White paper - B3IT Init AB Tieto 2013 UNDVIK FALLGROPARNA I DIN PKI

White paper - B3IT Init AB Tieto 2013 UNDVIK FALLGROPARNA I DIN PKI

Av: Per-Olov Sjöholm, B3IT Init AB, peo_s@b3it.se PUBLIC KEY INFRASTRUCTURE (PKI) är lösningen på många säkerhetsrelaterade utmaningar idag och används i princip överallt där någon form av autentisering, signe-ring eller kryptering förekommer. VPN (Virtual Private Network), inloggning med smarta kort, signering av mjukvara, kryptering av filer, säker e-post, mobila banklösningar, pass, webbautentisering och, inte minst, säkra webbsajter över HTTPS är alla exempel på tilllämpningar där PKI är en bärande komponent. Men att implementera en PKI-lösning anses komplext, och det finns onekligen många fallgropar. Utmaningar består bland annat i avsaknad av kompetens med risk för dåliga beslut, oförutsedda kostnader och, i värsta fall, sämre säkerhet som resultat. I slutänden får köparen ofta en TCO som ligger långt ifrån vad organisationen hoppats på. I denna text ska vi räta ut en del av de frågetecken som omger PKI och beskriva hur en köpare av PKIlösningar bör navigera för att undvika de större fallgroparna. MEN FÖRST, VAD ÄR RIKTIG PKI? En PKI-infrastruktur, Public Key Infrastructure, är en hörnsten i lösningar innehållande signering, autentisering och kryptering. Dessa tillsammans är tre centrala delar inom ITsäkerhet och bidrar till ett starkt informationsskydd. Tekniskt bygger PKI på en hierarki med digitala utgivare, så kallade Certificate Authorities (CA). Grunden för PKI bygger på asymmetrisk kryptering och involverar ett par nycklar som matematiskt har en bindning till varandra och hör ihop: en privat nyckel som är hemlig, och en publik nyckel som ska/bör vara publikt tillgänglig. Den publika nyckeln läggs ofta med i ett certifikat som ges ut och signeras av en CA. Certifikatet har stora likheter med ett fysiskt certifikat: man kan se vem det är utställt till, det kan ha giltighetstider samt ett sigill i form av en digital signatur. En viktig skillnad är dock att ett elektroniskt certifikat inte är förfalskningsbart då det genom en kryptografisk signaturkontroll ger ett skydd mot manipulation och att identiteten kan styrkas. Med asymmetrisk kryptering behöver man inte som med symmetrisk kryptering utbyta hemligheter med varandra på distans med de risker det medför. Det är själva kärnan i asymmetrisk kryptografi, PKI. Men vad köparen av en PKI-lösning inte vet eller kanske tänker på, är att PKI ändå bara till hälften är en teknisk fråga. Fördelningen över hur mycket som är teknik beror på vad och hur din PKI-lösning skall användas. Har köparen intentioner att agera lokalt inom sin egen organisation, på Sverige-basis eller kanske till och med som en så kallad Trusted Service Provider (TSP) internationellt inom EU? Det senare kräver full kontroll från första stund på EU:s hela regelverk runt eidas 1 och kräver att du har kontroll på EU-krav såväl som vad som gäller lokalt i Sverige hos e-legitimationsnämnden och kontrollorganet Post och telestyrelsen (PTS). BARA HÄLFTEN TEKNIK Många organisationer missbedömer hur stor del av ett PKI-projekt som inte är teknikrelaterade. Det medför bland annat att man ofta inte tar med all nödvändig kompetens in i projektet. Det kan i sin tur medföra att man i efterskott måste göra om vissa delmoment om installationen skett i fel ordning eller att det missats viktiga krav från policyn, alternativt att organisationen överväger att acceptera en mindre säker lösning än vad man tänkt sig från början. Ju större omfattning och ju fler intressenter desto mindre teknik blir det ofta frågan om. Tekniken måste alltså stöttas upp med reglerverk, processer och rutiner. Finns inte dessa på plats så blir inte en PKI-lösning så säker och tillförlitlig som många tror. 1 EU-förordning om elektronisk identifiering och betrodda tjänster. 2

