Evaluación de la preparación post-cuántica: 75 preguntas para equipos de seguridad y PKI

Respuesta rápida: Una evaluación rigurosa de preparación post-cuántica abarca ocho categorías: inventario criptográfico, infraestructura PKI y de certificados, HSM y gestión de claves, TLS y protocolos de red, firma de código y cadena de suministro de software, dependencias de aplicaciones y puntos finales, preparación de proveedores y terceros, y gobernanza, pruebas, presupuesto y cronograma. Esta lista de verificación incluye 75 preguntas en esas ocho categorías, diseñadas para identificar las deficiencias específicas que las autoevaluaciones genéricas de "¿está usted preparado para la computación post-cuántica?" no detectan.

La mayoría de las autoevaluaciones de preparación para PQC se mantienen en un nivel lo suficientemente general como para que casi cualquier organización pueda responder "algo preparada" sin que el ejercicio revele una deficiencia específica. Esta lista de verificación está diseñada de forma opuesta: es lo suficientemente específica como para que una respuesta de "no" o "no estoy seguro" apunte directamente a una acción concreta a seguir, y no a un área de preocupación vaga.

Puntos Clave

• Setenta y cinco preguntas específicas, distribuidas en ocho categorías, ponen de manifiesto deficiencias concretas en lugar de generar una puntuación de preparación vaga e imposible de cuantificar.
• Las categorías de inventario, PKI y HSM son las que generan más preguntas, lo que refleja la gran concentración del riesgo inicial de un programa real de PQC en esas tres áreas.
• Las cuestiones relativas a la gobernanza, las pruebas, el presupuesto y los plazos se incluyen deliberadamente, ya que la preparación técnica sin la disciplina del programa que la respalda rara vez sobrevive al contacto con una migración real de varios años.
• Utilice este documento como un documento de trabajo que se revise trimestralmente, no como un informe de evaluación único, ya que el estado de preparación y validación del proveedor cambia a lo largo de un programa de migración.

Inventario criptográfico (12 preguntas)

1. ¿Dispone de un inventario criptográfico documentado y actualizado que abarque algoritmos, claves y certificados?
2. ¿Ese inventario utiliza un formato estandarizado y legible por máquina (CycloneDX CBOM o equivalente)?
3. ¿Cada entrada de inventario tiene un propietario identificado, y no solo un hallazgo técnico?
4. ¿Has evaluado el tiempo de confidencialidad de los datos protegidos por cada activo criptográfico?
5. ¿Has clasificado la exposición externa para cada hallazgo?
6. ¿Su proceso de detección abarca el tráfico de red, y no solo la configuración estática?
7. ¿Su proceso de descubrimiento abarca el código fuente y las llamadas a algoritmos codificadas directamente en el código?
8. ¿Su proceso de detección abarca binarios compilados y software de terceros al que no tiene acceso al código fuente?
9. ¿Su sistema de detección abarca las claves y certificados gestionados en la nube a través de las API del proveedor?
10. ¿Su sistema de detección abarca la criptografía a nivel de punto final (cifrado de disco, controladores, arranque seguro)?
11. ¿Dispone de un plan documentado para sistemas heredados y aislados de la red a los que ninguna herramienta automatizada puede acceder?
12. ¿Su inventario se actualiza con una periodicidad definida y recurrente, y no mediante una instantánea única?

