Bienvenidos a la tercera entrega de «A Walk in the Park», una nueva serie de vídeos cortos que explora las fuerzas que están redefiniendo el futuro de la confianza digital. Durante las próximas cinco semanas, sacaremos las conversaciones de la sala de reuniones y las trasladaremos al aire libre, mientras nuestros expertos analizan algunos de los mayores retos a los que se enfrentan hoy en día los responsables de seguridad. Ve aquí el primer,el segundo y el tercer episodio.
Hay tres cosas con las que siempre puedes contar en la vida: la muerte, los impuestos y la deuda criptográfica.
Las dos primeras las entiende todo el mundo. La tercera es un regalo especial para los equipos de seguridad.
Cuando la mayoría de la gente oye hablar de «deuda», piensa en dinero. La deuda criptográfica es más sencilla que eso. Es la diferencia entre la criptografía que realmente se utiliza y la que se puede justificar. Para la mayoría de las organizaciones, esa diferencia es enorme.
Quiero ser claro al respecto, porque se ha convertido, sin que nos diéramos cuenta, en uno de los mayores riesgos no gestionados en las organizaciones actuales.
▶️ Mira el episodio: Ryan y yo hablamos sobre la deuda criptográfica en este episodio de «A Walk in the Park». A continuación, profundizo en lo que significa y cómo abordarla.
Entonces, ¿qué es la deuda criptográfica?
Aquí tienes la versión sencilla.
La «deuda criptográfica» se produce cuando una organización desconoce qué elementos criptográficos tiene. Las claves. Los certificados. Los algoritmos, los protocolos, las bibliotecas. Están por todas partes, pero casi nunca se documentan.
Lo que no se ve, no se puede gestionar. Lo que no se puede gestionar es un riesgo. Eso es la deuda.
Se fue consolidando de forma natural. Durante casi cincuenta años, los fundamentos de la confianza digital simplemente funcionaron. Por eso, los equipos podían permitirse adoptar un enfoque del tipo «configúralo y olvídate». Configurarlo una vez. Comprobarlo solo cuando algo fallara.
Así que ahora, cuando me adentro en distintos entornos, me encuentro siempre con lo mismo: activos criptográficos dispersos por la nube, la red, las aplicaciones y la pila de identidades. Como suelo decir: donde hay datos, hay criptografía. Lo que significa que está en todas partes.
Por qué es importante ahora
Esta es la parte que se suele pasar por alto.
La gente da por sentado que, como esta criptografía ha funcionado durante décadas, puede seguir funcionando sin más. Pero no es así. La razón es sencilla: existe un nuevo conjunto de algoritmos a prueba de cuántica a los que, tarde o temprano, todo el mundo tendrá que migrar. Y llevar a cabo esa migración lleva mucho tiempo sin que se produzcan fallos en los sistemas que la utilizan.
La línea temporal también se acaba de hacer realidad.
En marzo de 2026, Google fijó el año 2029 como fecha límite para migrar sus propios sistemas a la criptografía poscuántica. Eso supone adelantarse varios años a lo que indicaban la mayoría de las directrices. Posteriormente, en junio de 2026, la Casa Blanca firmó un decreto ejecutivo que instaba a las agencias federales a migrar los sistemas de alto valor al establecimiento de claves poscuánticas antes de finales de 2030, y a las firmas antes de finales de 2031. Las propias directrices del NIST desaconsejan el uso de los algoritmos actuales a partir de 2030 y los prohíben a partir de 2035.
Hay que saber leer el ambiente. Cuando los que están más cerca de construir ordenadores cuánticos dan el paso para 2029 o 2030, eso no es simple ruido de los proveedores. Son los que tienen la mejor perspectiva del precipicio y les dicen a los demás lo cerca que está el borde.
Si ellos se mueven, es hora de moverse.
La parte que los equipos subestiman
Lo difícil no son los algoritmos. Lo difícil es que toda esta criptografía está interrelacionada.
Claves, certificados, algoritmos, protocolos, bibliotecas. Todos ellos dependen unos de otros. No basta con cambiar un elemento de la parte superior o uno de la inferior y dar el asunto por zanjado. Si se modifica algo de forma aislada sin tener en cuenta el resto, algo se rompe. Algo falla. Y ese fallo provoca una interrupción.
Así que no puedes tratarlo como si fuera una partida presupuestaria. Tienes que ver todo lo que hay que cambiar y cambiarlo todo a la vez. Eso es lo que hace que la deuda sea tan peligrosa. No es una sola factura. Es una maraña.
Por dónde empezar
Nadie puede hacerlo todo de una vez. Es como intentar hervir el océano.
Empieza por obtener una visión global y precisa de la criptografía dentro de tu organización. Probablemente dispongas de varias herramientas, cada una de las cuales te ofrece una visión parcial. Reúne toda esa información en un inventario centralizado. A continuación, compárala con un conjunto conocido de parámetros de riesgo. A esto se le denomina «gestión de la postura criptográfica».
A continuación, establece prioridades. No hay dos organizaciones que tengan los mismos datos, por lo que no habrá dos que den la misma respuesta. Plantea las preguntas clave: ¿Cuáles son mis activos más importantes? ¿Qué debo proteger en primer lugar? Adapta tu sistema de cifrado a los datos y sistemas que protege, y parte de ahí.
A largo plazo, se trata de una inversión. Pero hay cosas que puedes hacer hoy mismo, con las herramientas y los equipos de los que ya dispones, para empezar.
Y todo el mundo debería empezar lo antes posible. No sabemos exactamente cuándo aparecerá ese ordenador cuántico relevante desde el punto de vista criptográfico. Cuanto más preparados estemos cuando eso ocurra, mejor nos irá. Las organizaciones que no se preparen serán las que acaben exponiendo sus datos en el ataque «zero-day» más previsible de la historia de la ciberseguridad.
La deuda criptográfica es el problema que subyace a todos los demás. No se puede saldar una deuda que no se ve. Es hora de hacer balance de la tuya.
Próximamente: Acompáñame la semana que viene en el último episodio de «A Walk in the Park», en el que analizaré la amenaza desde un ángulo diferente: «recoger ahora, descifrar después».
