Bedömning av kvantberedskap efter kvantberedskap: 75 frågor för PKI- och säkerhetsteam

Snabbt svar: En rigorös post-kvantumberedskapsbedömning täcker åtta kategorier: kryptografiskt inventarium, PKI- och certifikatinfrastruktur, HSM- och nyckelhantering, TLS- och nätverksprotokoll, kodsignering och programvaruleveranskedja, applikations- och slutpunktsberoenden, leverantörs- och tredjepartsberedskap samt styrning, testning, budget och tidslinje. Denna checklista innehåller 75 frågor inom dessa åtta kategorier, utformade för att belysa de specifika luckor som generiska självbedömningar av "är du PQC-redo" missar.

De flesta PQC-självbedömningar förblir på tillräckligt hög nivå för att nästan vilken organisation som helst kan svara "någotlunda redo" utan att övningen faktiskt visar en specifik lucka. Denna checklista är uppbyggd på motsatt sätt: tillräckligt specifik för att ett "nej" eller "osäkert" svar pekar direkt på en konkret nästa åtgärd, inte ett vagt problemområde.

Key Takeaways

• 75 specifika frågor inom åtta kategorier belyser konkreta luckor snarare än att producera ett vagt, omätbart beredskapsresultat.
• Kategorierna Inventering, PKI och HSM har flest frågor, vilket återspeglar hur mycket av ett verkligt PQC-programs tidiga risk koncentreras till dessa tre områden.
• Frågor kring styrning, testning, budget och tidslinje inkluderas avsiktligt, eftersom teknisk beredskap utan programdisciplin bakom sig sällan överlever kontakten med en riktig flerårig migrering.
• Använd detta som ett arbetsdokument som granskas kvartalsvis, inte som en engångsrapport, eftersom leverantörsberedskap och valideringsstatus förändras under ett migreringsprogram.

Kryptografisk inventering (12 frågor)

1. Har ni en dokumenterad, aktuell kryptografisk inventering som omfattar algoritmer, nycklar och certifikat?
2. Använder den inventeringen ett standardiserat, maskinläsbart format (CycloneDX CBOM eller motsvarande)?
3. Har varje inventariepost en namngiven ägare, inte bara ett tekniskt fynd?
4. Har ni poängsatt sekretesstid för data som skyddas av varje kryptografisk tillgång?
5. Har du klassificerat extern exponering för varje fynd?
6. Täcker din identifiering nätverkstrafik, inte bara statisk konfiguration?
7. Täcker din upptäckt källkod och hårdkodade algoritmanrop?
8. Omfattar din upptäckt kompilerade binärfiler och programvara från tredje part som du inte har källkodsåtkomst till?
9. Täcker er identifiering molnhanterade nycklar och certifikat via leverantörens API:er?
10. Täcker din upptäckt kryptografi på slutpunktsnivå (diskkryptering, drivrutiner, säker start)?
11. Har ni en dokumenterad plan för air-gapped och äldre system som inga automatiserade verktyg kan nå?
12. Uppdateras ditt lager med en definierad, återkommande kadens, inte som en engångsögonblicksbild?

PKI och certifikatinfrastruktur (11 frågor)

1. Vet du om din CA-plattform stöder ML-DSA, och under vilken version och uppdatering?
2. Förstår ni om er CA-plattform kräver en parallell hierarki snarare än en uppgradering på plats?
3. Har du valt mål-ML-DSA-parameteruppsättningar efter CA-nivå (rot, mellanliggande, löv)?
4. Har ni utvärderat vilka förlitande parter som kan validera ett ML-DSA- eller hybridcertifikat idag?
5. Har ni en distributionsplan för förtroendeankare för en ny rot-CA?
6. Har ni bestämt er mellan ren PQC och sammansatta/hybridcertifikatformat utifrån användningsfall?
7. Har ni testat OCSP- och CRL-infrastrukturen mot PQC-signerade svar?
8. Har ni utvärderat kortlivad certifikatutfärdande som ett alternativ till att skala upp infrastrukturen för återkallelse?
9. Har ni en definierad pensionsplan och ett datum för er äldre CA-hierarki?
10. Har ni inventerat certifikatmallar som fortfarande använder äldre kryptografiska leverantörer?
11. Spårar ni certifikat som utfärdats utanför er centrala PKI-process (via loggövervakning för certifikattransparens)?