Bland de viktigare regler, rutiner och dokument som behöver tas fram finns bland andra: n CERTIFICATE POLICY (CP) - innehåller bland annat regler och riktlinjer rörande certifikatutfärdare och policys inom flera områden som måste täckas av företagets CPS (se nästa punkt). n CERTIFICATE PRACTICE STATEMENT (CPS) - en efterlevanderutin som beskriver hur utfärdaren ger ut och hanterar certifikat. Dessa rutiner skall följa de regler som finns i CP. n NYCKELCEREMONI - beskriver hur de privata nycklarna som används av PKI-systemet skapas, lagras, behandlas och förnyas. Vidare så måste dessa delar implementeras i rätt ordning. För att PKI-lösningen ska kunna följa relevanta policys så måste dessa först existera. Optimala PKI-lösningar kan inte byggas om det inte först finns en certifikatpolicy. Ofta är större delen av en certifikatpolicy inte teknisk, men dess krav på PKI-lösningen kan påverka hela installationen. Som man kanske förstår av ovan så kan Certificate Practice Statement (CPS) i sin tur referera till och kräva skapandet av flera ytterligare rutiner. Är till exempel hela företagets inloggning beroende av att PKI-systemen fungerar, så bör den så kallade kontinuitetsplanen kanske prioriteras. Ovan nämnda delar är något man inte kommer undan oavsett vilken PKI-lösning företaget väljer. Ja, i alla fall inte om köparen vill ha en säker och funktionell PKI-lösning. VAD ANVÄNDS PKI TILL? PKI används idag i många olika typer av tillämpningar: n KRYPTERING används för att stärka konfidens och begränsa andras åtkomst till informationen. Exempel på det kan vara dokument man vill att ingen eller bara några få skall komma åt, eller kanske en VPN förbindelse i form av en krypterad tunnel. n AUTENTISERING används för att identifiera validiteten av avsändare och mottagare. Exempel kan vara 802.1X 1 autentisering av enheter i datanätverket, autentisering i din mobila banklösning eller kanske inloggning mot företagsnätverket med smarta kort. n DIGITAL SIGNERING av ett dokument eller annan elektronisk handling skyddar dessas integritet genom att avslöja om data modifierats. Exempel på tillämpningar kan vara allt från att säkerställa äktheten av Microsofts mjukvaror, Apples program från AppStore eller kanske din elektroniska signatur du gör i din internetbank när du online utökar huslånet för en badrumsrenovering. Möjligheten att skriva under en handling elektroniskt och därmed applicera en digital signatur är nog en av de mest underskattade tillämpningarna och som allra mest har förändrat världen. PRODUKTVAL Idag när detta skrivs, i slutet av 2016, finner den potentiella PKI-köparen cirka dussintalet PKI-produkter av rimlig kvalitet eller bättre på marknaden. Man brukar i produktjämförelser prata om områdena kärn-pki, mobilitet samt Internet of Things (IoT). n KÄRN-PKI. utgivande CA-mjukvara, self-service, Registration Authority (RA) 2, nyckelskydd med HSM 3, API:er med mera. 1 Teknik för nätverksautentisering som kan förhindra hindra inkoppling av främmande utrustning i företagets nätverk. 2 En RA eller Registration Authority är en instans som validerar slutanvändarbegäran för certifikat och sedan ber CA:n att utföra detta. 3 En HSM eller Hardware Security Module är en enhet för lagring av de hemliga nycklarna. HSM:en uppfyller normalt tuffa säkerhetsklassningar, ska vara manipulationsskyddad och har ingen möjlighet att exportera ut nycklarna. Enheten skall även vara fysiskt inlåst enligt de säkerhetsramverk man följer och vill kunna granskas och certifieras för. 3

n MOBILITET. Koppling av CA till den lösning som hanterar mobila enheter, avancerad enrollment, hanterar nyckelgenerering i chip och mycket mer. n INTERNET OF THINGS (IOT). Elektronikförsedda vardagssaker som vitvaror, bilar, byggnader, kläder med mera. UPPHANDLING För att framgångsrikt utvärdera och upphandla PKIlösningar krävs kunskaper om teknik, säkerhet, organisationen samt viss insikt i organisationens IT-strategi. Ofta saknas viktiga kunskapsbitar när produkter skall köpas, och momentana tekniska behov får alltför ofta styra istället för välgrundade beslut baserat på TCO Få tillgängliga lösningar är starka på alla tre områdena, vissa är medelgoda på alla tre, medan andra är bra bara på något område. I detta kan köparna på sikt riskera onödiga ekonomiska bakslag om de väljer en produkt utifrån ett smalt specifikt, momentant behov. Behöver organisationen eventuellt utveckla egna applikationer framöver? Då behöver man t ex kanske se över vilken/vilka produkter som har bra programmatiska API:er. KÖPAREN BÖR ÄGNA EN DEL TID ÅT SITT PRODUKTVAL. Det ansedda analysföretaget Gartner gör löpande teoretiska utvärderingar av bland annat PKI-produkter och kan eventuellt vara ett delstöd vid produktvalet. De senare Gartnerrapporterna går mer i riktning mot nyckelfärdiga lösningar som innebär att köparen ska slippa resurskrävande uppgraderingar och komplexitet. Köparen bör dock tänka på att Gartner inte ger tydliga indikationer på kostnader runt implementation, drift och underhåll, varför deras utvärderingar är mer inriktade för att ge en bild av lösningarnas tekniska egenskaper. 4

