La maggior parte delle aziende pensa di avere ancora tempo per valutare la crittografia post-quantistica. In realtà, il rischio maggiore non sta nel prevedere quando arriverà un computer quantistico in grado di influire sulla crittografia, ma nel garantire che la propria organizzazione abbia tempo sufficiente per prepararsi. Le tempistiche relative alla tecnologia quantistica rimangono incerte, ma il lavoro necessario per modernizzare la crittografia in tutti gli ambienti aziendali è notevole. Poiché la crittografia è alla base di tutto, dalle comunicazioni sicure e dall’integrità del software all’identità dei dispositivi e alla conformità normativa, la pianificazione non può più essere rimandata.
Ci sono quattro ragioni per cui molte aziende stanno iniziando a pianificare fin da ora. In primo luogo, il rischio di raccolta immediata/decrittazione successiva di dati sensibili implica che gli autori degli attacchi possano acquisire oggi i dati crittografati e decrittografarli in un secondo momento, quando le capacità quantistiche saranno mature, mettendo a rischio le informazioni di lunga durata prima ancora che arrivi il “Q-Day”. In secondo luogo, il NIST ha finalizzato i primi standard completi per la crittografia post-quantistica (PQC) nel 2024, fornendo alle organizzazioni una base pratica per la pianificazione. In terzo luogo, stanno emergendo linee guida da parte del governo e dei settori regolamentati, aumentando la pressione per comprendere l’esposizione al rischio, dimostrare la prontezza e allineare le decisioni di approvvigionamento. Infine, la migrazione richiederà anni poiché la crittografia è integrata in tutti gli ambienti aziendali, dai certificati e dalla firma del codice all’identità dei dispositivi, alle reti, alle applicazioni e ai sistemi di terze parti.
Una sfida pluriennale in materia di migrazione
HPE considera la preparazione alla PQC una sfida di trasformazione dell’infrastruttura, non semplicemente un singolo aggiornamento di sicurezza. Il successo sarà possibile solo grazie alla visibilità su dove viene utilizzata la crittografia, a un approccio alla modernizzazione basato sul rischio e alla flessibilità necessaria per adattarsi all’evoluzione continua degli standard e dei requisiti. Il percorso più sicuro è graduale, allineato agli standard e “crypto-agile”: individuare dove vengono utilizzati algoritmi vulnerabili, dare priorità ai dati e ai sistemi con orizzonti di protezione a lungo termine, modernizzare per primi gli elementi di fiducia più difficili da modificare e sviluppare la capacità di aggiornare la crittografia man mano che gli standard, i protocolli, le certificazioni e i requisiti dei clienti evolvono.
HPE sta già integrando funzionalità di preparazione alla PQC in tutti i principali ambiti infrastrutturali, tra cui elaborazione, reti, piattaforme di gestione e strumenti crittografici. I recenti progressi includono la sicurezza delle piattaforme abilitate alla PQC, librerie crittografiche aggiornate e allineate agli standard emergenti e un supporto ampliato per i protocolli resistenti alla crittografia quantistica.
Le implicazioni di business dell’attesa
Per i leader aziendali, la questione è la tempistica. La migrazione alla PQC richiederà più tempo di quanto molte organizzazioni si aspettino, poiché la crittografia è profondamente distribuita e spesso scarsamente inventariata. La migrazione dei sistemi centrali può richiedere dai 24 ai 36 mesi, mentre la transizione più ampia dell’infrastruttura può richiedere dai 24 ai 48 mesi o più, a seconda della portata, delle dipendenze dai sistemi legacy, della prontezza dei fornitori, dei cicli di convalida e della complessità operativa. Aspettare fino a quando non esisterà un computer quantistico rilevante dal punto di vista crittografico potrebbe lasciare alle organizzazioni troppo poco tempo per completare la transizione in modo responsabile. Le organizzazioni che iniziano ora avranno un maggiore controllo su costi, sequenze operative, interoperabilità e rischi; quelle che aspettano potrebbero essere costrette a transizioni affrettate a causa di pressioni normative, dei clienti o dovute a incidenti.
Le implicazioni vanno ben oltre i team di sicurezza informatica. Gli attacchi del tipo raccolta immediata/decrittazione successiva mettono a rischio i dati sensibili di lunga durata, mentre le future vulnerabilità nelle firme digitali potrebbero compromettere l’autenticità del software, l’integrità del firmware e l’affidabilità dei dispositivi. Le dipendenze da certificati e PKI potrebbero creare fragilità nascoste nelle applicazioni, nelle reti e nei sistemi di gestione. I settori regolamentati potrebbero inoltre trovarsi sotto pressione per dimostrare la pianificazione della migrazione, la preparazione dei fornitori e la definizione delle priorità basata sul rischio prima che scadano i termini ufficiali. La preparazione alla PQC rientra quindi nella gestione del rischio aziendale, nella pianificazione della sicurezza informatica, nell’aggiornamento delle infrastrutture, nella strategia di conformità e nella governance dei fornitori.
