Migración de PQC: Lo que descubrirás solo después de empezar.

Respuesta rápida: Una vez que la migración a PQC está en marcha, las organizaciones descubren desafíos que los marcos de trabajo y los documentos técnicos de los proveedores rara vez contemplan: la superficie de migración es mucho mayor que cualquier inventario de activos (PKI, firmware, TLS, SSH, firma de código, HSM, dispositivos integrados), las claves y firmas de PQC, mucho más grandes, superan los firewalls y los dispositivos intermedios con supuestos de búfer fijo, y la modernización de PKI se convierte en un requisito previo inicial en lugar de un paso final, ya que las autoridades de certificación, los HSM y los flujos de trabajo de inscripción deben admitir nuevos algoritmos antes de que cualquier otra cosa pueda escalar. Esto es importante porque las grandes empresas deben prever que la migración se extenderá durante varios años, y en entornos complejos potencialmente más de una década, mientras que CNSA 2.0 requiere nuevas adquisiciones del Sistema Nacional de Seguridad para admitir algoritmos resistentes a la computación cuántica a partir del 1 de enero de 2027. La acción recomendada es ejecutar el descubrimiento y la migración en paralelo en lugar de secuencialmente, establecer una responsabilidad de gobernanza ejecutiva única desde el principio, involucrar a los proveedores ahora en las hojas de ruta y los cronogramas contractuales de PQC, y tratar la criptoagilidad como una capacidad operativa permanente en lugar de un entregable único para esta transición.

Puntos Clave

• El tamaño adicional que supone PQC es categóricamente diferente al de las transiciones anteriores: una clave pública ML-KEM-768 es aproximadamente 37 veces mayor que una X25519, y una firma ML-DSA-65 es aproximadamente 51 veces mayor que una ECDSA, lo que provoca fallos reales en cortafuegos, dispositivos intermedios y dispositivos IoT con recursos limitados como LoRaWAN.
• Ningún método de descubrimiento por sí solo abarca toda la superficie criptográfica: el escaneo de red no detecta la criptografía integrada, el análisis de código no detecta la configuración en tiempo de ejecución y las herramientas basadas en agentes no pueden acceder a la infraestructura de tecnología operativa (OT) o de terceros, por lo que el descubrimiento y la migración deben ejecutarse en paralelo en lugar de secuencialmente.
• Los fallos de gobernanza suelen retrasar la migración antes de que comience cualquier trabajo técnico: cuando la responsabilidad de la criptografía está repartida entre los equipos de seguridad, TI, aplicaciones, adquisiciones y OT, sin un único ejecutivo responsable, las decisiones se estancan.
• La modernización de la infraestructura de clave pública (PKI) suele ser un requisito previo inicial, no un paso de última etapa, ya que las autoridades de certificación, los módulos de seguridad de hardware (HSM), las plataformas de gestión del ciclo de vida y los flujos de trabajo de inscripción deben ser compatibles con los nuevos algoritmos antes de que se puedan emitir certificados a gran escala.
• La criptoagilidad es una capacidad operativa continua, no un resultado de la migración: las organizaciones que la desarrollan únicamente para esta transición a PQC siguen estando mal posicionadas para el próximo cambio criptográfico, sea cual sea el que lo impulse.

¿Qué implica realmente la migración a PQC?

La migración a la criptografía postcuántica (PQC) es el proceso de reemplazar la criptografía de clave pública vulnerable a la computación cuántica, como RSA, ECDH, ECDSA y esquemas relacionados, con algoritmos postcuánticos estandarizados por el NIST , incluidos ML-KEM (FIPS 203), ML-DSA (FIPS 204) y SLH-DSA (FIPS 205). Abarca el descubrimiento criptográfico , la priorización basada en el riesgo, el despliegue híbrido durante el período de transición y la capacidad operativa a largo plazo para rotar los algoritmos a medida que evolucionan los estándares.

A diferencia de las transiciones de algoritmos anteriores, la migración de PQC abarca todas las capas de una empresa: PKI, firmware, TLS, SSH, firma de código, HSM y dispositivos integrados.

