Studi baru yang dilakukan oleh Venafi menunjukan dari 93% CIO yang disurvei mengatakan memiliki 10.000 lebih sertifikat digital dan 75% di antaranya mengakui mengalami gangguan sertifikat baru-baru ini, mereka mengkhawatirkan risiko keamanan sertifikat SSL/TLS yang aktif harus menjadi prioritas bagi semua perusahaan masa kini.
Meskipun terdengar seperti hal futuristik dalam sinema sci-fi, mesin pengenal identitas nyata dan ada di kehidupan kita. Faktanya, apabila apabila Anda sama seperti perusahaan lainnya yang memasang banyak sertifikat SSL/TLS yang aktif pada situs web, maka berarti perusahaan Anda juga memiliki mesin identitas.
Dan berdasarkan dari laporan studi Venafi, bahwa perusahaan keamanan siber (cyber security) dalam hal spesialis perlindungan mesin identitas, para CIO mereka mengkhawatirkan terhadap risiko keamanan yang berkaitan dengan mesin identitas… tapi , mesin identitas itu sendiri sebenarnya seperti apa, sih? Kenapa bisa berhubungan dengan sertifikat SSL/TLS? Dan apa yang bisa kita lakukan untuk melindungi perusahaan dari risiko tersebut?
Yuk, kita bahas.
Menemukan Kunci dari Studi CIO Global oleh Venafi
Venafi disponsori untuk sebuah studi pasar oleh Coleman Parkes untuk memperoleh pemahaman bagaimana para CIO menangani risiko yang berkaitan dengan mesin identitas. Singkatnya, mesin identitas adalah kecanggihan yang mengidentifikasi bisnis di dunia digital. Perusahaan, organsiasi, maupun entitas pemerintahan menggunakan mesin ini untuk mengautentikasi dan berkomunikasi dengan aman di berbagai platfrom berbeda. Dan jenis mesin identitas yang sering digunakan salah satunya adalah sertifikat SSL/TLS dengan sepasang kuncinya.
Mempertimbangkan bahwa mesin identitas, sertifikat SSL/TLS yang aktif, dan kunci berada di satu pembahasan kali ini, maka mudah untuk menjawab mengapa survein ini berhasil mengalihkan atensi pengguna.
Berikut adalah 5 catatan terbaik dari laporan yang dibuat.
1. 75% CIO Ikut Andil dalam Risiko Mesin Identitas TLS
Dari hasil riset Venafi menunjukan bahwa kebanyakan CIO, mencemaskan risiko keamanan yang berasal dari atau entah bagaimana terhubung dengan mesin identitas. Saat ditanya apakah mereka khawatir risiko keamanan yang berasar dari penggunaan sertifikat SSL/TLS dan kunci kriptografi yang merebak luas, 3 dari 4 orang menjawab, Ya. Dan 1% lainnya menunjukan bahwa mereka tidak yakin. Dan dengan total suara 65% atau sekitar dua per tiga responden yang pernah mengalami risiko akibat sertifikat SSL/TLS yang kedaluwarsa.
Sebagian dari perhatian ini berasal dari fakta bahwa penggunaan sertifikat SSL/TLS melonjak dalam beberapa tahun terakhir.
Kabar baiknya, ini berarti bahwa kepala divisi IT dan keamanan siber semakin menyadari perlunya mengamankan identitas mesin ini.
2. 91% CIO Mengatakan Memiliki Visibilitas Sertifkat SSL/TLS Lengkap di dalam Infrastruktur IT Mereka
Sangat menyenangkan jika Anda memiliki visibilitas, tetapi seberapa sering Anda benar-benar memperhatikannya? Tidak praktis untuk dilihat secara fisik di setiap sudut dan celah jaringan maupun infrastruktur IT Anda. Tetapi di sinilah certificate management tools yang secara otomatis memantau sertifikat SSL/TLS Anda yang sangat penting dan sesering mungkin.
