De flesta samtal om kvantberäkning utspelar sig i en organisations tekniska hörn. Kryptografer debatterar algoritmer, säkerhetsingenjörer diskuterar nyckelstorlekar, och styrelsen hör högst en flyktig hänvisning till kvantum i en årlig riskgenomgång. Detta är ett misstag. Ankomsten av kryptografiskt relevanta kvantdatorer är inte bara en teknisk händelse. Det är en riskhändelse för företag, i samma skala som ett större regelskifte eller ett systemiskt cyberhot , och det kräver den typ av strukturerad tillsyn som internrevisionen finns för att tillhandahålla.
Utmaningen är att kvantrisk inte beter sig som de hot som internrevisionsteam är vana vid att bedöma. Den är långsam, lätt att skjuta upp och osynlig i den dagliga verksamheten, ända fram till det ögonblick då den blir katastrofal och oåterkallelig. Den kombinationen gör den till precis den typ av risk som glider mellan stolarna i en organisation utan stark styrning. Den här bloggen argumenterar för varför internrevision bör vara aktivt engagerad i kvantberedskap idag, och hur det engagemanget bör se ut i praktiken.
Att förstå hotet: Q-dagen och klockan som redan går
Kvantdatorer löser vissa problem på fundamentalt annorlunda sätt än klassiska maskiner. Medan en klassisk dator arbetar igenom möjligheter i stort sett i sekvens, kan en kvantdator utvärdera många möjligheter samtidigt, vilket ger den en exponentiell fördel på en specifik klass av matematiska problem. Två av dessa problem, heltalsfaktorisering och diskret logaritm, är precis vad dagens kryptografi med publik nyckel är beroende av.
RSA , ECC och Diffie-Hellman, algoritmerna som säkrar webbtrafik, digitala signaturer , VPN och autentisering i nästan alla företag, bygger på antagandet att dessa problem är för svåra att lösa inom en praktisk tidsram. En tillräckligt kraftfull kvantdator som kör Shors algoritm bryter mot det antagandet. Q-dagen är den tidpunkt då en kvantdator kan köra Shors algoritm i tillräcklig skala för att bryta RSA, ECC och Diffie-Hellman.
Ersättningarna finns redan. I augusti 2024 slutförde NIST sina första postkvantstandarder: FIPS 203 (ML-KEM) för nyckeletablering, FIPS 204 (ML-DSA) och FIPS 205 (SLH-DSA) för digitala signaturer, med HQC vald 2025 som en ytterligare kodbaserad nyckelinkapslingsmekanism. Standarderna är slutgiltiga, vilket innebär att den öppna frågan inte längre är om man ska migrera utan hur snabbt en organisation kan.
Den obekväma sanningen är att tidslinjen inte börjar vid Q-dagen. Den började för flera år sedan. Motståndare är redan engagerade i det som kallas skörd nu, dekryptera senare: att fånga upp och lagra krypterad data idag, med avsikt att dekryptera den när kvantkapaciteten anländer. För all data med en lång konfidentiell livslängd, såsom finansiella register, hälsoinformation, immateriella rättigheter, myndighetsdata eller affärshemligheter, sker exponeringen just nu även om dekrypteringen ligger flera år bort. Data som stjäls idag blir inte säker bara för att man migrerar senare.
Oron delas i stor utsträckning, men det är inte förberedelserna. Enligt ISACA:s 2025 Quantum Computing Pulse Poll med fler än 2 600 experter inom digital förtroende , cybersäkerhet, revision och riskhantering är 62 procent oroliga för att kvantberäkning kommer att bryta dagens kryptering och 56 procent anger att man ska kunna skörda data nu och dekryptera dem senare som ett problem, men bara cirka 5 procent säger att deras organisation har en definierad kvantstrategi. Med andra ord har ungefär 95 procent ingen färdplan. Det gapet mellan medvetenhet och handling är just den typ av kontrollsvaghet som internrevisionen är byggd för att komma till ytan.
Det är detta som gör kvantrisk till en omedelbar styrningsfråga snarare än ett framtida tekniskt projekt. De beslut som avgör om dina känsligaste långlivade data överlever Q-dagen fattas, eller försummas, idag.
Varför detta är ett internrevisionsproblem, inte bara ett IT-problem
Säkerhetsteam kan implementera kryptografi , men de kan inte på egen hand garantera att kvantrisker hanteras på den nivå som organisationen kräver. Det är just i den luckan som internrevision tillför värde. Internrevision har tre saker som en rent teknisk respons saknar: oberoende, en företagsomfattande synvinkel och befogenhet att hålla organisationen ansvarig för sina egna åtaganden.