DEN LOGISKA DESIGNEN Har din organisation nått så långt som till den logiska designen så har ni förstått att ni behöver en PKI-lösning och är förmodligen redan en bit in i ett projekt. I detta läge är det lämpligt att stanna till en stund och se upp för några olika fallgropar. Det är viktigt att att se till så den produkt ni väljer stödjer er logiska design - ni ska inte behöva anpassa verksamheten till till en produkt som inte stödjer era behov. Se även till att ni har en certifikatpolicy, samt ett certificate practice statement på plats då design och implementation ska luta sig mot dessa. Några viktiga aspekter din organisation behöver tänka på är bland annat era CA-hierarkier, vilket slags data certifikaten skall innehålla, på vilket sätt revokering skall ske, med mera. CA-HIERARKIER Här behöver organisationen fundera på om ni vill eller kan använda er av en rot-ca för hela organisationen eller om ni av olika anledningar behöver flera olika rot-ca:s. Det finns flertalet aspekter att ta höjd för som styr om man vill/behöver ha flera olika rot-ca:s. Det kan vara praktiska anledningar eller att man för vissa tjänster velat följa och kunna arbeta internationellt och följa till exempel EUs nya lagkrav runt eidas. Det är vanligt är att man har en (1st), eller högst några få rot-ca:s och under den/dessa använder flera så kallade utgivande CA:s. I olika sammanhang förekommer även benämningar som Issuing-CA och Sub-CA, vilka båda är synonymer för samma sak, det vill säga CA:s underställda rot-ca som står för utgivningen av certifikaten till slutanvändare eller andra komponenter 4. En rot-ca ligger ofta off-line när den inte används medan en utgivande CA oftast är online även när den inte används. Frågor att ta ställning till är till exempel om organisationens utgivande CA:s skall användas tjänstebaserat eller baserat på tillit, så kallade trust level. Som exempel på typiska tjänstebaserade CA:s kan en utgivande CA användas för auto enrollment av certifikat till windowsklienters autentisering, det vill säga användarnas inloggning, och en annan utgivande CA för autentisering av server- och nätverksutrustning baserat på 802.1X. Alternativt så kan vi i det tillitsbaserade fallet (trust level) till exempel bestämma att för att en enhet skall kunna få ett certifikat tilldelat från en utgivande CA med högsta tillitsnivån, så måste enheten ha nycklar genererade i hårdvara, annars får enheten certifikat från en utgivande CA med lägre nivå av tillit. Allt fler tilltalas idag av tillitsmodellen idag. Tillitsmodellen skulle potentiellt kunna blanda klienter/system där certifikat utgivits av olika CA:s. Exempelvis kan en bärbar dator med certifikatnyckel i TPM-chip 5 få sitt certifikat tilldelat från en utgivande CA med högre tillitsnivå än en bärbar dator utan TPM-chip, som därmed får sitt certifikat utgivet av en CA med lägre tillitsnivå. Denna separation skulle eventuellt kunna skapa andra nyttor på sikt. 4 Kallas också ibland End Entities. 5 Ett hårdvarubaserat system med en säkerhetskrets inbyggd i datorn. 5

UTFORMING AV CERTIFIKAT Vad ska organisationen använda certifikaten till? Det är en mycket viktig fråga. Det kan verka frestande att försöka få till ett allt-i-ett-certifikat som kan användas till klientinloggning i windows, användas för S/MIME kryptering och signering av e-post, 802.1X autentisering i nätverket och mycket annat med samma certifikat. BRISTANDE UNDERLAG En ofta uppkommen situation vid utformningen av certifikaten är att man saknar tillräckligt underlag för vad och hur dessa skall användas. Det kan röra olika typer av extensions (utökningar) som är mer eller mindre säkerhetskritiskta. Det kan även röra t ex tidskodningen i