Menonaktifkan sertifikat adalah tanda yang jelas bahwa organisasi kurang menyadari sertifikat dan kunci yang ada dalam infrastruktur IT mereka. Mempertimbangkan betapa umumnya penonaktifan sertifikat untuk pemerintah dan bisnis, kekhawatiran kami adalah bahwa beberapa CIO ini tidak seperti yang mereka pikirkan. (Atau setidaknya, mereka tidak memiliki visibilitas sebanyak yang mereka yakini.)
3. 79% CIO Mengetahui Berapa Banyak Sertifikat dan Kunci SSL/TLS Aktif yang Dimiliki
Studi tersebut melaporkan bahwa lebih dari tiga per empat responden mengetahui berapa banyak sertifikat dan kunci aktif yang ada dalam infrastruktur TI mereka. Faktanya, 93% atau sembilan dari sepuluh responden survei memperkirakan bahwa mereka memiliki minimal 10.000 sertifikat SSL/TLS aktif yang aktif, dan 40% dari mereka percaya bahwa mereka telah menggunakan lebih dari 50.000.
Diagram lingkaran dari Venafi ini menampilkan persepsi tentang berapa banyak sertifikat SSL/TLS aktif yang diyakini telah digunakan oleh organisasi mereka.
Sekali lagi, mengingat seberapa umum penonaktifan sertifikat, kami akan sangat terkejut jika 79% CIO benar-benar mengetahui tentang setiap sertifikat di organisasi mereka–sepertinya sangat tinggi. Beberapa bulan yang lalu, kami membagikan penelitian dari KeyFactor dan Ponemon Institute yang menunjukkan bahwa 74% organisasi tidak mengetahui berapa banyak sertifikat digital yang mereka gunakan.
Sekarang, ini bukan untuk mengatakan bahwa CIO sengaja menipu. Mungkin, Coleman Parkes mensurvei sekelompok CIO yang sangat berpengetahuan dan sadar dunia maya. Tapi saya pikir situasi yang paling mungkin adalah bahwa responden survei melebih-lebihkan kesadaran penggunaan sertifikat mereka (atau meremehkan jumlah sebenarnya dari identitas mesin mereka).
Angka mana yang menurut Anda lebih akurat?
4. 74% CIO Mengindikasi Bahwa Bisnis Mereka Mengalami Penggantian Sertifikat SSL/TLS dalam 2 Tahun Terakhir
CIO dalam penelitian ini tampaknya tidak menahan diri untuk mengakui penonaktifan sertifikat SSL/TLS yang dialami organisasi mereka dalam beberapa tahun terakhir. Hampir tiga perempat dari mereka mengatakan bahwa mereka mengalami gangguan listrik dalam dua tahun terakhir. 60% menunjukkan bahwa penonaktifan melanda bisnis mereka dalam setahun terakhir, dan 34% menunjukkan hal itu terjadi dalam enam bulan terakhir.
Seperti yang telah kami sebutkan, penonaktifan sertifikat biasanya disebabkan oleh kesalahan pengelolaan sertifikat yang terlihat sederhana seperti, membiarkan sertifikat SSL/TLS kedaluwarsa, atau skenario yang lebih kecil kemungkinannya adalah bahwa hal itu dapat terjadi akibat sertifikat yang dicabut (revoke) oleh Certificate Authority (CA) yang dipercaya secara publik. Ada kemungkinan penyebab ketiga–CA tidak dipercaya oleh browser–tetapi meskipun itu terjadi di masa lalu, yang beruntungnya jarang terjadi.
Apa pun penyebabnya, intinya adalah bahwa penonaktifan terkait sertifikat berdampak buruk bagi bisnis.
Penonaktifan dapat mengakibatkan segalanya mulai dari menampilkan pesan kesalahan (peringatan “Not Secured” yang tidak enak dipandang) hingga penghentian layanan. Tetapi yang membuat ini lebih buruk adalah bahwa penonaktifan ini pada akhirnya dapat mengakibatkan hilangnya pendapatan dan kepercayaan bisnis Anda di mata pelanggan Anda.