La mayoría de las organizaciones que abordan la migración a PQC parten de un modelo mental basado en presentaciones de conferencias, documentos técnicos de proveedores y resúmenes de marcos de trabajo. Si bien estas fuentes no son incorrectas, describen el destino, no el terreno. La brecha entre leer sobre una migración a PQC y llevarla a cabo es mayor que en casi cualquier otra transición comparable en la historia de la seguridad empresarial.

El panorama regulatorio ha eliminado la opción de esperar, y el panorama de amenazas explica por qué la espera nunca fue segura. Los adversarios pueden interceptar el tráfico cifrado hoy mismo y almacenarlo para su descifrado una vez que exista una computadora cuántica con capacidad criptográfica. Para los datos con requisitos de confidencialidad a largo plazo, esta exposición es actual, no futura.

Según la normativa NSA CNSA 2.0, las nuevas adquisiciones del Sistema Nacional de Seguridad deberán ser compatibles con algoritmos resistentes a la computación cuántica a partir del 1 de enero de 2027. La firma de software y firmware en los sistemas afectados deberá pasar a utilizar exclusivamente PQC para el año 2030. Los equipos de red obsoletos que no sean compatibles con CNSA 2.0 deberán ser retirados para el año 2030.

El Manual de Seguridad de la Información (ISM) de Australia recomienda dejar de usar la criptografía asimétrica clásica, incluyendo RSA, DH, ECDH y ECDSA , para finales de 2030. Los reguladores y agencias europeas están incorporando cada vez más la planificación de la criptografía cualitativa y las consideraciones de criptoagilidad en las directrices de ciberseguridad y las iniciativas de resiliencia. Estos plazos se están acortando, no relajando.

Lo que suele pasar desapercibido, más allá de los plazos de entrega, es la magnitud del esfuerzo organizativo y técnico necesario para llevar a cabo una migración exitosa. Muchas grandes empresas prevén que la migración se extienda durante varios años y, en entornos complejos, incluso más de una década. Esta diferencia entre el tiempo disponible y el tiempo requerido constituye la principal tensión de PQC en 2026.

Este blog trata sobre lo que aprenden los profesionales una vez que se pone en marcha un programa de migración de PQC: las realidades que los marcos de trabajo resumen de forma demasiado breve y que los proveedores rara vez mencionan.

La superficie de migración es mayor que su inventario de activos.

El NIST finalizó las normas FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) en agosto de 2024. Una parte importante de la infraestructura empresarial se basa en algoritmos de clave pública que las normas PQC pretenden complementar o reemplazar. Estos algoritmos sustentan tecnologías y sistemas de confianza en toda la empresa, incluyendo raíces de confianza de hardware, firma de firmware, arranque seguro, TLS, SSH, IPsec, S/MIME, firma de código, módulos de hardware y software (HSM) y certificación de IoT.

La comparación más común es SHA -1 frente a SHA-2, pero resulta engañosa. SHA-2 era simplemente un intercambio de funciones hash dentro de la misma familia matemática. PQC modifica por completo la base matemática. Una clave pública compartida ML-KEM-768 ocupa 1,184 bytes, frente a los 32 bytes de X25519, lo que supone una diferencia de aproximadamente 37 veces. Una firma ML-DSA-65 ocupa 3,309 bytes, frente a los 64 bytes de ECDSA, una diferencia de aproximadamente 51 veces. Estas cifras utilizan conjuntos de parámetros de rango medio a modo de ejemplo.

CNSA 2.0 exige ML-KEM-1024 y ML-DSA-87, que generan claves y firmas aún más grandes, lo que aumenta el tamaño adicional en las implementaciones reales de NSS. Como resultado, una cadena de certificados creada con firmas ML-DSA y claves públicas puede superar fácilmente los 10 KB.

Estas diferencias de tamaño provocan fallos reales en entornos representativos de producción. Los firewalls con asignaciones de búfer fijas descartan los mensajes ClientHello de tamaño excesivo. Los dispositivos intermedios que analizan los campos de extensión TLS fallan con los nuevos tamaños. El aumento del protocolo de enlace relacionado con PQC puede incrementar la presión de fragmentación y generar problemas para protocolos como QUIC. Estos problemas rara vez aparecen en un solo producto probado de forma aislada.

