Hoe maak je een CBOM (cryptografische stuklijst)?

De meeste organisaties kunnen geen antwoord geven op een ogenschijnlijk eenvoudige vraag: Waar precies draait cryptografie in onze omgeving en welke algoritmen worden daarbij gebruikt?

Kort antwoord: Een Cryptographic Bill of Materials (CBOM) is een gestructureerde, machinaal leesbare inventaris van alle cryptografische assets, algoritmen, sleutels, certificaten en protocollen, en de onderlinge afhankelijkheden. Deze wordt doorgaans gebouwd als een CycloneDX-extensie op uw bestaande SBOM. Het is belangrijk omdat de definitieve post-kwantumstandaarden van NIST (FIPS 203, 204, 205), de gefaseerde deadlines van CNSA 2.0 tot 2035 en actieve 'harvest-now-decrypt-later'-aanvallen vereisen dat u precies weet waar kwantumkwetsbare cryptografie zich bevindt voordat u deze kunt migreren. De aanbevolen aanpak is om te beginnen met een diepte-eerst CBOM van uw systemen met het hoogste risico, waarbij u geautomatiseerde detectietools gebruikt in plaats van spreadsheets, omdat cryptografie te snel verandert om handmatige tracking accuraat te houden.

Key Takeaways

• Een CBOM legt vier categorieën van activa vast: algoritmen, sleutels, certificaten en protocollen, plus de afhankelijkheidsrelaties daartussen, doorgaans als een JSON-document in CycloneDX-formaat.
• NIST heeft ML-KEM (FIPS 203), ML-DSA (FIPS 204) en SLH-DSA (FIPS 205) in augustus 2024 afgerond; CNSA 2.0 vereist dat software en firmware vanaf 2025 de voorkeur geven aan post-kwantumalgoritmen en deze vanaf 2030 uitsluitend gebruiken.
• Bepaal de reikwijdte van uw eerste CBOM-iteratie weloverwogen: begin met de breedte voor rapportage aan het management, of begin met de diepte op uw systemen met het hoogste risico voor een uitvoerbaar migratieplan. Een dieptegerichte aanpak is meestal het beste uitgangspunt.
• Voor het opsporen van een beveiligingslek zijn meerdere complementaire technieken nodig, zoals broncode- en binaire analyse, netwerk- en protocolscans, het achterhalen van certificaten en sleutels, en firmware-inspectie, aangezien geen enkele methode op zichzelf volledig inzicht biedt.
• Een CBOM is een levend systeem, geen eenmalig rapport; het moet automatisch opnieuw worden gegenereerd via CI/CD en periodieke scans wanneer certificaten worden vernieuwd en bibliotheken worden bijgewerkt.

Die kloof was vroeger een hygiëneprobleem. Nu is het een strategisch risico. Met de komst van praktische post-kwantumstandaarden en een golf van overheidsdeadlines heeft de encryptie die uw gegevens, certificaten en softwareondertekeningsprocessen beschermt een beperkte houdbaarheid. Je kunt niet vervangen wat je niet kunt zien, en de wildgroei aan encryptie in een doorsnee bedrijf, verspreid over applicaties, bibliotheken, firmware, netwerkapparatuur en cloudservices, heeft zich de afgelopen twintig jaar stilletjes opgebouwd.

Een cryptografische stuklijst , ofwel CBOM, is dé manier om die wildgroei aan cryptovaluta eindelijk inzichtelijk te maken. Deze handleiding legt uit wat een CBOM is, waarom het plotseling een zaak op bestuursniveau is geworden en hoe je er daadwerkelijk een opstelt, van het definiëren van de scope tot het uitvoeren van detectietools en het actueel houden van de inventaris .

Wat een CBOM nu eigenlijk is

Een CBOM is een gestructureerde, machinaal leesbare inventaris van alle cryptografische elementen in uw omgeving en de relaties daartussen. Zie het als de cryptografische laag van uw softwareleveringsketen: waar een SBOM (Software Bill of Materials) aangeeft uit welke componenten en afhankelijkheden een applicatie bestaat, geeft een CBOM aan op welke cryptografische algoritmen, sleutels, certificaten en protocollen die componenten vertrouwen.

