Modelo de madurez de seguridad de PQC: De principiante a resiliente

Respuesta rápida: El modelo de madurez PQC de Encryption Consulting define cinco niveles, del Nivel 0 al Nivel 4: PQC Principiante (sin visibilidad, 100 % de exposición al riesgo), PQC Latente (conocimiento informal sin acción coordinada, 80 % de riesgo), PQC Inicial (reconocimiento formal y evaluación activa del riesgo, 70 % de riesgo), PQC Piloto (pilotos controlados en sistemas reales, 40 % de riesgo) y PQC Resiliente (integración empresarial completa y criptoagilidad continua, 10 % de riesgo). Cada nivel se evalúa en seis dominios: gobernanza y liderazgo, descubrimiento e inventario criptográfico, análisis del impacto del riesgo, gestión de proveedores y cadena de suministro, formación y concienciación, y proyectos piloto. Un informe de Capgemini de 2025 reveló que, si bien el 70 % de las organizaciones están explorando medidas de seguridad cuántica, solo el 15 % cumplen los requisitos para una gobernanza madura y una sólida ejecución técnica, la brecha que este modelo pretende cerrar.

Un estudio del Instituto Ponemon reveló que el 74 % de las organizaciones no están preparadas para las implicaciones de seguridad de la computación cuántica, y la causa principal suele ser la misma: la falta de visibilidad fundamental sobre dónde se implementa realmente la criptografía en la empresa. Este modelo estructura dicha brecha, de modo que la pregunta "¿qué tan preparados estamos?" se evalúa con un nivel específico y basado en evidencia, en lugar de basarse en suposiciones.

Puntos Clave

• El modelo abarca desde el Nivel 0 (PQC Principiante, 100% de riesgo) hasta el Nivel 4 (PQC Resiliente, 10% de riesgo), y cada nivel está vinculado a un porcentaje de riesgo específico y decreciente.
• Seis ámbitos de evaluación (gobernanza, descubrimiento criptográfico, análisis del impacto del riesgo, gestión de proveedores, formación y proyectos piloto) determinan el nivel real de una organización, no una única métrica.
• Un informe de Capgemini de 2025 reveló que el 70 % de las organizaciones estaban explorando medidas de seguridad cuántica, pero solo el 15 % cumplía los requisitos para una gobernanza madura y una sólida ejecución técnica.
• El NIST finalizó ML-KEM, ML-DSA y SLH-DSA como estándares federales en agosto de 2024, y finalizó HQC como algoritmo de respaldo para ML-KEM en 2025, lo que proporciona a cada nivel un punto de referencia de estándares concreto.
• Empresas que ya han adoptado esta tecnología, como HSBC y Banco Sabadell, ya están llevando a cabo proyectos piloto de PQC, lo que demuestra que el Nivel 3 es alcanzable ahora mismo y no una aspiración lejana.

Por qué esta brecha necesita un modelo de madurez

El NIST ha sido claro sobre lo que está en juego: si se logran construir computadoras cuánticas a una escala de miles de cúbits lógicos, prácticamente toda la criptografía de clave pública utilizada hoy en día quedará obsoleta. El problema más complejo para la mayoría de las organizaciones no radica en refutar esta afirmación, sino en saber cuál es su situación real al respecto. Entre las deficiencias más comunes se incluyen la falta de un mapa centralizado de dónde se implementan los algoritmos criptográficos, la falta de una comprensión clara de qué sistemas son los más vulnerables, la ausencia de una evaluación proactiva del impacto cuántico en los activos críticos y una infraestructura de seguridad que simplemente nunca se ha puesto a prueba frente a esta amenaza específica. Un modelo de madurez transforma estas incógnitas en una autoevaluación estructurada que abarca la gobernanza, la tecnología, las personas y los procesos.

