Поделиться
«Айсорс» выбрал SafeTech CA для миграции на российский центр сертификации
Развернув собственный корпоративный центр сертификации на базе решения SafeTech CA, «Айсорс» построил единую доверенную PKI-инфраструктуру. Решение не только обеспечило полную прозрачность и управляемость процессов, позволило кратно сократить операционные расходы, но и гарантировало полное соответствие требованиям законодательства в части импортозамещения. Об этом CNews сообщили представители SafeTech Lab.
Ключевые предпосылки решения о внедрении российского центра сертификации
Уход иностранного вендора. С 2022 г. компания Microsoft прекратила техническую поддержку своего CA и существенно усложнила процедуру продления лицензий, что создало риски для непрерывности бизнес-процессов.
Гетерогенная ИТ-инфраструктура. Требовалось универсальное решение, способное автоматически обеспечивать сертификатами все компоненты гибридной среды: Windows, Linux, мобильные ОС, сетевое оборудование и др.
Повышение уровня информационной безопасности. Новая система должна была позволить централизованно управлять жизненным циклом сертификатов, отказаться от использования самоподписанных и просроченных сертификатов, а значит — свести к минимуму риски их компрометации и подделки.
Стратегический курс перехода на отечественные решения. В рамках политики «Айсорс» по миграции было запланировано внедрение V*N-решения российского производства, что потребовало создания доверенной среды для выпуска ключей, полностью совместимой с новым ПО.
Целью «Айсорс» стал переход от разрозненных иностранных (в т.ч. облачных) сервисов для управления сертификатами к единой доверенной среде полностью на базе отечественного стека.
Новый центр сертификации должен был решать, в первую очередь, следующие задачи: выпускать сертификаты стандартов X.509 (для серверов, сервисов, почты) и ГОСТ Р 34.10-2012 (для удаленного доступа пользователей через V*N); интегрироваться с Active Directory для автоматического отзыва сертификатов уволенных сотрудников (CRL/OCSP).
В качестве сервиса для выпуска и управления технологическими сертификатами, на базе которого будет выстроена безопасная и масштабируемая PKI-инфраструктура компании, был выбран кроссплатформенный центр сертификации SafeTech CA.
В рамках проекта была развернута двухуровневая иерархия PKI с поддержкой ГОСТ-криптографии: корневой центр сертификации в полностью изолированной среде и подчиненный выпускающий центр сертификации в сетевом периметре.
Для каждого типа субъектов — пользователей, компьютеров, серверов, сетевого оборудования и мобильных устройств — разработаны и строго регламентированы специализированные шаблоны сертификатов. Такой подход полностью исключает влияние человеческого фактора на этапе генерации запросов, гарантируя корректность выпускаемых удостоверений.
Благодаря реализованным интеграциям с продуктами разных классов SafeTech CA встроился в существующую инфраструктуру, а инструменты импорта шаблонов и сертификатов из Microsoft CA помогли осуществить миграцию быстро и бесшовно. Совместимость с Active Directory обеспечила мгновенную блокировку сертификатов уволенных пользователей через публикацию списков отзыва (CRL) и онлайн-проверку статуса (OCSP).
Веб-интерфейсы предоставили пользователям возможности для самостоятельного формирования запросов, отслеживания статуса согласования и выгрузки сертификатов, а ИТ-администраторам — механизмы управления, контроля и аналитики. Удаленные сотрудники теперь имеют возможность получить и обновить сертификат для V*N-сервиса без личного посещения ИТ-департамента.
Таким образом, внедрение SafeTech CA позволило полностью автоматизировать все процессы, связанные с управлением жизненным циклом цифровых сертификатов в ИТ-ландшафте компании.
Ощутимую выгоду от результатов проекта получили все стейкхолдеры: руководство и собственники — экономия на внешних удостоверяющих центрах, существенное снижение регуляторных и репутационных рисков, а также обеспечение полного технологического суверенитета; HR- и бизнес-подразделения — значительное ускорение адаптации новых сотрудников: автоматизированный выпуск VPN-сертификатов позволяет предоставить полноценный доступ ко всем системам уже в первый рабочий день; ИТ- и ИБ-команды — тотальная автоматизация жизненного цикла ключей, которая минимизирует ручной труд, обеспечивает прозрачность управления и полный контроль над всей PKI-инфраструктурой.
В перспективе планируется масштабирование решения под рост ИТ-инфраструктуры компании, расширение перечня обслуживаемых устройств, а также разворачивание SafeTech CA в отказоустойчивом кластере.
«С внедрением SafeTech CA мы перешли к единой системе управления цифровыми сертификатами, которые подтверждают подлинность пользователей, устройств и сервисов и помогают обеспечивать защищенное взаимодействие между ними. Теперь выпускать, продлевать и отзывать сертификаты можно централизованно. Это упростило работу ИТ-команды и повысило надежность защищенных подключений в корпоративной инфраструктуре. В ходе внедрения нам пришлось решить ряд технических задач, связанных с особенностями нашей ИТ-среды. Благодаря совместной работе наших специалистов и команды SafeTech Lab удалось преодолеть эти сложности и запустить систему в согласованные сроки с соблюдением всех требований проекта», — сказал Павел Гончаров, заместитель генерального директора «Айсорс».
«Проект в «Айсорс» занял всего шесть месяцев — от пилота до полноценной промышленной эксплуатации. Это доказывает, что миграция с Microsoft CA на российский центр сертификации может быть быстрой, предсказуемой и незаметной для пользователей, при этом полностью закрывая потребности в безопасности и совместимости с гетерогенной средой заказчика. Такой темп стал возможен благодаря зрелости решения SafeTech CA и отлаженной методологии внедрения, которая позволяет минимизировать риски на каждом этапе», — сказал Александр Санин, генеральный директор SafeTech Lab.
Короткая ссылка
