Q-Day Countdown: Trends in de adoptie van PQC 

Kort antwoord: Q-Day is het moment waarop een cryptografisch relevante kwantumcomputer veelgebruikte publieke-sleutelalgoritmen zoals RSA en ECC kan kraken. Hoewel die dag nog niet is aangebroken, laten gegevens over de implementatie van PQC zien dat organisaties de fase van bewustwording voorbij zijn en zich praktisch voorbereiden. De voortgang verschilt echter aanzienlijk per sector en cryptografische volwassenheid. Dit is belangrijk omdat de dreiging van 'nu oogsten, later decoderen' betekent dat langlevende data zoals financiële gegevens, medische gegevens en overheidscommunicatie mogelijk al blootgesteld zijn. Het grootste obstakel voor organisaties is niet de selectie van algoritmen, maar een fundamenteel gebrek aan inzicht in waar hun cryptografie zich daadwerkelijk bevindt. De aanbevolen actie is om nu een continu bijgewerkte Cryptographic Bill of Materials (CBOM) op te stellen, aangezien organisaties kwetsbare algoritmen die ze niet kunnen lokaliseren niet kunnen vervangen. Dit onderzoek is wat de early adopters die daadwerkelijk vooruitgang boeken onderscheidt van organisaties die nog in de beoordelingsfase vastzitten.

Key Takeaways

• De adoptie van PQC verschilt aanzienlijk per sector: financiële instellingen, overheid en defensie boeken de snelste vooruitgang vanwege regelgevingsdruk en nationale veiligheidszorgen, terwijl de productie-, detailhandel- en kleinere zorgorganisaties achterblijven vanwege beperkte cryptografische zichtbaarheid en concurrerende prioriteiten.
• Cryptografische transparantie, en niet de keuze van algoritmen, is het grootste obstakel: de meeste bedrijven kunnen niet met zekerheid zeggen waar cryptografie wordt gebruikt, welke algoritmen kritieke systemen beschermen of welke activa door een migratie worden beïnvloed.
• Een cryptografie-stuklijst (CBOM) verschilt van een software-stuklijst (SBOM) doordat deze zich specifiek richt op cryptografische algoritmen, sleutels en certificaten in plaats van op algemene softwareafhankelijkheden.
• Cloudworkloads, servers, netwerkapparatuur en endpoints zijn de meest actieve toepassingsgebieden voor PQC-testen, terwijl IoT- en embedded systemen achterblijven vanwege beperkte rekenkracht en onregelmatige firmware-updates.
• Organisaties die de meeste vooruitgang boeken, volgen een gemeenschappelijk patroon: eerst een cryptografische inventaris opstellen, crypto-flexibiliteitsbeoordelingen uitvoeren, hybride certificaten testen en gefaseerde migratieplannen opstellen in plaats van te proberen een grootschalige vervanging in één keer door te voeren.

Wat Q-Day betekent en waarom het belangrijk is

Kwantumcomputing wordt al lange tijd gezien als een toekomstige technologie die in staat is problemen op te lossen die de huidige computers niet aankunnen. Hoewel praktische, grootschalige kwantumcomputers nog in ontwikkeling zijn, vormt hun komst een bedreiging voor de moderne cryptografie. Q-Day verwijst naar het moment waarop een dergelijke computer veelgebruikte publieke-sleutelcryptografiealgoritmen zoals RSA en ECC kan kraken.

Q-Day is belangrijk omdat de huidige digitale infrastructuur afhankelijk is van deze algoritmen om gegevens te beveiligen, gebruikers te authenticeren en software te valideren. Financiële transacties, overheidssystemen, de cloud en bedrijfsapplicaties zijn allemaal afhankelijk van cryptografie die kwetsbaar kan worden voor kwantumaanvallen.

