Какие существуют best practics для работы с собственным CA ?

День добрый - заинтересовал озвученный вопрос. Перечислю неясные для себя моменты

1. Место хранения данных СА в глобальном смысле
   1. СА находиться на одном из рабочих серверов, например на vpn сервер
   2. СА находиться на выделенном сервере, следуя парадигме каждой задаче - свой сервер
   3. СА находиться на машине админа
   4. СА находиться на отдельном внешнем носителе, подключаясь по необходимости к той или иной станции
2. Место хранения данных СА в локальном смысле
   1. СА храниться где то в дебрях /usr/share/
   2. СА храниться в хомяке рута
   3. СА храниться в хомяке специально созданного пользователя
   4. СА храниться криптованном файле, который монтируется по второму или третьему способу
   5. СА храниться на отдельном внешнем носителе
3. Способ управления СА
   1. Только хардкор и ручной вызов openssl
   2. Использование набора скриптов аля easy-ca
   3. Использование простных tui/gui надстроек аля TinyCA
   4. Использование каких то коммерческих пакетов ? ...
4. Аудит устаревших/отозванных сертификатов
   1. Просмотр глазами время от времени ?
   2. Написание скрипта для обхода сертификатов с уведомлением на почту
   3. Использование встроенных средств надстроек из предыдущего пункта
5. Выполнение бэкапа данных СА
   1. Ручное копирование время от времени ?
   2. Написание скрипта для периодического сохранения на удаленный сервер/личный носитель админа ?
   3. Использование встроенных средств надстроек из препредыдущего пункта
6. Импорт/Экспорт данных СА
   1. Вручную ?
   2. Использование встроенных средств надстроек из препрепредыдущего пункта

Размер СА от 30 и выше сертификатов. Дискас ?