certifikat som ska hanteras olika före och efter år 2049, och nu börjar CA certifikat med lång livslängd nå dit, varpå vi kan se att proboblemet ses här och var. Certifikat baserat på elliptiska kurvor 7 är lockande, men supportas inte av alla system. Normalt är ett certifikat för allt ur flertalet aspekter oftast ingen bra idé. Det kan vara till exempel säkerhet, hantering med mera. På samma sätt brukar ett separat certifikat för varje system inte heller vara att föredra, bland annat ur praktiskt synvinkel. Var gränsen går för just er organisation är en fråga som inte har ett enkelt svar utan mer information. Faktorer som påverkar utformningen av certifikatet och till vad det kan/bör användas avgörs annars bland annat vad certifikatpolicyn säger. Av policyn kan exempelvis framgå huruvida ett certifikat ska kunna kopplas till en individ eller ej, vilka kryptografiska algoritmer som ska/får användas, giltighetstider, vad certifikatet får/kan användas till med mera. Några av de viktiga delarna i certifikatet är till exempel följande utökningar (så kallade extensions): n KEY USAGE som i princip säger vad ägaren ( Subject på certifikatet) får göra med certifikatet. En CA har ofta Digital Signature, Key Cert Sign, CRL Sign som avgränsningar på vad den publika nyckeln i detta CA certifikat får göra. Dessa innebär i princip att denna begränsas till att kunna hantera sina utgivande CA:s samt ge ut CRL:er. n EXTENDED KEY USAGE används oftast på slutanvändarcertifikat och talar om syftet för den publika nyckeln i certifikatet. Ett klientcertifikat skulle till exempel kunna ha Client Authentication och E-mail Protection vilket indikerar klientautentisering samt säkring av e-post. n REVOKERING är en eller flera extensions i certifikatet av typen CRL (CRL Distribribution Points) eller OCSP (Online Certificate Status Protocol). Det är adresser som pekar ut var man kan ladda ner information om eller kontrollera om certifikatet i fråga är giltigt eller ej. Exempel på extensions i ett slutanvändarcertifikat 7 Kryptografi baserat på elliptiska kurvor är inte nytt, men marknaden har varit mycket långsam att addera stöd för detta, och fortfarande 2016 förekommer ofta enheter och system som inte har stöd för detta. Att vissa elliptiska kurvor anses broken, alltså ej längre pålitliga, samt att vissa är patenterade har också gjort elliptiska kurvor till en väg med minfält. 6

REVOKERINGSSTRUKTURER En åtgärd som organisationen behöver göra efter utgivningen av ett certifikat är att ibland revokera, eller spärra certifikatet och förhindra att det används. Det kan exempelvis vara på grund av att certifikatbäraren avslutat sin anställning, ett eventuellt försök till dataintrång eller andra anledningar. OGENOMTÄNKT REVOKERINGSHANTERING Vissa tar inte ens med revokering i sin design från början. Och tar man med det så missar man ibland de tidsaspekter som behövs för följandet av Certifikat Policyn. Vanligt är också felbedömningar vid uppsättning av CRL och/eller OCSP Om organisationen behöver spärra ett certifikat innan dess giltighetstid passerats, hur skall det ske på bästa sätt? Oftast sker valideringen av utfärdade certifikat mot en så kallad revokeringslista (Certificate Revocation List, CRL) eller via direkta uppslag mot en OCSP-tjänst (Online Certificate Status Protocol). Finns inte certifikatet i revokeringslistan eller OCSP-tjänsten så anses certifikatet giltigt. Kontroll kan även ske med varianter på OCSP, till exempel så kallad OCSP stapling där till exempel en webbserver svarar över HTTPS och säger att det egna certifikatet inte är revokerat och klienten inte själv behöver kontakta en OCSP tjänst. Tyvärr ser man ofta PKI-lösningar byggda utan att organisationen ägnat en tanke åt rutinerna runt revokeringskontroll. Om din organisation till exempel vill använda certifikat för inloggning i er Windowsmiljö, eller kanske inpassering genom en dörr, hur lång tid får det ta att spärra det? Om revokeringstjänsten inte är tillgänglig, ska personen få åtkomst/ inpassering då? Troligen inte. Men detta har ni så klart policys och rutiner för, vilket vi redan nämnt skall finnas på plats innan ni bygger er PKI-lösning. Revokeringskraven är en viktig faktor som ibland kan påverka även