2024 年亚太地区 PKI 和网络安全趋势

重新审视战略安全目标。考虑 PKI 如何帮助加密、身份验证、访问控制、CLM、合规性和法规。

文章改编自Michelle Davidson 的同一主题博客。

去年，公钥基础设施 (PKI) 和网络安全市场发生了一系列事件，这些事件促使组织重新评估和更新其安全态势，包括新的法规和变化、围绕证书有效期的讨论、不断发展的AI 支持的网络威胁，以及安全事件可能对当今数字环境中的 IT 团队和组织造成破坏性影响的现实示例。

GlobalSign SSL GlobalSign 首席产品官 Lila Kee 谈到了市场正在发生的变化，以及企业如何适应，为未来几年的进一步发展做好准备：“在 PKI 和网络安全行业中，在重新关注承诺方面发生了重大转变。数据和数字身份安全性的变化，主要参与者（例如 CA/B（证书颁发机构/浏览器）论坛和互联网浏览器）提出的变更就证明了这一点。这些变化将影响组织在各个层面上的运作方式，以及他们如何使用各种解决方案来应对这些变化。”

在这篇博客中，我们将探讨引发事件的催化剂如何影响未来一年的发展。

1

人工智能的演变

人工智能已经存在了一段时间，悄悄地积累了知识和复杂性，但今年早些时候，当我们引入 ChatGPT 平台时，其使用量激增，在线对话主导了该主题。随着人工智能席卷全球，随着这一年的优点和缺点不断显现，组织内部对这项技术既有拥抱也有保留。

人工智能不再是一个遥远的梦想，并且正在迅速在现代技术中找到自己的位置，提供重新定义可能性的机会，并有可能提高组织内的效率和生产力。但关于它在网络安全和 PKI 市场中的影响和作用，有各种各样的故事。一方面，人工智能已被证明如何用于增强网络攻击，例如商业电子邮件泄露和网络钓鱼，使它们更难以发现和缓解，但另一方面，研究表明人工智能可以减少所需的时间解决漏洞或应用补丁。

随着数据泄露的平均成本增加了 15%（自 2020 年以来），人工智能在 PKI 和网络安全市场中的作用的未来尚未完全确定，但随着人工智能技术的不断学习和进步，让我们关注这一领域。

2

新法规不断涌现且正在全球化

几十年来，标准、法规和协议不断被引入和完善，旨在提供更好的在线保护和透明度，特别是在数据保护和在线交易方面。多年来，eIDAS 监管在很大程度上引领了这条道路，eIDAS 2.0 和 EUDI 钱包（欧洲数字身份钱包）的推出带来了巨大的机遇，不仅在欧洲市场，而且在全球范围内，因为其他国家都在寻求监管和使用数字身份验证作为可能采用或适应自己使用的框架。

今年早些时候，白宫公布了其国家网络安全战略，预计其他国家（如果尚未这样做的话）也会效仿。随着网络安全在政治议程上的上升，组织应该意识到这一点，无论是在其运营区域还是在全球范围内，以遵守开展贸易的相关领域。

提供商适应监管变化

由于多项现有法规已经到位，并且全球预计将发生变化，因此选择提供商来支持和指导组织非常重要。GlobalSign 是一家合格的信任服务提供商，提供多种服务，旨在为企业提供各种解决方案以满足 eIDAS 法规，但我们还提供支持支付服务指令 (PSD2) 的解决方案。

3

证书寿命可能再次缩短，数字证书的使用量正在增加

在过去的十年中，证书的有效期一直在缩短，从五年缩短到目前的一年（397 天），但如果以前的趋势是一个迹象，那么证书的有效期很可能会继续缩短。

今年早些时候，随着一项缩短 SSL/TLS 证书寿命的提案的出现，整个 PKI 市场和网络安全行业引发了新的讨论。该提案的目的是减少基于证书的网站漏洞并最大程度地减少潜在违规风险，但在这样做的同时，它也增加了 IT 团队需要管理和跟踪的证书数量——这是我们在 SSL 之外看到的趋势仅 TLS。

数字证书是一种多功能加密工具，任何组织都可以使用它来保护用户、设备或端点的安全。这可以在安全基础设施中以多种方式利用，以防止未知行为者访问公司系统和网络。从物联网 (IoT) 到开发代码，数字证书的可能性和用例是巨大的，而且还在不断增长。但 IT 团队在处理组织内的不同需求时所承受的工作量和压力也随之增加。

自动化可以满足您的要求

为了应对这种增长，企业正在转向自动化 PKI 操作的工具，包括证书颁发、续订和撤销的过程。自动化解决方案可以适应业务需求，并且随着证书数量的增长，确保它们始终符合公司安全策略和行业法规。