HSM och nyckelhantering (10 frågor)

1. Känner du till statusen för stöd för PQC-algoritmen i din nuvarande HSM-firmware?
2. Känner du till din HSM-leverantörs faktiska FIPS 140-3/CMVP-valideringsstatus för PQC-algoritmer, med certifikatnummer?
3. Har ni jämfört PQC-signeringskapaciteten med er faktiska produktionsvolym?
4. Har ni testat säkerhetskopiering och återställning av PQC-nyckel på er specifika HSM-plattform?
5. Har du bekräftat att HA- och klusterfunktioner fungerar med PQC-nyckeltyper i din firmware?
6. Vet ni vilka av era efterlevnadskrav som kräver förvaring av hårdvarunycklar för PQC-nycklar?
7. Om ni överväger ett byte av HSM-leverantör, har ni en plan byggd kring återutgivning av nyckel snarare än nyckelportabilitet?
8. Har ni planerat nyckelceremonier för någon ny PQC-rot eller hierarki under samma dubbelkontrolldisciplin som era befintliga ceremonier?
9. Har ni en dokumenterad budget för HSM-uppdatering kopplad till er PQC-tidslinje?
10. Spåras din övergång från FIPS 140-2 till 140-3 som en separat deadline från din PQC-migrering?

TLS och nätverksprotokoll (9 frågor)

1. Har du aktiverat hybrid ML-KEM-nyckelutbyte (X25519MLKEM768) på internetvända TLS-slutpunkter?
2. Har ni testat hybrid TLS mot er specifika mellanbox och TLS-inspektionsapparater?
3. Har ni telemetri med förhandlade algoritmer för att upptäcka tyst klassisk reservlösning i produktion?
4. Har ni specifikt bedömningen av post-quantum-beredskapen för er VPN- och IPsec-infrastruktur?
5. Har du utvärderat RFC 8784-fördelade nycklar som ett lättanvänt tillfälligt VPN-skydd?
6. Har du bekräftat att din SSH-flotta kör en aktuell OpenSSH-version med hybridnyckelutbyte som standard?
7. Har du inventerat hoppvärdar och automatiseringspipelines som är beroende av SSH-värdnycklar?
8. Har ni bedömt beredskapen för S/MIME-certifikat, inklusive kravet på dubbelt certifikat (ML-KEM plus ML-DSA)?
9. Har du testat faktisk handskakningsprestanda under din verkliga samtidighet, inte bara publicerade leverantörsriktmärken?

Kodsignering och programvaruleveranskedja (9 frågor)

1. Har ni bekräftat er tidsstämpelutfärdares PQC-beredskap, separat från er kodsigneringsalgoritm?
2. Har ni bedömt artefakter i den inbyggda programvaran som inte kan signeras om efter distribution som en separat riskkategori?
3. Har ni kartlagt vilka verifieringssystem som förbrukar era signerade artefakter som kan validera ML-DSA idag?
4. Har ni kört ett parallellt pilotprojekt för klassisk och PQC-signering på produktionsartefakter?
5. Har du utvärderat din Sigstore, SLSA eller attesteringsverktygs PQC-migreringsväg?
6. Har du en CBOM som skiljer sig från din befintliga SBOM, som täcker kryptografin som skyddar dina byggartefakter?
7. Har du bekräftat att din CI/CD-signeringspipelines HSM-integration stöder ML-DSA-nyckellagringsleverantören?
8. Har ni utvärderat FN-DSA för scenarier med begränsad signering och spårat dess status för standardiseringsutkast?
9. Har ni konfigurerat långsiktig validering (tidsstämpling plus bevis på återkallelse) för ert signeringsarbetsflöde?

Applikations- och slutpunktsberoenden (8 frågor)

1. Har ni inventerat applikationer som bundlar sin egen TLS-stack oberoende av operativsystemet?
2. Har ni bekräftat applikationer som använder äldre CryptoAPI kontra CNG-leverantörer?
3. Har ni bedömt diskkryptering och drivrutinssigneringskedjor som en separat slutpunktskategori?
4. Har ni bekräftat era endpoint-systems patchnivåer mot de specifika utrullningsdatumen för PQC-funktionalitet?
5. Har ni bedömt begränsade enheter (IoT, inbyggda enheter, OT) separat från den allmänna endpoint-infrastrukturen?
6. Har ni en gateway-termineringsstrategi för enheter som inte kan köra PQC direkt?
7. Har ni utvärderat PKI-beslut i tillverkningsfasen för några enheter som fortfarande är i aktiv produktion?
8. Har ni utvärderat blockkedje- eller digital tillgångsförvaringsinfrastruktur om det är tillämpligt för er organisation?

Leverantörs- och tredjepartsberedskap (8 frågor)

1. Har ni skickat ett strukturerat PQC-beredskapsformulär till era kritiska leverantörer, där ni begärt bevis snarare än accepterat generella påståenden?
2. Har ni bekräftat er molnleverantörs specifika beredskap för PQC tjänst för tjänst, inte ett företagsomfattande påstående?
3. Har ni bekräftat vilken sida av gränsen för delat ansvar varje moln-PQC-kapacitet faktiskt faller på?
4. Har ni bedömt betalningsleverantörens och den finansiella motpartens beredskap för PQC, om tillämpligt?
5. Har ni bedömt beredskapen för korrespondentbanken eller interbank-API-partnern, om tillämpligt?
6. Har ni bekräftat att det finns en återställningsplan med varje kritisk leverantör för att hantera kompatibilitetsproblem efter distributionen?
7. Har ni dokumenterat varje leverantörs policy och tidslinje för upphörande av klassiska algoritmer?
8. Har ni bedömt om en PQC-driven hårdvaruuppdatering också är ett rimligt tillfälle att ompröva leverantörsvalet?

