En la última década, la computación cuántica ha sido tratada como un horizonte lejano: un desafío teórico más que una necesidad operativa inmediata. Aunque los avances han acaparado titulares, la ausencia de una fecha límite clara para que las computadoras cuánticas puedan vulnerar los estándares criptográficos actuales ha limitado el impulso de las organizaciones para priorizar la preparación cuántica. El Índice de Preparación Cuántica Segura de IBM para 2025 revela cuánto trabajo queda por hacer: el puntaje promedio de las empresas es apenas 25 de 100. Sin embargo, esa ventana de preparación se está reduciendo rápidamente. Este año, Google advirtió que “los márgenes cuánticos pueden estar más cerca de lo que aparentan”, señalando avances en hardware, corrección de errores y algoritmos que aceleran el progreso hacia computadoras cuánticas criptográficamente relevantes. Google ha fijado además un objetivo para completar su propia migración a criptografía poscuántica (PQC) para 2029.
Aun así, esa urgencia creciente sigue sin una fecha límite firme. A diferencia del plazo binario y definido del Y2K, el perfil de riesgo cuántico es nebuloso; el umbral exacto de peligro continúa sin definirse, incluso cuando la línea de tiempo de remediación abarca varios años.
Las grandes empresas necesitan tiempo para identificar dependencias criptográficas, evaluar infraestructuras heredadas, coordinar a los proveedores y asegurar los presupuestos requeridos para la migración. Esas decisiones van mucho más allá de la criptografía y afectan la planificación, la asignación de fondos y la priorización de riesgos en el negocio. De hecho, la disponibilidad de capacidades cuánticas afectará prácticamente todas las áreas de las organizaciones a nivel global.
Encabeza la conversión de este riesgo cuántico en una prioridad empresarial integral
La preparación para el futuro poscuántico ya tiene una solución técnica definida. En 2024, NIST finalizó su primer conjunto de estándares PQC y alentó a las organizaciones a iniciar la transición cuanto antes. Para algunos sistemas, la migración puede consistir en una simple actualización de software o un cambio de configuración. Para otros, podría ser mucho más complejo. El desafío para una gran empresa es saber dónde deben ocurrir esos cambios.
Un primer paso práctico es construir una factura de materiales criptográficos (QBOM), catalogando qué criptografía se usa y dónde, qué sistemas pueden actualizarse relativamente fácil y dónde la infraestructura heredada podría requerir reemplazo u otra estrategia de mitigación. Es un esfuerzo intensivo, pero existen plataformas de software que pueden ayudar.
Luego, las organizaciones deben priorizar sistemas en función del valor de los datos y de cuánto tiempo deben permanecer protegidos. Por ejemplo, registros financieros o información de identificación personal de clientes puede requerir mayor urgencia que un registro de chat interno con poco valor a largo plazo.
La longevidad de los datos es especialmente importante porque los atacantes ya recolectan tráfico cifrado con la expectativa de que futuras computadoras cuánticas podrán leerlo, una práctica conocida como “cosechar ahora, descifrar luego” (harvest now, decrypt later). Para datos sensibles, el ataque puede haber ocurrido ya, aunque el impacto comercial aún no se haya materializado.
La exposición de datos es solo una parte de esa evaluación. La criptofirma de clave pública (PKC) también sustenta la autenticación, incluido el inicio de sesión único y otros mecanismos para establecer la identidad. Si esa base criptográfica ya no puede ser confiable, las organizaciones corren el riesgo de suplantación, con consecuencias para el acceso a aplicaciones, infraestructura y datos.
Gran parte de este trabajo queda fuera del control directo del CISO. Infraestructura, aplicaciones, datos y relaciones con terceros suelen tener propiedad compartida a lo largo del negocio, y también lo hacen los presupuestos necesarios para abordarlos. Los CISOs deben presentar un argumento de riesgo comercial que demuestre a otros líderes —el CIO, CTO, compras, cumplimiento y ejecutivos— dónde están los mayores riesgos y qué necesita atención primero.
Hacer que la agilidad criptográfica forme parte de la migración
La preparación para un futuro poscuántico también exige cripto-agilidad. Las normas criptográficas seguirán evolucionando a medida que surjan nuevas vulnerabilidades y cambien los algoritmos. Las organizaciones necesitan sistemas y plataformas que puedan acoger esos cambios sin otra migración costosa y de varios años. Eso significa comprar y construir de forma que pueda admitir cambios de algoritmos futuros a través de software, más que reemplazos de hardware.
El National Cyber Security Centre del Reino Unido recomienda incorporar esa flexibilidad en los planes de migración PQC y establecer criterios para retirar algoritmos tradicionales, con el objetivo de eliminar la dependencia exclusiva de la criptografía de clave pública tradicional. También implica replantear cómo se gestiona el presupuesto para la transición.
Las grandes empresas suelen operar con presupuestos anuales aprobados con antelación y que se ajustan poco a lo largo del año, pero una transición poscuántica puede exigir más flexibilidad a medida que evolucionen los estándares y las amenazas.
Este principio también debe influir en las adquisiciones. La compliance SOC 2 ya exige a las organizaciones revisar las políticas de privacidad de los proveedores, certificaciones y controles de acceso, pero las dependencias criptográficas pueden ser otro punto ciego. Preguntar qué estándares admite un proveedor, cómo se puede actualizar la criptografía y qué roadmap PQC ofrece puede reducir el riesgo de adquirir infraestructuras que se vuelvan difíciles o costosas de migrar más adelante.
La línea de tiempo cuántica empieza con el presupuesto de hoy
Aunque aún no exista una fecha límite firme para la preparación cuántica, los ciclos presupuestarios ofrecen un marco más disciplinado y accionable para la planificación. Ejecutar una migración de varios años requiere un compromiso financiero sostenido a lo largo de ciclos sucesivos; cada periodo presupuestario que pasa comprime la ventana disponible para la remediación.
La mayoría de los CISOs ya comprende el riesgo cuántico. El reto es convertir esa conciencia en un inventario claro, prioridades de negocio y un plan de migración por fases que pueda financiarse en los próximos ciclos presupuestarios. Comenzar hoy brinda a las organizaciones tiempo para enfocarse en sistemas de mayor riesgo y abordar la infraestructura heredada antes de que la timeline se vuelva crítica.
Este artículo forma parte de TechRadar Pro Perspectives, nuestra visión para destacar a las mentes más brillantes de la industria tecnológica actual. Las opiniones expresadas aquí son del autor y no necesariamente reflejan a TechRadarPro o Future plc. Si estás interesado en contribuir, consulta esta oportunidad.
from Latest from TechRadar https://ift.tt/JzjMUtD
via IFTTT IA
Pacosite's Blog 