Optimización de la gestión de certificados: cómo ACME mejora la seguridad cibernética de las pequeñas y medianas empresas

Por: Blanca Yanulis – Gerente Regional para América Latina de GlobalSign

En el panorama de ciberseguridad en constante evolución de hoy, las pequeñas y medianas empresas (pymes) enfrentan desafíos únicos a la hora de proteger sus activos digitales y mantenerse dentro del cumplimiento de normas y regulaciones. México no es ajeno a esta realidad, según el informe de Manage Engine 2024 “Estado de la Ciberseguridad en América Latina”, en 2023 el 65% de las y los mexicanos encuestados reconocieron que las violaciones de datos fueron más impactantes que en años anteriores. Aún más preocupante fue que el mismo grupo de personas admitió que sus empresas experimentaron un ciberataque que “resultó en pérdidas financieras significativas”. Vale resaltar que, el territorio mexicano se suele ubicar como el más atacado en la región por los ciberdelincuentes, tan sólo por detrás de Brasil. Entre las micro, pequeñas y medianas empresas (mipymes) mexicanas hay mayor conciencia de estos riesgos: un estudio del Instituto Federal de Telecomunicaciones (IFT) encontró que en 2022, el 71,9% de las encuestadas mencionaron que la ciberseguridad es importante o muy importante.

Incluso con un departamento de tecnologías de la información (TI) completamente operativo, las pymes a menudo tienen dificultades para seguir el ritmo de las complejidades de áreas más específicas de la ciberseguridad, como la infraestructura de clave pública (PKI) y la gestión de certificados. Esto las deja vulnerables a las brechas de seguridad y/o fuera de lo estipulado por las regulaciones. También aquí hay un desafío adicional para México: mientras que la demanda de profesionales de ciberseguridad se estabilizó en el resto del mundo —incluso llegando a caer en algunos países, como el caso de Estados Unidos—, en el país continúa en aumento. Es más, en mayo de 2024, con una subida de 6,8 por ciento, México lideró las búsquedas de profesionales de ciberseguridad, por delante de países como España, India, Países Bajos, Australia y Alemania, de acuerdo con un estudio de LinkedIn Economic Graph.

Sin embargo, tecnologías como el entorno de gestión automática de certificados (Automatic Certificate Management Environment, ACME) ofrecen una solución que agiliza los procesos de gestión de certificados y mejora la posición de las pymes en cuanto a ciberseguridad. Como tecnología subyacente, ACME pasa desapercibida; no obstante, se ha convertido en uno de los protocolos de automatización de certificados en los que más se confía en el mundo.

Cómo funciona ACME

Diseñada para permitir a las empresas comunicarse con una autoridad de certificación (CA) para automatizar la emisión y renovación de certificados TLS, ACME permite la emisión de certificados a bajo costo y alta velocidad. Los elementos principales de ACME están formados por dos componentes clave: el servidor ACME y el cliente ACME. El servidor ACME, que es la CA, proporciona desafíos de dominio y emite certificados. El cliente ACME —generalmente una herramienta de código abierto de terceros— es un paquete de software liviano que utilizan los usuarios para solicitar certificados al servidor. Los usuarios seleccionan y configuran su cliente preferido para comunicarse con el servidor para solicitudes de certificados.

Beneficios de ACME más allá de la emisión automatizada de certificados TLS

Los clientes ACME que admiten el protocolo ACME no solo automatizan la emisión de certificados TLS, sino que también ofrecen a las pymes una solución integral para gestionar certificados digitales en toda su infraestructura de TI. Apoyándose en los clientes ACME, las pymes pueden agilizar la emisión, instalación y configuración de certificados, asegurándose de que todos los certificados digitales se gestionen y actualicen correctamente de acuerdo con las políticas de seguridad y los requisitos de cumplimiento. Este enfoque automatizado de la gestión de certificados reduce el riesgo de incidentes de seguridad relacionados con el factor humano y mejora la resiliencia general de la ciberseguridad.

¿Por qué es importante ahora?

En respuesta a la evolución de los marcos regulatorios impulsados ​​por los cambios del mercado, existe una necesidad evidente de automatización de los certificados.

Un área que se convertirá en una preocupación cada vez mayor para las pymes es Google, que tiene planes de acortar la validez máxima de los certificados TLS de confianza pública a 90 días. Si bien no hay una fecha fijada para que esto entre en vigencia, supondrá un aumento de cuatro veces (4x) en la velocidad necesaria de rotación de certificados. Como resultado, incluso los clientes de pymes con una pequeña cantidad de certificados TLS verán un aumento considerable en su carga de trabajo de emisión manual. Se cree que este importante cambio en la validez se anunciará en algún momento dentro del próximo año. Las empresas pequeñas y medianas ahora deben encontrar un proveedor que las ayude a automatizar sus certificados de una manera fácil y sin complicaciones.

Las soluciones que aprovechan ACME son una solución obvia, ya que pueden abordar este problema y permitir que las pymes se adapten a los requisitos de certificados en evolución sin inconvenientes, sin incurrir en una carga administrativa adicional o complejidad operativa.

Integración con la infraestructura de seguridad existente

Como se mencionó anteriormente, ACME es un protocolo API flexible, lo que significa que se integra fácilmente con la solución de infraestructura de clave pública (PKI) de una pyme. Al integrar ACME en su ecosistema de seguridad, las PYME pueden lograr una mayor visibilidad y control sobre sus certificados TLS, lo que permite la supervisión proactiva y la aplicación de políticas de seguridad. Esta integración también facilita la gestión centralizada de los certificados, lo que simplifica las tareas administrativas y reduce los gastos operativos.

Escalabilidad

La escalabilidad inherente de ACME la vuelve ideal para pymes con necesidades de ciberseguridad diversas y cambiantes. Las soluciones de ACME pueden adaptarse fácilmente a los cambios en los requisitos organizacionales y admitir una cantidad cada vez mayor de certificados y dispositivos sin imponer una carga de trabajo o complejidad significativa. Esta capacidad permite a las pymes ampliar sus capacidades de gestión de certificados a medida que crece su negocio, lo que garantiza que puedan ejecutar eficazmente sus certificados digitales en cualquier capacidad.

Velocidad y automatización

Implementar ACME no lleva mucho tiempo; y una vez configurado, la emisión y renovación de certificados se produce automáticamente en cuestión de segundos.

Eficiencia de costos y optimización de recursos

ACME también ofrece a las pymes un enfoque eficiente tanto en costos como en el uso de los recursos para la gestión de certificados, reduciendo la carga sobre los recursos y el personal de TI. Al automatizar las tareas repetitivas de gestión de certificados, las soluciones de ACME liberan al personal de TI para que se concentre en iniciativas de seguridad más estratégicas, como la detección de amenazas y la respuesta a incidentes. Esta optimización de los recursos no solo mejora la eficiencia operativa, sino que también mejora la preparación general en materia de ciberseguridad, lo que permite a las pymes defenderse mejor contra las amenazas y vulnerabilidades emergentes.