In de praktijk is het dominante formaat een uitbreiding van de CycloneDX- standaard. CycloneDX heeft een cryptografisch activamodel toegevoegd waarmee je vier brede categorieën cryptovaluta in één JSON-document kunt beschrijven:

• Algoritmen zoals RSA, AES, ECDSA, SHA-256 of TLS-coderingssuites, samen met hun parameters (sleutellengte, werkingsmodus, curve).
• Sleutels en aanverwante gegevens, waaronder publieke en private sleutels, hun grootte in bits, formaat zoals PEM, en of ze hardwarematig beveiligd zijn.
• Certificaten, hun uitgevers, geldigheidsperioden en de algoritmen waarmee ze worden ondertekend.
• Protocollen zoals TLS, SSH of IPsec, en de specifieke configuraties en cipher suites die uw systemen gebruiken.

Cruciaal is dat een CBOM ook afhankelijkheden vastlegt. Een TLS-sessie is afhankelijk van een cipher suite, die op zijn beurt afhankelijk is van een sleuteluitwisselingsalgoritme en een ondertekeningsalgoritme, die weer afhankelijk zijn van een specifieke bibliotheekimplementatie. Wanneer je die ketens kunt traceren, kun je vragen beantwoorden die anders bijna onmogelijk te beantwoorden zijn, zoals "welke productieservices zouden uitvallen als we RSA-2048 uitschakelen?".

Waarom CBOM's van een prettige bijkomstigheid naar een verplichting zijn verschoven

Jarenlang was het opstellen van een cryptografische inventaris iets waar organisaties zich mee bezig wilden houden. Drie factoren hebben die planning echter in de war gestuurd.

De post-kwantumstandaarden zijn echt en definitief. In augustus 2024 publiceerde NIST de eerste definitieve post-kwantumcryptografiestandaarden: FIPS 203, 204 en 205. FIPS 203 (ML-KEM, afgeleid van CRYSTALS-Kyber) behandelt kwantumresistente sleuteluitwisseling en is bedoeld om RSA en ECDH te vervangen. FIPS 204 (ML-DSA, van Dilithium) en FIPS 205 (SLH-DSA, van SPHINCS+) hebben betrekking op digitale handtekeningen en vervangen ECDSA en RSA-ondertekening. De acht jaar durende competitie is voorbij. De vraag voor bedrijven is niet langer óf ze moeten migreren, maar hoe snel en efficiënt.

De deadlines zijn bindend. De CNSA 2.0- suite van de NSA beschrijft een gefaseerde migratie die doorloopt tot begin jaren 2030. Van software en firmware wordt verwacht dat ze vanaf 2025 post-kwantumalgoritmen ondersteunen en zelfs prefereren, een van de eerste mijlpalen in de suite, met een exclusief gebruiksvereiste vanaf 2030. Netwerkapparatuur volgt dezelfde deadline van 2030 voor exclusief gebruik, terwijl besturingssystemen, maatwerkapplicaties en clouddiensten vanaf 2033 overgaan op exclusief gebruik. Daarnaast moet vanaf 1 januari 2027 elke nieuwe NSS-acquisitie standaard CNSA 2.0-algoritmen ondersteunen.

Tegen 2035 is volledige kwantumweerstand vereist voor alle Amerikaanse nationale veiligheidssystemen, conform het National Security Memorandum NSM-10. Zelfs organisaties buiten de federale toeleveringsketen erven deze tijdlijnen vaak via leveranciers, toezichthouders en klanten.

"Nu oogsten, later decoderen" maakt de klok met terugwerkende kracht werkend. Tegenstanders onderscheppen nu al versleuteld verkeer en opgeslagen data, in de hoop dat ze die kunnen decoderen zodra er een cryptografisch geschikte kwantumcomputer bestaat. Alle data met een vertrouwelijkheidsduur tot in de jaren 2030 – medische dossiers, financiële gegevens, staatsgeheimen, langdurig beschermd intellectueel eigendom – is in feite nu al kwetsbaar als deze via kwantumkwetsbare encryptie wordt verzonden. Dat maakt migratie tot iets met urgentie in het heden, in plaats van een project voor de verre toekomst.

