Gli avversari degli Stati nazionali e le organizzazioni criminali informatiche stanno investendo molto nella ricerca quantistica, motivati dalla promessa di rompere la crittografia a chiave pubblica così come la conosciamo. In qualità di leader responsabili della protezione dei sistemi federali e delle infrastrutture nazionali critiche, dobbiamo andare oltre la consapevolezza e andare verso un’implementazione strategica e aggressiva.
Negli ultimi anni, i progressi tecnologici nel calcolo quantistico hanno creato un senso di urgenza. La Community federale della sicurezza informatica ora ha la chiarezza di cui ha bisogno per agire. Con il National Institute for Standards and Technology (NIST) che finalizza i primi standard PQC nel 2024, la pubblicazione del NIST IR 8545 che fornisce una roadmap di migrazione strutturata e il mandato M-23-02 di OMB che richiede report annuali sulle risorse quantistiche vulnerabili, le agenzie hanno ordini chiari di marcia. In combinazione con le tempistiche CNSS che mirano a 2030 per deprecare la crittografia vulnerabile e 2035 per i sistemi classificati, il percorso è definito, ma la finestra per agire si sta restringendo.
I primi segnali dell’amministrazione Trump suggeriscono continuità nel dare priorità alla preparazione quantistica, anche se con un occhio verso l’efficienza dei costi e la garanzia della missione. Le tendenze indicano la riaffermazione che la preparazione quantistica rimane una priorità bipartisan.
Aggiungendo urgenza a questi sforzi, un recente studio stima che la transizione dei sistemi federali statunitensi alla crittografia post-quantistica costerà circa 7,1 miliardi di dollari. Questa cifra sottolinea il significativo investimento necessario per proteggere i sistemi di sicurezza nazionale dalle future minacce quantistiche.
Nel loro insieme, questi sviluppi segnalano un punto di flesso. Non stiamo più discutendo "se" i computer quantistici avranno un impatto sulla sicurezza nazionale, ma "quando" e quali misure devono essere pianificate e implementate.
Per i leader federali alla ricerca di quadri pratici per iniziare il loro viaggio, il nostro recente webinar Carahsoft con Tanium, Accenture Federal Services ed esperti del NIST ha offerto una guida pratica sui passi che le agenzie dovrebbero intraprendere ora. Per approfondire gli standard quantistici emergenti, le strategie pratiche di inventario crittografico e la collaborazione tra governo e industria, puoi esplorare le recenti discussioni tenute dai principali esperti in questo webinar qui.
La minaccia quantistica: realtà strategiche e tattiche
L’incombente sfida quantistica ricorda l’era Y2K in termini di complessità e urgenza: tempistiche strette, interdipendenze complesse e sistemi mission-critical in gioco. Ma oggi la posta in gioco è ancora più alta.
I leader federali devono interiorizzare tre realtà critiche sulla minaccia quantistica:
- Inventario crittografico completoL
'inventario non è "bello da avere": è il fondamento di qualsiasi strategia di migrazione. Senza un rilevamento chiaro e automatizzato di certificati, librerie, protocolli e moduli crittografici in uso in tutta l'azienda, si va alla cieca.Le piattaforme
moderne come Tanium Certificate Manager offrono la possibilità di automatizzare il rilevamento su larga scala, scoprendo le vulnerabilità che i fogli di calcolo e i processi manuali semplicemente non sono in grado di Detect.
Come ha sottolineato Bill Newhouse del NIST durante la nostra discussione, la maggior parte delle agenzie sottovaluta la proliferazione della crittografia nei loro ambienti. Senza strumenti moderni, rischiano di perdere risorse critiche o di scoprire troppo tardi che i loro sistemi sono quantum-vulnerabili. - Prioritizzazione e gestione del rischio
Non tutte le risorse crittografiche sono uguali. Le agenzie devono stabilire le priorità in base a:
• Sensibilità dei dati (ad es. PII, dati di sicurezza nazionale) • Criticità della missione (ad es. comando e controllo, sistemi di sanità pubblica) • Esposizione alle minacce (ad es. sistemi rivolti all’esterno) La migrazione dei PQC alle architetture Zero Trust fornisce un percorso strategico per il futuro, unendo le iniziative piuttosto che duplicandole. - Le
implementazioni crittografiche ibride, che combinano algoritmi classici e quantistici, introducono nuove sfide in termini di prestazioni e interoperabilità. TLS sessioni, catene di certificati, dimensioni del buffer: tutti devono essere testati in modo esaustivo.
I professionisti federali devono costruire banchi di prova ora. Aspettare che le soluzioni PQC “perfette” maturino è un errore strategico. L’adozione tempestiva di implementazioni ibride, con gestione controllata del rischio, è fondamentale.
Le soluzioni presentate di recente, tra cui il rilevamento automatico dei certificati e la visibilità crittografica in tempo reale di Tanium e Accenture Federal Services, evidenziano come può essere un percorso pragmatico di test e migrazione. - Educazione alla leadership e comunicazione strategica
La leadership deve essere portata nella conversazione sulla preparazione quantistica ora. I CIO e i CISO devono capire che la migrazione della crittografia quantistica non è un problema di sola tecnologia, ma un problema di gestione del rischio aziendale.
I cicli di budget sono stretti. Le richieste di missione sono in aumento. La migrazione quantistica deve essere inquadrata non come un’iniziativa IT, ma come essenziale per la sicurezza nazionale, la resilienza operativa e la conformità normativa.
Guardando al futuro: il percorso verso sistemi federali resilienti quantistici
Non esiste un singolo "giorno quantico" in cui i sistemi si rompono durante la notte. Piuttosto, l'erosione della fiducia nella crittografia legacy sarà graduale e le agenzie che si muovono più velocemente oggi manterranno il vantaggio operativo domani.
Gli elementi chiave dei programmi di migrazione quantistica di successo includeranno:
- Programmi pilota iniziali che utilizzano algoritmi PQC approvati dal NIST
- Team di migrazione interfunzionali che combinano cybersecurity, proprietari di applicazioni, funzionari di approvvigionamento e consulenti legali
- Coinvolgimento dei fornitori per garantire che i fornitori incorporino i PQC negli approvvigionamenti futuri
- Monitoraggio continuo e cripto-agility che consentono una risposta rapida a minacce e standard in continua evoluzione
La migrazione non è semplicemente “smontare e sostituire”. Si tratta di una trasformazione nel modo in cui visualizziamo, gestiamo e proteggiamo i dati a riposo e in transito.
Azione unificata, missione urgente
In tutti i settori pubblico e privato, una verità è chiara: la minaccia della crittografia post-quantistica è reale. Il tempo stringe. La finestra per l’azione è adesso.
In qualità di Community federale IT e di sicurezza informatica, abbiamo affrontato sfide di trasformazione in passato, dalla Y2K all’adozione del cloud e Zero Trust. La transizione post-quantistica richiede lo stesso spirito di collaborazione, ingegnosità ed esecuzione implacabile.
La sicurezza delle nostre missioni – e la fiducia del popolo americano – dipendono da questo. Mettiamoci al lavoro.
