Empêchez les données cryptées d'aujourd'hui de devenir le trésor de demain

Vous pensez peut-être que le cryptage des données avec la technologie actuelle offrira une protection robuste. Même en cas de violation de données, vous pouvez présumer que les informations sont sécurisées. Mais si votre organisation travaille avec des données à « longue traîne », c’est-à-dire que leur valeur dure des années, vous vous trompez.

Avance rapide dans cinq à dix ans. Les ordinateurs quantiques – qui utilisent la mécanique quantique pour exécuter des opérations des millions de fois plus rapidement que les superordinateurs actuels – arriveront et seront capables de déchiffrer le cryptage actuel en quelques minutes. À ce stade, les acteurs étatiques n’auront plus qu’à télécharger les données cryptées qu’ils collectent depuis des années dans un ordinateur quantique, et en quelques minutes, ils pourront accéder à n’importe quelle partie des données volées en texte clair. Ce type d’attaque « récolter maintenant, décrypter plus tard » (HNDL) est l’une des raisons pour lesquelles les adversaires ciblent désormais les données chiffrées. Ils savent qu’ils ne peuvent pas décrypter les données aujourd’hui mais qu’ils le pourront demain.

Même si la menace de l’informatique quantique n’est plus qu’avant, le risque existe aujourd’hui. C'est pour cette raison que le président américain Joe Biden a signé un Mémorandum de sécurité nationale obliger les agences fédérales, la défense, les infrastructures critiques, les systèmes financiers et les chaînes d’approvisionnement à élaborer des plans pour adopter un cryptage à résilience quantique. Le président Biden donne le ton pour les agences fédérales constitue une métaphore appropriée : le risque quantique doit être discuté et des plans d’atténuation des risques élaborés au niveau de la direction (PDG et conseil d’administration).

Adoptez une vision à long terme

Les données des analystes de recherche suggèrent que le RSSI typique passe deux à trois ans dans une entreprise. Cela conduit à un désalignement potentiel avec un risque qui est susceptible de se matérialiser dans cinq à 10 ans. Et pourtant, comme nous le voyons avec les agences gouvernementales et une foule d'autres organisations, les données que vous générez aujourd'hui peut fournir aux adversaires une valeur considérable à l’avenir une fois qu’ils pourront y accéder. Ce problème existentiel ne sera probablement pas résolu uniquement par le responsable de la sécurité. Cette question doit être abordée aux plus hauts niveaux de direction des entreprises en raison de sa nature critique.

Pour cette raison, les RSSI, les PDG et les conseils d'administration avisés devraient aborder ensemble le problème des risques liés à l'informatique quantique, maintenant. Une fois la décision d'embrasser cryptage résistant aux quantiques est faite, les questions deviennent invariablement : « Par où commencer et combien cela coûtera-t-il ?

La bonne nouvelle est que ce n’est pas nécessairement un processus douloureux ou coûteux. En fait, les solutions de chiffrement à résilience quantique existantes peuvent fonctionner sur l’infrastructure de cybersécurité existante. Mais il s’agit d’un parcours transformationnel – la courbe d’apprentissage, les décisions internes en matière de stratégie et de planification de projet, la validation et la planification de la technologie, ainsi que la mise en œuvre prennent tous du temps – il est donc impératif que les dirigeants d’entreprise commencent à se préparer dès aujourd’hui.

Focus sur la randomisation et la gestion des clés

Le chemin vers la résilience quantique nécessite l’engagement des principales parties prenantes, mais il est pratique et ne nécessite généralement pas de supprimer et de remplacer l’infrastructure de chiffrement existante. L’une des premières étapes consiste à comprendre où résident toutes vos données critiques, qui y a accès et quelles mesures de protection sont actuellement en place. Ensuite, il est important d’identifier quelles données sont les plus sensibles et quelle est leur durée de vie. Une fois que vous disposez de ces points de données, vous pouvez élaborer un plan pour donner la priorité à la migration des ensembles de données vers un chiffrement à résilience quantique.

Les organisations doivent réfléchir à deux points clés lorsqu’elles envisagent un chiffrement à résilience quantique : la qualité des nombres aléatoires utilisés pour chiffrer et déchiffrer les données et la distribution des clés. L’un des vecteurs que les ordinateurs quantiques pourraient utiliser pour déchiffrer les normes de chiffrement actuelles consiste à exploiter des clés de chiffrement/déchiffrement dérivées de nombres qui ne sont pas véritablement aléatoires. La cryptographie à résistance quantique utilise des clés de chiffrement plus longues et, surtout, basées sur des nombres véritablement aléatoires afin qu’elles ne puissent pas être déchiffrées.

Deuxièmement, une entreprise type dispose de plusieurs technologies de chiffrement et produits de distribution de clés, et la gestion est complexe. Par conséquent, pour réduire le recours aux clés, seuls les fichiers volumineux sont souvent chiffrés ou, pire encore, les clés perdues rendent des lots de données inaccessibles. Il est impératif que les organisations déploient une haute disponibilité à l'échelle de l'entreprise. gestion des clés de chiffrement pour permettre le chiffrement d'un nombre pratiquement illimité de fichiers et d'enregistrements plus petits. Il en résulte une entreprise nettement plus sécurisée.

Le chiffrement à résistance quantique n’est plus un « avantage ». Chaque jour qui passe, le risque augmente à mesure que des données cryptées sont volées en vue d'un piratage futur. Heureusement, contrairement à l’informatique quantique, elle ne nécessite pas d’investissement énorme et la réduction des risques qui en résulte est presque immédiate. Le démarrage est la partie la plus difficile.