减少对手动任务和人为错误的需求，并实时了解证书生命周期，使 IT 团队能够主动监控证书并通过自动化迅速响应问题。对 PKI 自动化解决方案的需求不再是可有可无，而是必需的。

4

通过后量子计算打造面向未来的数字信任

量子计算的进步和研究正在进行中，尽管大部分看起来都在幕后，虽然明年不太可能取得重大进展，但公司越来越意识到这是一个威胁。面对量子进步，围绕数字证书安全性的问题已经被提出，老实说，现在下结论可能还为时过早，但是，正如我们在今年早些时候的博客中讨论的那样，后量子计算是旨在解决这一问题的回应。开发能够抵御量子计算机威胁攻击的加密算法。

无论从哪个角度来看，量子计算即将到来，随之而来的是新的未知威胁和挑战。如果没有新的公钥加密标准，配备量子计算机的黑客就可以监听并干扰依赖信任的系统。围绕量子计算机的讨论可能会进一步发展到 2024 年，因此选择一个积极研究加密方法的证书颁发机构（例如 GlobalSign）意味着您可以确信，随着形势的发展，您的证书将保持安全。

5

世界在变化，您的数字身份也在变化

随着技术进步和新法规的快速发展，数字证书不断进行修订和调整。通过遵循不断变化的行业标准，我们可以确保我们的身份安全且完全可信。

一个例子是最近实施的 S/MIME 基线要求 (BR)。这带来了更严格的准则和额外的要求，S/MIME BR 确保您免受攻击，即使使用最新技术也是如此。借助 S/MIME BR，在电子邮件中使用数字证书可能很快就会成为常态。

而随着eIDAS 2.0的发布，它几乎就像成为了一个全球标准。其他国家正在采用相同的法规或遵循相同的做法。eIDAS 不仅改变了欧盟的数字身份，也改变了世界其他地区的数字身份。

6

获得信任和安全的新工具

这些新技术也给我们带来了新的产品和服务。随着这些技术改善我们的工作，您仍然应该确保自己的安全。因为它们还可能带来新的威胁和漏洞，而当前的工具可能还不够。检查更新以确认您已获得保障。或者要求更新的产品组合，因为您可能会发现以前缺少的产品，甚至更多。

期待更多明确的产品、集成、协作和伙伴关系。请留意您值得信赖的安全提供商（例如 GlobalSign SSL ）发布的新版本和即将发布的版本。

7

安全应该是每个人的责任

今年，许多复杂的人工智能攻击占据了头条新闻，但有一项统计数据引人注目：人为错误仍然占数据泄露事件的 80% 以上。这个数字多年来可能有所波动，但仍然是市场的趋势，今年也不例外。展望未来的一年，安全应该是每个人的责任。上述统计数据表明，内部可以采取更多措施来降低风险并防止组织数据和信息成为网络攻击的受害者。

组织希望通过采用 DevOps 实践来更快地大规模交付客户价值和敏捷性，但安全性往往被视为事后的想法。随着行业的转变，这种观点开始发生变化。据 Gartner® 称，到 2027 年，DevSecOps 实践预计将嵌入 85% 的产品开发团队中。

在最新的 IBM 数据泄露成本报告中，最有效的成本降低方法是采用 DevSecOps 方法，这对于将安全性构建到组织所依赖的任何工具或平台中至关重要。今年早些时候，针对 MOVEit 公司的零日攻击震惊了网络安全界，并造成了灾难性后果，其中一些后果仍在被发现。全球范围内的企业都在修补漏洞，并希望保护自己免受未来类似的攻击，但将安全性集成到 DevOps 生命周期的所有阶段可以持续降低风险。

8

PKI 和网络安全领域的技能短缺日益严重

例如，在英国，50% 的英国企业存在基本网络安全技能缺口，而 33% 的企业存在高级网络安全技能缺口。网络威胁不断演变，强大的安全立场可以建立信任并保护数据访问和完整性。虽然各国正在制定战略和法规以加强其网络生态系统，但在此期间，组织内部对网络安全和 PKI 专业知识的需求日益增长。新加坡也出现了类似的情况，那里的网络威胁明显增加，但科技行业发现自己缺乏网络安全专业人员。

缩小差距并寻求 PKI 解决方案提供商的信任和专业知识

随着组织试图找到方法来尽量减少管理、维护和审核证书技能短缺的影响，证书管理中集成和 API 的使用也在不断增加。2024 年，是重新审视战略安全目标并考虑 PKI 如何帮助实现加密、身份验证和访问控制、证书生命周期管理、合规性、法规等的最佳时机，其中任何一项都可以在任何时候成为安全目标正在进行中。