Het risico is direct voelbaar. Beveiligingsteams richten zich op de dreiging van " nu verzamelen, later decoderen ", waarbij aanvallers nu versleutelde gegevens verzamelen om deze te decoderen zodra kwantumcomputers beschikbaar zijn. Gegevens met een lange levensduur, zoals intellectueel eigendom, financiële en medische dossiers en overheidscommunicatie, lopen mogelijk nu al gevaar. Organisaties kunnen het zich niet veroorloven te wachten tot kwantumcomputers er zijn om zich voor te bereiden op Q-Day.

Deze urgentie heeft de interesse in post-kwantumcryptografie (PQC) aangewakkerd , nieuwe algoritmen die ontworpen zijn om zowel klassieke als kwantumaanvallen te weerstaan. Overheden, normalisatie-instanties en leveranciers geven richting aan de ontwikkeling van kwantumveilige oplossingen en sporen organisaties aan om hun cryptografische risico's te beoordelen.

De discussie rondom PQC is de afgelopen jaren echter aanzienlijk veranderd. Veel organisaties zijn verder gegaan dan alleen het begrijpen van de kwantumdreiging en richten zich nu op praktische voorbereiding. De vraag is niet langer of kwantumveilige cryptografie nodig zal zijn, maar hoe snel organisaties kunnen vaststellen wat vervangen moet worden en een realistisch migratieplan kunnen opstellen.

Als gevolg hiervan verschuift de aandacht naar cryptografische detectie , inventarisbeheer en herstelmaatregelen. Beveiligingsteams werken eraan om te achterhalen waar cryptografische activa zich bevinden, welke algoritmen in gebruik zijn en welke systemen updates nodig hebben tijdens een toekomstige migratie. Organisaties die dit inzicht nu al kunnen creëren, zullen beter in staat zijn om de overgang naar kwantumveilige cryptografie te beheren wanneer het zover is.

De aftelling naar Q-Day is misschien nog niet voorbij, maar de voorbereidingen zijn al begonnen. Nieuwe gegevens over de implementatie van kwantumtechnologie suggereren dat organisaties in alle sectoren concrete stappen zetten richting kwantumparaatheid, hoewel de voortgang sterk varieert per sector, complexiteit van de infrastructuur en cryptografische volwassenheid. 

Nieuwe gegevens onthullen de stand van zaken met betrekking tot de implementatie van PQC.

Recente brancherapporten en enquêtes tonen aan dat organisaties post-kwantumcryptografie niet langer als een ver-van-mijn-bed-show beschouwen. Hoewel een volledige migratie een langdurig proces blijft, zijn veel bedrijven al begonnen met het beoordelen van hun cryptografische omgevingen, het testen van kwantumresistente algoritmen en het ontwikkelen van migratiestrategieën.

De implementatie verloopt niet in alle sectoren in hetzelfde tempo. Financiële instellingen behoren tot de meest actieve vanwege de gevoelige aard van klant- en transactiegegevens en de strenge regelgeving. Overheids- en defensieorganisaties bewegen zich ook snel voort, gedreven door nationale veiligheidszorgen en de langetermijnvereisten voor gegevensbescherming. De technologiesector is eveneens een vroege gebruiker, waarbij cloudproviders, softwareleveranciers en infrastructuurbedrijven actief experimenteren met kwantumveilige oplossingen en hybride cryptografische modellen.

Aan de andere kant hebben sectoren zoals de productie, de detailhandel en kleinere zorginstellingen over het algemeen een langzamere vooruitgang geboekt. In veel gevallen hebben beperkt inzicht in cryptografische activa, budgetbeperkingen en concurrerende beveiligingsprioriteiten de PQC-planning vertraagd. Voor organisaties met grote, verouderde omgevingen blijft het een aanzienlijke uitdaging om te begrijpen waar cryptografie wordt gebruikt.

Naast de toepassing in specifieke sectoren neemt de testactiviteit toe in verschillende apparaatcategorieën. Servers blijven een belangrijk aandachtspunt, omdat ze kritieke applicaties, databases en certificeringsdiensten hosten. Ook eindpunten, waaronder werkstations van medewerkers en mobiele apparaten, krijgen aandacht nu organisaties de impact van kwantumveilige algoritmen op prestaties en compatibiliteit evalueren.