Estos problemas se presentan en navegadores, sistemas operativos, balanceadores de carga, HSM, dispositivos de inspección TLS, VPN, autoridades de certificación e integraciones de terceros. En consecuencia, las pruebas de interoperabilidad suelen convertirse en una parte importante del proceso de migración, en lugar de un paso de validación final.

Muchos dispositivos con recursos limitados pueden tener dificultades para soportar algoritmos PQC debido a limitaciones de memoria, procesamiento o ancho de banda. LoRaWAN, un protocolo de red de área amplia de bajo consumo ampliamente utilizado en implementaciones de IoT industriales y de ciudades inteligentes, permite aproximadamente 51 bytes por carga útil de enlace ascendente en su configuración de velocidad de datos más conservadora en la UE. El texto cifrado ML-KEM-768 por sí solo ocupa 1,088 bytes. Para los dispositivos integrados en redes eléctricas, sistemas de agua o equipos hospitalarios, esto no es un problema de configuración de software, sino un problema de reemplazo de hardware en un ciclo de vida de activos de varias décadas.

Los fundamentos que la mayoría de las organizaciones subestiman

La mayoría de las organizaciones inician una migración criptográfica sin tener una visión completa de su infraestructura criptográfica. Gartner constata que la mayoría de las organizaciones de TI desconocen la criptografía que utilizan, incluyendo qué aplicaciones la emplean, cómo está configurada y quién toma las decisiones al respecto. Ningún método de descubrimiento por sí solo abarca la totalidad del panorama.

El escaneo de red detecta los protocolos de enlace TLS, pero no el cifrado integrado. El análisis de código encuentra llamadas a bibliotecas, pero no puede ver la configuración en tiempo de ejecución. Las herramientas basadas en agentes cubren la TI administrada, pero no pueden acceder a la OT ni a la infraestructura de terceros.

El escaneo externo solo alcanza el perímetro público y proporciona visibilidad de una porción relativamente pequeña de la huella criptográfica total de una organización. La solución práctica consiste en ejecutar el descubrimiento y la migración en paralelo, priorizando los sistemas externos y actualizando continuamente el inventario a medida que los sistemas cambian, en lugar de considerar un escaneo puntual como un resultado finalizado.

Los fallos en la gobernanza suelen retrasar la modernización criptográfica antes de que comience cualquier trabajo técnico. La responsabilidad de la criptografía suele estar repartida entre seguridad, operaciones de TI, equipos de aplicaciones, compras y tecnología operativa (OT), sin que ningún grupo sea responsable de los resultados. Cuando la responsabilidad está fragmentada, las decisiones se estancan mientras los equipos debaten sobre prioridades, presupuestos y responsabilidades.

Los programas tienen más probabilidades de avanzar cuando un único responsable ejecutivo es el único responsable, la financiación está claramente asignada y los equipos participantes reciben un mandato formal para actuar. Las organizaciones que ya han comenzado a establecer esta estructura de gobernanza se están dando el tiempo necesario para abordar los desafíos técnicos y operativos que se avecinan.

La preparación de los proveedores es un punto crítico. Cuando las organizaciones solicitan a sus proveedores clave una hoja de ruta de productos PQC con plazos de entrega, a menudo descubren que esos planes aún están en desarrollo o no están completamente definidos. En condiciones normales, la sustitución de un proveedor para un sistema crítico suele tardar entre dos y tres años. Las organizaciones que inicien estas conversaciones ahora e incluyan los plazos de soporte de PQC en las renovaciones de contratos serán las que no se encontrarán con un cuello de botella en el proveedor en el quinto año de un programa de siete años.

El cuello de botella de PKI

Muchas organizaciones asumen que la migración a PQC comienza cuando los algoritmos post-cuánticos se implementan en aplicaciones de producción. En la práctica, la transición suele comenzar mucho antes en la infraestructura de clave pública (PKI) . Las autoridades de certificación, los módulos de seguridad de hardware (HSM), las plataformas de gestión del ciclo de vida de los certificados, los servicios de firma de código, los almacenes de confianza y los flujos de trabajo de inscripción deben ser compatibles con los nuevos algoritmos antes de que se puedan emitir y gestionar certificados a gran escala.