Los seis dominios de evaluación

La madurez se mide a través de seis dominios interconectados, no con una sola puntuación:

• Gobernanza y liderazgo: un patrocinador ejecutivo, un comité directivo multifuncional que abarque seguridad, asuntos legales, infraestructura y negocios, y un presupuesto y una responsabilidad específicos para PQC.
• Descubrimiento e inventario criptográfico: Un inventario centralizado y actualizado periódicamente sobre dónde reside la criptografía, desde certificados TLS y claves SSH hasta dispositivos IoT y API, tanto en entornos de TI como de TO.
• Análisis del impacto del riesgo: ¿Qué sistemas causarían el mayor daño si se vieran comprometidos, teniendo en cuenta el impacto financiero, legal y en la reputación, y considerando explícitamente la exposición a la recopilación, el descifrado y la posterior extracción de datos sensibles de larga duración?
• Gestión de proveedores y cadena de suministro: si los proveedores clave han participado en la elaboración de sus planes de control de calidad del producto (PQC) y si los requisitos de PQC aparecen en las solicitudes de propuestas (RFP), los acuerdos de nivel de servicio (SLA) y los contratos.
• Formación y sensibilización: Se trata de que los desarrolladores y los equipos de seguridad comprendan qué es PQC y por qué es importante, con una ruta de aprendizaje continuo a medida que evolucionan los estándares del NIST.
• Proyecto de piloto: Si los enfoques híbridos y los algoritmos aprobados por el NIST se han probado realmente en sistemas reales, y no solo se han discutido.

Nivel 0: El principiante de PQC (Riesgo: 100%)

El nivel más bajo de madurez: la criptografía está integrada en las aplicaciones y la infraestructura sin una propiedad ni documentación claras, no existe un proceso para rastrear o actualizar los activos criptográficos, y el riesgo cuántico se trata como un problema del futuro o ni siquiera se discute. Los sistemas que ejecutan RSA, ECC o DSA están totalmente expuestos a ataques de recolección inmediata y descifrado posterior, sin visibilidad sobre la ubicación real de esos algoritmos. El camino a seguir comienza con la alfabetización cuántica para los equipos de TI, seguridad y liderazgo, un repaso de los fundamentos de la criptografía (RSA, ECC, DSA, AES, SHA-2/3) y la incorporación del riesgo de recolección inmediata y descifrado posterior a las conversaciones de la junta directiva, basándose en la hoja de ruta real de PQC del NIST.

Nivel 1: El PQC Latente (Riesgo: 80%)

Conciencia emergente, a menudo informal: el riesgo cuántico se menciona en las reuniones, pero no existe un grupo de trabajo de PQC, ni presupuesto, ni acciones coordinadas. El descubrimiento criptográfico puede haber comenzado, pero sigue siendo fragmentario y superficial, y los equipos de cumplimiento y legales generalmente no participan. Evolucionar de la fase latente a la fase inicial implica obtener el respaldo formal de la dirección para un presupuesto de migración, realizar una evaluación real del riesgo post-cuántico en sistemas de alto riesgo, involucrar a los departamentos legal y de cumplimiento desde el principio, evaluar la postura de PQC de los proveedores y comenzar el descubrimiento criptográfico completo con escaneos y auditorías automatizadas en lugar de verificaciones manuales puntuales.

Nivel 2: El curso de iniciación PQC (Riesgo: 70%)

Reconocimiento formal de la amenaza: se está llevando a cabo un inventario criptográfico exhaustivo, las evaluaciones de riesgo cuántico han identificado los sistemas más vulnerables y se están realizando evaluaciones iniciales de enfoques híbridos y conversaciones con proveedores sobre hojas de ruta seguras para la computación cuántica. La preparación cuántica se reconoce como un asunto que afecta a toda la empresa, la regulación, la privacidad y la confianza, y no solo a los equipos de seguridad. Evolucionar a la fase piloto implica aprobar formalmente un plan de transición PQC por fases con roles e indicadores clave de rendimiento (KPI) claros, ejecutar una primera implementación real de PQC en un sistema realmente crítico, capacitar a desarrolladores y equipos de operaciones de forma transversal e incorporar el diseño seguro para la computación cuántica en las prácticas estándar de CI/CD.

