Что мне как руководителю с этим делать?

Одно действие: подключить мониторинг своих доменов в CT-журналах, бесплатно, готовыми сервисами или простым скриптом. Пришло уведомление о сертификате, который вы не выпускали, это сигнал немедленно разбираться.

Разве злоумышленник не может не публиковать сертификат?

Может, но тогда его сертификат не примут современные браузеры: они ожидают подпись CT в самом документе. Это редкий случай, когда механизм доверия и механизм публичного контроля совмещены в одном месте.

Глоссарий

Certificate Transparency: публичный журнал всех выданных паспортов

Коротко: Certificate Transparency, CT, это система публичных журналов, в которые удостоверяющие центры обязаны выкладывать каждый выданный сертификат. Любой владелец домена может подписаться на уведомления и узнать, что для его сайта выпущен новый сертификат, кем и когда. Ловит классический трюк: сертификат, выпущенный с полки по чужому домену, не объявляет себя, а вот в журнале он светится, и о подделке становится известно за часы, а не через годы.

Для домена компании это ранний радар: настоящий сертификат вы выпускаете сами и о нём знаете, всё остальное в журнале повод для вопроса в тот же день. Мы используем этот принцип в чеклисте защиты автоматизаций: настоящий сертификат в логи попадает, подделка либо не попадёт, либо всплывёт публично.

Частые вопросы

Что мне как руководителю с этим делать?: Одно действие: подключить мониторинг своих доменов в CT-журналах, бесплатно, готовыми сервисами или простым скриптом. Пришло уведомление о сертификате, который вы не выпускали, это сигнал немедленно разбираться.
Разве злоумышленник не может не публиковать сертификат?: Может, но тогда его сертификат не примут современные браузеры: они ожидают подпись CT в самом документе. Это редкий случай, когда механизм доверия и механизм публичного контроля совмещены в одном месте.