Por qué las organizaciones están migrando el cifrado PGP y S/MIME a la nube

Muchas implementaciones de PGP y S/MIME se construyeron hace años en torno a un servidor de pasarela dedicado en el centro de datos. Una vez en producción, se convierte en una infraestructura de la que depende el negocio, pero que pocas personas entienden. Mantenerla en buen estado implica:

• Parches y actualizaciones del sistema operativo, del software de cifrado y de sus dependencias, a menudo programados en torno a interrupciones del correo.
• Disponibilidad: una sola pasarela es un punto único de fallo para el correo saliente, por lo que la resiliencia exige agrupación en clústeres, equilibrio de carga y una conmutación por error probada.
• Custodia de claves y certificados: las claves privadas necesitan almacenamiento seguro, copias de seguridad y recuperación, a veces en módulos de seguridad de hardware.
• Integración con directorios: las búsquedas LDAP y la publicación de claves deben seguir funcionando a medida que cambian los directorios, los dominios y los socios.
• Planificación de la capacidad: el crecimiento del volumen de correo o del tamaño de los archivos adjuntos obliga a comprar e instalar hardware antes de que aumente la demanda.
• Conocimientos especializados: cuando se marcha el ingeniero que construyó el sistema, los cambios rutinarios se vuelven arriesgados.

Nada de este trabajo diferencia a la organización de sus competidores. Simplemente mantiene el flujo del correo cifrado, y compite por el mismo personal que se ocupa de todo lo demás.

Menos infraestructura que mantener

El proveedor opera el motor de cifrado, le aplica los parches y lo escala.Los equipos internos gestionan el enrutamiento del correo y la política de cifrado en lugar de servidores, sistemas operativos y clústeres.

Una sola política para PGP y S/MIME

Un servicio que gestione ambos estándares puede aplicar reglas por destinatario, dominio o contenido, y elegir automáticamente PGP, S/MIME o un método de entrega alternativo. Los usuarios no tienen que decidir cómo cifrar cada mensaje, lo que elimina una fuente habitual de errores.

Ciclo de vida centralizado de claves y certificados

Las claves de los remitentes, las búsquedas de destinatarios y las renovaciones de certificados pueden gestionarse de forma centralizada en lugar de dispositivo por dispositivo. Nuestra página sobre la gestión centralizada de claves PGP y S/MIME describe los controles implicados, incluidas las opciones de claves gestionadas por el cliente.

Opciones para destinatarios sin PGP ni S/MIME

Cuando un destinatario no tiene clave ni certificado, la política puede entregar el mensaje a través de un portal seguro o como documento cifrado, en lugar de enviarlo sin protección o devolverlo al remitente.

Evidencias de auditoría más claras

El registro centralizado de las decisiones de cifrado, la generación de claves y los estados de entrega facilita demostrar a los auditores qué mensajes se protegieron y cómo.

Compatible con la plataforma de correo que ya utiliza

Microsoft 365, Google Workspace y las pasarelas de correo electrónico seguro pueden enrutar el correo al servicio mediante conectores SMTP estándar, de modo que los usuarios siguen utilizando Outlook o Gmail. Para conocer las opciones específicas de cada plataforma, consulte cómo cifrar el correo electrónico en Microsoft 365 y Google Workspace.

Migrar a la nube no cambia la criptografía en la que confían sus socios. Un socio PGP sigue necesitando su clave pública, y usted sigue necesitando la del socio; un socio S/MIME sigue validando su certificado frente a una autoridad de certificación de confianza. El cifrado de correo electrónico PGP alojado en la nube y el cifrado de correo electrónico S/MIME alojado en la nube siguen los mismos estándares abiertos que los productos locales.

La experiencia de sus usuarios tampoco cambia apenas: siguen redactando y leyendo el correo como antes, y la política decide cuándo se aplica el cifrado.

Tampoco se traslada la responsabilidad. Su organización sigue decidiendo qué debe cifrarse, quién puede tener claves y durante cuánto tiempo se conservan los registros. Un proveedor suministra los controles y los opera; no hace por sí solo que una organización cumpla la normativa.

Un servicio en la nube no es la respuesta adecuada para todas las organizaciones. Mantener una solución local, u optar por un modelo híbrido, puede tener sentido cuando:

• la ley, un contrato o la política interna exigen que las claves y el procesamiento de los mensajes permanezcan en sus propias instalaciones;
• el sistema de correo está aislado de internet;
• una inversión reciente en hardware local aún tiene años de vida útil por delante y se dispone del equipo necesario para operarlo.

Aun así, conviene revisar el esfuerzo anual total que supone operar el sistema. Las opciones de claves gestionadas por el cliente de un servicio en la nube pueden satisfacer muchos requisitos de custodia de claves sin necesidad de mantener los servidores.

1. Haga un inventario. Enumere todos los dominios de envío, reglas de cifrado, pares de claves PGP, certificados S/MIME, socios y directorios que utiliza el sistema actual.
2. Decida qué se traslada. Elija qué claves y certificados importar y cuáles sustituir. Importarlos mantiene intacta la confianza de los socios; sustituirlos es una oportunidad para retirar material débil o a punto de caducar.
3. Preserve el correo archivado. Mantenga disponibles, de forma segura, las claves privadas antiguas durante todo el tiempo que los mensajes cifrados deban seguir siendo legibles.
4. Opere en paralelo. Enrute un dominio, un departamento o un grupo de socios a través del nuevo servicio mientras la pasarela antigua se ocupa del resto.
5. Pruebe con socios reales. Confirme el cifrado, el descifrado, las firmas y las respuestas en ambos sentidos antes de ampliar el alcance.
6. Complete la transición y retire el sistema anterior. Traslade las rutas restantes y, después, retire los servidores antiguos y deshágase de sus claves conforme a su política de conservación.

Las notas sobre la migración desde PGP local de nuestra página Cloud PGP y nuestras opciones de migración y portabilidad de claves tratan los detalles técnicos del traslado de claves.

• ¿Dónde se procesa el correo y dónde se guardan las claves?
• ¿Podemos importar nuestras propias claves y exportarlas si dejamos el servicio?
• ¿Qué autoridades de certificación y directorios se admiten?
• ¿Qué registros e informes hay disponibles para las auditorías?
• ¿Qué alternativas de entrega existen para los destinatarios sin PGP ni S/MIME?
• ¿Cómo se autentica a los destinatarios cuando utilizan un portal?

Nuestra descripción de los controles de seguridad del cifrado de correo electrónico en la nube muestra cómo aborda CloudPGP varias de estas preguntas, incluido dónde terminan sus responsabilidades y dónde empiezan las de su organización.