Durante años, la computación cuántica habitó un lugar extraño en la conversación de ciberseguridad: lo suficientemente importante como para preocuparse, pero suficientemente distante como para dejarlo para otro día. Al preguntar a un CISO qué es lo que les mantiene despiertos por la noche, la computación cuántica rara vez figuraba en el top cinco. Todavía se siente distante, teórica, un problema de otro siglo para 2030 y pico.

Esa estimación empieza a parecer incorrecta.

Gartner predice que para 2030 los avances en computación cuántica harán inseguro el uso de la criptografía asimétrica convencional. Cuatro años de margen suenan a alivio, pero no lo es. Reemplazar la criptografía incrustada en una infraestructura tecnológica moderna no es un ciclo de parcheo. Es una transformación multianual que afecta aplicaciones, infraestructura, sistemas de identidad, proveedores y desarrolladores, todas a la vez.

El reloj ya está corriendo. La mayoría de las organizaciones simplemente no se ha dado cuenta de que ya empezó o no aprecia cuánta tiempo les queda realmente.

Esto nunca fue realmente una pregunta tecnológica

La innovación cuántica avanza a ritmo sostenido: IBM, Amazon y Google publicando hojas de ruta o avances en corrección de errores y estabilidad de qubits. Tomados en conjunto, cuentan una historia consistente: el plazo para un ordenador cuántico criptográficamente relevante se está estrechando, no ampliándose.

Pero para la empresa promedio, ese no es el pregunta más útil ahora mismo. La pregunta más incómoda es: ¿cuánta criptografía realmente poseemos, sabemos dónde vive y podríamos cambiarla si fuera necesario?

La criptografía no es una categoría de producto a la que se pueda señalar. Está integrada en todo, incrustada en software de proveedores, en el protocolo TLS de los handshakes, trabajando discretamente dentro de sistemas de identidad y acceso que nadie tiene presente. La investigación de Gartner cuantifica el punto ciego: el 61% de las organizaciones carece de visibilidad total sobre sus propios sistemas criptográficos.

Los CIOs y líderes de IT no pueden migrar de un riesgo que no pueden ver. Esa estadística, más que el propio avance cuántico, es la verdadera preocupación.

El ataque ya ha comenzado

Aquí está lo inquietante. No necesitas una computadora cuántica funcionando hoy para que la amenaza esté vigente hoy. Los adversarios, especialmente actores estatales bien financiados, ya están en lo que la industria llama “recoger ahora, descifrar después”: recolectan datos cifrados, los guardan y esperan el día en que la descifrado se vuelva trivial.

Para cualquier cosa con una vida útil larga, como registros gubernamentales, expedientes médicos, propiedad intelectual o contratos legales, un avance a cinco años vista ya es un problema de hoy, porque la sustracción ocurre ya.

Criptografiado de forma segura hoy no significa seguro durante toda la vida útil de los datos. Esa es la frase que cada líder de seguridad debe poner a prueba con su estrategia actual.

La agilidad criptográfica es la verdadera riqueza

Existe la tentación para CIOs y líderes de IT de tratar la criptografía poscuántica como un cambio: quitar un algoritmo antiguo, insertar uno resistente cuánticamente, listo. No funciona así. Los nuevos algoritmos no son reemplazos directos.

Los tamaños de clave mayores consumen memoria en sistemas antiguos, las operaciones de firma corren a velocidades diferentes, y las suposiciones de rendimiento incrustadas en aplicaciones heredadas se rompen silenciosamente. Además, aún se están desarrollando estándares, lo que significa que la sustitución de hoy podría convertirse en deuda criptográfica mañana.

Por eso, la capacidad que realmente importa no es un algoritmo específico. Es la agilidad criptográfica: la capacidad de cambiar algoritmos criptográficos, claves y protocolos rápidamente, sin reingenierizar el negocio que los rodea. Y las organizaciones ya empiezan a enfocarse en construirla, junto con prototipos o evaluaciones de algoritmos poscuánticos.