Tre passi verso la preparazione al quantum
- Il punto di partenza è comprendere dove sia presente la crittografia all’interno dell’ambiente. Molte organizzazioni non dispongono di un inventario completo degli algoritmi crittografici utilizzati nell’infrastruttura, nelle applicazioni, nelle piattaforme, nei certificati, nella firma del codice, nell’identità dei dispositivi, nelle interfacce di gestione e nei servizi di terze parti. Dovrebbero dare priorità ai dati e ai sistemi con orizzonti di riservatezza a lungo termine, in particolare alle informazioni soggette a regolamentazione, mission-critical, di alto valore e sensibili dal punto di vista operativo. Dovrebbero inoltre identificare tempestivamente le aree più difficili da modificare, tra cui l’identità radicata nell’hardware, l’avvio sicuro, la firma del firmware, i piani di controllo dell’infrastruttura, i certificati a lunga durata e la PKI interna.
- Definire tempestivamente la governance. Le discussioni con i fornitori dovrebbero concentrarsi sull’allineamento agli standard, sulle roadmap di migrazione, sui piani di certificazione, sui compromessi in termini di prestazioni e sugli impegni di supporto a lungo termine. Dovrebbero inoltre integrare i requisiti di PQC nelle procedure di appalto relative alle infrastrutture destinate a rimanere in servizio per molti anni. Una semplice dichiarazione di “PQC-ready” non è sufficiente. La prontezza operativa richiede interoperabilità, convalida, supporto operativo e la capacità di adattarsi man mano che le linee guida fornite da organizzazioni quali il NIST e altri organismi di normazione continuano ad evolversi.
- Il passo finale consiste nell’integrare la “cripto-agilità” nell’organizzazione. Le aziende devono essere in grado di introdurre, testare, sostituire e convalidare algoritmi crittografici senza dover riprogettare l’ambiente ogni volta che cambiano gli standard, i modelli di minaccia o i requisiti di conformità. Gli approcci ibridi saranno fondamentali durante la transizione, specialmente laddove sia necessario preservare l’interoperabilità con i sistemi esistenti. I cicli di aggiornamento dell’infrastruttura dovrebbero essere allineati ai requisiti della PQC, in modo che i nuovi investimenti riducano il debito di migrazione futuro anziché aumentarlo.
HPE aiuta i clienti a prepararsi fin da ora
La domanda non è più se le organizzazioni dovranno prepararsi alla crittografia post-quantistica, ma se inizieranno a prepararsi secondo i propri tempi o se aspetteranno che le pressioni esterne le costringano ad agire. Le organizzazioni che iniziano ora saranno in una posizione migliore per proteggere la fiducia digitale, gestire i rischi e adattarsi alla prossima generazione di calcolo computazionale.
HPE aiuta le aziende a intraprendere questo percorso concreto: individuare le vulnerabilità, stabilire le priorità di rischio, modernizzare la gestione crittografica, allineare gli investimenti nell’infrastruttura e passare a operazioni crittograficamente agili lungo l’intero stack tecnologico. HPE Services sta ampliando le proprie capacità di preparazione e consulenza per supportare la valutazione, la gestione della postura crittografica, la modernizzazione della PKI e della gestione delle chiavi, nonché la trasformazione dell’infrastruttura, aiutando al contempo i clienti a mantenere la conformità, la sovranità, la resilienza e la continuità operativa.
Il consiglio è semplice: non farsi prendere dal panico, ma non aspettare. La preparazione alla PQC è un imperativo per la continuità operativa e la fiducia digitale. Le organizzazioni che iniziano ora possono prendere decisioni ponderate e allineate agli standard, proteggere i dati che contano nel lungo periodo, modernizzare gli elementi di fiducia più difficili da modificare ed evitare costosi interventi correttivi dell’ultimo minuto. Il punto di forza di HPE è la sua capacità di integrare la fiducia basata sul silicio, l’infrastruttura gestita per l’intero ciclo di vita, la competenza nel networking, la guida ai servizi e l’esecuzione basata sugli standard, aiutando le imprese a trasformare l’incertezza quantistica in un percorso credibile verso operazioni sicure dal punto di vista quantistico.
