La governance dei certificati è la gestione controllata dei certificati digitali e dell'infrastruttura a chiave pubblica che li supporta. Comprende l'emissione, l'approvazione, il rinnovo, la revoca, l'archiviazione e la visibilità su dove i certificati sono installati e su chi può usarli. In pratica, significa sapere quali sistemi si fidano di quali autorità di certificazione, quali chiavi sono protette da controlli hardware o software e quando un certificato dovrebbe essere sostituito o revocato.
È importante perché i certificati sono il fondamento dell'autenticazione, del trasporto crittografato e dell'integrità dei messaggi. Una governance debole può portare a certificati scaduti, certificati autofirmati non tracciati, chiavi private rubate o certificati malevoli che gli aggressori usano per l'impersonificazione, attacchi man-in-the-middle o endpoint di servizio fraudolenti. Una governance solida aiuta i difensori a far rispettare i confini di fiducia con inventario, policy, certificati a breve durata, rinnovo automatizzato, controlli di revoca e registrazione degli audit. Nei flussi di lavoro regolamentati, come lo scambio sicuro di prove, la governance dei certificati supporta anche il non ripudio e una catena di custodia affidabile.