Det är också här internrevisionens roll skiljer sig från alla andra vid bordet. Revisionens utmärkande bidrag är oberoende granskning: att verifiera att kontroller finns och fungerar som avsett, snarare än att implementera dem. Det skiljer internrevisionen från konsultföretagen och integratörerna som bygger migreringsprogram och från verktygsleverantörerna som levererar tekniken. Revisionen äger inte färdplanen; den testar om färdplanen är verklig, finansierad och fungerar. Att hålla den linjen tydlig är det som gör granskningen trovärdig för en styrelse.
Fundera över de frågor en styrelse bör kunna besvara om kvantberedskap. Vet organisationen vilka system och data som är beroende av kvantsårbar kryptografi? Finns det en egen, finansierad och tidsbunden migreringsplan? Bedöms tredje parter och leverantörer, som innehar och behandlar känsliga data, för sin egen beredskap? Har regulatoriska skyldigheter kring kryptografiska standarder en tydlig väg till efterlevnad? I de flesta organisationer kan inget enskilt tekniskt team besvara alla dessa, eftersom svaren spänner över IT, säkerhet, juridik, upphandling, risk och ledning.
Internrevision är den funktion som är utformad för att granska alla dessa domäner, testa om kontroller faktiskt finns och fungerar som avsett, och rapportera sanningen till ledning och styrelse. Kvantberedskap behöver just den typen av oberoende, tvärfunktionell försäkran. Utan den blir arbetet med kvantmekanik ett bekvämt påstående som ingen någonsin verifierar.
Vad internrevisionen egentligen borde göra
Att arbeta med kvantrisk kräver inte att revisorer blir kryptografer. Det kräver att man tillämpar revisionsdisciplinen på ett nytt och höginsatt område. Sex fokusområden sticker ut.
Validera att en kryptografisk inventering finns och är fullständig. Grunden för all kvantberedskap är att veta var sårbar kryptografi finns. Internrevision bör bedöma om organisationen har en genuin, kontinuerligt underhållen inventering av sina kryptografiska tillgångar, inklusive certifikat, nycklar, algoritmer och de system och data som är beroende av dem. En inventering som är ofullständig, inaktuell eller underhålls i ett kalkylblad är ett fynd i sig.
Bedöm existensen och kvaliteten på en migreringsfärdplan. Beredskap är inte en slogan, det är en plan med ägare, budgetar, milstolpar och prioriteringar baserade på datakänslighet och systemets livslängd. Internrevisionen bör utvärdera om en sådan färdplan finns, om den är realistisk och om den faktiskt genomförs i enlighet med vad som förväntas, snarare än att den ligger på hyllan.
Testa dataskyddet mot intäkter nu, dekryptera senare hot. Revisorer bör undersöka om långlivade känsliga data skyddas av något utöver enbart klassisk kryptering. Om data med ett flerårigt sekretesskrav endast skyddas av RSA eller ECC är det en aktiv exponering som kräver omedelbar uppmärksamhet och eskalering.
Undersök risker hos tredje part och i leveranskedjan . En organisations exponering mot kvantumdata omfattar alla leverantörer, partners och tjänsteleverantörer som innehar eller överför dess data. Internrevision är väl positionerad för att säkerställa att kvantumdataberedskap blir en del av riskbedömningar från tredje part och avtalsenlig due diligence.
Kartlägg specifika ramverk och deadlines för organisatoriska åtgärder. Regeringar och tillsynsmyndigheter flyttar kvantumberedskap från rekommendation till krav. Istället för att spåra generiska tillämpliga standarder bör internrevisionen kontrollera organisationens färdplan mot de konkreta referenser som revisorer och tillsynsmyndigheter faktiskt använder: CISA:s vägledning för migrering av kvantkryptografi efter kvantkryptering, NIST:s NCCoE-praxisguide SP 1800-38 ( Migrering till postkvantkryptografi ), NSA:s milstolpar för övergången till CNSA 2.0, och, för federala myndigheter och deras leverantörer, OMB Memorandum M-23-02. Verifiera de aktuella versionerna och datumen vid tidpunkten för granskningen, eftersom dessa fortsätter att utvecklas.
Främja kryptoagilitet , levererat genom kryptografisk posturhantering (Cryptographic Posture Management). Det kanske mest strategiska bidraget som internrevision kan ge är att undersöka om system utformas för kryptoagilitet, förmågan att byta kryptografiska algoritmer utan omfattande omarbetningar. Kryptoagilitet är den styrande principen; den kontinuerliga operativa disciplin som levererar den kallas alltmer kryptografisk posturhantering (CPM), en upprepande cykel av upptäckt, utvärdering, prioritering, åtgärd och övervakning. Organisationer som hårdkodar kryptografi kommer att möta nästa övergång, och den efter det, som en kris varje gång. De som bygger in agilitet och driver den som en pågående postur snarare än ett engångsprojekt, kommer inte att göra det.
