Предприятията вярват, че са подготвени за предизвикателствата пред сигурността, произтичащи от квантовите изчисления, но пропуските в отговорността, тестването и видимостта могат да усложнят прехода им към постквантова криптография (PQC), според ново проучване на Axiad.

Кой отговаря за миграцията към PQC?

Организациите трябва да знаят къде се използват сертификати, криптографски ключове и алгоритми, преди да могат да планират PQC миграция. Около 75% от респондентите заявяват, че поддържат постоянно актуализиран опис на тези активи. Отговорите относно собствеността и тестването обаче показват, че видимостта невинаги се превръща в готовност за миграция.

„Готовността за PQC не може да се основава на това, което една организация вярва, че държи под контрол. Тя трябва да се основава на това, което тя действително може да види, провери и по което може да предприеме действия“, казва Дейвид Канелос, главен изпълнителен директор на Axiad.

„Организациите може да вярват, че знаят къде се намират техните сертификати, ключове и криптографски алгоритми, но това изследване показва, че увереността може да се срине, когато попитате кой притежава миграцията, какво действително е тествано и къде организацията остава уязвима. Първата стъпка към постквантова готовност е установяването на непрекъсната видимост в криптографската среда, така че лидерите да могат да заменят предположенията с доказателства.“

Миграцията към PQC страда от липса на дефинирана отговорност

Някои 46% от организациите нямат нито едно конкретно лице, отговорно за ръководенето на тяхната PQC миграция. Повечето от тези организации разпределят отговорността между екип, без да възлагат на един човек да наблюдава програмата. Докладът установява, че 39% казват, че отговорността е споделена в рамките на екип без конкретен собственик.

Дефинираната собственост е от значение, тъй като миграцията към PQC може да отнеме няколко години и да засегне системи, използвани за криптиране, цифрови подписи и автентификация. Без някой, който да отговаря за координирането на работата, организациите могат да се затруднят да превърнат целите за сигурност в планове за миграция, бюджети и графици за тестване.

Около половината от респондентите никога не са извършвали официална оценка дали тяхната публична инфраструктура поддържа постквантов обмен на ключове, което ги оставя с ограничена представа за това къде може да са необходими промени.

Ръководителите са по-уверени от специалистите по сигурността

Доверието нараства със заемания ранг, но оптимизмът относно криптографската готовност спада рязко за PKI специалистите, които управляват сертификати и ключове. Същият модел се появява и при другите измервания на готовността. От Axiad предупреждават, че извадката от специалисти по сигурността е малка и че резултатите трябва да се разглеждат по-скоро като насочващ модел, отколкото като точна оценка.

Констатациите предполагат или че ръководителите отчитат ниво на готовност, което собствените им екипи не могат да потвърдят, или че специалистите нямат видимост върху описите и оценките, извършени на други места в организацията. Тази пропаст има пряко отражение върху планирането на PQC, тъй като сроковете за миграция зависят от точното разбиране на съществуващите криптографски системи.

Заплахата „събирай сега, декриптирай по-късно“ засилва натиска за действия

Преходът се движи и от заплахата „събирай сега, декриптирай по-късно“. Атакуващите могат да събират криптирани данни и да ги съхраняват с надеждата, че бъдещите квантови компютри ще могат да ги декриптират.

Рискът е особено важен за информация, която трябва да остане поверителна в продължение на години, включително здравни, финансови и класифицирани данни. Около 67% от анкетираните казват, че заплахата е активен приоритет и се предприемат конкретни стъпки, докато една трета не са предприели конкретни действия.

Дори организации, които се смятат за подготвени, срещат предизвикателства при придвижването на PQC проекти напред. Конкуриращите се приоритети за сигурност са най-често цитираната пречка пред миграцията, последвана от бюджетните ограничения и необходимостта от повече регулаторни насоки.