Styrning, testning, budget och tidslinje (8 frågor)

1. Finns det en namngiven, ansvarig verkställande sponsor för ert PQC-program?
2. Har ni en dokumenterad RACI som täcker krypto-, PKI-, applikations-, infrastruktur-, upphandlings-, juridik-, risk- och revisionsroller?
3. Har ni kartlagt ert program mot era tillämpliga regulatoriska tidsfrister (CNSA 2.0, federala PQC-mandat, DORA, eIDAS eller andra)?
4. Har ni en riskbaserad poängsättningsmodell som driver migreringssekvensering, inte en platt prioritetslista?
5. Har ni en dokumenterad budget som täcker identifieringsverktyg, HSM-uppdatering, PKI-infrastruktur och rådgivningsstöd?
6. Har ni byggt en flerårig tidslinje med definierade fasgränser, inte ett enda måldatum för slutförande?
7. Har ni dokumenterade bevis och rapporteringskadens för efterlevnads- och verkställande intressenter?
8. Återkommer ni till denna bedömning i en definierad kadens allt eftersom leverantörernas beredskap och standarder utvecklas?

Vad vi egentligen skulle rekommendera

Poängsätt varje kategori ärligt snarare än optimistiskt; ett svar med "nej" eller "osäkert" är mer värdefullt för ett program än ett ambitiöst "ja", eftersom det pekar direkt på en konkret nästa åtgärd. Prioritera kategorierna lager, PKI och HSM först om din organisation är tidigt i sitt program, eftersom luckor där tenderar att blockera framsteg inom alla andra kategorier. Gå igenom denna checklista varje kvartal snarare än att behandla den som ett engångspoängkort, eftersom leverantörsvalideringsstatus och standardmognad båda aktivt driver mål fram till 2026 och framåt.

Hur krypteringskonsulting kan hjälpa

Våra PQC-rådgivningstjänster genomför denna bedömning som en strukturerad workshop mot er faktiska miljö, och omvandlar varje "nej"-svar till en avgränsad, sekvenserad arbetsuppgift snarare än att lämna den som en öppen fråga. CBOM Secure svarar direkt på frågorna om lagerkategorin med verklig upptäcktsdata snarare än en självrapporterad uppskattning.

En checklista byggd för att vara obekväm

En bra beredskapsbedömning bör ge upphov till en del obekväma "nej"-svar; det är poängen. 75 specifika frågor om lager, PKI, HSM, TLS, kodsignering, applikationer, leverantörer och styrning belyser de verkliga luckor som en generisk självbedömning låter en organisation överblicka. Att arbeta ärligt igenom varje kategori och gå igenom resultaten kvartalsvis snarare än en gång är det som faktiskt omvandlar en checklista till programframsteg.

Vanliga frågor om partihandel med mat och dryck

Hur ska en organisation använda en checklista med 75 frågor utan att bli överväldigad?

Arbeta igenom det kategorivis snarare än allt på en gång, och behandla varje "nej" som en arbetsuppgift att schemalägga snarare än en poäng att känna sig dålig över. Att prioritera kategorierna lager, PKI och HSM först visar vanligtvis de största bristerna i hävstångseffekten.

Hur ofta bör denna bedömning upprepas?

Kvartalsvis är rimligt för de flesta organisationer under ett aktivt migreringsprogram, eftersom leverantörsvalideringsstatus, standardisering och plattformskapacitet alla förändras avsevärt under den tidsramen.

Vilken kategori tenderar att avslöja flest brister för organisationer tidigt i deras PQC-program?

Kryptografiskt inventarium, konsekvent. De flesta organisationer som startar ett PQC-program upptäcker att deras befintliga inventarium, om ett sådant finns alls, inte täcker de identifieringslager, ägardata eller exponeringsklassificering som denna checklista kräver.

Är denna checklista relevant för organisationer utanför reglerade branscher?

Ja. Även om vissa frågor hänvisar till specifika regelverk, gäller de underliggande kategorierna, inventering, PKI, HSM, TLS, kodsignering, applikationer, leverantörer och styrning, för alla organisationer med meningsfull kryptografisk infrastruktur, oavsett regulatorisk skyldighet.

Bör varje fråga ges lika stor vikt vid poängsättning av beredskap?

Nej. Vikta frågorna efter relevans för din specifika miljö och dina regulatoriska skyldigheter; en fråga om beredskap för betalningssystem har ingen vikt för en organisation utan betalningsinfrastruktur, till exempel, och bör uteslutas snarare än poängsättas.