Kryptografia postkwantowa: zaledwie 5% firm ma plan działania

Zgodnie z unijnymi wytycznymi, kraje członkowskie mają zacząć wdrażanie odpornych na komputery kwantowe mechanizmów kryptograficznych już do końca 2026 roku, a w odniesieniu do infrastruktury krytycznej cały proces powinien zostać zamknięty najpóźniej w 2030 roku. Dla firm to sygnał, że prace nad spisaniem posiadanych danych, systemów oraz zabezpieczeń trzeba rozpocząć bez zwłoki - zanim jeszcze powstaną maszyny zdolne przełamać dzisiejsze standardy szyfrowania.

Z danych ISACA wynika, że jedynie 5% organizacji dysponuje jakąkolwiek strategią dotyczącą komputerów kwantowych, natomiast 55% w ogóle nie ruszyło z działaniami przygotowawczymi. To poważny problem, bo w dużych firmach zmiana kryptografii nie sprowadza się do jednego kroku - dotyka aplikacji, systemów, bibliotek kryptograficznych, certyfikatów i mechanizmów wymiany kluczy, które często działają równolegle w wielu różnych środowiskach.

Zagrożenie związane z technologią kwantową narasta znacznie wcześniej, niż zanim faktycznie powstanie maszyna łamiąca aktualne zabezpieczenia.

Dane o wysokiej wartości biznesowej mogą zachować znaczenie – zarówno dla właściciela, jak i podmiotu próbującego uzyskać do nich nieuprawniony dostęp – przez wiele lat. Dotyczy to między innymi własności intelektualnej, dokumentacji projektowej, informacji finansowych czy danych wykorzystywanych do trenowania modeli sztucznej inteligencji. Jeżeli zostaną one przechwycone dzisiaj, w przyszłości mogą zostać odszyfrowane przy wykorzystaniu znacznie większych możliwości obliczeniowych

Lubomir Stojek, Country Manager Red Hat

Z tego powodu przygotowania do nadejścia ery postkwantowej warto rozpatrywać jako część szerszego zarządzania ryzykiem biznesowym, nie zaś jako odizolowany projekt techniczny z działu cyberbezpieczeństwa.

Najpierw trzeba wiedzieć, co chronić

Zanim organizacja zacznie wdrażać nowe algorytmy, musi dokładnie zrozumieć, gdzie w jej strukturach stosowana jest kryptografia i jakie dane są nią objęte. W dużych przedsiębiorstwach oznacza to często tysiące powiązań między aplikacjami, systemami i usługami rozproszonymi po wielu lokalizacjach i środowiskach chmurowych.

Bez przeprowadzenia takiej inwentaryzacji trudno jest oszacować, jak duża będzie przyszła migracja, ile będzie kosztować i w jakiej kolejności powinny nastąpić poszczególne zmiany. Równie ważne jest wskazanie, które dane wymagają najdłuższego zachowania poufności oraz jakie mechanizmy zabezpieczające je obecnie chronią.

Nie wszystkie dane mają tę samą wartość i nie wszystkie będą wymagały identycznego podejścia. Przedsiębiorstwa powinny ocenić, które informacje są najbardziej wrażliwe, jak długo muszą pozostać poufne i od jakich mechanizmów bezpieczeństwa są obecnie zależne. Dopiero na tej podstawie można zdecydować, które elementy infrastruktury powinny zostać zmodernizowane w pierwszej kolejności

Lubomir Stojek, Country Manager Red Hat

Taka analiza pozwala wyznaczyć priorytety modernizacyjne. Zanim jakiekolwiek nowe rozwiązanie trafi do środowiska produkcyjnego, powinno zostać przetestowane - między innymi pod względem wpływu na wydajność aplikacji, opóźnienia w komunikacji oraz zgodność z już działającymi systemami.

Migracja obejmie całą infrastrukturę

Wprowadzenie kryptografii postkwantowej to nie zwykła zamiana jednego algorytmu na drugi. W firmach funkcjonują setki aplikacji tworzonych przez różne zespoły, korzystających z odmiennych bibliotek kryptograficznych. Gdyby każdy system modernizować osobno, projekt mógłby ciągnąć się latami, a jego koszty byłyby trudne do oszacowania.

Dlatego kluczowe staje się zarządzanie bezpieczeństwem na poziomie całej platformy i infrastruktury, a nie pojedynczych aplikacji. Ograniczenie liczby zmian, jakie trzeba wprowadzić bezpośrednio w kodzie aplikacji, może przyspieszyć nie tylko obecną migrację, ale też ułatwić wdrażanie przyszłych standardów kryptograficznych.

Najważniejszym celem nie powinno być więc wyłącznie dostosowanie infrastruktury do jednego nowego standardu, lecz zbudowanie środowiska zdolnego do sprawnego reagowania na kolejne zmiany w obszarze bezpieczeństwa. Architektura IT, która pozwala centralnie aktualizować mechanizmy ochronne, ogranicza zależność od ręcznej konfiguracji poszczególnych aplikacji i ułatwia spełnianie zmieniających się wymagań regulacyjnych

Lubomir Stojek, Country Manager Red Hat

Q-Day nie powinien być początkiem przygotowań

Nikt nie jest w stanie dokładnie określić, kiedy powstaną komputery kwantowe zdolne w praktyce przełamywać stosowaną obecnie kryptografię klucza publicznego. Znacznie łatwiej jednak przewidzieć, że dostosowanie skomplikowanych środowisk IT do nowych warunków zajmie sporo czasu. Z tego powodu przygotowania warto podzielić na etapy: rozpoznanie chronionych zasobów, analizę zależności, testowanie rozwiązań i wreszcie stopniową modernizację infrastruktury. Taki plan pomaga zmniejszyć ryzyko operacyjne i uniknąć sytuacji, w której nagła potrzeba zmian dotknie równocześnie wiele obszarów firmy.

Moment nazywany Q-Day nie powinien więc być punktem startowym dla działań, lecz raczej terminem, na który organizacje powinny być już przygotowane. Zanim komputery kwantowe zdolne łamać dzisiejsze zabezpieczenia staną się rzeczywistością, firmy powinny mieć gotowy plan migracji i dokładnie wiedzieć, które elementy ich systemów wymagają zmian.