Nivel 3: El programa piloto PQC (Riesgo: 40%)

Las organizaciones pasan de la estrategia a las pruebas prácticas: proyectos piloto que utilizan algoritmos aprobados por el NIST, a menudo esquemas híbridos como ML-KEM combinados con ECC clásico en los protocolos de enlace TLS, se ejecutan en entornos de no producción o de producción cuidadosamente definidos para evaluar la latencia, la integración heredada y la compatibilidad de la pila HSM y TLS. Empresas que ya han adoptado estas tecnologías, como HSBC y Banco Sabadell, están llevando a cabo este tipo de proyectos piloto, lo que demuestra que este nivel es alcanzable ahora y no solo teórico. Evolucionar hacia la resiliencia implica centralizar la rotación de claves y las transiciones de algoritmos a través de una plataforma de criptoagilidad empresarial, exigir capacidad de seguridad cuántica en cada solicitud de propuestas (RFP), revisar trimestralmente los indicadores clave de rendimiento (KPI) de PQC mediante un comité directivo especializado y diseñar cada nuevo sistema con PQC o criptografía híbrida aprobada por el NIST desde su concepción.

Nivel 4: PQC Resiliente (Riesgo: 10%)

El máximo nivel de madurez: la criptografía postcuántica está integrada en la infraestructura, las políticas y los flujos de trabajo. Todos los sistemas críticos utilizan criptografía postcuántica o cifrado híbrido; las actualizaciones de algoritmos y claves se realizan mediante pipelines de software sin interrumpir los servicios; los inventarios criptográficos en tiempo real y la rotación continua de claves son prácticas habituales; y los departamentos legal, de cumplimiento normativo y de liderazgo participan activamente en lugar de considerar la criptografía postcuántica como un proyecto finalizado. Esto representa una auténtica agilidad criptográfica: la organización puede integrar un cambio de algoritmo futuro como una actualización operativa, no como una reestructuración de varios años, al tiempo que continúa monitorizando los estándares emergentes del NIST, el ETSI y la NSA.

La ruta de la migración: ocho pasos desde principiante hasta resiliente

En los cinco niveles, la transición sigue ocho fases consistentes: establecer la gobernanza y la propiedad con el patrocinio ejecutivo y un comité directivo multifuncional; construir un sistema centralizado de descubrimiento e inventario de activos criptográficos, con una lista de materiales criptográficos; realizar una evaluación de riesgos y priorización para clasificar los activos por sensibilidad, exposición y vida útil en una matriz de riesgo cuántico; diseñar la estrategia de migración de PQC, eligiendo entre un despliegue híbrido y un cambio completo, incorporando la criptoagilidad; realizar pruebas piloto en entornos aislados antes del despliegue en producción; coordinar la cadena de suministro y la participación de los proveedores, incluida la revisión de CBOM y los SLA actualizados; implementar una arquitectura verdaderamente criptoágil que desacople las funciones criptográficas de la lógica empresarial; y, finalmente, capacitación y monitoreo, realizando un seguimiento continuo de las actualizaciones de estándares del NIST, IETF y los reguladores, en lugar de tratar la migración como un proyecto único.

Lo que realmente recomendamos

Evalúe su organización con honestidad en función de los seis dominios, no solo del que le genere mayor confianza, ya que la gobernanza, el descubrimiento, el análisis de riesgos, la gestión de proveedores, la capacitación y los proyectos piloto deben avanzar conjuntamente para que un nivel sea creíble. Considere las transiciones de Principiante a Latente y de Latente a Iniciador como las tareas prioritarias a corto plazo si aún no las ha completado, dado que el descubrimiento criptográfico es la base de todos los dominios posteriores. Utilice la actividad de proyectos piloto reales, como los que ya utilizan esquemas híbridos en sistemas cercanos a la producción, como evidencia de que el Nivel 3 es un objetivo realista a corto plazo, no uno lejano.