Netwerkapparatuur zoals firewalls, VPN-gateways en loadbalancers vormen een ander belangrijk testgebied, aangezien ze een centrale rol spelen in veilige communicatie. IoT- en embedded systemen brengen daarentegen unieke uitdagingen met zich mee vanwege hun beperkte rekenkracht, lange implementatiecycli en onregelmatige firmware-updates. 

Cloudworkloads zijn uitgegroeid tot een van de snelstgroeiende gebieden voor PQC-experimenten. Organisaties evalueren steeds vaker kwantumveilige encryptie binnen cloud-native applicaties, beheerde services en hybride omgevingen. Naarmate de cloudadoptie blijft groeien, beschouwen veel beveiligingsteams de cloud als een praktisch startpunt voor het testen en valideren van toekomstige cryptografische migratiestrategieën. 

Het algemene beeld is duidelijk: bewustwording heeft zich vertaald in actie. Hoewel organisaties zich in verschillende stadia van hun kwantumgereedheidstraject bevinden, wijzen de adoptietrends erop dat de voorbereiding op Q-Day al in volle gang is. 

Grootste obstakel: Cryptografische zichtbaarheid

Hoewel de belangstelling voor post-kwantumcryptografie blijft groeien, stuiten veel organisaties op een fundamenteel probleem nog voordat ze een migratie kunnen plannen: ze hebben geen duidelijk inzicht in hun huidige cryptografische omgeving.

De meeste bedrijven kunnen geen eenduidig ​​antwoord geven op basisvragen zoals waar cryptografie wordt gebruikt, welke algoritmen kritieke systemen beschermen of welke activa worden beïnvloed wanneer kwantumresistente alternatieven moeten worden ingezet. In de loop der jaren is cryptografie diep verankerd geraakt in applicaties, databases, API's , cloudservices, netwerkinfrastructuur, broncode, containers en verbonden apparaten. Naarmate omgevingen zich uitbreiden, wordt het steeds moeilijker om deze cryptografische afhankelijkheden te traceren.

De uitdaging gaat verder dan alleen algoritmes. Organisaties hebben vaak moeite om alle certificaten, sleutels, cryptografische bibliotheken en beveiligingsprotocollen te identificeren die binnen hun infrastructuur actief zijn. In veel gevallen zijn deze assets verspreid over meerdere teams, businessunits, cloudproviders en applicaties van derden. Sommige worden actief beheerd, terwijl andere in de loop der tijd in de vergetelheid zijn geraakt, maar nog steeds een cruciale rol spelen in de bedrijfsvoering.

Dit gebrek aan inzicht vormt een groot obstakel voor de planning van PQC-migraties. Een organisatie kan kwetsbare cryptografische algoritmen niet vervangen als ze niet weet waar ze zich bevinden. Evenzo is het moeilijk om migratietijdlijnen in te schatten, herstelmaatregelen te prioriteren of operationele risico's te beoordelen zonder een volledig beeld van het cryptografische gebruik. Als gevolg hiervan lopen veel post-quantum-initiatieven vast in de beoordelingsfase in plaats van in de implementatiefase. 

Om deze uitdaging aan te gaan, richten organisaties zich steeds meer op het opbouwen van een cryptografische inventaris. Een cryptografische inventaris biedt duidelijke voordelen, zoals het geven van een compleet overzicht van cryptografische activa aan beveiligingsteams, het identificeren van kwetsbaarheden en het prioriteren van herstelmaatregelen. Het helpt beveiligingsteams te begrijpen wat beschermd moet worden, wat kwetsbaar kan zijn voor toekomstige kwantumaanvallen en wat prioriteit moet krijgen bij het oplossen van problemen.

Cryptografische transparantie is in veel opzichten de basis geworden voor kwantumparaatheid. Voordat organisaties kunnen overstappen op kwantumveilige cryptografie, moeten ze eerst de cryptografie die ze al gebruiken begrijpen.