Een CBOM vormt de basis voor het reageren op alle drie. Het is de eerste concrete stap in het meten van de schaal en reikwijdte van een post-quantummigratie, en het fungeert tevens als een vroegtijdig waarschuwingssysteem voor elke toekomstige cryptografische inbreuk, de volgende Heartbleed, de volgende verouderde hash, de volgende gecompromitteerde certificeringsinstantie.

Voordat je begint: zorg dat je de juiste afmetingen hebt.

Een van de meest voorkomende redenen waarom CBOM-initiatieven aan momentum verliezen, is dat er te veel te vroeg wordt geprobeerd te behandelen. De verkenningsfase is doorgaans het meest arbeidsintensieve onderdeel van het werk, dus beslissingen die je neemt over de scope bepalen of je binnen enkele weken iets bruikbaars oplevert of dat het een jaar lang onvindbaar blijft.

Begin met te bepalen wat "klaar" betekent voor je eerste versie. Twee redelijke benaderingen zijn mogelijk:

• De breedtegerichte aanpak streeft naar een oppervlakkige inventarisatie van het gehele vastgoed, elk systeem, maar alleen de geheimschrift Dat is gemakkelijk te detecteren. Dit is handig voor rapportages aan het management en om de omvang van het probleem in kaart te brengen.
• De diepte-eerst-benadering selecteert de systemen die er het meest toe doen: alles wat lang levende gevoelige gegevens verwerkt, alles wat onder de CNSA 2.0-regelgeving valt, uw codeondertekeningssoftware en PKI Infrastructuur, uw meest bedrijfskritische applicaties, en een grondige inventarisatie hiervan, inclusief de complexe ingebouwde en firmware-cryptografie. Dit is doorgaans een beter uitgangspunt, omdat het een bruikbaar migratieplan oplevert in plaats van een berg aan gegevens.

Welke optie je ook kiest, schrijf het op en zoek sponsoring ervoor. Een CBOM is een multidisciplinair project waarbij applicatieteams, infrastructuur, beveiliging en vaak ook de inkoopafdeling betrokken zijn. Beschouw de projectomschrijving als het contract dat iedereen op één lijn houdt.

Stapsgewijze handleiding voor het maken van een CBOM

Stap 1: Inventariseer wat je al weet

U beschikt waarschijnlijk al over een sterke basis in uw bestaande bedrijfssystemen. Databases voor IT-assetbeheer, configuratiebeheerdatabases (CMDB's), certificaatbeheerplatformen en met name alle SBOM's die u al genereert, zijn allemaal bronnen van cryptografische informatie. Een CBOM is specifiek ontworpen om voort te bouwen op een SBOM; de SBOM vertelt u welke bibliotheken aanwezig zijn, en de CBOM voegt daaraan toe wat die bibliotheken daadwerkelijk cryptografisch doen. Breng deze inventarissen samen voordat u iets scant. Dit bespaart tijd en voorkomt blinde vlekken.

Stap 2: Ontdek cryptografische activa in de omgeving

Deze stap vormt de kern van het creëren van een CBOM. Het doel is om elke situatie te identificeren waarin cryptografie wordt geïmplementeerd, geconfigureerd of impliciet wordt gebruikt. Omdat geen enkele techniek volledig inzicht biedt, vereist de ontdekking doorgaans meerdere complementaire benaderingen:

• Analyse van de broncode en binaire gegevens brengt cryptografie aan het licht die in applicaties is ingebouwd, API-aanroepen naar cryptografische bibliotheken, hardgecodeerde algoritmekeuzes en sleutelgeneratieroutines. Statische analyse blijft de meest betrouwbare methode om cryptografie te ontdekken in systemen die u direct beheert.
• Netwerk- en protocolscanning observeert wat er daadwerkelijk tijdens de overdracht wordt onderhandeld, zoals TLS-versies, cipher suites, SSH-configuraties en VPN-tunnels. Dit legt de kloof bloot tussen wat een configuratiebestand beweert en wat een service daadwerkelijk doet.
• Certificaat- en sleuteldetectie richt zich op uw PKI, TLS-eindpunten, sleutelarchieven en HSM's om certificaten, hun ondertekeningsalgoritmen, sleutelgroottes en vervaldatums in kaart te brengen.
• Configuratie- en firmware-inspectie richt zich op de cryptografie die is ingebed in netwerkapparaten, IoT- en OT-apparaten en platforminstellingen. Dit zijn vaak de moeilijkst bereikbare onderdelen en de onderdelen die jarenlang het meest kwetsbaar zijn voor kwantumaanvallen.

