SSL yönetişimi, sertifikalar üzerindeki karar yetkisini, sorumluluğu ve denetimi netleştiren çerçevedir. Risk yönetimi ise bu çerçevede hangi tehditlerin ne kadar önemli olduğunu sıralar.
Yönetişim unsurları
- Sahiplik: her sertifika bir iş birimine ve bir kişiye bağlıdır.
- Yetkilendirme: kim yeni sertifika isteyebilir, kim onaylar?
- Standartlar: kabul edilen CA'lar, algoritmalar ve asgari protokol.
- Denetim: düzenli tarama ve kayıt karşılaştırması.
Başlıca riskler
- Süre dolması: hizmet kesintisi; olasılığı yüksek, etkisi yüksek, önlemi kolay.
- Anahtar ele geçirilmesi: olasılığı düşük, etkisi çok yüksek.
- Gölge sertifikalar: envanter dışı, izlenmeyen sertifikalar.
- CA kaynaklı olaylar: bir CA'nın güvenilirlik kaybı veya toplu iptal duyurusu.
- Zayıf yapılandırma: eski protokoller, zayıf şifreler.
- Tek kişiye bağımlılık: bilgi bir kişide toplanması.
Risk matrisi oluşturma
Her risk için olasılık ve etki puanı verin (ör. 1-5), çarpımı öncelik sırasını belirler. En yüksek puanlı riskler için sahibi, önlemi ve tarihi olan bir eylem planı yazın.
Riski azaltan pratikler
- Sertifika ömrünü ve yenileme zamanlarını otomasyonla yönetmek.
- Birden fazla CA'ya hızlı geçiş yapabilecek bilgi ve süreç hazırlığı.
- Aynı özel anahtarı birden çok sistemde kullanmamak.
- Alan adı ve DNS hesaplarına iki adımlı doğrulama koymak; çünkü alan adı doğrulaması DNS erişimine dayanır.
Uygulama
- Çeyreklik envanter denetimi yapın.
- Bulguları bir risk kaydına işleyin.
- Olay sonrası öğrenilenleri politikaya geri besleyin.
Yönetişim kâğıt üzerinde kalırsa işe yaramaz; ölçülebilir kontroller gerekir. Mevcut durumunuzu hızlıca görmek için SSL kontrol aracını, olay halinde destek için iletişim sayfamızı kullanabilirsiniz.
Yönetimi ikna etmek
Yönetişim çalışması bütçe ve vakit ister. Ağırlık verilecek argüman, süresi dolan tek bir sertifikanın doğrudan gelir kaybı ve itibar etkisidir. Envanter çalışmasından çıkan 'bu ay bitecek sertifikalar' listesi, yöneticiye soyut risk yerine somut bir tablo sunar.