棚卸しして、盲点をなくしましょう。登録、ローテーション、失効を自動化し、プライベートキーのセキュリティのためにハードウェアセキュリティモジュールを統合し、ポリシー主導の発行を実施します。これにより、停止リスクを軽減し、侵害を防ぎ、中断のないビジネス運営のためのコンプライアンスを確保できます。-Dino DiMarino,AppviewX
8. 一元的な管理と可視性を維持する
発行されたすべての証明書、その所有者、有効期限について、単一の情報源を維持しましょう。発行ポリシーを定義し、誰が証明書をリクエストできるか、IDがどのように検証されるか、どの認証局が信頼されるかについて明確なルールを確保します。監査とコンプライアンス追跡のために、証明書の発行、使用、失効の記録と証拠を維持しましょう。-Eran Zilberman,Cyclops Security
9. 証明書ライフサイクル管理の完全な可視性を獲得する
PKIの中核的な柱は証明書ライフサイクル管理です。現代のCLMでは、SSL/TLS証明書、コード署名証明書、IoTデバイス上の証明書など、企業全体のすべての証明書と鍵の継続的な可視性が必要です。完全な可視性は、悪意のある目的で侵害された認証局によって発行された不正な証明書を検出するために不可欠です。-Kris Lahiri,Egnyte
10. 証明書と鍵の完全なライフサイクルを計画する
公開鍵基盤を実装する際の重要な戦略は、初期発行だけでなく、証明書と鍵の全ライフサイクルを計画することです。特に、セキュリティ侵害やサービス停止を防ぐために、侵害された証明書の失効と期限切れの証明書の更新のための明確なプロセスを確立することが重要です。-Roi Cohen,Vicarius
11. ポスト量子暗号への移行に備える
ポスト量子暗号はアルゴリズムレベルで標準化されていますが、証明書構造レベル（例えば、ハイブリッド証明書を使用すべきかどうか）ではまだガイダンスがありません。今後の変更に備えて、現在導入するPKIで暗号アジリティを計画するだけでなく、通常よりも長い標準アルゴリズム鍵長と短い証明書寿命を選択する必要があります。移行とルート証明書の配布を計画しましょう。-Maeson Maherry,Ascertia
12. PKIセキュリティに多層アプローチを採用する
公開鍵基盤を実装する際の重要なステップは、サムスンのKnox製品で設定された例に従うことです：多層アプローチを採用しましょう。ハードウェアからアプリケーション層まで多層システムを開発・展開することが、安全な環境を提供する最良の方法です。このような統合システムは、ユーザーを積極的に識別し、権限、証明書、鍵を管理できます。-Mark Francis,Electronic Caregiver
13. スケーラビリティを考慮したPKIを設計する
PKIの最大の課題は、すべてのプラットフォーム、デバイス、サービスにわたるすべての証明書と鍵の完全な監視を維持することです。1つでも見落とすと、気づかないうちに期限切れとなり、システム停止、統合の破壊、攻撃者が即座に悪用できるセキュリティ脆弱性を引き起こす可能性があります。-Ajai Paul, Affirm Inc.
14. 自動化された証明書ライフサイクル管理を確立する
重要なステップは、自動化された発行、更新、失効プロセスを含む厳格な証明書ライフサイクル管理を確立することです。金融サービスの導入では、これにより期限切れの証明書が業務を中断するのを防ぎ、何千ものエンドポイント全体で継続的な信頼を確保します。-Srikanth Bellamkonda,バークレイズ
15. 導入前にすべてのシステム、デバイス、アプリケーションをマッピングする
公開鍵基盤を展開する前に、それに依存するすべてのシステム、デバイス、アプリケーションを例外なくマッピングしましょう。隠れた証明書は、気づかないうちに期限切れとなり、停止やセキュリティギャップを引き起こす最初のものになりがちです。完全なインベントリから始めることで、全範囲に対する自動化とガバナンスを構築し、何も見落とさず信頼を維持できます。-Umesh Kumar Sharma
16. PKI実装の人的影響を考慮する
PKIは公共インフラです—それはすべて人々に関するものです。重要なステップは、コミュニティへの影響を常に把握することです。実装が公衆衛生、近隣の信頼、地域の文脈にどのように影響するかを評価しましょう。技術的なコンプライアンスを超えて、それに依存する人々に害を与えないようにすることが重要です。-Farrukh Mahboob,PackageX
17. PKIをすでに攻撃下にあるものとして扱う
PKIを将来からすでに攻撃を受けているかのように設計しましょう。初日から暗号アジリティを組み込み、侵入者を発見するためにシステムにおとり証明書を配置し、信頼が自己修復するようにライフサイクルを自動化します。このゲームでは、鍵は単に管理されるだけでなく、アクティブな防御グリッドに武器化されます。-Akhilesh Sharma,A3Logics Inc.