5. Terlepas dari Kekhawatiran Mereka, CIO Mengakui Bahwa Identitas Mesin Akan Tetap Ada
Identitas mesin merupakan bagian integral dari banyak aspek komunikasi dan teknologi digital. Sertifikat SSL/TLS dan kunci dapat ditemukan di mana saja mulai dari situs web dan API hingga perangkat seluler bahkan IoT. Dan itu adalah tren yang tidak hanya diharapkan akan terus berlanjut tetapi juga akan tumbuh. Faktanya, sebagian besar responden survei (97%) memperkirakan bahwa jumlah sertifikat SSL/TLS yang aktif organisasi mereka akan tumbuh hingga 20% dalam tahun depan!
Banyak bisnis yang tampak terlalu percaya diri dengan kemampuan mereka saat ini untuk mengelola identitas mesin mereka. Jadi, karena identitas mesin akan tetap ada di masa mendatang, dan seiring dengan bertambahnya jumlah sertifikat dan kunci yang akan mereka gunakan, itu berarti bahwa mereka benar-benar perlu mengesampingkan kualitas diri dan melihat kemampuan mereka saat ini melalui lensa objektif.
Studi Ini Menonjolkan Pentingnya Otomasi
Kesimpulan terbesar dari survei ini adalah bahwa survei ini menggarisbawahi mengapa mengotomatiskan siklus hidup sertifikat sangatlah penting. Sementara bisnis dan organisasi yang lebih kecil mungkin dapat lolos dengan certificate management manual, hampir tidak mungkin bagi organisasi dan perusahaan yang lebih besar untuk melakukan hal yang sama. Mengapa? Karena bisnis kecil lebih cenderung memiliki jumlah sertifikat aktif yang lebih mudah dikelola di infrastruktur mereka.
Kebanyakan perusahaan, di sisi lain, dapat memiliki ribuan (atau puluhan ribu) sertifikat SSL/TLS yang aktif yang terpasang di dalam jaringan mereka dan infrastruktur IT lainnya pada waktu tertentu. Agar manajemen sertifikat manual berfungsi dalam skenario ini, pada dasarnya Anda harus memiliki beberapa karyawan penuh waktu yang tanggung jawabnya hanya mengelola sertifikat dan kunci SSL/TLS setiap hari.
Jumlah waktu, tenaga, dan sumber daya moneter yang berlebihan yang harus didedikasikan untuk pengelolaan manual dari banyak sertifikat SSL/TLS itu akan menjadi konyol. Kami yakin Anda setuju bahwa ada cara yang jauh lebih berharga (dan produktif) bagi karyawan Anda untuk menghabiskan waktu mereka. Inilah sebabnya mengapa mengotomatiskan siklus hidup sertifikat SSL/TLS dapat membantu Anda melindungi identitas mesin dan keamanan organisasi Anda secara keseluruhan.
Bagaimana Otomasi Membantu Bisnis Anda
Tidak ada yang bisa membantah pentingnya mengelola sertifikat dengan benar–tetapi itu tidak berarti bahwa tugas yang terkait dengannya tidak sulit dan berulang. Sekali lagi, ada cara yang lebih baik bagi karyawan Anda untuk menghabiskan waktu mereka daripada, katakanlah, menerbitkan kembali dan merotasi sertifikat. Dan itulah mengapa alat otomatisasi sertifikat sangat penting.
Bahkan NIST setuju. Dalam laporan khusus mereka tentang mengamankan transaksi web, NIST SP-1800-16 , Institut Standar dan Teknologi Nasional menawarkan panduan untuk pengelolaan yang tepat dan pengamanan sertifikat dan kunci SSL/TLS. Dan apa inti dari kerangka kerja mereka untuk mengamankan identitas mesin? Otomasi.
Manajer sertifikat mengotomatiskan tugas-tugas yang membosankan (namun perlu) itu, yang membebaskan tim IT Anda untuk fokus pada tugas-tugas tingkat tinggi yang membutuhkan pemikiran kritis. Dengan cara ini, karyawan Anda dapat mengerjakan proyek yang dapat meningkatkan bisnis atau layanan Anda daripada mengerjakan tugas inventaris dan memastikan bahwa sertifikat yang kedaluwarsa ditukar sebelum menyebabkan peristiwa keamanan apa pun.
