UE szykuje się na erę komputerów kwantowych

Do końca 2026 roku państwa członkowskie Unii Europejskiej powinny rozpocząć proces wymiany obecnych mechanizmów kryptograficznych na rozwiązania odporne na zagrożenia związane z rozwojem komputerów kwantowych – wynika z rekomendacji UE. W przypadku infrastruktury krytycznej proces ten powinien zakończyć się najpóźniej do końca 2030 roku. Tymczasem według globalnego badania ISACA zaledwie 5% firm ma określoną strategię dotyczącą komputerów kwantowych, a 55% nie podjęło jeszcze żadnych działań przygotowawczych. Choć Q-Day, czyli moment, w którym komputer kwantowy będzie zdolny do praktycznego przełamywania powszechnie stosowanych dziś mechanizmów kryptografii klucza publicznego, pozostaje trudny do przewidzenia, zagrożenie jest realne tu i teraz. Przedsiębiorstwa powinny traktować przygotowania do ery postkwantowej jako element długofalowego zarządzania ryzykiem biznesowym, a nie wyłącznie zagadnienie techniczne. Przez wiele lat bezpieczeństwo kryptograficzne postrzegano jako obszar wymagający reagowania dopiero w momencie pojawienia się nowego rodzaju zagrożeń. W przypadku komputerów kwantowych takie podejście przestaje być jednak wystarczające, ponieważ dane o wysokiej wartości biznesowej mogą zachować znaczenie – zarówno dla właściciela, jak i podmiotu próbującego uzyskać do nich nieuprawniony dostęp – przez wiele lat. Dotyczy to między innymi własności intelektualnej, dokumentacji projektowej, informacji finansowych czy danych wykorzystywanych do trenowania modeli sztucznej inteligencji. Jeżeli zostaną one przechwycone dzisiaj, w przyszłości mogą zostać odszyfrowane przy wykorzystaniu znacznie większych możliwości obliczeniowych. Dlatego instytucje publiczne na świecie już rozpoczynają przygotowania do zmian. Obok europejskiego harmonogramu migracji, plan przechodzenia administracji na rozwiązania wykorzystujące kryptografię postkwantową opracowano także w Stanach Zjednoczonych. Nie oznacza to konieczności natychmiastowej wymiany wszystkich systemów. Pokazuje jednak, że transformacja będzie wieloletnim procesem, który – jeśli zaplanowany z wyprzedzeniem – pozwoli rozłożyć modernizację i inwestycje w czasie, zamiast realizować je na ostatnią chwilę pod presją terminów i rosnących kosztów. Najpierw trzeba wiedzieć, co chronić Pierwszym krokiem przygotowań do nowej ery zagrożeń nie powinno być wdrażanie nowych algorytmów kryptograficznych, lecz zrozumienie, gdzie i w jaki sposób w firmie wykorzystywane są obecne mechanizmy szyfrowania. W dużych przedsiębiorstwach funkcjonują tysiące połączeń pomiędzy aplikacjami, systemami i usługami działającymi w różnych lokalizacjach oraz środowiskach chmurowych. Bez wiedzy o wykorzystywanych protokołach, certyfikatach i mechanizmach wymiany kluczy trudno oszacować skalę przyszłej migracji, określić jej koszty czy ustalić priorytety. Taki przegląd pozwala odpowiedzieć na pytanie, jakie zasoby rzeczywiście wymagają ochrony w perspektywie wielu lat. Nie wszystkie dane mają tę samą wartość i nie wszystkie będą wymagały identycznego podejścia. Przedsiębiorstwa powinny ocenić, które informacje są najbardziej wrażliwe, jak długo muszą pozostać poufne i od jakich mechanizmów bezpieczeństwa są obecnie zależne. Dopiero na tej podstawie można zdecydować, które elementy infrastruktury powinny zostać zmodernizowane w pierwszej kolejności. Samo wskazanie obszarów wymagających zmian również nie wystarczy. Nowe rozwiązania trzeba wcześniej bezpiecznie przetestować i sprawdzić, jak wpłyną na wydajność aplikacji, opóźnienia komunikacji oraz działanie istniejących systemów. Dzięki temu migracja może być realizowana etapami, bez niepotrzebnego ryzyka dla ciągłości działania przedsiębiorstwa. W praktyce właśnie możliwość spokojnego testowania i stopniowego wdrażania zmian jest jednym z najważniejszych argumentów za rozpoczęciem przygotowań odpowiednio wcześnie. Modernizacja na lata nie na chwilę Przejście na kryptografię postkwantową nie będzie sprowadzało się do wymiany jednego algorytmu na inny. W wielu firmach funkcjonują setki aplikacji rozwijanych przez różne zespoły i wykorzystujących odmienne biblioteki kryptograficzne. Modernizowanie każdej z nich niezależnie mogłoby oznaczać wieloletni projekt, którego koszty i złożoność rosłyby wraz z każdym kolejnym systemem. Dlatego coraz większego znaczenia nabiera podejście, w którym mechanizmy bezpieczeństwa są w możliwie dużym stopniu zarządzane na poziomie platformy i infrastruktury, a nie każdej aplikacji osobno. Pozwala to ograniczyć liczbę punktowych zmian, zachować spójność ochrony i sprawniej wprowadzać kolejne standardy kryptograficzne w przyszłości. Z perspektywy biznesowej oznacza to krótszy czas transformacji, mniejsze ryzyko błędów oraz większą przewidywalność kosztów utrzymania środowiska IT. To szczególnie istotne dlatego, że kryptografia postkwantowa nie będzie ostatnią zmianą, z jaką przedsiębiorstwa będą musiały się zmierzyć. Najważniejszym celem nie powinno być więc wyłącznie dostosowanie infrastruktury do jednego nowego standardu, lecz zbudowanie środowiska zdolnego do sprawnego reagowania na kolejne zmiany w obszarze bezpieczeństwa. Architektura IT, która pozwala centralnie aktualizować mechanizmy ochronne, ogranicza zależność od ręcznej konfiguracji poszczególnych aplikacji i ułatwia spełnianie zmieniających się wymagań regulacyjnych. Przygotowania do ery postkwantowej mogą więc stać się impulsem do uporządkowania środowiska IT już dziś, zamiast być wyłącznie inwestycją w ochronę przed jednym zagrożeniem przyszłości. Q-Day nie powinien być pierwszym dniem przygotowań Nie wiadomo, kiedy pojawią się komputery kwantowe zdolne do przełamywania powszechnie stosowanych dziś zabezpieczeń. Znacznie łatwiej przewidzieć coś innego: dostosowanie dużych i złożonych środowisk IT do nowych standardów kryptograficznych będzie wymagało czasu. Dlatego przedsiębiorstwa powinny traktować przygotowania do ery postkwantowej jako element długoterminowej strategii rozwoju infrastruktury i zarządzania ryzykiem. Wczesne rozpoczęcie prac pozwala rozłożyć inwestycje na kolejne lata, modernizować środowisko etapami i ograniczyć ryzyko operacyjne związane z gwałtowną zmianą technologii. Największym błędem byłoby potraktowanie Q-Day jako momentu, w którym należy rozpocząć przygotowania. Gdy nowe zabezpieczenia staną się koniecznością, firmy powinny być już gotowe do ich wdrożenia, a nie dopiero zastanawiać się, które systemy i dane wymagają ochrony.