Priprava na prihodnost, odporno proti kvantnim grožnjam, ni več zgolj teoretična razprava. Organizacije morajo načrtovanje kvantno varne infrastrukture začeti že danes, saj gre za dolgoročen infrastrukturni izziv, ki ga ne bo mogoče rešiti čez noč.
V tem članku:
Postkvantna kriptografija je postala poslovna prioriteta
Številne organizacije menijo, da imajo za razmislek o postkvantni kriptografiji še dovolj časa. V resnici pa največje tveganje ni napovedati, kdaj bo na voljo kvantni računalnik, ki bo sposoben ogroziti današnje kriptografske algoritme. Veliko pomembneje je zagotoviti dovolj časa za pripravo.
Čeprav časovni okvir razvoja takšnih kvantnih računalnikov ostaja negotov, je obseg dela, potrebnega za posodobitev kriptografije v poslovnih okoljih, izjemno velik. Kriptografija namreč predstavlja temelj varnih komunikacij, integritete programske opreme, identitete naprav ter skladnosti z regulativnimi zahtevami. Zato načrtovanja ni več smiselno odlagati.
Organizacije priprave začenjajo že danes iz štirih ključnih razlogov.
Prvi je tveganje »zajemi danes, dešifriraj kasneje« (Harvest Now, Decrypt Later), ki napadalcem omogoča prestrezanje danes šifriranih podatkov z namenom njihovega dešifriranja v prihodnosti, ko bodo kvantni računalniki dovolj zmogljivi.
Drugi razlog predstavlja dejstvo, da je ameriški Nacionalni inštitut za standarde in tehnologijo (NIST) leta 2024 objavil prve celovite standarde postkvantne kriptografije, s čimer je organizacijam omogočil konkretno načrtovanje migracije.
Tretji razlog so vse številnejše smernice državnih institucij in reguliranih panog, ki od organizacij zahtevajo razumevanje izpostavljenosti, načrtovanje prehoda in usklajevanje nabavnih odločitev.
Četrti razlog pa je dejstvo, da bo migracija trajala več let, saj je kriptografija vpeta v praktično vse dele sodobne IT-infrastrukture – od digitalnih potrdil in podpisovanja programske opreme do identitete naprav, omrežij, aplikacij in storitev tretjih ponudnikov.
Večletni izziv preobrazbe infrastrukture
V podjetju HPE pripravljenost na postkvantno kriptografijo razumejo kot celovito infrastrukturno preobrazbo in ne zgolj kot posamezno varnostno nadgradnjo.
Uspešna migracija zahteva popoln pregled nad uporabo kriptografije v organizaciji, pristop, ki temelji na oceni tveganj, ter prilagodljivost prihodnjim standardom in regulatornim zahtevam.
Najvarnejša pot temelji na postopnem uvajanju sprememb v skladu z uveljavljenimi standardi in načeli kriptografske agilnosti. To pomeni, da je treba najprej prepoznati uporabo ranljivih algoritmov, določiti prednostne podatke in sisteme z dolgim obdobjem občutljivosti, posodobiti ključne temelje zaupanja, ki jih je najtežje spreminjati, ter vzpostaviti zmožnost sprotnega prilagajanja novim standardom, protokolom, certifikacijam in poslovnim zahtevam.
HPE že vključuje zmogljivosti za postkvantno pripravljenost v ključna področja infrastrukture, med drugim v strežniške sisteme, omrežja, upravljavske platforme in kriptografska orodja.
Med najnovejšimi izboljšavami so varnost platform s podporo za postkvantno kriptografijo, posodobljene kriptografske knjižnice, usklajene z nastajajočimi standardi, ter razširjena podpora protokolom, odpornim proti kvantnim grožnjam.
Poslovne posledice odlašanja
Za poslovne vodje je ključno vprašanje predvsem čas.
Prehod na postkvantno kriptografijo bo trajal precej dlje, kot pričakuje večina organizacij, saj je kriptografija globoko vpeta v skoraj vse informacijske sisteme, pogosto pa tudi ni ustrezno evidentirana.
Osnovna migracija lahko traja od 24 do 36 mesecev, medtem ko lahko celovita preobrazba infrastrukture traja od 24 do 48 mesecev ali več. Trajanje je odvisno od velikosti okolja, odvisnosti od starejših sistemov, pripravljenosti dobaviteljev, zahtev po certificiranju in operativne kompleksnosti.
Organizacije, ki bodo priprave začele pravočasno, bodo imele več nadzora nad stroški, časovnico, interoperabilnostjo in tveganji. Tiste, ki bodo čakale predolgo, pa bodo lahko prisiljene v hitre in bistveno dražje migracije zaradi regulatornih zahtev, zahtev strank ali varnostnih incidentov.
