La computación cuántica se ha situado como uno de los principales desafíos para la protección de la información por su capacidad de comprometer los mecanismos criptográficos que hoy garantizan la seguridad de las comunicaciones, transacciones y sistemas. En este contexto, el Centro Criptológico Nacional (CCN) ha publicado el informe CCN-TEC 009 Recomendaciones para una transición PQC segura/BP 37, con el objetivo de ayudar a las organizaciones a preparar una migración ordenada hacia sistemas resistentes a la computación cuántica.
El documento recuerda que la aparición de un ordenador cuántico criptográficamente relevante se prevé para mediados de la próxima década, en torno a 2035. Su capacidad de cálculo podría dejar sin protección los sistemas criptográficos asimétricos más utilizados, afectando tanto al cifrado como a la firma electrónica. Por ello, el CCN subraya la obligatoriedad de migrar la criptografía de los sistemas hacia soluciones quantum resistant o quantum safe. La transición deberá completarse antes de finales de 2030 o 2035, en función del riesgo de los sistemas.
En concreto, desde el CCN advierten que los sistemas de riesgo alto deberán estar completamente migrados antes del 31 de diciembre de 2030; los sistemas de riesgo medio antes del 31 de diciembre de 2035; y los de riesgo bajo, en la medida de lo posible.
El CCN recomienda iniciar cuanto antes las fases de descubrimiento, adquisición, despliegue y puesta en marcha para evitar migraciones tardías o incompletas. Eso sí, durante este proceso, el informe identifica dos riesgos principales: el escenario almacena ahora y descifra después, que puede exponer en el futuro información capturada hoy; y los largos tiempos de migración, que obligan a planificar cuanto antes las fases de descubrimiento, adquisición, despliegue y puesta en marcha.
Computación cuántica: Gobernanza, plan de migración y decálogo
El informe ahora publicado incluye un apartado sobre la gobernanza, ante la necesidad de que también a nivel organizativo las instituciones definan quién lidera la transición, cómo medir el progreso y cómo mantener el cumplimiento normativo. Del mismo modo, se ofrece una serie de pautas como un plan de migración, mecanismos de encapsulados de claves, firmas digitales, soluciones híbridas y un calendario recomendado.
Asimismo, y con el objetivo último de realizar una transición ordenada, el documento incluye el siguiente decálogo de buenas prácticas:
- La transición es un hecho, prepárate e iníciala cuanto antes.
- Asigna presupuesto y personal.
- Determina la información y activos a proteger, y durante cuánto tiempo.
- Realiza un inventario que indique los activos criptográficos empleados y sus dependencias, así como la información o activo a proteger y su criticidad.
- Establece un plan de migración en función de la criticidad de la información o activos a proteger.
- Inicia los proyectos pilotos de los sistemas que necesitan migración en función de su riesgo.
- Recuerda las fechas de la migración.
- Consulta los algoritmos y protocolos que recomienda el CCN.
- Consulta en el CPSTIC los productos y servicios quantum resistant.
- Actualiza el inventario de activos criptográficos y sus dependencias.
Archivado en:
