La mayoría de las conversaciones sobre computación cuántica se limitan a los ámbitos técnicos de una organización. Los criptógrafos debaten sobre algoritmos, los ingenieros de seguridad analizan el tamaño de las claves y, como mucho, la junta directiva escucha una mención superficial a la computación cuántica en la reunión anual de gestión de riesgos. Esto es un error. La llegada de ordenadores cuánticos con relevancia criptográfica no es solo un acontecimiento técnico. Es un evento de riesgo empresarial, de la misma magnitud que un cambio normativo importante o una amenaza cibernética sistémica , y exige el tipo de supervisión estructurada que la auditoría interna está para proporcionar.
El desafío radica en que el riesgo cuántico no se comporta como las amenazas que los equipos de auditoría interna suelen evaluar. Es lento, fácil de posponer e invisible en las operaciones diarias, hasta que se vuelve catastrófico e irreversible. Esta combinación lo convierte precisamente en el tipo de riesgo que pasa desapercibido en una organización sin una gobernanza sólida. Este blog argumenta por qué la auditoría interna debería participar activamente en la preparación para la computación cuántica hoy mismo, y cómo debería ser esa participación en la práctica.
Comprender la amenaza: el día Q y el tiempo que ya corre.
Las computadoras cuánticas resuelven ciertos problemas de maneras fundamentalmente distintas a las máquinas clásicas. Mientras que una computadora clásica procesa las posibilidades principalmente de forma secuencial, una computadora cuántica puede evaluar muchas posibilidades simultáneamente, lo que le otorga una ventaja exponencial en una clase específica de problemas matemáticos. Dos de esos problemas, la factorización de enteros y el logaritmo discreto, son precisamente la base de la criptografía de clave pública actual.
RSA , ECC y Diffie-Hellman, los algoritmos que protegen el tráfico web, las firmas digitales , las VPN y la autenticación en prácticamente todas las empresas, parten de la premisa de que estos problemas son demasiado difíciles de resolver en un plazo razonable. Una computadora cuántica lo suficientemente potente que ejecute el algoritmo de Shor rompe con esa premisa. El día Q es el momento en que una computadora cuántica puede ejecutar el algoritmo de Shor a la escala suficiente para vulnerar RSA, ECC y Diffie-Hellman.
Ya existen alternativas. En agosto de 2024, el NIST finalizó sus primeros estándares post-cuánticos: FIPS 203 (ML-KEM) para el establecimiento de claves, FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) para firmas digitales, y en 2025 se seleccionó HQC como un mecanismo adicional de encapsulación de claves basado en código. Los estándares son definitivos, lo que significa que la cuestión ya no es si migrar, sino con qué rapidez puede hacerlo una organización.
La incómoda verdad es que el proceso no comienza el Día Q. Comenzó hace años. Los adversarios ya están involucrados en lo que se conoce como "recolección ahora, descifrado después": interceptan y almacenan datos cifrados hoy, con la intención de descifrarlos cuando llegue la tecnología cuántica. Para cualquier dato con un largo período de confidencialidad, como registros financieros, información médica, propiedad intelectual, datos gubernamentales o secretos comerciales, la exposición está ocurriendo ahora mismo, aunque el descifrado esté a años de distancia. Los datos robados hoy no se vuelven seguros simplemente porque se migren posteriormente.
La preocupación es generalizada, pero la preparación es escasa. Según la encuesta Quantum Computing Pulse Poll 2025 de ISACA, realizada a más de 2,600 profesionales de confianza digital , ciberseguridad, auditoría y gestión de riesgos, el 62 % teme que la computación cuántica rompa el cifrado actual y el 56 % menciona la posibilidad de recopilar datos ahora y descifrarlos después como una preocupación. Sin embargo, solo alrededor del 5 % afirma que su organización cuenta con una estrategia cuántica definida. En otras palabras, aproximadamente el 95 % carece de una hoja de ruta. Esta brecha entre la concienciación y la acción es precisamente el tipo de debilidad de control que la auditoría interna está diseñada para detectar.
Esto es lo que convierte el riesgo cuántico en una preocupación inmediata para la gobernanza, en lugar de un proyecto técnico futuro. Las decisiones que determinan si sus datos más sensibles y de larga duración sobrevivirán al Día Q se están tomando, o se están ignorando, hoy.
Por qué esto es un problema de auditoría interna, y no solo un problema de TI.
Los equipos de seguridad pueden implementar criptografía , pero no pueden garantizar por sí solos que el riesgo cuántico se gestione al nivel que la organización requiere. Es precisamente ahí donde la auditoría interna aporta valor. La auditoría interna ofrece tres elementos de los que carece una respuesta puramente técnica: independencia, una perspectiva global de la empresa y la autoridad para exigir a la organización que cumpla con sus compromisos.
Aquí es donde el rol de auditoría interna se diferencia del de los demás participantes. La contribución distintiva de la auditoría es la garantía independiente: verificar que los controles existen y funcionan según lo previsto, en lugar de implementarlos. Esto distingue a la auditoría interna de las consultoras e integradoras que desarrollan programas de migración y de los proveedores de herramientas que suministran la tecnología. La auditoría no es propietaria de la hoja de ruta; verifica si la hoja de ruta es real, cuenta con financiación y funciona. Mantener esta distinción clara es lo que otorga credibilidad a la garantía ante el consejo de administración.
Consideremos las preguntas que un consejo directivo debería poder responder sobre la preparación cuántica. ¿Sabe la organización qué sistemas y datos dependen de criptografía vulnerable a la computación cuántica? ¿Existe un plan de migración propio, financiado y con plazos definidos? ¿Se evalúa la preparación de terceros y proveedores que almacenan y procesan datos confidenciales? ¿Existe un camino claro hacia el cumplimiento de las obligaciones regulatorias en torno a los estándares criptográficos? En la mayoría de las organizaciones, ningún equipo técnico por sí solo puede responder a todas estas preguntas, ya que las respuestas abarcan TI, seguridad, asuntos legales, adquisiciones, gestión de riesgos y la alta dirección.
La auditoría interna es la función diseñada para revisar todos esos ámbitos, comprobar si los controles existen y funcionan según lo previsto, e informar de la verdad a la dirección y al consejo de administración. La preparación para la computación cuántica requiere precisamente ese tipo de garantía independiente e interfuncional. Sin ella, trabajar en la computación cuántica se convierte en una afirmación superficial que nadie verifica.
Lo que realmente debería hacer la auditoría interna
Abordar el riesgo cuántico no exige que los auditores se conviertan en criptógrafos. Requiere aplicar la disciplina de la auditoría a un ámbito nuevo y de gran importancia. Se destacan seis áreas clave.
Es fundamental verificar que exista un inventario criptográfico completo. La base de la preparación ante ataques cuánticos reside en conocer la ubicación de la criptografía vulnerable. La auditoría interna debe evaluar si la organización cuenta con un inventario genuino y actualizado de sus activos criptográficos, incluyendo certificados, claves, algoritmos y los sistemas y datos que dependen de ellos. Un inventario incompleto, desactualizado o gestionado en una hoja de cálculo constituye una deficiencia en sí misma.
Evalúe la existencia y la calidad de una hoja de ruta de migración. La preparación no es un eslogan, sino un plan con responsables, presupuestos, hitos y priorización basados en la sensibilidad de los datos y la vida útil del sistema. La auditoría interna debe evaluar si existe dicha hoja de ruta , si es realista y si se está implementando, en lugar de quedar archivada.
Pruebe la protección de datos frente a la amenaza de recopilarlos ahora y descifrarlos después . Los auditores deben examinar si los datos confidenciales de larga duración están protegidos con algún método más allá del cifrado clásico. Si los datos con un requisito de confidencialidad de varios años están protegidos únicamente por RSA o ECC, se trata de una vulnerabilidad que requiere atención y escalamiento inmediatos.
Analice los riesgos asociados a terceros y a la cadena de suministro . La exposición de una organización a la computación cuántica se extiende a todos los proveedores, socios y prestadores de servicios que almacenan o transmiten sus datos. La auditoría interna está en una posición privilegiada para garantizar que la preparación ante la computación cuántica se integre en las evaluaciones de riesgos de terceros y en la debida diligencia contractual.
Mapea marcos y plazos específicos a las acciones de la organización. Los gobiernos y los reguladores están transformando la preparación cuántica de una recomendación a un requisito. En lugar de hacer un seguimiento de las normas genéricas aplicables, la auditoría interna debe verificar la hoja de ruta de la organización con las referencias concretas que utilizan los auditores y reguladores: la guía de migración a criptografía postcuántica de CISA, la guía de prácticas SP 1800-38 del NCCoE del NIST ( Migración a criptografía postcuántica ), los hitos de transición CNSA 2.0 de la NSA y, para las agencias federales y sus proveedores, el Memorando M-23-02 de la OMB. Verifica las versiones y fechas vigentes al momento de la revisión, ya que estas siguen evolucionando.
Fomentar la criptoagilidad , mediante la gestión de la postura criptográfica. Quizás la contribución más estratégica que puede hacer la auditoría interna sea insistir en si los sistemas se diseñan para la criptoagilidad, es decir, la capacidad de cambiar algoritmos criptográficos sin necesidad de una reestructuración masiva. La criptoagilidad es el principio rector; la disciplina operativa continua que la implementa se denomina cada vez más gestión de la postura criptográfica (CPM), un ciclo repetitivo de descubrimiento, evaluación, priorización, corrección y monitorización. Las organizaciones que integran la criptografía en el código se enfrentarán a la siguiente transición, y a la siguiente, como una crisis en cada ocasión. Aquellas que incorporan la agilidad y la gestionan como una postura continua, en lugar de un proyecto puntual, no lo harán.
Enmarcar la gestión cuántica como un riesgo empresarial
El cambio más importante que puede impulsar la auditoría interna es el de la perspectiva. Mientras el riesgo cuántico se trate como un tema técnico especializado, tendrá dificultades para captar la atención y el presupuesto frente a preocupaciones más urgentes. Al replantearlo como lo que realmente es —un riesgo previsible, de alto impacto e irreversible para la confidencialidad e integridad de los datos empresariales—, se gana su lugar en el registro de riesgos de la empresa y en las discusiones a nivel de la junta directiva.
Este planteamiento también aclara el coste de la inacción. La migración criptográfica no es una solución rápida. Estimaciones fiables del NIST y de importantes empresas de consultoría describen la migración completa como un programa de varios años, que a menudo requiere años de planificación antes de que el trabajo esté terminado, y la encuesta de ISACA muestra que aproximadamente el 95 % de las organizaciones aún no tienen una hoja de ruta.
El tiempo se reduce incluso antes de que comiencen los preparativos. Un factor determinante a corto plazo lo confirma: según el calendario aprobado por el Foro CA/Browser, la duración máxima de los certificados TLS públicos se reduce de 398 a 200 días en marzo de 2026, a 100 días en marzo de 2027 y a 47 días en marzo de 2029. Mucho antes del día de la decisión final, este ritmo hace insostenible el cambio criptográfico manual y beneficia a las organizaciones que ya han implementado automatización y agilidad.
Una organización que comience la migración solo cuando las computadoras cuánticas sean demostrablemente capaces llegará demasiado tarde, tanto para los datos históricos recopilados como para el caos operativo que supondría una transición apresurada. El papel de la auditoría interna es visibilizar ese cronograma ahora, mientras aún hay tiempo para actuar con determinación.
Cómo puede ayudar Encryption Consulting
La auditoría interna puede identificar y definir el riesgo cuántico, pero actuar en consecuencia requiere una profunda experiencia en criptografía y las herramientas adecuadas. Es aquí donde Encryption Consulting se asocia con las organizaciones, transformando los hallazgos de auditoría y las directrices del consejo de administración en un programa ejecutable de preparación cuántica.
CBOM Secure detecta la criptografía en cualquier autoridad de certificación y en cualquier entorno, justo lo que necesita un programa de auditoría centrado en la independencia. Es nuestra solución de detección e inventario criptográfico, diseñada para brindar a sus equipos de auditoría y seguridad la visibilidad que este tipo de supervisión exige. Descubre e inventaría continuamente activos criptográficos, incluyendo certificados, claves, algoritmos, protocolos e indicadores vulnerables a ataques cuánticos. Esto transforma el inventario criptográfico, pasando de ser una aspiración de auditoría a un activo dinámico basado en datos, y proporciona la base de evidencia que la auditoría interna necesita para evaluar la preparación de forma objetiva.
Nuestros servicios de asesoramiento criptográfico post-cuántico guían a las organizaciones a lo largo de todo el ciclo de preparación, desde la evaluación de riesgos cuánticos y el análisis de sensibilidad de datos hasta la creación de una hoja de ruta de migración priorizada y propia, e implementando algoritmos híbridos y post-cuánticos. Este es el plan estructurado y con plazos definidos que la auditoría interna debe esperar, elaborado por especialistas que realizan este trabajo a diario.
En materia de gobernanza, nuestros Servicios de Asesoramiento en Cumplimiento ayudan a alinear su programa de preparación cuántica con NIST, CISA, CMMC y otros marcos regulatorios en constante evolución, garantizando que las recomendaciones de auditoría interna se correspondan perfectamente con los requisitos de los reguladores. Además, nuestros Servicios de Asesoramiento en Cifrado proporcionan la base estratégica integral para gestionar el riesgo criptográfico en toda la empresa.
Tanto si su equipo de auditoría interna inicia su primera revisión de riesgos cuánticos como si su organización está lista para una migración completa, Encryption Consulting le ofrece la experiencia y las herramientas necesarias para avanzar. Póngase en contacto con nosotros para comenzar a desarrollar una preparación cuántica sólida y auditable.
Conclusión
El riesgo cuántico es inusual entre las amenazas empresariales porque sus consecuencias más dañinas se están gestando hoy, silenciosamente, mientras que el impacto visible aún tardará años en manifestarse. Precisamente esa demora es lo que hace que una gobernanza sólida sea esencial. Si se deja competir con los problemas urgentes del momento, la preparación cuántica siempre saldrá perdiendo, hasta que llegue el día en que ya no se pueda posponer y el plazo para responder se haya agotado.
La auditoría interna existe precisamente para detectar este tipo de riesgos: previsibles, de alto impacto y fáciles de ignorar. Al validar los inventarios criptográficos, probar la protección de datos, analizar minuciosamente los planes de migración y redefinir la computación cuántica como el riesgo empresarial que realmente representa, la auditoría interna puede garantizar que la organización actúe mientras aún es posible.
El tiempo para el Día Q ya está corriendo, al igual que la recopilación de datos que se descifrarán cuando lleguen. Las organizaciones que consideren la preparación cuántica como una cuestión de gobernanza, y no solo de ingeniería, serán las que llegarán preparadas para ese día.
