憑證不能只管到期，更要管住信任

作者/曾冠文

【內容摘要】 企業資安風險不只來自駭客攻擊，憑證到期或信任失效同樣可能造成重大服務中斷。許多企業面臨憑證分散、權責不明與人工管理等問題，難以掌握完整信任關係。Palo Alto Networks NGTS 結合憑證生命週期管理、PKI、可視性與自動化能力，從盤點、簽發、更新到驗證全面治理，協助企業建立數位信任管理機制，降低營運風險，並為未來加密演算法轉型與後量子密碼時代做好準備。 【TAG 關鍵字】#NGTS #憑證生命週期管理 #數位信任治理 #PKI 公開金鑰基礎架構 #Crypto Agility #PQC

Palo Alto Networks NGTS：從憑證管理邁向數位信任治理

談到企業資安，大家第一個想到的通常是駭客、勒索軟體、資料外洩。但在 IT 維運現場，有些服務中斷其實沒有駭客，也沒有惡意程式，而是一張憑證到期了。 2018 年英國 O2 就曾發生這樣的事件。核心網路軟體使用的安全憑證到期，導致 2G、3G、4G 資料服務大規模中斷，直到隔日才陸續恢復。2020 年 Microsoft Teams 也曾因驗證憑證到期，造成使用者無法正常使用服務。 這些事件有一個值得企業注意的共同點：系統不一定需要被攻破，光是信任本身失效，就足以讓服務停止。 這種情況放到台灣企業，其實並不陌生。 很多企業都有憑證到期通知，也會在 Excel 或 ITSM 系統留下紀錄，但真的要問：「公司到底有多少張憑證？」答案往往沒有想像中簡單。 因為憑證可能分散在資料中心、Firewall、VPN、Load Balancer、公有雲、API Gateway、Kubernetes，甚至開發團隊自行建立的環境裡。網路團隊有一份清單，雲端團隊有另一份，應用系統又可能有自己的紀錄。 問題不是憑證太多，而是企業不知道自己到底擁有什麼。 更麻煩的是，真正需要知道的也不只是到期日。 如果一張憑證明天失效，誰負責？它部署在哪裡？服務哪個應用？是不是關鍵交易系統？如果更換憑證，還有哪些設備必須同步更新？ 當 IT 團隊需要臨時翻 Excel、問其他部門，甚至尋找「以前負責這套系統的人」，其實就代表企業的信任管理存在盲區。

從「提醒到期」變成「掌握關係」

傳統憑證管理通常著重在幾件事情：盤點、查看到期日、寄送通知，再由工程師人工更新。 小規模環境或許還能運作，但企業進入多雲、微服務與大量 API 的環境後，憑證生命週期已經變得太快，也太複雜。 真正耗時間的，往往不是換掉那個檔案，而是找到正確的人、確認正確的系統，再確定更新後沒有漏掉任何節點。 所以，「提醒」與「治理」其實是兩件不同的事情。 Palo Alto Networks NGTS（Next-Generation Trust Security）要處理的，就是這個差距。官方定位是把 Enterprise Certificate Lifecycle Management（CLM）與 PKI、網路可視性及自動化結合，從憑證的發現、盤點，到簽發、更新、部署與驗證，建立較完整的生命週期管理。 傳統工具比較像是在告訴你「哪張憑證快到期了」；NGTS 則進一步協助你了解「這張憑證在哪裡、服務什麼、誰負責，以及如何完成更新」。 這也是兩者最大的差異。

真正的關鍵，是不要再靠「某個人記得」

台灣企業很常有一種情況：大家知道憑證很重要，也知道「某位工程師最熟」。 然而最大問題恰恰好就在這裡。 如果關鍵憑證的更新流程掌握在少數人手上，人員休假、轉調或離職，都可能讓企業突然失去重要的維運知識。 而憑證數量增加後，單純靠人工追蹤也很容易出現漏更新、更新錯誤、部分節點沒有同步等問題。 NGTS 強調的自動化，並不是單純「少寄幾封通知信」，而是把憑證生命週期中的發現、更新、部署與驗證盡可能串成流程，降低企業對人工追蹤的依賴。 這對 IT 團隊真正有價值的地方，是把時間從「到處找憑證」拿回來，投入更重要的工作。

今天管理憑證，也是為明天做準備

另一個容易被忽略的問題，是未來的加密環境。 憑證生命週期正在縮短，企業未來也會面臨 CA 信任變更、加密演算法演進，以及後量子密碼學（PQC）等議題。Palo Alto Networks 目前也將 Crypto Agility 與大規模重新簽發、加密轉換列為 NGTS 的能力方向。 到了那個時候，企業真正需要知道的不是「哪張憑證快到期」，而是： 哪些系統正在使用什麼憑證與演算法？哪些是關鍵服務？如果必須全面更換，從哪裡開始？ 如果今天連自己的憑證都盤點不清楚，未來談加密轉型自然會更加困難。

結語：資安防的是攻擊，NGTS守的是信任

企業花很多錢防止駭客進來，但同樣不能忽略另一件事：即使沒有攻擊，信任失效也可能讓服務停擺。 因此，憑證管理不應該只是一張 Excel、一封到期通知，或某位工程師腦中的經驗。 企業真正需要的是三件事： 看得見，知道憑證在哪裡； 管得住，知道誰負責、影響什麼； 自動化，讓更新不再靠人記得。 而當未來面對更短的憑證生命週期與新的加密要求時，還必須具備「持續演進」的能力。這正是 Palo Alto Networks NGTS想解決的問題：從管理一張憑證，進一步管理憑證背後的信任關係。 因為下一次讓企業服務停下來的，未必是一場高階駭客攻擊。有時候，真正危險的，只是那張沒有人知道正在使用的憑證。 產品聯絡人：曾先生　TEL：(02)2191-6066轉8068