produktval och teknik i er lösning. DE TEKNISKA BITARNA Beroende på PKI-lösning så kan mjukvaran vara halvt integrerad i operativsystemet som till exempel i Microsofts Server-produkter, eller installeras på i efterhand som fristående installationspaket. Är det en programvara som är paketerad eller alternativt skall installeras i flera olika komponenter på ett operativsystem, så sker det vanligtvis på Linux- eller Windows-system. Delarna som beroende på produkt kan innefattas är till exempel PKIapplikation, applikationsserver, databas med mera. KOSTNADER FÖR HSM En ofta förbisedd, och nästan avgrundsdjup fallgrop är att PKI-projektet ofta missar att man behöver en HSM: Att man kanske till om med ibland behöver 2st, saknar kompetens att upphandla en HSM, saknar kompetens att testa, och driftsätta den och/eller saknar kompetens för löpande drift och underhåll. Detta kan kraftigt påverka TCO och i vissa fall stjälpa hela projektet Redan vid ganska modesta installationer är det dumdristigt att inte inkludera en Hardware Security Module (HSM) för organisationens privata CA-nycklar, eftersom säkerheten vilar tungt på dessa. Just den tekniska hanteringen med kompetens om HSM:er är något som många projekt fastnar på ofta först när de kommit en bit på vägen. Det finns helt enkelt väldigt lite kompetens att tillgå på området. Och vill organisationen kunna hantera detta utan konsulter så behöver personalen oundvikligen utbildas. 7

På större företag är IT-driftsorganisationen ofta uppdelad på så sätt att vissa personer jobbar med operativsystem och andra med applikationsservrar, databaser respektive backup. Då PKI-lösningen ofta skall användas globalt inom organisationen så måste organisationen också skydda och eventuellt begränsa vad de som jobbar med operativsystem, databaser och backup kan göra i PKI-systemet. Detta innebär att olika typer av problemställningar dyker upp och måste hanteras oavsett vald PKI produk. Några av de problemställningar som kan uppstår är till exempel: n DUBBELKOMMANDO (eller så kallad dual control ). För viktiga delar av systemet ställer man i princip alltid krav på dubbelkommando. Det innebär att två behöriga personer behöver närvara eller aktivt göra något för att systemet skall utföra något. Är det då acceptabelt att en enskild tekniker kan få åtkomst till systemet under motorhuven för att säkerhetsuppdatera och/eller uppgradera operativsystemet? n BACKUP. Är det acceptabelt att en person i backupgruppen får ensam åtkomst för att installera och/eller konfigurera en backupklient på PKI-systemet? Är backupen krypterad? Vart tar backupen vägen? Finns det kopior, och vart tar dessa vägen? Har backupsystemet och dess personalgruppen samma säkerhetsklassning som PKI-systemet i sig? n HSM-KOMPETENS. För att säkerställa systemets integritet är det bästa skyddet att använda en HSM för att skydda de privata CA-nycklarna. En bra hantering av HSM:er kräver dock hög kompetens, något som många PKI-projekt inte inser förrän projektet kört fast. Allt från inköp, till design, implementation, nyckelceremonier, dokumentation m.m. är något som nästan alla projekt missbedömer rejält. SERVER- ELLER APPLIANCEBASERAD PKI-INSTALLATION? Denna fråga påverkar kostnader och säkerhet mycket mer än många organisationer tror. Båda lösningarna har sin egen uppsättning för- och nackdelar. SERVERBASERAD INSTALLATION. Med en serverbaserad installation får organisationen tillgång till större flexibilitet och, genom att välja rätt hårdvara, mer prestanda vid extrema förhållanden. Samtidigt blir vissa delar av lösningen kostsamma i olika utsträckning: Vanligtvis strategi för säkerhetskopiering och återställning, uppgradering, avsäkring och nedlåsning, lösningar för hantering av dual-control, eventuella tillgänglighetskrav, livscykelstrategi med Long Term Service (LTS) samt, på större företag, inblandning av många avdelningar. Andra utmaningar som ofta syns är: Mer tidskrävande än tänkt, avsaknad av kunskap till exempel om HSM-lösningar, komplicerade uppgraderingar, hantering av flera leverantörer vid uppgraderingar och support samt en TCO som ofta i slutändan visar sig vara felkalkylerad. Fördelar: n Beroende på hårdvara, bättre prestanda. n Större flexibilitet. n Större urval av HSM:er. Nackdelar: n Dolda och/eller svårkalkylerade kostnader. n Tidskrävande. n Kompetensbrist. n Komplicerade uppgraderingar. n Disparata leverantörer. n Svårt att beräkna TCO. 8