De output van elke techniek moet worden genormaliseerd naar hetzelfde CBOM-schema, zodat je uiteindelijk één inventaris hebt in plaats van vijf afzonderlijke rapporten.

Stap 3: Gebruik geautomatiseerde tools in plaats van spreadsheets.

Handmatige analyse is niet schaalbaar en een handmatig bijgehouden CBOM raakt verouderd zodra het bestand wordt opgeslagen. Verschillende open source en commerciële tools genereren direct CBOM-uitvoer in CycloneDX-formaat.

Een representatieve open-source workflow maakt gebruik van CodeQL-gebaseerde scanners of tools om een ​​codebase te analyseren en een cbom.json-bestand te genereren. Het algemene patroon ziet er als volgt uit:

• Installeer de CodeQL CLI en kloon de CodeQL-queryrepository.
• Installeer de CBOM-generatietool (bijvoorbeeld via pip).
• Maak een CodeQL-database aan voor het betreffende project.
• Voer de tool uit op die database; er wordt een cbom.json-bestand in de projectmap gegenereerd dat de gevonden cryptografische gegevens beschrijft.

Vervolgens voeg je de projectspecifieke outputs samen, verrijkt je ze met de netwerk- en certificaatdetectie uit stap 2 en consolideer je alles in één CBOM voor de gehele organisatie. De exacte commando's zijn minder belangrijk dan het principe: de detectie moet herhaalbaar en geautomatiseerd zijn, zodat deze in CI/CD en volgens een schema kan worden uitgevoerd.

Dit is ook het punt waarop een speciaal ontwikkeld platform een ​​samengestelde toolchain overtreft. De open-source scanners zijn erg goed in het vinden van cryptografie in code die je zelf beheert, maar elk scant slechts een deel van de code, en iemand moet de resultaten nog steeds samenvoegen, duplicaten verwijderen en actueel houden naarmate systemen veranderen.

CBOM Secure van Encryption Consulting is ontwikkeld om precies die kloof te dichten: het detecteert, inventariseert en bewaakt automatisch elke sleutel, elk certificaat, elk algoritme en elke cryptografische bibliotheek in de broncode van applicaties, de cloud en de on-premises infrastructuur, vanuit één enkele implementatie.

Wat deze methode zo geschikt maakt voor dit werk, is dat ze elke bevinding niet als een op zichzelf staand item behandelt; ze modelleert cryptografische activa als een relatiegrafiek, waarbij certificaten worden gekoppeld aan hun privésleutels en wordt nagegaan hoe geheimen door verschillende services worden gebruikt. Dat is precies het afhankelijkheidsperspectief dat stappen 2 en 4 anders handmatig proberen te reconstrueren.

In de praktijk betekent dit dat de hierboven beschreven ontdekkingstechnieken al geïntegreerd zijn, in plaats van achteraf te worden samengesteld. Een Source Code Visualizer brengt het gebruik van cryptografische API's en bibliotheekafhankelijkheden in de codebase in kaart, waardoor verouderde algoritmen, hardgecodeerde geheimen en ingebedde referenties aan het licht komen voordat de code wordt uitgebracht. Cloud discovery breidt de dekking uit naar AWS, Azure en GCP, evenals HashiCorp Vault, HSM's en on-premises infrastructuur, en voert de resultaten direct in een uniforme inventaris.

Elk bedrijfsmiddel wordt vervolgens beoordeeld op nalevingsrisico en blootstelling na de kwantumfase, wat de werkzaamheden van stap 5 vereist. Voor de meeste organisaties is het opzetten hiervan sneller, vollediger en veel duurzamer dan het bijhouden van hetzelfde met individuele scanners en spreadsheets. Daarom is een continu platform, in plaats van een eenmalige scan, de aanpak die het nastreven waard is.

