Las empresas afrontan un plazo post-cuántico sin fecha

La computación cuántica ya no es una preocupación de seguridad lejana para las empresas. Los plazos para la migración post-cuántica ya están llegando, aunque las organizaciones que los fijan no coinciden en una única fecha: Google se ha comprometido a completar su migración para 2029, el Centro Nacional de Seguridad Cibernética del Reino Unido (NCSC) dice 2035, y el G7 dice 2034.

Los plazos siguen a la finalización por parte de NIST de su primer conjunto completo de estándares criptográficos post-cuánticos, lo que ha provocado que en sectores regulados la planificación de la migración sea obligatoria. El análisis de TechRadar, producido como parte de su serie Pro Perspectives, sostiene que las diferencias de calendario importan menos que la conclusión compartida: las compañías deben empezar a prepararse ahora.

La amenaza de «recopilar ahora, descifrar después»

A diferencia del problema del Y2K, el riesgo cuántico no está ligado a una fecha específica. Los atacantes ya pueden recopilar datos cifrados y conservarlos hasta que existan ordenadores cuánticos lo bastante potentes para descifrarlos —una estrategia conocida como «recopilar ahora, descifrar después».

Eso crea un problema para la información con una vida útil larga. Registros financieros, datos personales e propiedad intelectual pueden seguir siendo sensibles durante años o décadas, lo que significa que las decisiones de cifrado tomadas hoy podrían afectar la seguridad y la reputación futuras.

Según el artículo de TechRadar, el 87% de las organizaciones están preocupadas por escenarios de recopilación ahora y descifrado después a medida que avanza la computación cuántica. También se describe el progreso en hardware cuántico y en optimización cuántica acelerada por IA como factores que acercan el «Q-Day», aunque el artículo no ofrece una previsión específica sobre cuándo llegará esa capacidad.

Recomendado

Horizon3 recauda 250 millones de dólares con una valoración de 2.000 millones de dólares

El tema ya ha ido ganando atención más allá de la criptografía. Investigadores han estudiado tanto las posibles vulnerabilidades de la comunicación cuántica como las formas en que los sistemas cuánticos podrían mejorar las predicciones de aprendizaje automático, como ilustra investigación reciente sobre aleatoriedad cuántica y redes neuronales. Esos avances no establecen un calendario para romper el cifrado actual, pero refuerzan por qué las organizaciones tratan la computación cuántica como un asunto de planificación operativa y no solo como investigación teórica.

Por qué la migración post-cuántica es más difícil que Y2K

La remediación del Y2K se centró en un problema de software relativamente bien definido: sistemas que almacenaban años usando dos dígitos en lugar de cuatro. La criptografía post-cuántica es más amplia porque los controles criptográficos están integrados en toda la infraestructura moderna, incluyendo:

• Aplicaciones y APIs
• Servicios en la nube
• Dispositivos de Internet de las cosas
• Tecnología operativa
• Certificados y conjuntos de cifrado
• Integraciones con terceros

Muchos de esos controles son invisibles para los equipos responsables de asegurarles, y la documentación puede ser incompleta. Por tanto, las organizaciones no pueden simplemente reemplazar un componente conocido. Primero necesitan descubrir dónde se usa el cifrado, qué protocolos están activos y qué dependencias existen entre sistemas gestionados y no gestionados.

El punto de partida recomendado es un inventario exhaustivo de activos criptográficos. Eso implica identificar conjuntos de cifrado débiles, certificados caducados y métodos de cifrado que ya no cumplen los requisitos de cumplimiento. El artículo recomienda luego estandarizar protocolos más fuertes como Seguridad de la Capa de Transporte (TLS) 1.3.

Afirma que versiones antiguas, incluidas TLS 1.1 y TLS 1.2, serán rotas por ordenadores cuánticos en «horas, minutos o incluso segundos». La pieza no proporciona una base técnica ni un punto de referencia para ese plazo específico, por lo que las empresas deberían tratarlo como una afirmación y no como una previsión cuantificada.

La visibilidad es el primer requisito de la migración

Una compañía no puede reemplazar criptografía que no sabe que está usando. Según el artículo, el 91% de las organizaciones considera crítica la visibilidad del tráfico cifrado para estar preparadas ante lo post-cuántico.

La telemetría derivada de la red se presenta como una forma de construir esa visibilidad. Al examinar los flujos de tráfico y los metadatos, los equipos de seguridad pueden mapear el uso criptográfico en sistemas que pueden no aparecer en inventarios internos. Esta visión desde fuera puede revelar dependencias ocultas, incluidas conexiones con activos no gestionados y servicios de terceros.

Esa información respalda tres pasos prácticos: evaluar el riesgo con mayor precisión, priorizar la remediación y comprobar que el paso a criptografía resistente a la cuántica no genere nuevas debilidades en otros lugares. La migración también requiere coordinación entre los equipos de seguridad, infraestructura, desarrollo y cumplimiento, así como con proveedores y socios estratégicos.

La lección del Y2K es empezar antes del plazo

El Y2K acabó provocando grandes actualizaciones de infraestructura porque las organizaciones trataron un problema conocido y distribuido como un programa de trabajo en lugar de esperar a una crisis puntual. TechRadar extrae la misma lección para la criptografía post-cuántica. En 1995, la New York Stock Exchange había gastado más de 30 millones de dólares en remediar sus sistemas, lo que demuestra lo caro que puede resultar preparar las cosas en la fase final incluso cuando se entiende el problema subyacente.

La diferencia hoy es que la migración cuántica abarca una pila tecnológica más interconectada e implica datos que los adversarios pueden ya estar recopilando. Las organizaciones que inventarien sus activos criptográficos, monitoricen el tráfico cifrado y creen planes de transición estructurados pueden controlar la secuencia de sus cambios. Las que esperen se enfrentarán a una ventana cada vez más estrecha para una remediación sin una línea de meta única.

Los plazos de Google, el NCSC y el G7 difieren hasta en seis años. Ese desacuerdo no reduce la urgencia; hace que un inventario temprano sea más valioso, porque descubrir la magnitud del trabajo probablemente llevará tiempo por sí mismo.