Att inrama kvantum som en företagsrisk
Det viktigaste skiftet som internrevision kan åstadkomma är ramverket. Så länge kvantmekanism behandlas som ett nischtekniskt ämne kommer det att konkurrera dåligt om uppmärksamhet och budget mot mer omedelbara problem. Omformulerat till vad det faktiskt är, en förutsebar, storskalig och oåterkallelig risk för konfidentialitet och integritet hos företagsdata, förtjänar det sin plats i företagsriskregistret och i diskussioner på styrelsenivå.
Denna inramning tydliggör också kostnaden för passivitet. Kryptografisk migrering är inte en snabb lapp. Trovärdiga uppskattningar från NIST och stora rådgivningsföretag beskriver fullständig migrering som ett flerårigt program, ofta år av planering innan arbetet är slutfört, och ISACA:s undersökning visar att ungefär 95 procent av organisationerna fortfarande inte har någon färdplan.
Landningsbanan krymper innan förberedelserna ens har börjat. En kortsiktig tvångsfunktion gör detta konkret: enligt CA/Browser Forums godkända schema sjunker den maximala livslängden för publika TLS-certifikat från 398 dagar till 200 dagar i mars 2026, till 100 dagar i mars 2027 och till 47 dagar i mars 2029. Långt före Q-dagen gör den kadensen manuell kryptografisk förändring ohållbar och belönar organisationer som redan har byggt upp automatisering och flexibilitet.
En organisation som börjar migrera först när kvantdatorer bevisligen är kapabla kommer att vara alldeles för sent ute, både vad gäller insamlad historisk data och den operativa knipan i en förhastad övergång. Internrevisionens roll är att synliggöra den tidslinjen nu, medan det fortfarande finns tid att agera medvetet utifrån den.
Hur krypteringskonsulting kan hjälpa
Internrevision kan identifiera och rama in kvantrisker, men att agera utifrån dem kräver djupgående kryptografisk expertis och rätt verktyg. Det är här Encryption Consulting samarbetar med organisationer och omvandlar revisionsresultat och styrelsemandat till ett genomförbart kvantberedskapsprogram.
CBOM Secure upptäcker kryptografi hos alla certifikatutfärdare och alla miljöer, vilket är precis vad ett revisionslett program med fokus på oberoende behöver. Det är vår kryptografiska upptäckts- och inventeringslösning, byggd för att ge dina revisions- och säkerhetsteam den insyn som denna typ av tillsyn kräver. Den upptäcker och inventerar kontinuerligt kryptografiska tillgångar, inklusive certifikat, nycklar, algoritmer och protokoll, samt flaggor som är kvantumsårbara. Detta omvandlar det kryptografiska inventariet från en revisionsambition till en levande, datadriven tillgång och ger den evidensbas som internrevisionen behöver för att objektivt bedöma beredskapen.
Våra rådgivningstjänster för postkvantkryptografiska lösningar vägleder organisationer genom hela beredskapscykeln, från riskbedömning för kvantum och datakänslighetsanalys till att bygga en prioriterad, egen migreringsfärdplan och implementera hybrid- och postkvantalgoritmer. Detta är den strukturerade, tidsbundna plan som internrevisionen bör förvänta sig att se, levererad av specialister som utför detta arbete varje dag.
På styrningssidan hjälper våra rådgivningstjänster för efterlevnad att anpassa ert kvantumberedskapsprogram till NIST, CISA, CMMC och andra ständigt föränderliga regelverk, vilket säkerställer att internrevisionens rekommendationer tydligt överensstämmer med vad tillsynsmyndigheter kommer att kräva. Och våra rådgivningstjänster för kryptering ger den bredare strategiska grunden för att hantera kryptografiska risker i hela företaget.
Oavsett om ert internrevisionsteam inleder sin första granskning av kvantrisker eller om er organisation är redo att genomföra en fullständig migrering, har Encryption Consulting expertisen och verktygen för att föra er framåt. Kontakta oss för att börja bygga en försvarbar och granskningsbar kvantberedskap.
Slutsats
Kvantrisk är ovanlig bland företagshot eftersom dess mest skadliga konsekvenser sätts igång idag, i det tysta, medan den synliga effekten dröjer sig kvar år. Det är just den förseningen som gör stark styrning avgörande. Om kvantberedskap lämnas att konkurrera med stundens brådskande frågor kommer den alltid att förlora, tills den dag den inte längre kan skjutas upp och fönstret för att reagera har stängts.
Internrevision finns för att belysa just dessa typer av risker: förutsebara, högkonsekvenserade och lätta att ignorera. Genom att validera kryptografiska inventeringar, testa dataskydd, granska migreringsplaner och omformulera kvantum till den företagsrisk den verkligen är, kan internrevision säkerställa att organisationen agerar medan åtgärder fortfarande gör skillnad.
Klockan till Q-dagen har redan gått, och det gör även insamlingen av data som är avsedd att dekrypteras när den anländer. De organisationer som behandlar kvantberedskap som en fråga om styrning, inte bara ingenjörskonst, är de som kommer att vara förberedda till den dagen.