Infraestructura de clave pública y certificados (11 preguntas)

1. ¿Sabe si su plataforma CA es compatible con ML-DSA y, en caso afirmativo, con qué versión y actualización?
2. ¿Comprende si su plataforma CA requiere una jerarquía paralela en lugar de una actualización in situ?
3. ¿Ha seleccionado los conjuntos de parámetros ML-DSA objetivo por nivel de CA (raíz, intermedio, hoja)?
4. ¿Ha evaluado qué partes confiables pueden validar un certificado ML-DSA o híbrido en la actualidad?
5. ¿Dispone de un plan de distribución de anclaje de confianza para una nueva CA raíz?
6. ¿Ya ha decidido entre los formatos de certificado PQC puro y los formatos de certificado compuestos/híbridos según el caso de uso?
7. ¿Disponen de infraestructura OCSP y CRL probada con respuestas firmadas con PQC?
8. ¿Ha evaluado la emisión de certificados de corta duración como alternativa a la ampliación de la infraestructura de revocación?
9. ¿Tiene definido un plan de jubilación y una fecha para la jerarquía de CA heredada?
10. ¿Ha inventariado las plantillas de certificados que aún utilizan proveedores criptográficos antiguos?
11. ¿Realiza un seguimiento de los certificados emitidos fuera de su proceso PKI central (mediante la monitorización del registro de Transparencia de Certificados)?

HSM y gestión de claves (10 preguntas)

1. ¿Conoce el estado de compatibilidad del algoritmo PQC del firmware de su HSM actual?
2. ¿Conoce el estado de validación FIPS 140-3/CMVP actual de su proveedor de HSM para los algoritmos PQC, incluyendo los números de certificado?
3. ¿Ha realizado alguna prueba comparativa del rendimiento de la firma PQC bajo su volumen de producción real?
4. ¿Ha probado la función de copia de seguridad y restauración de claves PQC en su plataforma HSM específica?
5. ¿Has confirmado que las funciones de alta disponibilidad y agrupación en clústeres funcionan con los tipos de clave PQC en tu firmware?
6. ¿Sabe cuál de sus requisitos de cumplimiento exige la custodia de las claves de hardware para las claves PQC?
7. Si está considerando cambiar de proveedor de HSM, ¿tiene un plan basado en la reemisión de claves en lugar de la portabilidad de claves?
8. ¿Han planificado ceremonias clave para alguna nueva raíz o jerarquía de PQC bajo la misma disciplina de control dual que sus ceremonias existentes?
9. ¿Dispone de un presupuesto documentado para la actualización de HSM vinculado a su cronograma de PQC?
10. ¿Se realiza un seguimiento de la transición de FIPS 140-2 a 140-3 como una fecha límite distinta de la migración de PQC?

TLS y protocolos de red (9 preguntas)

1. ¿Ha habilitado el intercambio de claves híbrido ML-KEM (X25519MLKEM768) en los puntos finales TLS con acceso a Internet?
2. ¿Ha probado el TLS híbrido con su dispositivo intermedio y sus dispositivos de inspección TLS específicos?
3. ¿Dispone de telemetría mediante algoritmos negociados para detectar la conmutación silenciosa a métodos clásicos en producción?
4. ¿Ha evaluado la preparación para la era post-cuántica de su infraestructura VPN e IPsec en particular?
5. ¿Ha evaluado las claves precompartidas RFC 8784 como una protección VPN provisional que requiere poco esfuerzo?
6. ¿Ha confirmado que su flota SSH está ejecutando una versión actual de OpenSSH con intercambio de claves híbrido por defecto?
7. ¿Ha inventariado los servidores intermedios y las canalizaciones de automatización que dependen de claves de host SSH?
8. ¿Ha evaluado la preparación para la certificación S/MIME, incluido el requisito de doble certificación (ML-KEM más ML-DSA)?
9. ¿Has probado el rendimiento real del protocolo de enlace bajo tu nivel de concurrencia real, y no solo con los parámetros de referencia publicados por el proveedor?

