Yazılı bir sertifika yönetim politikası, "bunu kim yapacak, hangi kurallara göre yapacak" sorularını önceden cevaplar. İyi bir politika kısa, uygulanabilir ve düzenli güncellenen bir belgedir.
Politikanın ana başlıkları
- Amaç ve kapsam: hangi sistemler, hangi sertifika türleri kapsamda?
- Roller: sertifika sahibi, onaylayan, uygulayıcı, denetleyici.
- Edinme kuralları: yalnızca onaylı CA'lar, asgari doğrulama düzeyi, onaylı ürün listesi.
- Kriptografik standartlar: asgari anahtar uzunluğu (ör. RSA 2048 ve üzeri veya ECDSA P-256), imza algoritması, TLS sürümü.
- Anahtar yönetimi: üretim yeri, saklama, erişim yetkisi, yedekleme.
- Yenileme: alarm eşikleri ve son tarihler.
- İptal: hangi durumlarda iptal edilir, kim talep eder.
- Kayıt ve raporlama: envanter güncelleme sıklığı.
Örnek kural cümleleri
- Her sertifikanın envanterde bir sahibi bulunur.
- Özel anahtar, sertifikanın kurulacağı sistemde üretilir ve dışarı aktarılmaz.
- Bitişine 30 gün kalan sertifikalar için yenileme işlemi başlatılır.
- Kullanım dışı kalan alan adlarına ait sertifikalar 15 gün içinde iptal edilir.
- Genel kullanıma açık sistemlerde yalnızca TLS 1.2 ve 1.3 açıktır.
Politikayı uygulanabilir kılmak
- Kuralları teknik kontrole dönüştürün: örneğin tarama aracı TLS 1.0 açık bir sunucuyu yakaladığında bildirim versin.
- İstisna sürecini tanımlayın; istisnalar yazılı, gerekçeli ve süreli olmalı.
- Yılda bir gözden geçirin. CA/Browser Forum kuralları ve azami sertifika süresi zamanla değiştiği için politika da güncel kalmalıdır.
Politika belgesi, sunucu kurulum ve yenileme adımlarını anlatan operasyon el kitabıyla desteklenmelidir. Teknik doğrulama için SSL kontrol aracı, ürün seçimi için SSL seçim rehberi kullanılabilir.
Politika belgesi için iskelet
- Amaç ve kapsam
- Roller ve sorumluluklar
- Teknik standartlar (protokol, anahtar, algoritma)
- Yaşam döngüsü kuralları (edinme, yenileme, iptal)
- İstisna süreci
- Denetim ve raporlama
- Gözden geçirme takvimi ve sürüm geçmişi
Bu iskeleti doldurmak genellikle bir iki sayfayı geçmez; kısa politika okunur ve uygulanır.