Vpliv presega področje kibernetske varnosti
Postkvantna kriptografija ni zgolj tema za ekipe, odgovorne za kibernetsko varnost.
Napadi tipa »zajemi danes, dešifriraj kasneje« ogrožajo dolgoročno občutljive podatke, prihodnje ranljivosti digitalnih podpisov pa bi lahko vplivale na pristnost programske opreme, integriteto vdelane programske opreme (firmware) in zaupanje v identiteto naprav.
Odvisnosti od digitalnih potrdil in infrastrukture javnih ključev (PKI) lahko predstavljajo skrite ranljivosti v aplikacijah, omrežjih in upravljavskih sistemih.
Organizacije v reguliranih panogah bodo morale vse pogosteje dokazovati pripravljenost na migracijo, usposobljenost dobaviteljev ter ustrezno upravljanje tveganj.
Zato mora postkvantna pripravljenost postati sestavni del upravljanja poslovnih tveganj, strategije kibernetske varnosti, načrtovanja infrastrukturnih posodobitev, zagotavljanja skladnosti in upravljanja dobaviteljev.
Trije koraki do kvantne pripravljenosti
Prvi korak je izdelava celovitega pregleda uporabe kriptografskih algoritmov v organizaciji. To vključuje infrastrukturo, aplikacije, digitalna potrdila, podpisovanje programske opreme, identitete naprav, upravljavske vmesnike in storitve tretjih ponudnikov. Posebno pozornost je treba nameniti podatkom in sistemom, ki morajo ostati zaščiteni daljše časovno obdobje, predvsem reguliranim, poslovno kritičnim in operativno občutljivim informacijam.
Pogovori z dobavitelji naj vključujejo skladnost s standardi, načrte migracije, certifikacijske zahteve, vpliv na zmogljivost ter dolgoročno podporo. Zahteve postkvantne kriptografije je smiselno vključiti tudi v postopke nabave infrastrukture, ki bo v uporabi še vrsto let. Sama oznaka »PQC-ready« ni dovolj. Resnična pripravljenost zahteva interoperabilnost, preverjeno delovanje, operativno podporo in sposobnost prilagajanja razvoju standardov organizacij, kot je NIST.
Organizacije morajo pridobiti sposobnost uvajanja, testiranja, zamenjave in preverjanja kriptografskih algoritmov, ne da bi bilo treba ob vsaki spremembi standardov ali regulatornih zahtev na novo zasnovati celotno okolje.
V prehodnem obdobju bodo pomembni hibridni pristopi, ki bodo omogočali sočasno uporabo obstoječih in novih kriptografskih mehanizmov ter zagotavljali združljivost z obstoječimi sistemi.
Prav tako je smiselno cikle posodabljanja infrastrukture uskladiti z zahtevami postkvantne kriptografije, da nove investicije zmanjšujejo prihodnje stroške migracije, namesto da bi jih povečevale.
HPE pomaga organizacijam pri pripravah
Vprašanje danes ni več, ali se bodo morale organizacije pripraviti na postkvantno kriptografijo. Ključno vprašanje je, ali bodo priprave začele pravočasno in pod lastnimi pogoji ali pa bodo v ukrepanje prisiljene zaradi zunanjih dejavnikov.
HPE organizacijam pomaga prepoznati izpostavljenosti, določiti prednostna tveganja, posodobiti upravljanje kriptografije, uskladiti infrastrukturne naložbe in postopno vzpostaviti kriptografsko agilno delovanje v celotnem tehnološkem okolju.
HPE Services pri tem širi svetovalne in izvedbene zmogljivosti na področjih ocenjevanja pripravljenosti, upravljanja kriptografske varnosti, modernizacije infrastrukture javnih ključev (PKI) in upravljanja ključev ter celovite infrastrukturne preobrazbe. Organizacijam pomaga ohranjati skladnost z zahtevami, digitalno suverenost, odpornost in neprekinjeno poslovanje.
Ključno sporočilo za vodstvo
Sporočilo vodstvenim ekipam je preprosto: ni razloga za paniko, vendar ni več časa za odlašanje.
Pripravljenost na postkvantno kriptografijo je postala pomemben del zagotavljanja poslovne neprekinjenosti in ohranjanja digitalnega zaupanja. Organizacije, ki bodo priprave začele že danes, bodo lažje sprejemale premišljene odločitve, zaščitile najpomembnejše podatke, posodobile ključne temelje zaupanja ter se izognile dragim migracijam v zadnjem trenutku.
HPE pri tem združuje varnost, zasidrano v strojni opremi, celovito upravljanje življenjskega cikla infrastrukture, strokovno znanje s področja omrežij, svetovalne storitve in rešitve, ki temeljijo na odprtih standardih. Tako organizacijam pomaga negotovost kvantne prihodnosti pretvoriti v jasno in postopno pot do kvantno varnega poslovanja.
