Como seleciono um módulo de segurança de hardware para o meu negócio?

25

Proteger seus dados nunca foi tão importante, e a melhor maneira de fazê-lo é usando chaves de criptografia. Essas chaves devem então ser armazenadas dentro de um módulo de segurança de hardware que as protege e as gerencia.

Para selecionar um módulo de segurança de hardware adequado para o seu negócio, você precisa pensar em uma variedade de fatores. Conversamos com vários profissionais do setor para obter sua visão sobre o tema.

David Close, Arquiteto chefe de soluções, Futurex

Ao selecionar um módulo de segurança de hardware, há tantos fatores para considerar que pode ser difícil manter as coisas em linha reta.

Em primeiro lugar, no entanto, você deve se perguntar estas perguntas:

  • Existem requisitos de conformidade que eu devo atender, como o PCI HSM?
  • Meus aplicativos exigem uma interface criptográfica específica, como PKCS #11, Java ou Microsoft CNG?
  • Quantas aplicações diferentes no meu ecossistema requerem HSMs? Posso usar multitenância ou virtualização de HSM para reduzir minha pegada e custo de rack geral?
  • Meus aplicativos usam nuvens públicas como AWS, Azure ou Google? Se assim for, um HSM em nuvem ou hsm de pagamento em nuvem atenderá às minhas necessidades?
  • Como devo estruturar minha equipe? Devo concentrar sua energia mais no trabalho prático de administração, ou no uso de ferramentas fornecidas pelo fornecedor para automatizar o processo de gerenciamento de HSM?
  • Olhando para o futuro, quando minha organização precisará implantar algoritmos pós-quânticos? Para fabricantes de IoT com dispositivos de longa duração, isso pode ser mais cedo do que você pensa!

É fácil se envolver em especificações granulares, como velocidade de assinatura RSA ou capacidade de armazenamento de chaves de criptografia, mas antes de mais nada, você deve ter certeza de que sua seleção de HSM atende aos seus objetivos estratégicos. Se você considerar cuidadosamente as perguntas acima com suas necessidades de longo prazo em mente, você vai encontrar-se em uma ótima posição.

Publicações Relacionadas

John Grimm, vice-presidente de Estratégia e Desenvolvimento de Negócios, Entrust

É fácil se perder em velocidades e feeds, listas de certificação e conformidade e detalhes de especificação de baixo nível ao comparar diferentes ofertas de HSM. E é extremamente perigoso fazê-lo, onde o campo de jogo para HSMs – e os critérios para avaliá-los – mudou significativamente em relação aos anos passados.

A verdade fundamental sobre os HSMs é que eles não são produtos autônomos; eles fornecem proteção e gerenciamento de alta garantia para chaves privadas para aplicativos que executam criptografia ou assinatura digital. Quanto mais aplicativos você tiver que fazer criptografia ou assinatura digital, maior o ROI que você pode conseguir em um investimento em HSMs.

E é exatamente por isso que um forte, diversificado, bem apoiado e bem conservado ecossistema de parceiros tecnológicos tornou-se um dos principais diferenciais para as ofertas de HSM. O HSM tem integrações certificadas, atuais e documentadas com uma gama de provedores líderes em casos de uso fundamental, como PKI, criptografia, assinatura digital e TLS/SSL? E casos de uso mais modernos, como nuvem, BYOK e gerenciamento de chaves, e contêineres/Kubernetes? Casos de uso emergentes também importam: gerenciamento de segredos, blockchain, IoT e muito mais.

O amplo suporte a aplicativos reduz o risco de segurança e maximiza o ROI, e juntamente com a flexibilidade de implantação (não apenas nuvem ou on-premise, mas a capacidade de mudar perfeitamente entre os dois) e o suporte ao cliente mundial comprovado são critérios críticos de seleção para ajudá-lo a posicioná-lo para o sucesso com os HSMs.

Ambuj Kumar, CEO da Fortanix

Os HSMs tradicionais são construídos para casos específicos de uso. Isso resulta em fragmentação de segurança. As empresas geralmente têm 2-3 HSMs diferentes, gerenciamento de chaves e soluções de criptografia, cada uma resolvendo apenas parte do problema a um preço premium com manutenção cara e custos adicionais para cada nova aplicação.

Para aumentar as aflições, esses sistemas não se integram a infraestruturas públicas de nuvem/híbridos, exigindo que os clientes mantenham soluções separadas para aplicativos no local e nuvem pública. As equipes de aplicativos já sobrecarregadas de hoje, administradores de banco de dados, analistas de dados e administradores de segurança não têm tempo ou paciência para usar tecnologia desatualizada.

Durante décadas, empresas em indústrias altamente regulamentadas foram bloqueadas em aparelhos HSM que são caros para operar, difíceis de escalar e não têm as modernas interfaces de programação RESTful exigidas pelos desenvolvedores de aplicativos para rapidamente trazer novos aplicativos ao mercado e migrar para a nuvem pública.

A certificação Federal Information Processing Standard (FIPS) 140-2 Level 3 do National Institute of Standards and Technology (NIST) permite que as empresas substituam tecnologias de criptografia legados para proteger os dados mais sensíveis do governo dos EUA, tecnologia, serviços financeiros e indústrias de saúde.

No mínimo, adote um HSM que ofereça conformidade nível 3 FIPS 140-2, gerenciamento secreto, gerenciamento de chaves e integração em nuvem.

você pode gostar também