4-Sight: Cómo preparar a su organización para la criptografía post-cuántica

The clock is ticking. As quantum computing advances, now is the time to prepare for post-quantum cryptography, or PQC. 

Para estar preparadas, las organizaciones deben contar con un plan de transición que incluya las aportaciones y el apoyo de toda la empresa. Adelantarse a la deuda técnica y mantenerse al día de la evolución de la normativa garantizará el cambio de mentalidad de toda la organización hacia las nuevas realidades de un futuro poscuántico. 

Some experts predict that PQC could arrive in as few as five years, so the time to act is now.

Por qué es inteligente empezar a modernizarse 

• Prepare for Harvest Now threats. Well-resourced nation-state actors are using Harvest Now Decrypt Later attacks to steal encrypted files today and holding on to them until they can decrypt them.
• Readiness is a moving target. Even though PQC guidelines are evolving, bad actors are continuously innovating, and for large organizations, it can take years to develop an agile approach that can adapt constantly.
• No hay plantillas. Cada plan es personalizado, con métricas e hitos únicos, y no puede desarrollarse en el vacío.
• El tiempo pasa deprisa. Según estimaciones recientes, los ordenadores cuánticos capaces de romper el RSA-2049 podrían aparecer ya en 2035, lo que deja menos de una década para completar las transiciones a gran escala.

4 pasos para prepararse 

Beginning to modernize PKI today makes strategic sense for several reasons. In fact, Keyfactor has found that successful post-quantum readiness isn’t just a PKI challenge – it’s an organization-wide transformation. True crypto-agility requires cross-functional collaboration across security, IT, legal, compliance, and product teams.

Este enfoque para toda la empresa mejora el inventario de activos, la evaluación de riesgos, la formación y la respuesta ante incidentes, al tiempo que reduce la exposición a futuras amenazas. Alineando los equipos ahora, las organizaciones pueden acelerar la modernización de PKI y mantenerse a la vanguardia en su viaje PQC.

Primer paso: descubrimiento e inventario

Puede que le sorprenda, pero muchas organizaciones aún carecen de un inventario completo de sus activos criptográficos, a pesar de manejar un complejo conjunto de certificados digitales, claves privadas, algoritmos y protocolos.

Taking inventory is crucial in making a transformation plan that encompasses the whole infrastructure. Look for the public key infrastructure (PKI) components, including certificates and keys, and don’t forget to account for embedded cryptography in applications and devices, as these algorithms will need to be updated too. Legacy systems demand special attention, as they often rely on outdated security configurations; the cryptography they employ may already fall short of existing best practices and standards. Depending on the sector of your enterprise, operational technology (OT) systems that support machinery, physical devices, and hardware should also be included in the inventory.

Incluso para las organizaciones más pequeñas, hacer un inventario puede resultar complejo muy rápidamente, por lo que es importante contar con ayuda. Las herramientas de descubrimiento criptográfico pueden ayudar a identificar activos a escala, señalando los más vulnerables en el proceso. Estas herramientas también pueden ayudar a detectar casos de TI en la sombra, o uso de software y/o hardware no autorizado fuera del ámbito oficial del departamento de TI, en su organización. Este uso, aunque a menudo bienintencionado, plantea un problema de seguridad digno de consideración. El proceso de transformación del PQC es un momento ideal para colmar estas posibles lagunas y reforzar la postura general de seguridad de su organización.

Una vez que tenga el inventario completo y una idea clara de qué sistemas exigen qué acción en primer lugar, podrá compilar el plan de migración en consecuencia, desde activos para reparación urgente hasta protocolos y certificados de menor prioridad para "migrar más tarde". Los activos de mayor prioridad y exposición exigirán una posición prioritaria en la cola de actualización de algoritmos criptográficos. 

Segundo paso: Triaje de implantación de soluciones Crypto-Agile

Following the principles of crypto-agility when adopting or orchestrating your cryptography architecture will allow all parts of the ecosystem to support current and post-quantum cryptography algorithms during the transition period. During the discovery and inventory step, you prioritized the key systems for the PQC migration. These systems will require dual certificates (post-quantum as well as traditional) to maintain backwards compatibility before the transformation is complete.

The highest priority systems typically support long device lifespans, including Internet of Things (IoT) devices and firmware. Next-gen connected vehicles, in the automotive sector, are a perfect example, whose direct impact on the safety of human operators demands the highest standards of security even before the quantum era dawns. In the healthcare sector, “smart” pacemakers are another―by virtue of their placement they aren’t easily accessed once operational and thus need to be able to receive updates over the air with all the safeguards appropriate for the level of care they provide. 

Los sistemas que contienen datos altamente sensibles, propietarios y críticos para el negocio también deberían estar en lo más alto de la lista de prioridades. La criptografía que sustenta la seguridad de esos datos debe migrar a algoritmos poscuánticos lo antes posible para evitar ataques HNDL.

Tercer paso: Automatización de la gestión de certificados digitales

La actualización a la criptografía poscuántica no libera a las organizaciones de las complejidades de gestión de la PKI. La gestión manual de certificados no es escalable hoy en día a nivel empresarial; por tanto, parece poco probable que sea viable en absoluto en la era PQC.

It is not just a question of volume. Certificate lifespans are expected to be as short as 47 days by 2029, making manual PKI management, frankly, a dangerous idea. The algorithmic complexity of post-quantum certificates will increase substantially, too, making automated solutions essential to tracking a complete cryptographic inventory.

To maintain business continuity and cryptographic integrity, a post-quantum transformation plan should include transitioning to automated certificate issuance, renewal, and replacement, if such tools aren’t in place already. While there are many PKI solutions on the market, choose one, such as Keyfactor EJBCA, that provides governance, role-based access, and detailed audit logs to maintain compliance and reduce operational risk.

Cuarto paso: Gobernanza continua de la criptografía poscuántica

La preparación post-cuántica es compleja, y la implementación del PQC es una estrategia viva que necesita una actualización continua. Estar preparado para la cuántica requiere una gobernanza continua, supervisión de riesgos e higiene criptográfica en línea con los principios de la criptoagilidad.

Algunas de las mejores prácticas para mantener un perfil de riesgo actualizado incluyen el establecimiento y la revisión periódica de políticas para la depreciación de algoritmos, la rotación periódica de claves y mecanismos de emergencia en caso de debilidades algorítmicas imprevistas o recién descubiertas. La clave para estar preparado para la cuántica es estar preparado para adaptarse.

Los algoritmos de seguridad cuántica evolucionan constantemente, al igual que sus políticas y protocolos. Éstos deben incluir la formación y educación del personal, así como criterios específicos de especialización en PQC a la hora de contratar personal para puestos de seguridad y TI. Mantener la participación y el compromiso de toda la organización para estar preparados para la cuántica es esencial para el éxito continuo de la iniciativa.

Conclusión: Modernizarse ahora para la era post cuántica

Es hora de preparar su negocio para el futuro. Prepararse para la criptografía post-cuántica es un reto difícil, pero es una oportunidad para reevaluar, evaluar y modernizar su infraestructura criptográfica. Los delincuentes están evolucionando sus técnicas. Las organizaciones también deberían hacerlo.

Póngase en contacto con Keyfactor para obtener herramientas probadas y experiencia para navegar por los riesgos de seguridad de la computación cuántica que se avecinan.