Waarom CBOM onmisbaar wordt 

Naarmate organisaties zich voorbereiden op post-kwantumcryptografie, wordt één ding steeds duidelijker: een succesvolle migratie begint met inzicht. Het gebruik van een Crypto Bill of Materials (CBOM) is nuttig voor beveiligingsteams, omdat ze hiermee alle cryptografische assets duidelijk in kaart kunnen brengen en gerichtere upgrades kunnen plannen. Voordat beveiligingsteams kwetsbare algoritmen kunnen vervangen of kwantumveilige alternatieven kunnen implementeren, moeten ze precies weten waar cryptografie in hun omgeving aanwezig is. Dit is waar een Crypto Bill of Materials (CBOM) een belangrijke rol speelt.

Een CBOM is een inventarislijst van de cryptografische sleutels, certificaten , algoritmen, bibliotheken en beveiligingscomponenten van een organisatie, verspreid over al haar systemen.

Organisaties gebruiken een Software Bill of Materials (SBOM) om software en afhankelijkheden van derden in applicaties in kaart te brengen. Hoewel een SBOM nuttig is voor inzicht in de software, geeft deze niet aan welke cryptografische algoritmen worden gebruikt of waar cryptografische sleutels en certificaten worden ingezet. Een CBOM lost dit probleem op door zich te richten op cryptografiespecifieke details. 

Deze transparantie is met name belangrijk bij het plannen van een transitie na het kwantumtijdperk. Cryptografische omgevingen zijn zelden statisch. Er worden regelmatig nieuwe certificaten uitgegeven, applicaties bijgewerkt, cloudresources gecreëerd en cryptografische bibliotheken vervangen. Een eenmalige beoordeling kan een nuttige momentopname opleveren, maar deze kan snel verouderd raken. Organisaties hebben continue cryptografische monitoring nodig om een ​​nauwkeurig inzicht te behouden in hun risico's en ervoor te zorgen dat migratieplannen aansluiten op de huidige infrastructuur.

Een goed geïmplementeerd CBOM (Cryptographic Asset Management) helpt organisaties bij het identificeren van cryptografische assets in een breed scala aan omgevingen. Dit omvat certificaten en sleutels die zijn opgeslagen op servers, endpoints en netwerkapparaten, evenals assets die worden beheerd door HSM's ( Hardware Security Modules), cloudgebaseerde sleutelbeheerservices en bedrijfsapplicaties. Het kan ook inzicht bieden in cryptografische bibliotheken en algoritmen die zijn ingebed in broncode en gecompileerde binaire bestanden, waardoor beveiligingsteams verborgen afhankelijkheden kunnen ontdekken die anders onopgemerkt zouden blijven.

Naast het opsporen van assets, stelt een CBOM organisaties in staat om kwetsbare of kwantumgevoelige algoritmen te identificeren die in de toekomst mogelijk vervangen moeten worden. Beveiligingsteams kunnen prioriteit geven aan herstelmaatregelen op basis van risico, impact op de bedrijfsvoering en complexiteit van de migratie, in plaats van te vertrouwen op handmatige inventarisaties of aannames. Hierdoor kunnen resources worden gericht op de systemen die er het meest toe doen, terwijl er een gestructureerder en realistischer migratieplan wordt opgesteld.

CBOM Secure van Encryption Consulting is ontworpen om deze uitdagingen aan te pakken. Ons product helpt organisaties een uitgebreide inventarisatie te maken van cryptografische assets in on-premises omgevingen, cloudplatforms, HSM's, applicaties, broncode, binaire bestanden en certificaten. Door continu cryptografische afhankelijkheden en algoritmegebruik te identificeren, krijgen organisaties het inzicht dat nodig is om kwantumgerelateerde risico's te beoordelen, herstelmaatregelen te prioriteren en zich met meer vertrouwen voor te bereiden op migratie na kwantumcomputing .