El soporte para algoritmos PQC por sí solo no es suficiente. Las plantillas de certificados, los flujos de trabajo de emisión, los servicios de validación, las plataformas de monitorización, los dispositivos de inspección TLS y las canalizaciones de automatización de certificados pueden requerir pruebas y modificaciones. Las organizaciones suelen descubrir que la infraestructura PKI se convierte en una dependencia crítica para el proceso de migración general, lo que hace que la modernización de PKI sea uno de los primeros requisitos para el despliegue a gran escala.

La diferencia entre sobrevivir a la transición y mantenerla

El uso de criptografía híbrida durante la transición, combinando algoritmos clásicos con algoritmos PQC estandarizados por el NIST, como ML-KEM y X25519, es una práctica bien respaldada y apropiada. Una sesión protegida por ambos algoritmos permanece segura mientras alguno de ellos sea válido. Lo que las directrices suelen subestimar es la sobrecarga operativa. La fragmentación soberana implica que la misma configuración puede cumplir con los requisitos de un regulador y, al mismo tiempo, entrar en conflicto con otro.

La guía de la Oficina Federal de Seguridad de la Información (BSI) de Alemania generalmente favorece los enfoques híbridos durante la transición. En contraste, la norma ISM de Australia especifica la migración a algoritmos post-cuánticos aprobados por la ASD. La norma ISM de 1996 indica que los esquemas híbridos clásicos-PQC no se recomiendan, aunque no se prohíben. La planificación de la migración debe considerar no solo los requisitos técnicos, sino también la normativa aplicable.

La criptoagilidad es la capacidad organizativa y técnica para actualizar, reemplazar o rotar algoritmos criptográficos en distintos sistemas sin necesidad de rediseñarlos. No se trata de un resultado de migración, sino de una capacidad operativa continua. La arquitectura diseñada para la criptoagilidad debe admitir la configuración por jurisdicción, abstraer las opciones criptográficas mediante controles de políticas e incluir reglas de detección del SOC para ataques de degradación híbrida antes de que cualquier implementación híbrida llegue a producción.

El NIST también está ultimando esquemas de firma adicionales, más allá de los tres estándares de 2024. FIPS 206, estandarizado como FN-DSA y basado en FALCON, se presentó para su aprobación preliminar en agosto de 2025, y se espera que el estándar final esté listo a finales de 2026 o principios de 2027. HQC fue seleccionado en marzo de 2025 como un KEM adicional basado en código y está avanzando hacia su estandarización.

La computación cuántica es solo uno de los factores que impulsan el cambio criptográfico. Las vulnerabilidades en los algoritmos, los fallos de implementación, los avances en criptoanálisis, los requisitos regulatorios y la evolución de los estándares de seguridad pueden requerir transiciones criptográficas. La capacidad de reemplazar algoritmos rápidamente en respuesta a una debilidad recién descubierta es fundamentalmente diferente de ejecutar un programa de migración planificado a largo plazo.

Las organizaciones que consideran la criptoagilidad como una capacidad temporal creada para la migración a PQC pueden completar la transición actual, pero seguirán estando mal posicionadas para la siguiente. Las organizaciones que invierten en criptoagilidad como una capacidad operativa permanente reducen el costo, el riesgo y las interrupciones de futuras transiciones criptográficas, independientemente de los motivos que las impulsen.

Cómo puede ayudar la consultoría de cifrado

Las organizaciones que inician una migración a PQC descubren rápidamente que el desafío va más allá de la selección de algoritmos. El éxito depende de comprender dónde se implementa la criptografía, evaluar el impacto de los sistemas vulnerables a la computación cuántica, coordinarse con los proveedores, modernizar la infraestructura PKI y desarrollar las capacidades operativas necesarias para respaldar futuras transiciones criptográficas.

