Plazo impuesto por motivos de defensa: por qué PQC no puede esperar más

Cuando se oye hablar de criptografía postcuántica (PQC) , muchos suponen que es un problema del futuro lejano. No lo es. La amenaza es real, está activa y ya está afectando a los datos que su organización protege. El sector de la defensa lo ha reconocido y ha empezado a actuar. Es hora de que todos los demás hagan lo mismo.

La amenaza cuántica ya no es un problema del futuro.

La computación cuántica es una realidad y avanza a pasos agigantados. Gobiernos y grandes empresas tecnológicas están invirtiendo enormes sumas de dinero en la construcción de máquinas cuánticas. Una vez que estas máquinas alcancen su madurez, podrán romper el cifrado que protege prácticamente todas las comunicaciones digitales actuales. Algoritmos como RSA , ECC y Diffie-Hellman dejarán de ser seguros cuando exista una computadora cuántica criptográficamente relevante (CRQC).

La mayoría de los expertos creen que un CRQC podría existir en los próximos diez años. Algunos piensan que podría llegar antes. Pero lo más urgente es que los adversarios no necesitan esperar a que esa máquina cause daños hoy mismo.

Aquí es donde entra en juego la estrategia de "Recolectar ahora, descifrar después" (HNDL) . Los adversarios estatales ya están capturando y almacenando datos cifrados. Cuando finalmente dispongan de una computadora cuántica lo suficientemente potente, descifrarán todo lo que hayan recopilado. Sus comunicaciones confidenciales, registros financieros y datos personales podrían estar ya en una base de datos extranjera, a la espera de ser descifrados.

¿Por qué las organizaciones de defensa lideran la transición hacia el PQC?

Los equipos de ciberseguridad del sector de defensa no están exagerando. Comprenden la amenaza mejor que la mayoría. Las organizaciones de defensa manejan datos altamente sensibles, se enfrentan a adversarios sofisticados y saben que un fallo criptográfico podría afectar la seguridad nacional, no solo la reputación o las finanzas de una empresa.

La Agencia de Seguridad Nacional de EE. UU. (NSA) ha emitido directrices que exigen la preparación para la criptografía postcuántica en todos los sistemas de seguridad nacional. El Memorando de Seguridad Nacional n.° 10 de la Casa Blanca identificó la computación cuántica como un riesgo de máxima prioridad y ordenó a las agencias federales que comenzaran a revisar sus activos criptográficos. CISA, NIST y la NSA han publicado avisos conjuntos instando a los sectores de infraestructura crítica a que comiencen a prepararse de inmediato.

La estrategia HNDL no es teórica en el ámbito de la defensa. Es un enfoque documentado y activo utilizado por los servicios de inteligencia de los Estados. La lección para otros sectores es sencilla: si las organizaciones con más que perder ya están actuando, usted también debería hacerlo.

El coste de la espera: riesgos de la migración tardía

Retrasar la migración a la era post-cuántica genera riesgos reales. Estos son algunos de esos riesgos:

• Ampliación de la superficie de ataque desde HNDL: Cada día que utilizas cifrado vulnerable a la computación cuántica, les das a los adversarios más datos para recopilar y almacenar. No puedes volver atrás y proteger los datos que ya han sido capturados.
• Incumplimiento Normativo: El NIST finalizó sus primeros estándares PQC en 2024, incluyendo: ML-KEM y ML-DSALas agencias federales se enfrentan a plazos de cumplimiento. Los contratistas de defensa que operan bajo CMMC o FedRAMP verán requisitos más estrictos de preparación cuántica. Empezar tarde significa tener que apresurarse para cumplir más adelante.
• Deuda de infraestructura de clave pública (PKI): PKI Está integrado en los certificados, los sistemas de identidad y las comunicaciones seguras de toda su organización. Cuanto más espere, más difícil y costoso será actualizarlo.
• Ventanas de migración comprimidas: migración post-cuántica Para la mayoría de las grandes organizaciones, este proceso lleva años. Implica localizar todos los activos criptográficos, reemplazar algoritmos, probar sistemas y coordinar las operaciones en toda la cadena de suministro. Las organizaciones que empiezan tarde terminan gastando más y asumiendo mayores riesgos.

Preparándose para un futuro post-cuántico

Una buena preparación comienza por saber qué se está protegiendo y dónde se encuentran los sistemas criptográficos. Aquí les presentamos un marco de trabajo sencillo a seguir.

Paso 1: Inventario y descubrimiento criptográfico

No se puede reemplazar lo que no se encuentra. Empiece por mapear todos los activos criptográficos de sus sistemas, incluidos certificados, bibliotecas de cifrado, configuraciones TLS, herramientas de gestión de claves e integraciones de terceros. Este paso suele llevar más tiempo del previsto, por lo que es fundamental empezar cuanto antes.

Paso 2: Priorizar según la sensibilidad de los datos

No todos los datos conllevan el mismo riesgo. Céntrese primero en los sistemas que manejan información que debe permanecer privada durante muchos años, como registros clasificados, datos financieros e información médica.

Paso 3: Diseñar para la agilidad criptográfica

La agilidad criptográfica implica diseñar sistemas que permitan reemplazar los algoritmos de cifrado sin necesidad de reconstruir todo desde cero. Este es un enfoque inteligente para cualquier organización, no solo para la transición cuántica.

Paso 4: Alinear con los estándares PQC del NIST

El NIST ha publicado los primeros estándares formales de cifrado resistentes a la computación cuántica. Utilice estos estándares, específicamente ML-KEM para el intercambio de claves y ML-DSA para firmas digitales. No base su migración en soluciones propietarias. Siga los estándares PQC del NIST y esté atento a futuras actualizaciones.

Cómo deben responder las organizaciones más allá del ámbito de la defensa

La amenaza de la computación cuántica no se limita al sector de la defensa. Los servicios financieros, la sanidad, la energía y las telecomunicaciones se enfrentan a los mismos riesgos. Cualquier organización que maneje datos sensibles con una larga vida útil debe tomar esto muy en serio.

Las organizaciones del sector privado se enfrentan a un desafío adicional: a diferencia de los contratistas de defensa, a menudo no tienen plazos de cumplimiento obligatorios que las obliguen a actuar. Pero el riesgo es igual de real. Una institución financiera que maneja años de datos de clientes es un objetivo tan atractivo como una comunicación gubernamental.

La exposición a la cadena de suministro es otro factor importante. Si usted es proveedor de una agencia gubernamental o contratista de defensa, eventualmente se enfrentará a requisitos de preparación cuántica que se transmiten a lo largo de la cadena de suministro. Anticiparse a esto ahora lo coloca en una posición mucho más sólida.

Cómo puede ayudar la consultoría de cifrado

La mayoría de las organizaciones saben que deben prepararse para la amenaza cuántica. Lo más difícil es saber por dónde empezar, cómo priorizar y cómo elaborar un plan de migración que cumpla con los requisitos regulatorios. Los servicios de asesoramiento sobre computación cuántica en procesos (PQC) de Encryption Consulting están diseñados para responder precisamente a estas preguntas.

Mediante el descubrimiento criptográfico, la mitigación de riesgos específica y la planificación alineada con las normas del NIST, nuestro equipo le ayuda a construir una infraestructura resistente a la computación cuántica y preparada para auditorías sin tener que resolverlo todo internamente.

Esto es lo que cubre el compromiso:

Descubrimiento e inventario criptográfico: Mapeamos todos los activos criptográficos de su entorno, incluidos certificados, bibliotecas de cifrado, configuraciones TLS, sistemas de gestión de claves e integraciones con terceros. Este es el fundamento de cualquier migración post-cuántica y el paso que la mayoría de las organizaciones subestiman.

Evaluación y priorización de riesgos: No todos los sistemas presentan el mismo nivel de exposición. Evaluamos su entorno en función de la sensibilidad y la vida útil de los datos, lo que le permite centrarse primero en las áreas donde la amenaza de "recolectar ahora, descifrar después" es más relevante.

Plan de migración alineado con NIST: Elaboramos un plan de migración estructurado, alineado con los estándares NIST PQC, incluidos ML-KEM y ML-DSA, con hitos y una secuencia claros que se ajustan al cronograma y las obligaciones de cumplimiento de su organización.

Implementación de criptografía híbrida: Durante el período de transición, le ayudamos a implementar enfoques criptográficos híbridos que mantienen la compatibilidad con los sistemas existentes al tiempo que introducen algoritmos resistentes a la computación cuántica en paralelo.

Habilitación de la agilidad criptográfica: Diseñamos sus sistemas para que los algoritmos puedan actualizarse sin tener que reconstruir todo desde cero, lo que le brinda flexibilidad a medida que el panorama post-cuántico continúa evolucionando.

El tiempo para prepararse sin prisas se está acabando. Empezar ahora significa planificar. Empezar más tarde significa tener que improvisar.

Conclusión

Durante años, la criptografía postcuántica fue tema de conversación. Eso ha cambiado. El NIST ha publicado sus estándares. Las agencias federales tienen plazos establecidos. La NSA ha emitido directrices para la migración. Se acabó el tiempo de la concienciación. Es hora de actuar.

Pasar a la fase de acción implica obtener el respaldo de la dirección, asignar claramente la responsabilidad del programa de migración post-cuántica, establecer un presupuesto y contar con la experiencia adecuada. La mayoría de las organizaciones carecen de un conocimiento interno profundo sobre el cifrado resistente a la computación cuántica o la arquitectura PKI post-cuántica. Reconocer esta brecha es el primer paso para superarla.

Colaborar con especialistas que ya han trabajado con los requisitos de control de calidad del sector de defensa le ofrece un camino más rápido y claro. La experiencia con los requisitos de la NSA CNSA 2.0 y la migración criptográfica del Departamento de Defensa se traduce directamente en orientación práctica para cualquier sector.