Firma de código y cadena de suministro de software (9 preguntas)

1. ¿Ha confirmado, independientemente de su algoritmo de firma de código, que su autoridad de sellado de tiempo está preparada para el control de calidad probabilístico (PQC)?
2. ¿Ha evaluado los artefactos de firmware que no se pueden volver a firmar después de la implementación como una categoría de riesgo distinta?
3. ¿Has identificado qué sistemas de verificación que consumen tus artefactos firmados pueden validar ML-DSA actualmente?
4. ¿Han realizado alguna prueba piloto de firma clásica y PQC en paralelo con artefactos de producción?
5. ¿Ha evaluado la ruta de migración PQC de su Sigstore, SLSA o herramientas de certificación?
6. ¿Dispone de un CBOM distinto de su SBOM existente, que cubra la criptografía que protege sus artefactos de compilación?
7. ¿Ha confirmado que la integración de HSM de su canalización de firma CI/CD es compatible con el proveedor de almacenamiento de claves ML-DSA?
8. ¿Ha evaluado FN-DSA para escenarios de firma restringida y ha realizado un seguimiento del estado de su borrador de estandarización?
9. ¿Tiene configurada la validación a largo plazo (marcado con fecha y hora más prueba de revocación) para su flujo de trabajo de firmas?

Dependencias de la aplicación y del punto final (8 preguntas)

1. ¿Has inventariado las aplicaciones que incluyen su propia pila TLS independientemente del sistema operativo?
2. ¿Ha confirmado las aplicaciones que utilizan CryptoAPI heredado frente a los proveedores CNG?
3. ¿Ha evaluado el cifrado de disco y las cadenas de firma de controladores como una categoría de punto final distinta?
4. ¿Ha confirmado los niveles de parches del sistema operativo de su flota de dispositivos finales en función de las fechas de implementación específicas de la funcionalidad PQC?
5. ¿Ha evaluado los dispositivos con recursos limitados (IoT, sistemas embebidos, OT) por separado de la infraestructura general de los puntos finales?
6. ¿Disponen de una estrategia de terminación de puerta de enlace para dispositivos que no pueden ejecutar PQC de forma nativa?
7. ¿Ha evaluado las decisiones de PKI en la fase de fabricación para algún dispositivo que aún se encuentre en producción activa?
8. ¿Ha evaluado la infraestructura de blockchain o de custodia de activos digitales, si corresponde a su organización?

Preparación de proveedores y terceros (8 preguntas)

1. ¿Ha enviado un cuestionario estructurado de preparación para el control de calidad a sus proveedores críticos, solicitando pruebas en lugar de aceptar afirmaciones generales?
2. ¿Ha confirmado la preparación de su proveedor de servicios en la nube para el control de calidad de procesos (PQC) servicio por servicio, y no una afirmación general de la empresa?
3. ¿Ha confirmado en qué lado de la línea de responsabilidad compartida se sitúa realmente cada funcionalidad de PQC en la nube?
4. ¿Ha evaluado la preparación del procesador de pagos y de la contraparte financiera en materia de control de calidad de procesos (PQC), en caso de que corresponda?
5. ¿Ha evaluado la preparación de su banco corresponsal o socio de API interbancaria, en caso de que corresponda?
6. ¿Ha confirmado que existe un plan de reversión con cada proveedor crítico para solucionar un problema de compatibilidad posterior a la implementación?
7. ¿Ha documentado la política y el cronograma de cada proveedor con respecto al cese de las funcionalidades de los algoritmos clásicos?
8. ¿Ha evaluado si una actualización de hardware impulsada por PQC es también un momento razonable para reconsiderar la selección de proveedores?

Gobernanza, pruebas, presupuesto y cronograma (8 preguntas)

1. ¿Existe un patrocinador ejecutivo designado y responsable para su programa PQC?
2. ¿Dispone de una matriz RACI documentada que abarque las funciones de criptografía, PKI, aplicaciones, infraestructura, adquisiciones, asuntos legales, riesgos y auditoría?
3. ¿Ha comparado su programa con los plazos reglamentarios aplicables (CNSA 2.0, mandatos federales de PQC, DORA, eIDAS u otros)?
4. ¿Utiliza un modelo de puntuación basado en el riesgo para la secuenciación de la migración, en lugar de una simple lista de prioridades?
5. ¿Dispone de un presupuesto documentado que cubra las herramientas de detección, la actualización de HSM, la infraestructura PKI y el soporte de asesoramiento?
6. ¿Has elaborado un cronograma plurianual con fases de control definidas, en lugar de una única fecha de finalización prevista?
7. ¿Disponen de documentación que establezca una periodicidad de presentación de informes para el cumplimiento normativo y las partes interesadas a nivel ejecutivo?
8. ¿Revisa usted esta evaluación periódicamente a medida que evolucionan la preparación de los proveedores y los estándares?

Lo que realmente recomendamos

Califique cada categoría con honestidad, no con optimismo; una respuesta negativa o incierta es más valiosa para un programa que un sí, ya que apunta directamente a una acción concreta. Si su organización se encuentra en las primeras etapas del programa, priorice las categorías de inventario, PKI y HSM, dado que las deficiencias en estas tienden a obstaculizar el progreso en las demás. Revise esta lista de verificación trimestralmente, en lugar de usarla como una evaluación única, ya que el estado de validación del proveedor y la madurez de los estándares son objetivos en constante evolución hasta 2026 y más allá.

Cómo puede ayudar la consultoría de cifrado

Nuestros servicios de asesoramiento PQC realizan esta evaluación como un taller estructurado adaptado a su entorno real, convirtiendo cada respuesta negativa en una tarea específica y secuenciada, en lugar de dejarla como una pregunta abierta. CBOM Secure responde directamente a las preguntas sobre la categoría del inventario con datos reales, en lugar de una estimación basada en información proporcionada por el usuario.

Una lista de verificación diseñada para resultar incómoda.

Una buena evaluación de preparación debería generar algunas respuestas negativas incómodas; ese es precisamente el objetivo. 75 preguntas específicas sobre inventario, PKI, HSM, TLS, firma de código, aplicaciones, proveedores y gobernanza ponen de manifiesto las deficiencias reales que una autoevaluación genérica permite que una organización ignore. Analizar cada categoría con honestidad y revisar los resultados trimestralmente, en lugar de una sola vez, es lo que realmente convierte una lista de verificación en progreso del programa.

Preguntas frecuentes

¿Cómo debería una organización utilizar una lista de verificación de 75 preguntas sin sentirse abrumada?

Analícelo por categorías en lugar de hacerlo todo a la vez, y trate cada "no" como una tarea pendiente en lugar de una puntuación negativa. Priorizar primero las categorías de inventario, PKI y HSM suele revelar las deficiencias más importantes.

¿Con qué frecuencia debe repetirse esta evaluación?

Para la mayoría de las organizaciones, una periodicidad trimestral es razonable durante un programa de migración activo, ya que el estado de validación del proveedor, la finalización de los estándares y la capacidad de la plataforma cambian significativamente durante ese período.

¿Qué categoría tiende a revelar la mayor cantidad de deficiencias para las organizaciones al inicio de su programa PQC?

Inventario criptográfico, de forma consistente. La mayoría de las organizaciones que inician un programa de control de calidad de la información (PQC) descubren que su inventario existente, si es que existe alguno, no cubre las capas de detección, los datos de propiedad ni la clasificación de exposición que requiere esta lista de verificación.

¿Esta lista de verificación es relevante para organizaciones que no pertenecen a sectores regulados?

Sí. Si bien algunas preguntas hacen referencia a marcos regulatorios específicos, las categorías subyacentes (inventario, PKI, HSM, TLS, firma de código, aplicaciones, proveedores y gobernanza) se aplican a cualquier organización con una infraestructura criptográfica significativa, independientemente de las obligaciones regulatorias.

¿Deberían todas las preguntas tener el mismo peso a la hora de evaluar la preparación?

No. Priorice las preguntas según su relevancia para su entorno específico y sus obligaciones regulatorias; por ejemplo, una pregunta sobre la preparación para la infraestructura de pagos no tiene peso para una organización que no la posee, y debería evaluarse en lugar de puntuarse.