Kevin Bocek, Chief Innovation Officer chez Venafi, explique comment les clients de ServiceNow sont en grande difficulté face à un incident qui aurait pu être entièrement évité. En effet, le certificat racine expirant avait été signalé des semaines à l’avance, mais il n’a pas été remplacé avant de provoquer la panne.

« La panne liée aux certificats qui a laissé des centaines de clients ServiceNow au bord de la crise de nerf cette semaine n’est pas seulement une catastrophe en termes d’image, elle révèle également des lacunes sérieuses dans les processus de ServiceNow qui doivent être corrigées. Les certificats racine sont la base de la sécurité numérique et de l’identité en ligne – ils se trouvent au sommet de la pyramide de confiance, authentifiant et émettant d’autres identités TLS dans la chaîne. Si le certificat racine expire, cela impacte toutes les autres identités machine associées – c’est pourquoi nous avons constaté de telles répercussions pour les clients.

Cependant, ce type de panne est entièrement évitable – à condition d’avoir les bons outils et processus en place. Mais les rapports indiquent que l’expiration avait été signalée des semaines avant, et que le remplacement n’a pas été effectué correctement – ce qui suggère qu’ils essaient encore de gérer ces identités machine manuellement. C’est fou ! Gérer manuellement les identités machine dans les environnements informatiques complexes d’aujourd’hui est une tâche impossible. Et cela devient de plus en plus difficile. Il y a plus de 290 millions de certificats TLS dans le monde, avec une augmentation de plus de 40 millions ces deux dernières années. Ce nombre devrait croître à un rythme encore plus rapide à mesure que les environnements cloud natifs dynamiques et les services pilotés par l’IA deviennent la norme. De plus, Google est sur le point d’imposer des délais d’expiration de 90 jours pour les certificats, ce qui rendra les remplacements récurrents et les durées de vie plus courtes la norme en peu de temps.

L’automatisation est essentielle. Les organisations ont besoin d’un plan de contrôle pour gérer et sécuriser les identités machine tout au long de leur cycle de vie, dans tous les environnements, y compris les environnements cloud natifs – de l’émission à la gestion continue, en passant par le retrait et le remplacement. En automatisant ce processus, les entreprises ne risquent plus d’être prises au dépourvu par une expiration inattendue ou négligée, et le processus ne sera plus sujet à des erreurs humaines. »