Naarmate de voorbereiding op Q-Day verschuift van planning naar uitvoering, wordt cryptografische zichtbaarheid een fundamentele vereiste. Een CBOM biedt organisaties het inzicht dat ze nodig hebben om hun huidige situatie te begrijpen, hun risico's te meten en weloverwogen stappen te zetten richting een kwantumveilige toekomst.

Wat de eerste gebruikers anders doen

Organisaties die de meeste vooruitgang boeken op weg naar kwantumparaatheid wachten niet tot Q-Day om actie te ondernemen. In plaats daarvan richten ze zich op praktische stappen om de onzekerheid te verminderen en zich voor te bereiden op een toekomstige overgang naar post-kwantumcryptografie.

Een van de eerste prioriteiten voor veel early adopters is het opbouwen van een uitgebreide cryptografische inventaris. Voordat er migratiebeslissingen kunnen worden genomen, moeten beveiligingsteams inzicht hebben in waar cryptografie wordt gebruikt, welke algoritmen worden ingezet en welke systemen afhankelijk zijn van certificaten, sleutels en cryptografische bibliotheken. Deze inventaris vormt de basis voor elke volgende fase van een PQC-strategie.

Veel organisaties voeren ook crypto-agility -assessments uit om te begrijpen hoe gemakkelijk hun systemen zich kunnen aanpassen aan nieuwe cryptografische standaarden. Deze assessments helpen bij het identificeren van applicaties, apparaten en processen die mogelijk moeilijk te updaten zijn, waardoor teams potentiële obstakels kunnen aanpakken voordat de migratie begint.

Testen is een ander belangrijk aandachtspunt geworden. In plaats van te wachten op een volledige sectorbrede transitie, experimenteren early adopters met hybride certificaten en hybride cryptografische benaderingen die traditionele algoritmen combineren met post-kwantumalternatieven. Deze pilotprojecten bieden waardevolle inzichten in interoperabiliteit, prestaties en operationele impact in praktijksituaties.

Tegelijkertijd evalueren organisaties actief de post-kwantumalgoritmen die zijn geselecteerd door standaardisatie-instanties en technologieleveranciers. Het doel is niet alleen om vervangende algoritmen te kiezen, maar ook om te begrijpen hoe deze de bestaande infrastructuur, applicaties en beveiligingsprocessen zullen beïnvloeden. 

PKI- en certificaatbeheerprocessen krijgen ook steeds meer aandacht. Omdat certificaten een cruciale rol spelen in authenticatie en vertrouwen, herzien veel organisaties hun procedures voor uitgifte, verlenging, vindbaarheid en levenscyclusbeheer om ervoor te zorgen dat ze kunnen voldoen aan toekomstige kwantumveilige eisen.

Het allerbelangrijkste is wellicht dat early adopters gefaseerde migratieplannen opstellen in plaats van te proberen een grootschalige vervanging in één keer uit te voeren. Door kritieke systemen prioriteit te geven, afhankelijkheden in kaart te brengen en duidelijke mijlpalen vast te stellen, kunnen organisaties gestaag vooruitgang boeken en tegelijkertijd operationele risico's beperken.

De rode draad bij deze organisaties is simpel: de voorbereiding begint lang vóór de migratie. Hoe eerder inzicht, beoordeling en planning plaatsvinden, hoe soepeler de overgang naar post-kwantumcryptografie waarschijnlijk zal verlopen. 

Hoe onze CBOM Secure uw organisatie kan helpen 

De voorbereiding op post-kwantumcryptografie begint met inzicht in uw huidige cryptografische omgeving. Voor veel organisaties is dat het moeilijkste deel. Cryptografische assets zijn vaak verspreid over cloudplatforms, HSM's, applicaties, broncode-repositories, containers, databases, certificaten en netwerkinfrastructuur, waardoor het lastig is om te weten wat er is en waar het wordt gebruikt. 

Onze CBOM Secure-oplossing helpt dit probleem op te lossen door continu cryptografische assets binnen uw organisatie te ontdekken en te inventariseren. In plaats van te vertrouwen op handmatige registratie en spreadsheets, krijgen beveiligingsteams een gecentraliseerd overzicht van sleutels, certificaten, algoritmen, cryptografische bibliotheken, protocollen en afhankelijkheden in hun hele omgeving.