Stap 4: Bouw een CBOM die daadwerkelijk nuttig is.

Een CBOM is slechts zo waardevol als de metadata die erin wordt vastgelegd. Probeer voor elk object minimaal het volgende vast te leggen:

• Het algoritme en de bijbehorende parameters, niet alleen "RSA", maar ook "RSA-2048" of "ECDSA P-256".
• Voor sleutels: grootte in bits, formaat en of de sleutel hardwarematig beveiligd is.
• Voor certificaten: uitgever, geldigheidsperiode en ondertekeningsalgoritme.
• Voor protocollen: ondersteunde versies en de specifieke gebruikte cipher suites.
• Het locatie- en eigendomssysteem zorgt ervoor dat de inventaris gekoppeld is aan iets waar een mens actie op kan ondernemen.
• Bekende kwetsbaarheden of de status van verouderde cryptografie, die zwakke cryptografie koppelt aan de activa die er gebruik van maken.

De afhankelijkheidsrelaties zijn net zo belangrijk als de assets zelf. Een CBOM wordt aanzienlijk krachtiger wanneer deze kan aangeven dat een service afhankelijk is van een protocol, dat afhankelijk is van een cipher suite, die op zijn beurt afhankelijk is van een specifiek cryptografisch algoritme. Deze mapping van relaties maakt een zinvolle impactanalyse mogelijk.

Stap 5: Risico's inschatten en prioriteiten stellen

Zodra de CBOM is gevuld, moet deze worden geanalyseerd vanuit een risicoperspectief dat rekening houdt met cryptografische en kwantumgeschiktheidsaspecten. De eerste stap is het identificeren van kwantumkwetsbare algoritmen, waaronder RSA, elliptische-curve-cryptografie (ECDH, ECDSA), Diffie-Hellman-sleuteluitwisseling en, waar van toepassing, verouderde of zwakke symmetrische constructies.

Prioritering mag niet puur cryptografisch zijn. In plaats daarvan moet het een combinatie van meerdere factoren omvatten:

• Gevoeligheid en verwachte vertrouwelijkheidsduur van beschermde gegevens
• Blootstelling aan regelgeving en compliance (bijv. CNSA 2.0-afstemmingsvereisten)
• Externe blootstelling van het systeem of de dienst
• Complexiteit en operationele kosten van migratie
• Diepte van de onderlinge afhankelijkheden tussen systemen en services

Dit is waar een CBOM operationeel waardevol wordt: het transformeert een brede opdracht zoals "wees voorbereid op kwantumcomputing" in een gestructureerde, geprioriteerde lijst met hersteltaken, voorzien van een duidelijke technische onderbouwing.

Stap 6: Beschouw de CBOM als een levend systeem, niet als een statisch rapport.

Cryptografie verandert voortdurend, er komen nieuwe diensten op de markt, certificaten worden vernieuwd en bibliotheken worden bijgewerkt. Een CBOM die eenmaal is gegenereerd en vervolgens is opgeslagen, is erger dan nutteloos omdat het een vals gevoel van zekerheid schept. Integreer het genereren van CBOM's in uw build-pipelines en voer periodieke scans uit voor uw gehele omgeving, zodat de inventaris de realiteit weerspiegelt. Koppel het aan wijzigingsbeheer, zodat nieuwe cryptografische assets worden vastgelegd zodra ze worden geïntroduceerd.

Het doel is om een ​​continu bijgewerkte bron van waarheid te handhaven die de huidige cryptografische status van de onderneming weerspiegelt. Dit stelt organisaties in staat snel te reageren wanneer algoritmen verouderd raken, kwetsbaarheden aan het licht komen of migratiedeadlines vervroegd worden.

