Lorsqu'une organisation gère une poignée de certificats, la gouvernance est simple. Quelqu'un demande un certificat, quelqu'un d'autre l'approuve, et un tableur suit les dates d'expiration. Mais les entreprises modernes n'en gèrent pas une poignée ; elles en gèrent des dizaines de milliers, parfois des centaines de milliers, répartis sur plusieurs autorités de certification, fournisseurs cloud et unités opérationnelles.
À cette échelle, l'absence de politique n'est pas de la liberté ; c'est du chaos. Les équipes choisissent des algorithmes de clé différents, les certificats sont émis avec des conventions de nommage incohérentes, les durées de validité varient fortement, et personne ne peut dire avec certitude quelles CA sont réellement en usage. Le résultat est un environnement difficile à auditer, coûteux à maintenir et vulnérable aussi bien aux pannes qu'aux failles de sécurité.
La politique et la gouvernance des certificats résolvent ce problème en établissant un ensemble clair de règles qui définissent qui peut demander des certificats, quels types de certificats sont autorisés, comment ils doivent être configurés et comment la conformité est vérifiée. Ce chapitre explique comment construire et faire respecter ce cadre.
