Microsoft ha informado sobre una estimación de llegada de una computadora cuántica comercialmente viable, situándola en 2029 como fecha probable. Para las empresas, eso significa estar a tan solo diez reuniones de junta trimestrales de distancia.

Cada nueva predicción reaviva el debate sobre cuándo llegará realmente el Q-Day, pero lo más apremiante es el periodo de preparación que esto ofrece a las organizaciones. La preparación cuántica no es algo que se pueda lograr de la noche a la mañana. Para cuando llegue una computadora cuántica cryptográficamente relevante, las empresas ya deberán haber identificado sistemas vulnerables, mapeado datos críticos y comenzado su migración. El Q-day no marca el inicio de la preparación, sino el momento en que dicha preparación será evaluada.

Tratar la cuántica como un problema de mañana corre el riesgo de repetir un error similar al ocurrido con Y2K. Los consejos de administración deben reconocerlo como un riesgo empresarial crítico. El debate sobre cronogramas es una distracción que no podemos permitirnos, especialmente cuando podría existir adversarios recopilando datos para descifrarlos en una fecha futura.

Cómo podría desaparecer la confianza en los datos empresariales de la noche a la mañana

Para datos de larga vida —como registros financieros, propiedad intelectual o datos de identidad— el riesgo no comienza solo cuando una computadora cuántica rompe la criptografía de hoy. El riesgo ya existe a través de ataques de recolección ahora y decrujado después, donde atacantes recogen datos cifrados hoy con la intención de descifrarlos cuando las computadoras cuánticas sean suficientemente potentes y viables.

Muchas empresas minimizan este riesgo por dos motivos: creen que, incluso si se recolectan datos cifrados, el gran volumen limita la amenaza. Pero quizá no han considerado el poder de la IA y la cuántica trabajando juntas. La IA ha permitido revisar terabytes de datos casi al instante, identificando información de alto valor a gran escala. Y eso es exactamente lo que harán los actores malintencionados una vez que la cuántica pueda romper la cryptografía.

Otros asumen que no están en riesgo porque disponen de poco datos de larga vida para robar. Sin embargo, el impacto de una violación va más allá de la información expuesta: una vez que la integridad de los datos se pone en duda, la confianza en los sistemas, contratos, transacciones e incluso en la propiedad intelectual basada en esos datos se erosiona rápidamente. En ese punto, el problema se convierte en una pérdida de confianza.

Por qué el riesgo no recae sólo en el CISO

Para muchos consejos, la seguridad cuántica suena como un desafío tecnológico especializado. En realidad es un desafío de liderazgo que afecta gobernanza, resiliencia, cumplimiento y responsabilidad corporativa.

Las consecuencias van desde la exposición regulatoria y el riesgo de proveedores hasta la confianza de clientes, la resiliencia operativa y, en última instancia, la confianza en los datos que sustentan decisiones estratégicas y modelos de IA sobre los que se estructura gran parte de la actividad empresarial. Si la información sensible ya no puede ser confiable, tampoco pueden confiarse las decisiones, transacciones o servicios que se construyen sobre ella. Con la adopción de herramientas de IA y automatización, la confianza en los datos se ha convertido en un activo de negocio por derecho propio.

Por eso la preparación cuántica no puede quedar solo en manos del CISO. Los equipos de seguridad juegan un papel crítico en identificar la exposición y planificar la migración, pero la responsabilidad final de la resiliencia a largo plazo recae en el liderazgo.

Una buena gobernanza implica adelantarse a los riesgos materiales antes de que se vuelvan urgentes. Retrasar la migración a criptografía postcuántica (PQC) es uno de los riesgos tecnológicos más significativos de la década, y las juntas que actúen ahora podrán demostrar exactamente cuán importante es para la seguridad futura de una empresa.

Por qué la migración empezará a rendir frutos ya

Una de las razones por las que las organizaciones subestiman el reto es la suposición de que la preparación cuántica solo implica sustituir un algoritmo de cifrado por otro. En realidad, los sistemas criptográficos están altamente interconectados: cambiar un componente suele tener implicaciones en otros lugares.

Antes de que una organización pueda declararse cuánticamente preparada, debe entender y tener visión completa de todo su ecosistema criptográfico. Esto incluye dónde se usa la cifración, cómo interactúan los sistemas y, por tanto, qué activos se verán afectados por el cambio. Sin ese conocimiento, es imposible planificar una estrategia de migración efectiva.

Si bien el camino hacia la preparación cuántica no es breve, el proceso aporta valor inmediato. Mapear las dependencias criptográficas a menudo revela debilidades de seguridad existentes y lagunas de gobernanza que las organizaciones pueden y deben abordar hoy.

Así, en muchos casos, el esfuerzo necesario para prepararse ante amenazas cuánticas también refuerza la resiliencia frente a las amenazas actuales, entregando un retorno de inversión más rápido de lo que muchos esperan.

Qué deberían hacer las juntas ahora

Las juntas no necesitan convertirse en criptógrafos de la noche a la mañana, pero sí deben empezar a hacer mejores preguntas y aceptar que la seguridad cuántica es un tema de presente.

Deberían plantearse las preguntas correctas ante las personas adecuadas. Esto incluye:

• Quién lidera nuestra estrategia de preparación cuántica en el negocio?
• ¿Sabemos identificar dónde estamos más expuestos a lo largo de las cadenas de suministro?
• ¿Qué activos de datos seguirían siendo sensibles si se exponen dentro de diez o veinte años?
• ¿Dónde dependemos de la criptografía en toda la organización?
• ¿Tenemos un plan para identificar y reemplazar sistemas vulnerables y dependencias de proveedores?
• ¿Comprendemos la diferencia en costo, complejidad, posición competitiva y riesgo reputacional entre empezar hoy versus esperar hasta 2029?

Las organizaciones que actúen con rapidez utilizarán este periodo de alerta para entender su exposición y modernizar su criptografía, situándose en una posición que demuestre haber tomado medidas razonables mientras aún había tiempo.

La buena noticia es que empezar la migración a PQC es mucho más sencillo de lo que las juntas pueden creer. El primer paso es mapear el inventario criptográfico de la empresa. Y, más allá de ser una inversión futura, esto ayudará a identificar vulnerabilidades actuales también.

Lo importante es dar el primer paso cuanto antes, ya que es un proceso largo que no sucederá de la noche a la mañana. La pregunta que las juntas deben hacerse ahora es: “si la cuántica llegara mañana, ¿qué expondría sobre su organización?”. Si el liderazgo no puede responder con confianza hoy, todavía hay trabajo por hacer.

Este artículo forma parte de TechRadar Pro Perspectives, nuestro canal para presentar las ideas de las mentes más brillantes de la industria tecnológica actual.

from Latest from TechRadar https://ift.tt/QlYLNHr
via IFTTT IA