Door Anoniem: ...Dit is de reden van mijn schrijven: als organisaties graag geïnformeerd willen worden over een kwetsbaarheid, zorg er dan voor dat je PGP-keys in orde zijn. Zo moeilijk lijkt mij dit toch niet. Ik ben het eens met je verhaal, maar die laatste zin vereist de nodige nuance. Goed sleutelbeheer vereist kennis en strakke processen. Het zou de eerste keer niet zijn dat ik een private key toegestuurd krijg na mijn vraag de public key op te sturen. Laat staan dat sleutelroulatie, least privilege, PGP en cryptografische kennis, de aanwezigheid van de juiste software e.d. geregeld zijn. Ga daar vooral niet van uit, ook al zie je een PGP sleutel op de website. Het probleem is naast technisch ook administratief. Iemand laat de publieke sleutel op de corporate website plaatsen en gaat naar een andere functie of naar ander bedrijf. Gevolg: niemand besteed hier verder aandacht aan. Sterker nog, waar is die private key eigenlijk opgeslagen? Kijk naar de meldingen die af en toe de kranten halen over ...