Servicios de asesoramiento de PQC

Encryption Consulting ayuda a las organizaciones a lo largo de este proceso con servicios integrales de migración de PQC que abarcan el descubrimiento, la evaluación, la planificación, la validación y la implementación.

Nuestros servicios de asesoramiento en criptografía cuántica ayudan a las organizaciones a identificar certificados, claves, algoritmos, protocolos y dependencias criptográficas en entornos de nube, aplicaciones, infraestructura, HSM, repositorios de código fuente, contenedores, API y pipelines de CI/CD . Gracias a esta visibilidad, evaluamos la exposición a criptografía vulnerable a ataques cuánticos, identificamos áreas de remediación de alta prioridad y desarrollamos planes de migración basados ​​en riesgos, alineados con los estándares del NIST, los requisitos regulatorios y los objetivos comerciales.

Más allá de la planificación, Encryption Consulting ofrece asistencia en la evaluación de la preparación de proveedores, la validación de pruebas de concepto, las pruebas de interoperabilidad, las implementaciones de criptografía híbrida, el diseño de arquitecturas PKI criptográficas ágiles y los programas de implementación a escala empresarial. Este enfoque estructurado permite a las organizaciones pasar de una visibilidad criptográfica fragmentada a un programa de migración PQC gobernado, medible y sostenible.

CBOM seguro

Una transición exitosa a la era post-cuántica comienza con la visibilidad. CBOM Secure de Encryption Consulting proporciona descubrimiento e inventario continuos de activos criptográficos en la infraestructura empresarial, entornos en la nube, aplicaciones y servicios criptográficos.

A diferencia de un inventario puntual, CBOM Secure genera y consume continuamente listas de materiales criptográficos (CBOM) mientras realiza un seguimiento de los certificados, las claves, los algoritmos y las dependencias criptográficas en todo el entorno. Proporciona visibilidad sobre qué está implementado, dónde se ejecuta y cómo evolucionan esas dependencias con el tiempo.

La plataforma respalda la gobernanza basada en políticas mediante la validación de configuraciones criptográficas conforme a los estándares de la organización, la identificación de desviaciones y la detección de riesgos de seguridad, operativos y de cumplimiento. Para las organizaciones que se preparan para la migración a PQC, CBOM Secure ayuda a identificar los sistemas que dependen de algoritmos vulnerables a la computación cuántica, a priorizar las medidas correctivas y a establecer la gobernanza criptográfica continua necesaria para lograr la criptoagilidad a largo plazo.

La migración a PQC afecta a todas las capas de la infraestructura criptográfica. Los servicios de consultoría y la cartera de productos de Encryption Consulting están diseñados para abarcar todo este ámbito, desde el descubrimiento inicial hasta la agilidad criptográfica operativa a largo plazo.

Conclusión

La mayoría de las organizaciones inician la migración a PQC esperando una actualización criptográfica. Sin embargo, lo que descubren es un esfuerzo de transformación empresarial que abarca tecnología, gobernanza, adquisiciones, gestión de proveedores, resiliencia operativa y gestión de riesgos a largo plazo.

Los estándares están disponibles, las expectativas regulatorias son cada vez más claras y el soporte de los proveedores continúa evolucionando. Sin embargo, las organizaciones que más progresan no son necesariamente las que implementan primero los algoritmos PQC. Son aquellas que mejoran la visibilidad de su entorno criptográfico, colaboran con los proveedores desde el principio, modernizan su infraestructura PKI y establecen la gobernanza necesaria para gestionar los cambios criptográficos a lo largo del tiempo.

La migración a PQC no es un proyecto con un único punto de llegada. Es el inicio de un nuevo modelo operativo en el que el cambio criptográfico se convierte en un requisito continuo de negocio y seguridad. Las organizaciones que desarrollen la criptoagilidad como una capacidad a largo plazo hoy estarán mejor posicionadas para afrontar no solo la transición a PQC, sino también todas las transiciones criptográficas posteriores.

Preguntas frecuentes

¿Por qué resulta engañoso comparar la migración de PQC con la transición de SHA-1 a SHA-2?