Met dit inzicht kunnen organisaties snel kwantumkwetsbare algoritmen identificeren, systemen lokaliseren die mogelijk herstel vereisen en migratie-inspanningen prioriteren op basis van risico en impact op de bedrijfsvoering. Onze CBOM Secure helpt ook bij het blootleggen van verborgen cryptografische afhankelijkheden die anders post-kwantuminitiatieven zouden kunnen vertragen of onverwachte operationele problemen tijdens de migratie zouden kunnen veroorzaken. 

Naast de voorbereiding op kwantumcomputing verbetert onze CBOM Secure het algehele cryptografische beheer door teams te helpen nauwkeurige inventarissen bij te houden, cryptografische wijzigingen te monitoren en compliance- en beveiligingsbeoordelingen te ondersteunen. Continue detectie zorgt ervoor dat inventarissen actueel blijven naarmate infrastructuur, applicaties en cloudbronnen in de loop van de tijd veranderen. 

Naarmate organisaties de overgang maken van planning naar uitvoering, biedt onze CBOM Secure het inzicht dat nodig is om weloverwogen beslissingen te nemen, onzekerheid te verminderen en een praktisch stappenplan te ontwikkelen voor kwantumveilige cryptografie. Door vandaag al helder inzicht te krijgen in cryptografische activa, kunnen organisaties toekomstige PQC-migraties met meer vertrouwen, een lager risico en betere operationele controle benaderen. 

Conclusie 

Hoewel Q-Day nog niet is aangebroken, is het nu wel tijd om je voor te bereiden. De nieuwste trends op het gebied van adoptie laten zien dat organisaties in alle sectoren verder gaan dan alleen bewustwording en concrete stappen zetten richting post-quantum paraatheid. Van het evalueren van quantumresistente algoritmen tot het testen van nieuwe cryptografische benaderingen: de focus is verschoven van de vraag of migratie noodzakelijk is naar de vraag hoe deze effectief kan worden gerealiseerd.

Er blijft echter één uitdaging bestaan ​​die in vrijwel elke organisatie terugkomt: inzicht. Voordat cryptografische systemen gemoderniseerd kunnen worden, moeten organisaties een duidelijk beeld hebben van waar cryptografie wordt gebruikt, welke systemen afhankelijk zijn van kwetsbare algoritmen en welke veranderingen in de toekomst nodig zullen zijn. Zonder die kennis wordt de migratieplanning aanzienlijk complexer, wat leidt tot onnodige risico's, kosten en vertragingen. 

De organisaties die vandaag de dag de meeste vooruitgang boeken, zijn de organisaties die al vroeg zijn begonnen met het creëren van dit inzicht. Door cryptografische inventarissen aan te leggen, de crypto-flexibiliteit te beoordelen en kritieke afhankelijkheden te identificeren, leggen ze de basis voor een meer gestructureerde en beheersbare transitie. Deze inspanningen ondersteunen niet alleen de toekomstige implementatie van PQC, maar verbeteren ook het algehele cryptografische beheer en de paraatheid op het gebied van beveiliging.

Naarmate de toepassing van post-kwantumcryptografie in een versneld tempo doorzet, blijven inventarisatie en detectie de basis van elke succesvolle migratiestrategie. Organisaties kunnen niet beschermen wat ze niet kunnen zien, en ze kunnen niet vervangen wat ze niet kunnen identificeren.

Hier spelen oplossingen zoals onze CBOM Secure een belangrijke rol. Door continu cryptografische activa te detecteren in on-premises omgevingen, cloudplatforms, HSM's, applicaties, broncode, binaire bestanden en certificaten, helpt ons product organisaties het inzicht te krijgen dat nodig is om hun cryptografische risico's te begrijpen en zich voor te bereiden op toekomstige kwantumgerelateerde risico's. 