Construye la agilidad criptográfica de forma adecuada y no solo te preparas para la cuántica. Estás solucionando algo más antiguo: la deuda técnica criptográfica que habría causado dolor en la próxima debilidad algorítmica, independientemente de qué la desencadenara. La cuántica es la fecha límite. La deuda técnica es la enfermedad.

Además, la criptografía híbrida, que combina mecanismos clásicos y poscuánticos durante la transición, ofrece algo de respiro. Trátala como andamio, no como destino final. Los métodos clásicos tienen una vida útil en años impares.

Por qué ahora, cuando nadie puede predecir la fecha exacta

Existe una tendencia natural a esperar la certeza, a ver exactamente cuándo llega una computadora cuántica criptográficamente relevante antes de asignar presupuesto. Esa tendencia es una mala estrategia para una transformación medida en años, no en sprints.

Las organizaciones no necesitan conocer la fecha. Necesitan empezar a construir visibilidad y flexibilidad ahora, para poder actuar cuando sea necesario. El primer paso poco glamoroso: crear un inventario. Escanear el estate, catalogar cada componente criptográfico, alimentar los hallazgos en el panel de deuda técnica que tenga la atención ejecutiva. Esto saca a la luz algoritmos caducados, versiones TLS obsoletas y dependencias de proveedores, y da a la migración una base fáctica en lugar de una conjetura.

Luego, prioriza. Una base de datos de marketing que esté obsoleta en dieciocho meses tiene un perfil de riesgo muy diferente a un contrato gubernamental de diez años o a una credencial de identidad destinada a durar toda una generación. Pregunta qué información aún necesita protección después de 2030. Esa lista pasa al top. Luego pregunta qué casos de uso podrían deshabilitar el negocio y aborda esos primero.

Esto no puede transferirse al equipo de seguridad

Un error es tratar la migración poscuántica como un proyecto de seguridad con un responsable de seguridad. No lo es. Los desarrolladores deben entender cómo los cambios de algoritmo impactan el rendimiento de las aplicaciones. Los equipos de nube y de red heredan cambios de protocolo. Los equipos de identidad son responsables de las dependencias de autenticación.

La adquisición debe interrogar a los proveedores sobre sus propios plazos, porque una gran parte de la criptografía empresarial llega empacada dentro de software de terceros que nadie controla directamente.

Igualmente, empujar esto a los propietarios de sistemas individuales sin una coordinación central es una vía segura hacia el fracaso, llevando a decisiones inconsistentes, a una visión de progreso fragmentada y a brechas justo donde los atacantes miran primero.

Un Centro de Excelencia Criptográfica, que reúna IT, desarrollo y seguridad de datos bajo un mismo techo, no es una teatralidad de gobernanza. Es lo que evita que la respuesta se deshaga en un parche suelto.

La pregunta real no es cuántico, sino cuán resiliente es la arquitectura

Descifra las siglas y verás que la historia deja de ser sobre qubits. Se convierte en una prueba de cuán resistente es la arquitectura de una organización, si sabe dónde está su criptografía, comprende qué datos requieren protección a largo plazo y puede cambiar mecanismos criptográficos sin reconstruir desde cero.

Las organizaciones más expuestas no serán aquellas con los algoritmos más débiles. Serán las que siguen viendo la cuántica como una historia tecnológica distante en lugar de un problema de resiliencia que ya está en los libros de hoy. Cuando la amenaza sea evidente para todos, la parte difícil—desentrañar años de dependencias criptográficas—ya habrá quedado fuera de plazo.

La era cuántica se acerca. El esfuerzo de migración no.

Hemos presentado el mejor software de protección de endpoints.

Este artículo se elaboró como parte de TechRadar Pro Perspectives, nuestro canal para presentar las mentes más brillantes de la industria tecnológica hoy.

Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, obtenga más información aquí: https://www.techradar.com/pro/perspectives-how-to-submit

from Latest from TechRadar https://ift.tt/G2bxMmW
via IFTTT IA