SHA-2 era un intercambio de funciones hash dentro de la misma familia matemática, mientras que PQC cambia por completo las matemáticas subyacentes. La diferencia de tamaño refleja esto: una clave pública ML-KEM-768 mide 1,184 bytes frente a 32 bytes para X25519, aproximadamente 37 veces más grande, y una firma ML-DSA-65 ocupa 3,309 bytes frente a 64 bytes para ECDSA, aproximadamente 51 veces más grande. Los estándares ML-KEM-1024 y ML-DSA-87, obligatorios en CNSA 2.0, producen claves y firmas aún más grandes.

¿Qué tipo de fallos técnicos provoca realmente el mayor tamaño de la clave y la firma de PQC?

Los firewalls con asignaciones de búfer fijas descartan los mensajes ClientHello de gran tamaño, los dispositivos intermedios que analizan los campos de extensión TLS fallan con los nuevos tamaños, y el crecimiento del protocolo de enlace aumenta la presión de fragmentación, lo que puede generar problemas para protocolos como QUIC. Para los dispositivos IoT con recursos limitados, el problema es más grave: LoRaWAN permite aproximadamente 51 bytes por enlace ascendente en su configuración más conservadora, mientras que el texto cifrado ML-KEM-768 por sí solo ocupa 1,088 bytes, lo que convierte esto en un problema de reemplazo de hardware en lugar de una solución de software para dispositivos integrados en redes eléctricas o equipos hospitalarios.

¿Por qué las organizaciones no pueden completar el descubrimiento criptográfico antes de iniciar la migración?

Dado que ningún método de detección abarca la totalidad de la superficie criptográfica: el escaneo de red detecta los protocolos de enlace TLS, pero no la criptografía integrada; el análisis de código encuentra las llamadas a bibliotecas, pero no puede ver la configuración en tiempo de ejecución; y las herramientas basadas en agentes cubren la TI administrada, pero no pueden acceder a la OT ni a la infraestructura de terceros. El enfoque práctico consiste en ejecutar la detección y la migración en paralelo, priorizando primero los sistemas orientados al exterior, en lugar de considerar un escaneo puntual como un resultado finalizado.

¿Por qué la modernización de la infraestructura de clave pública (PKI) suele tener que realizarse antes que otros trabajos de migración?

Dado que las autoridades de certificación, los HSM, las plataformas de gestión del ciclo de vida de los certificados, los servicios de firma de código, los almacenes de confianza y los flujos de trabajo de inscripción deben ser compatibles con los nuevos algoritmos antes de que se puedan emitir y gestionar certificados a gran escala, las plantillas de certificados, los flujos de trabajo de emisión, los servicios de validación y los dispositivos de inspección TLS pueden requerir pruebas y modificaciones. Por ello, la infraestructura PKI suele convertirse en una dependencia crítica que las organizaciones descubren solo cuando la migración general ya está en marcha.

¿Por qué existen discrepancias entre los reguladores respecto a las directrices sobre criptografía híbrida?

Debido a que los distintos organismos de seguridad nacional han realizado diferentes análisis de riesgos, el BSI de Alemania generalmente favorece los enfoques híbridos (clásicos más PQC) durante la transición, mientras que el ISM de Australia especifica la migración directa a algoritmos post-cuánticos aprobados por la ASD y afirma que los esquemas híbridos clásico-PQC no se recomiendan, aunque no están prohibidos. Las organizaciones que operan en diferentes jurisdicciones necesitan una arquitectura que admita la configuración por jurisdicción en lugar de una única configuración global.

¿La criptoagilidad es algo que las organizaciones desarrollan una sola vez para la transición a PQC?

No, debería ser una capacidad operativa permanente, no un resultado puntual de una migración. La computación cuántica es solo uno de los factores que impulsan el cambio criptográfico; las vulnerabilidades de los algoritmos, los fallos de implementación, los avances en criptoanálisis y la evolución de las regulaciones pueden requerir transiciones futuras. Las organizaciones que consideran la criptoagilidad como algo temporal pueden completar la migración actual, pero seguirán estando mal preparadas para cualquier cambio criptográfico que se presente posteriormente.