Cómo puede ayudar la consultoría de cifrado

Nuestros servicios de asesoramiento PQC proporcionan orientación estructurada en cada fase de este modelo de madurez, desde el descubrimiento criptográfico y las evaluaciones de riesgos hasta las implementaciones piloto híbridas, el diseño de plataformas de criptoagilidad y la planificación de migraciones a gran escala, ayudando a las organizaciones a avanzar de forma deliberada desde su situación actual hacia el Nivel 4.

CBOM Secure es lo que la mayoría de las organizaciones necesitan para avanzar más allá de los niveles Principiante y Latente, ya que produce el inventario criptográfico centralizado y actualizado continuamente del que dependen la gobernanza y el análisis de riesgos en cada nivel posterior.

Una perspectiva para la resiliencia, no solo un cuadro de mando.

Si bien el cronograma exacto para una computadora cuántica relevante para la criptografía sigue siendo incierto, el riesgo que representan los ataques de recolección de datos y descifrado posterior ya es real. Este modelo de cinco niveles es una herramienta estratégica para evaluar la resiliencia criptográfica, la exposición a amenazas y la adaptabilidad a largo plazo, no solo una lista de verificación técnica. Pasar de principiante a resiliente exige agilidad criptográfica, gobernanza interfuncional y una cultura donde la salud criptográfica se supervise y madure activamente, no un único proyecto de migración con una fecha de finalización definida.

Preguntas frecuentes

¿Cuáles son los cinco niveles del modelo de madurez PQC de Encryption Consulting?

Nivel 0, el Principiante de PQC (100% de riesgo); Nivel 1, el Latente de PQC (80% de riesgo); Nivel 2, el Iniciador de PQC (70% de riesgo); Nivel 3, el Piloto de PQC (40% de riesgo); y Nivel 4, el Resiliente de PQC (10% de riesgo), cada uno definido por criterios técnicos, de descubrimiento y de gobernanza específicos.

¿Qué porcentaje de organizaciones están realmente preparadas hoy para la migración post-cuántica?

Un informe de Capgemini de 2025 reveló que, si bien el 70 % de las organizaciones están explorando medidas de seguridad cuántica, solo el 15 % cumplen los requisitos para una gobernanza madura y una sólida ejecución técnica, lo que refleja la escasa cantidad de organizaciones que han superado los primeros niveles de madurez.

¿Qué dominios determinan el nivel de madurez de PQC de una organización?

Seis ámbitos: gobernanza y liderazgo, descubrimiento e inventario criptográfico, análisis del impacto del riesgo, gestión de proveedores y cadena de suministro, formación y concienciación, y proyectos piloto. Un nivel creíble requiere progreso en los seis ámbitos, no fortaleza en uno solo.

¿Existe alguna organización que esté llevando a cabo proyectos piloto de PQC en la actualidad?

Sí. Empresas que ya han adoptado estas tecnologías en la práctica, como HSBC y Banco Sabadell, ya están poniendo a prueba enfoques híbridos clásicos y de control de calidad predictivo (PQC), lo que demuestra que el Nivel 3 (el programa piloto de PQC) es un objetivo alcanzable a corto plazo, en lugar de una etapa teórica.

¿Qué distingue al Nivel 4 (Resiliente) de simplemente completar una migración de PQC?

El nivel 4 se define por la criptoagilidad continua, los inventarios criptográficos en tiempo real, la rotación constante de claves y la adaptación continua a los estándares en evolución, no por una migración puntual. Una organización en este nivel puede integrar un cambio de algoritmo futuro como una actualización operativa rutinaria, en lugar de un nuevo proyecto plurianual.