Агенцията за киберсигурност на Сингапур (CSA) определи срокове за подготовка на организациите за преход към квантово-устойчиви криптографски механизми. Препоръката е организациите, изложени на рискове, свързани с квантовите изчисления, да изготвят планове за миграция до 2027 г. и да се стремят да завършат прехода до 2035 г. За системите на критичната информационна инфраструктура (CII) срокът е по-кратък – до 2031 г.

Новите насоки са част от стратегията на Сингапур за ограничаване на бъдещите рискове за цифровите комуникации, финансовите транзакции и защитата на чувствителната информация. Макар все още да няма сигурна прогноза кога квантовите компютри ще достигнат възможности, позволяващи им да преодоляват широко използвани криптографски механизми, подготовката изисква време и не може да бъде отложена до появата на непосредствена заплаха.

Защо преходът трябва да започне отсега

Развитието на квантовите изчисления поставя под въпрос дългосрочната устойчивост на част от съвременните криптографски алгоритми. Достатъчно мощен квантов компютър би могъл да застраши определени широко използвани методи за защита на комуникациите и обмена на данни, включително механизми, използвани за установяване на криптографски ключове и цифрови подписи.

Рискът не се изчерпва с информацията, която може да бъде компрометирана в бъдеще. Данни, откраднати днес, могат да бъдат съхранявани и дешифрирани на по-късен етап, ако използваната защита стане преодолима. Този сценарий, известен като „събери сега, дешифрирай по-късно“, е особено важен за организации, които обработват търговски тайни, медицински досиета, правни документи и друга информация с дълъг срок на поверителност.

В същото време криптографията е внедрена в множество приложения, мрежи, облачни услуги и свързани системи. Установяването на всички зависимости, оценката на риска, изпитването на нови алгоритми и подмяната на съществуващите механизми могат да изискват значителни ресурси. При критичната инфраструктура и наследеното оборудване промените трябва да бъдат планирани така, че да не нарушават непрекъсваемостта на операциите.

Шест практически стъпки към квантова устойчивост

В актуализираните си насоки и наръчника Quantum-Safe Migration Handbook CSA очертава практически подход за подготовка, който организациите трябва да адаптират към собствените си рискове и технологична среда.

Първата стъпка е оценка на риска и определяне на приоритетите. Не е необходимо всички системи да бъдат одитирани едновременно. Организациите трябва да започнат с най-изложените активи: информация, която трябва да остане поверителна в продължение на години, интернет-достъпни услуги, облачни платформи, VPN връзки и електронна поща. Особено внимание заслужава оборудването с дълъг експлоатационен живот, включително системите за управление на сгради, промишлените контролери и производствените инсталации, които може да не позволяват бърза подмяна на криптографските механизми.

Втората стъпка е определяне на отговорностите. Организациите трябва да посочат кой отговаря за планирането и изпълнението на прехода. В големите предприятия може да се използва моделът RACI, който разпределя ролите на изпълняващите, носещите крайната отговорност, консултираните и информираните страни. В процеса трябва да участват ръководството, екипите по киберсигурност, ИТ специалистите, звената за технологична стратегия и бизнес подразделенията.

Третата стъпка е избор и изпитване на подходящи решения. За приоритетните системи трябва да се установи кои квантово-устойчиви алгоритми могат да заменят използваните в момента механизми. Изпитванията преди масовото внедряване са задължителна част от планирането, тъй като някои алгоритми могат да увеличат размера на ключовете, натоварването и изискванията към изчислителните ресурси. Това може да повлияе върху производителността и съвместимостта на съществуващите приложения.

Четвъртата стъпка е ангажиране на доставчиците и технологичните партньори. Организациите трябва да проверят дали използваните продукти поддържат квантово-устойчива криптография, какви са плановете на производителите за актуализация и дали сроковете им съответстват на собствената стратегия за миграция. Важно е да се изясни кой ще изпълнява промените, каква намеса ще се изисква от клиента и дали ще възникнат допълнителни разходи. При избор на нови продукти и подновяване на договори следва да се отчита готовността на доставчика за предстоящия преход.