Veelvoorkomende valkuilen die u moet vermijden

Verschillende uitdagingen ondermijnen steevast de initiatieven van CBOM:

• Teams richten zich te veel op het scannen van codes alleen en missen daardoor de cryptografie die verborgen zit in netwerkconfiguraties, apparaten en diensten van derden. Ontdekking moet op meerdere niveaus plaatsvinden.
• Organisaties beschouwen de CBOM vaak als een taak die alleen door het beveiligingsteam wordt uitgevoerd, terwijl de applicatiebeheerders en infrastructuurtechnici er juist mee aan de slag moeten. Stel de inventaris samen met de verantwoordelijken voor de herstelwerkzaamheden.
• Sommigen streven naar volledigheid in plaats van bruikbaarheid en besteden maanden aan het catalogiseren van alles. SHA-256 checksum, terwijl de daadwerkelijk gevaarlijke RSA-sleuteluitwisselingen onopgelost blijven. Geef prioriteit aan risico's, niet aan wat gemakkelijk te tellen is.
• Het inventariseren van cryptografische activa wordt als een eenmalige oefening beschouwd. Cryptografische activa evolueren continu, omdat applicaties veranderen, certificaten worden vernieuwd en de infrastructuur wordt bijgewerkt. Zonder geautomatiseerde detectie en regelmatige updates verliest een CBOM snel aan nauwkeurigheid en waarde.

CBOM en crypto-flexibiliteit: het grotere plaatje

Een CBOM is niet het einddoel; het maakt crypto-agility mogelijk , de organisatorische capaciteit om cryptografische algoritmen snel en veilig te wijzigen zonder de hele architectuur eromheen opnieuw te hoeven ontwerpen. De reden waarom kwantummigratie zo ontmoedigend aanvoelt, is dat de meeste systemen zijn gebouwd met cryptografie die diep in hun aannames is vastgelegd.

Inzicht vanuit een CBOM is de voorwaarde om dat op te lossen: zodra je weet waar elk algoritme zich bevindt en wat ervan afhangt, kun je cryptografie achter interfaces abstraheren, hybride schema's toepassen die klassieke en post-kwantumalgoritmen combineren tijdens de transitie, en de onderliggende cryptografische bouwstenen vervangen naarmate standaarden evolueren.

Met andere woorden, de CBOM die u bouwt voor de kwantummigratie is hetzelfde bezit dat u beschermt tegen de volgende cryptografische verrassing, wat die ook moge zijn. Dat maakt het een duurzame investering in plaats van een loutere verplichting.

Hoe encryptieconsultancy kan helpen

Het bouwen van een CBOM is haalbaar, maar het goed uitvoeren ervan in een grote, heterogene omgeving, en het vervolgens omzetten naar een succesvolle post-quantummigratie, is waar de meeste organisaties een partner voor zoeken. Encryption Consulting biedt een end-to-end post-quantumcryptografieprogramma dat precies is ontworpen voor dit traject, van CBOM via beoordeling tot implementatie.

CBOM en cryptografische ontdekking. Encryption Consulting helpt organisaties bij het ontdekken en inventariseren van alle cryptografische assets binnen de gehele organisatie – certificaten, algoritmen, protocollen en sleutels – en deze samen te voegen tot een CBOM die compliance, risicobeheer en een soepele overgang naar post-kwantumcryptografie ondersteunt . De ontdekking combineert code-, netwerk-, certificaat- en configuratieanalyse, zodat de inventaris weergeeft wat er daadwerkelijk draait, en niet alleen wat er in de documentatie staat.

PQC-beoordeling . Met de inventarisatie in handen evalueert het team uw huidige cryptografische omgeving, scant op kwantumkwetsbare activa en stelt risicobeoordelingen op die de blootstelling rangschikken op basis van gegevensgevoeligheid, regelgevingsdruk en migratiecomplexiteit. Dit is de brug tussen "we hebben een lijst" en "we hebben een plan".

Strategie en routekaart. Encryption Consulting levert een gestructureerde routekaart in meerdere fasen, waarbij elke fase operationeel is gedefinieerd en is afgestemd op de regelgeving. Zo vertaalt een PQC-strategie zich in concrete uitvoering in plaats van een presentatie met aanbevelingen. Dit omvat tactische en strategische mitigatiemaatregelen, zoals hybride cryptografie, afgestemd op uw tijdlijn, budget en beschikbare middelen, en in overeenstemming met mandaten zoals CNSA 2.0 en de relevante federale richtlijnen.