APPLIANCE. En PKI-appliance (nyckelfärdig apparat) är en färdig låda som innehåller alla nödvändiga komponenter som ett PKI-system behöver: CA, RA 8, VA (OCSP), CRL-publicering etcetra. Lådan är från början säkrad och nedlåst enligt best practice och brukar innehålla en FIPS-certifierad 9 integrerad HSM. Vidare brukar lösningen inkludera någon form av Long Term Available hårdvara (LTA) som klassificerats enligt någon Common Criteria (CC) klassning 10. Supportavtal ska innehålla signerade patchuppdateringar. Utmaningar med en appliance kan vara att hårdvaran inte anpassad till de extrema lösningarna utan designas för att prestandamässigt täcka 90-95% täckning av alla kundscenarier. Har man behov av specialanpassningar i PKI-logiken kan en appliancelösning vara till nackdel. Fördelar: n Krypterad automatisk all-in-one -backup av hela enheten inklusive HSM. n Möjlighet till så kallad bare metal restore, vilket innebär att man kan göra återställning i en ny appliance enhet direkt ur kartong på några minuter. n En säker källa för hårdvara, mjukvara och uppdateringar. n Inbyggda High Availability-möjligheter (HA). n En inbyggd HSM som innebär att man oftast inte behöver anlita externa konsulter. n En upphandling/ett inköp, och inte flera olika med hård- respektive mjukvaror. n En väsentligt snabbare och enklare implementation n Möjlighet till dubbekommando (Dual Control) på hela systemet. n Mindre specialkompetens behövs, till exempel för HSM och HA (High Availability). n Enklare kostnadskontroll och bättre TCO. n Möjlighet att i större utsträckning fokusera på sin PKI-verksamhet istället för systemadministration. Nackdelar: n Täcker ej extrema behov/krav. n Svårare att anpassa för speciella behov. Även i en serverbaserad installation är det möjligt att med bra processer och rutiner åstadkomma samma säkerhet som med en appliancebaserad lösning, men beroende på organisation och kravställning kan det bli mycket kostsamt. Det är förstås inte säkert att en appliance är rätt för just er organisation, men ur både ekonomisk och säkerhetsteknisk synvinkel bör appliancealternativet undersökas innan ni fattar ert beslut. 8 RA är en instans som till exempel verifierar förfrågningar för digitala certifikat mot CA. 9 En amerikansk säkerhetsklassning 10 En väletablerad ISO-standard för att utvärdera och klassificera säkerheten i IT-system. 9

SLUTSATSER PKI-lösningar för autentisering, signering och kryptering förekommer överallt utan att vi tänker på det. Det är en naturlig, central och livsviktig funktion i dagens IT-samhälle. Allt kan kokas ner till TCO. Att t.ex upphandla en HSM till din PKI-lösning, utföra tester, installera, skapa nödvändiga rutiner och dokumentation, och slutligen produktionssätta HSM:en, kan kosta 100 000-500 000 kronor (inklusive HSM-hårdvara). Då är detta bara kostnaden för din HSM och inte för hela PKI-lösningen. GROVT FELKALKYLERAD TCO Beror ofta på att projektet missat kostnader runt HSM, att projektet på ett sent stadium upptäcker de stora icke-tekniska aspekterna, samt brist på utvärdering av appliancelösningar. BERÄKNAD TID FÖR IMPLEMENTATION OCH ÖVERDRAGEN BUDGET Kombinationen av en serverbaserad installation och bristande förtståelse för behovet av HSM och dess kringkostnader leder ofelbart till implementationer som drar över tid och sprängda budgetramar. Men oavsett om du behöver en konsult som skall arbeta med en HSM och kostar 250.000kr eller om du drabbas av ett dataintrång så är resultatet detsamma. Ett dataintrång baserat på en felaktig lösning kan ge bad will, minskade intäkter, ökade kostnader och i värsta fall konkurs. På samma sätt som den längsta formen av energi är värme så blir allt i IT-världen i slutändan en fråga om pengar. Om din organisation genomför ert PKI-projekt i rätt ordning med regelverk, processer och rutiner, ser över kraven före inköp, tar med den kompetens som behövs, samt utvärderar installationsalternativen för att få kontroll på era kostnader och öka säkerheten - då kommer ni att lyckas med ert PKI-projekt. 10