Impedisci ai dati crittografati di oggi di diventare il tesoro di domani

Potresti ritenere che la crittografia dei dati con la tecnologia attuale offra una protezione solida. Anche se si verifica una violazione dei dati, potresti presumere che le informazioni siano sicure. Ma se la tua organizzazione lavora con dati a “coda lunga”, ovvero il cui valore dura anni, ti sbaglieresti.

Avanti veloce tra cinque e dieci anni. I computer quantistici, che utilizzano la meccanica quantistica per eseguire operazioni milioni di volte più velocemente di quanto possano fare i supercomputer di oggi, arriveranno e saranno in grado di decrittografare la crittografia odierna in pochi minuti. A quel punto, gli attori degli stati-nazione dovranno semplicemente caricare i dati crittografati che hanno raccolto per anni in un computer quantistico e in pochi minuti saranno in grado di accedere a qualsiasi parte dei dati rubati nel testo in chiaro. Questo tipo di attacco “harvest now, decrypt later” (HNDL) è uno dei motivi per cui gli avversari prendono di mira i dati crittografati ora. Sanno che non possono decifrare i dati oggi, ma potranno farlo domani.

Anche se la minaccia dell’informatica quantistica è lontana alcuni anni, il rischio esiste oggi. È per questo motivo che il presidente americano Joe Biden ha firmato un accordo Memorandum sulla sicurezza nazionale richiedere alle agenzie federali, alla difesa, alle infrastrutture critiche, ai sistemi finanziari e alle catene di approvvigionamento di sviluppare piani per adottare la crittografia resiliente ai quanti. Il presidente Biden dà il tono per le agenzie federali funge da metafora appropriata: il rischio quantistico dovrebbe essere discusso e i piani di mitigazione del rischio sviluppati a livello di leadership (CEO e consiglio di amministrazione).

Adotta una visione a lungo termine

I dati degli analisti di ricerca suggeriscono che il tipico CISO trascorre due o tre anni in un'azienda. Ciò porta a un potenziale disallineamento con un rischio che probabilmente si materializzerà tra cinque o dieci anni. Eppure, come vediamo nel caso delle agenzie governative e di una serie di altre organizzazioni, i dati vengono generati oggi possono fornire agli avversari un enorme valore in futuro una volta che potranno accedervi. Questo problema esistenziale probabilmente non sarà affrontato esclusivamente dal responsabile della sicurezza. Deve essere affrontato ai più alti livelli di leadership aziendale a causa della sua natura critica.

Per questo motivo, CISO, CEO e consigli di amministrazione esperti dovrebbero affrontare insieme il problema dei rischi legati all’informatica quantistica. adesso. Una volta presa la decisione di abbracciare crittografia resistente ai quanti viene fatto, le domande diventano invariabilmente: "Da dove iniziamo e quanto costerà?"

La buona notizia è che non deve essere un processo doloroso o costoso. In effetti, le soluzioni di crittografia resilienti quantistiche esistenti possono essere eseguite sull’infrastruttura di sicurezza informatica esistente. Ma si tratta di un viaggio di trasformazione: la curva di apprendimento, le decisioni sulla strategia interna e sulla pianificazione dei progetti, la convalida, la pianificazione e l’implementazione della tecnologia richiedono tempo, quindi è fondamentale che i leader aziendali inizino a prepararsi oggi.

Focus sulla randomizzazione e sulla gestione delle chiavi

Il percorso verso la resilienza quantistica richiede l’impegno delle principali parti interessate, ma è pratico e di solito non richiede l’eliminazione e la sostituzione dell’infrastruttura di crittografia esistente. Uno dei primi passi è capire dove risiedono tutti i tuoi dati critici, chi può accedervi e quali misure di protezione sono attualmente in atto. Successivamente, è importante identificare quali dati sono più sensibili e qual è la durata della loro sensibilità. Una volta ottenuti questi punti dati, è possibile sviluppare un piano per dare priorità alla migrazione dei set di dati alla crittografia resiliente quantistica.

Le organizzazioni devono riflettere su due punti chiave quando considerano la crittografia resiliente ai quanti: la qualità dei numeri casuali utilizzati per crittografare e decrittografare i dati e la distribuzione delle chiavi. Uno dei vettori che i computer quantistici potrebbero utilizzare per violare gli attuali standard di crittografia è sfruttare chiavi di crittografia/decrittografia derivate da numeri che non sono veramente casuali. La crittografia resistente ai quanti utilizza chiavi di crittografia più lunghe e, soprattutto, basate su numeri veramente casuali in modo che non possano essere violati.

In secondo luogo, l'azienda tipica dispone di diverse tecnologie di crittografia e prodotti di distribuzione delle chiavi e la gestione è complessa. Di conseguenza, per ridurre la dipendenza dalle chiavi, spesso vengono crittografati solo file di grandi dimensioni o, peggio ancora, le chiavi perse lasciano inaccessibili lotti di dati. È fondamentale che le organizzazioni implementino soluzioni ad alta disponibilità su scala aziendale gestione delle chiavi di crittografia per consentire la crittografia di un numero virtualmente illimitato di file e record più piccoli. Ciò si traduce in un’azienda significativamente più sicura.

La crittografia resistente ai quanti non è più una cosa “bello da avere”. Ogni giorno che passa, il rischio aumenta poiché i dati crittografati vengono rubati per essere violati in futuro. Fortunatamente, a differenza del calcolo quantistico, non richiede ingenti investimenti e la conseguente riduzione del rischio è quasi immediata. Iniziare è la parte più difficile.