Петата стъпка е повишаване на осведомеността. Ръководството трябва да разбира как квантовите изчисления могат да засегнат бизнеса, за да осигури необходимите бюджет, време и специалисти. Комуникацията трябва да се фокусира не само върху техническите характеристики, но и върху регулаторните задължения, доверието на клиентите, риска от изтичане на информация и потенциалните конкурентни последици. ИТ екипите и външните доставчици също трябва да познават основните принципи на миграцията.

Шестата стъпка е осигуряване на криптографска гъвкавост. Понеже стандартите и препоръчваните алгоритми могат да се развиват, системите трябва да позволяват подмяна на криптографските механизми с минимални прекъсвания и разходи. Организациите трябва да избягват решения, при които алгоритмите са твърдо заложени и липсва реалистичен път за актуализация. За големите предприятия могат да бъдат полезни централизирани платформи за управление на криптографията и ясни правила за избор, актуализиране и извеждане от употреба на защитните механизми.

Финансова подкрепа за пилотни проекти

За да ускори практическото изпълнение на тези мерки, CSA стартира програмата Quantum-Safe Kickstarter Grant. Тя предвижда ограничено във времето начално финансиране за организации, които искат да изпробват решения за квантово-устойчива криптография и да преодолеят практически трудности при миграцията.

Програмата ще бъде отворена от 1 ноември 2026 г. до 31 октомври 2027 г., като приоритет ще получават операторите на критична информационна инфраструктура. Всеки одобрен пилотен проект може да продължи до шест месеца. Организациите могат да реализират изпитванията със собствени ресурси или с помощта на подходящи доставчици.

Сред приоритетните направления са цялостният преход на приложение или система към квантово-устойчива криптография, откриването и инвентаризацията на криптографските механизми, както и миграцията на оперативни технологии, наследени системи и инфраструктура с висока сложност. Участниците ще трябва да представят отчет за натрупания опит и доказания ефект от проекта. Финансирането ще зависи от оценката на допустимостта, обхвата, съответствието с целите на програмата и стратегическата стойност на предложението.

Паралелно с това актуализираните Quantum Readiness Index и Quantum-Safe Handbook трябва да помогнат на организациите да оценят собствената си готовност и да планират последователно прехода.

Между осъзнаването на риска и реалната подготовка

Необходимостта от по-ранни действия се потвърждава и от проучване на ISACA, публикувано през май. Според резултатите 62% от анкетираните специалисти по технологии и киберсигурност се опасяват, че квантовите изчисления могат да преодолеят използваните в момента стандарти за интернет криптиране. Едва 5% обаче определят риска като висок приоритет в краткосрочен план, а само 5% заявяват, че организациите им разполагат с утвърдена стратегия за справяне с него.

Това разминаване показва основното предизвикателство: осъзнаването на потенциалната заплаха не означава непременно готовност за действие. Сингапур се опитва да преодолее този проблем чрез конкретни срокове, практически насоки и финансова подкрепа за пилотни проекти.

За организациите извън Сингапур тези срокове не представляват автоматично задължение. Те обаче дават ориентир за мащаба на подготовката, необходима за управление на криптографския риск. Особено важно е предприятията с чувствителни данни, критични услуги и дългосрочно използвано оборудване да започнат с инвентаризация на криптографските зависимости и оценка на рисковете.

Преходът към квантово-устойчива криптография не е еднократна подмяна на алгоритми, а дългосрочна програма за технологична модернизация и управление на риска. Колкото по-сложна е инфраструктурата и колкото по-дълго трябва да се запазва поверителността на информацията, толкова по-малко възможности остават за отлагане на подготовката до момента, в който квантовата заплаха стане непосредствена.