De aftelling naar Q-Day is al begonnen. Organisaties die vandaag al beginnen met het opbouwen van cryptografische zichtbaarheid, zullen in een veel sterkere positie verkeren om zich aan te passen, prioriteiten te stellen en te migreren wanneer het zover is.

Veelgestelde Vragen / FAQ

Wat is Q-Day, en waarom is het nu belangrijk als het nog niet heeft plaatsgevonden?

Q-Day is het moment waarop een cryptografisch relevante kwantumcomputer in staat is om veelgebruikte publieke-sleutelalgoritmen zoals RSA en ECC te kraken. Het is vandaag de dag belangrijk vanwege de dreiging van 'nu verzamelen, later decoderen': aanvallers kunnen nu al versleutelde gegevens verzamelen en deze decoderen zodra er kwantumcomputers bestaan. Langdurig gevoelige gegevens zoals intellectueel eigendom, financiële gegevens en overheidscommunicatie kunnen nu al openbaar zijn, ongeacht wanneer Q-Day daadwerkelijk aanbreekt.

Welke sectoren zijn het verst gevorderd met de implementatie van PQC?

Financiële instellingen behoren tot de meest actieve gebruikers vanwege de gevoeligheid van klant- en transactiegegevens en de strenge regelgeving. Overheids- en defensieorganisaties bewegen zich ook snel, gedreven door nationale veiligheidszorgen. De technologiesector, waaronder cloudproviders en infrastructuurbedrijven, is eveneens een vroege gebruiker en experimenteert actief met kwantumveilige en hybride cryptografische modellen.

Waarom lopen productiebedrijven, detailhandelsbedrijven en kleinere zorginstellingen achter op het gebied van PQC-gereedheid?

Over het algemeen komt dit door beperkt inzicht in hun cryptografische activa, budgetbeperkingen en concurrerende beveiligingsprioriteiten. Organisaties met grote, verouderde omgevingen merken vaak dat het simpelweg begrijpen waar cryptografie wordt gebruikt al een aanzienlijke uitdaging vormt, waardoor de PQC-planning nog vóór de start ervan wordt vertraagd.

Waarom is cryptografische zichtbaarheid de grootste hindernis voor PQC-migratie, in plaats van de keuze van het algoritme?

Een organisatie kan immers geen kwetsbare cryptografische algoritmen vervangen waarvan ze het bestaan ​​niet kent. Cryptografie is diep verankerd in applicaties, databases, API's, cloudservices, broncode, containers en verbonden apparaten, vaak verspreid over meerdere teams en applicaties van derden. Zonder een volledig beeld van het cryptografische gebruik is het moeilijk om migratietijdlijnen in te schatten of prioriteiten te stellen bij herstelmaatregelen. Daarom lopen veel PQC-initiatieven vast tijdens de beoordeling in plaats van tijdens de implementatie.

Wat is het verschil tussen een cryptografie-stuklijst (CBOM) en een software-stuklijst (SBOM)?

Een SBOM (Software-Based Object Model) identificeert software en afhankelijkheden van derden in applicaties, maar geeft niet aan welke cryptografische algoritmen worden gebruikt of waar cryptografische sleutels en certificaten worden ingezet. Een CBOM (Cryptography-Based Object Model) vult deze lacune direct op door zich te richten op cryptografiespecifieke details: sleutels, certificaten, algoritmen en bibliotheken in de systemen van een organisatie.

Wat doen organisaties die PQC al vroeg hebben ingevoerd anders dan organisaties die achterlopen?

Ze stellen eerst een uitgebreide cryptografische inventaris op, voeren crypto-flexibiliteitsbeoordelingen uit om te zien hoe gemakkelijk systemen zich kunnen aanpassen aan nieuwe standaarden, testen hybride certificaten die traditionele en post-kwantumalgoritmen combineren, evalueren PKI- en certificaatbeheerprocessen en creëren gefaseerde migratieplannen in plaats van te proberen een grootschalige vervanging in één keer uit te voeren.