Implementatie en doorlopend beheer. Tot slot ondersteunt het team de daadwerkelijke migratie , herontwerpt het de architectuur richting crypto-flexibiliteit, implementeert het post-quantum- en hybride algoritmen, moderniseert het PKI- en code-signing-pipelines en zet het de processen op die ervoor zorgen dat de CBOM actueel blijft naarmate uw omgeving evolueert. Omdat de samenwerking de volledige levenscyclus omvat, hoeft u een strategie niet alleen te implementeren.

Als uw organisatie de deadlines van 2027-2035 nadert en zich afvraagt ​​waar te beginnen, is het eerlijke antwoord: begin met inzicht. Een CBOM (Common Business Operations Model) is de eerste en belangrijkste stap, en vormt de natuurlijke opstap naar alles wat volgt.

Conclusie

Een CBOM is geen afvinklijstje voor naleving of een eenmalige audituitkomst. Het is de operationele basis die post-quantummigratie, reactie op verouderde algoritmen en voortdurende crypto-flexibiliteit überhaupt mogelijk maakt. De krachten die dit van optioneel naar verplicht hebben gebracht – de definitieve NIST-standaarden, de gefaseerde deadlines van CNSA 2.0 en actieve 'harvest-now-decrypt-later'-aanvallen – zullen niet verdwijnen, en evenmin de onderliggende vraag die ze oproepen: weet je eigenlijk wel waar je cryptografie zich bevindt?

Organisaties die hun CBOM (Content-Based Operations Management) beschouwen als een levend systeem, dat continu wordt ontdekt, regelmatig wordt bijgewerkt en gekoppeld is aan een echt prioriteringsproces, zijn de organisaties die migratiedeadlines halen met een plan in plaats van in paniek. De omvang van die eerste CBOM kan bescheiden zijn. De beslissing om te beginnen kan niet langer worden uitgesteld.

Bronnen en verder lezen

• NIST-gestandaardiseerde PQC-algoritmen
• Quantum-proof met CNSA 2.0
• Uw CBOM bouwen voor sterkere digitale beveiliging
• Cryptografische ontdekking en inventarisatie (CBOM Secure)
• Post-Quantum Cryptografische Adviesdiensten

Veelgestelde Vragen / FAQ

Wat is het verschil tussen een CBOM en een SBOM?

Een SBOM inventariseert de softwarecomponenten en afhankelijkheden in een applicatie. Een CBOM inventariseert de cryptografische elementen, algoritmen, sleutels, certificaten en protocollen, en hun onderlinge relaties. Een CBOM wordt doorgaans gebouwd als een uitbreiding van een SBOM met behulp van de CycloneDX-standaard.

Heb ik een CBOM nodig als ik geen overheidsaannemer ben?

Zeer waarschijnlijk wel. Zelfs buiten federale voorschriften om, werken de eisen na de kwantumcrash door naar leveranciers, auditors, cyberverzekeraars en klanten. En aanvallen waarbij gegevens nu worden verzameld en later worden gedecodeerd, brengen tegenwoordig alle gevoelige gegevens met een lange levensduur in gevaar, ongeacht de sector.

Hoe lang duurt het om een ​​CBOM te bouwen?

Een gedetailleerde, op de diepte gerichte inventarisatie van uw meest kritieke systemen kan weken duren. Een volledige inventarisatie van de gehele onderneming is een veel omvangrijker project, daarom is het raadzaam om eerst prioriteit te geven aan systemen met een hoog risico.

Welke cryptografische algoritmen zijn kwetsbaar voor kwantumaanvallen?

Algoritmen die gebruikmaken van publieke sleutels lopen het meeste risico: RSA, Diffie-Hellman en elliptische-curve-schema's (ECDH, ECDSA). Symmetrische algoritmen zoals AES zijn robuuster, maar profiteren van grotere sleutelgroottes. De door NIST voorgestelde vervangers zijn ML-KEM (FIPS 203) , ML-DSA (FIPS 204) en SLH-DSA (FIPS 205).

Is een CBOM een eenmalig project?

Nee. Cryptografie verandert voortdurend, dus een CBOM moet automatisch opnieuw gegenereerd worden via CI/CD en periodieke scans om accuraat te blijven. Een verouderde CBOM wekt een vals gevoel van zekerheid.