Zachowaj dzisiejsze zaszyfrowane dane, aby nie stały się jutrzejszym skarbem

Możesz uważać, że szyfrowanie danych przy użyciu obecnej technologii zapewni solidną ochronę. Nawet jeśli dojdzie do naruszenia danych, możesz założyć, że informacje są bezpieczne. Ale jeśli Twoja organizacja pracuje z danymi z „długim ogonem” — to znaczy, że ich wartość utrzymuje się przez lata — to się mylisz.

Przewiń do przodu za pięć do dziesięciu lat. Pojawią się komputery kwantowe — które wykorzystują mechanikę kwantową do wykonywania operacji miliony razy szybciej niż dzisiejsze superkomputery — i będą w stanie odszyfrować dzisiejsze szyfrowanie w ciągu kilku minut. W tym momencie aktorzy z państw narodowych muszą po prostu przesłać zaszyfrowane dane, które gromadzili przez lata, do komputera kwantowego, a za kilka minut będą mogli uzyskać dostęp do jakiejkolwiek części skradzionych danych w postaci zwykłego tekstu. Ten rodzaj ataku typu „zbierz teraz, odszyfruj później” (HNDL) jest jednym z powodów, dla których przeciwnicy atakują teraz zaszyfrowane dane. Wiedzą, że nie mogą odszyfrować danych dzisiaj, ale będą mogli jutro.

Mimo że zagrożenie ze strony komputerów kwantowych jest oddalone o kilka lat, ryzyko istnieje już dziś. Z tego powodu prezydent USA Joe Biden podpisał tzw Memorandum dotyczące bezpieczeństwa narodowego wymagając od agencji federalnych, obrony, infrastruktury krytycznej, systemów finansowych i łańcuchów dostaw opracowania planów przyjęcia szyfrowania odpornego na kwant. Prezydent Biden nadaje ton dla agencji federalnych to trafna metafora — należy omówić ryzyko kwantowe i opracować plany ograniczania ryzyka na poziomie przywództwa (CEO i zarząd).

Przyjrzyj się perspektywie długoterminowej

Dane analityków sugerują, że typowy CISO spędza w firmie od dwóch do trzech lat. Prowadzi to do potencjalnych rozbieżności z ryzykiem, które prawdopodobnie zmaterializuje się za pięć do dziesięciu lat. A jednak, jak widzimy w przypadku agencji rządowych i wielu innych organizacji, dane, które generujesz już dziś może zapewnić przeciwnikom ogromną wartość w przyszłości, gdy tylko uzyskają do nich dostęp. Ten egzystencjalny problem prawdopodobnie nie zostanie rozwiązany wyłącznie przez osobę odpowiedzialną za bezpieczeństwo. Należy się nim zająć na najwyższych szczeblach kierownictwa biznesu ze względu na jego krytyczny charakter.

Z tego powodu doświadczeni CISO, dyrektorzy generalni i zarządy powinni wspólnie zająć się problemem ryzyka związanego z komputerami kwantowymi, już dziś. Kiedyś decyzja o objęciu szyfrowanie odporne na kwant nieodmiennie pojawiają się pytania: „Od czego zaczynamy i ile to będzie kosztować?”

Dobra wiadomość jest taka, że ​​nie musi to być bolesny ani kosztowny proces. W rzeczywistości istniejące rozwiązania szyfrujące odporne na kwantowe mechanizmy mogą działać w istniejącej infrastrukturze cyberbezpieczeństwa. Jest to jednak podróż transformacyjna — krzywa uczenia się, wewnętrzne decyzje dotyczące strategii i planowania projektów, walidacja i planowanie technologii oraz wdrażanie wymagają czasu — dlatego konieczne jest, aby liderzy biznesowi rozpoczęli przygotowania już dziś.

Skoncentruj się na losowaniu i zarządzaniu kluczami

Droga do odporności kwantowej wymaga zaangażowania kluczowych interesariuszy, ale jest praktyczna i zwykle nie wymaga niszczenia i wymiany istniejącej infrastruktury szyfrowania. Jednym z pierwszych kroków jest zrozumienie, gdzie znajdują się wszystkie Twoje krytyczne dane, kto ma do nich dostęp i jakie środki ochrony są obecnie stosowane. Następnie ważne jest określenie, które dane są najbardziej wrażliwe i jaki jest ich czas życia. Po uzyskaniu tych punktów danych można opracować plan nadania priorytetu migracji zestawów danych do szyfrowania odpornego na kwant.

Rozważając szyfrowanie odporne na kwant, organizacje muszą przemyśleć dwie kluczowe kwestie: jakość liczb losowych używanych do szyfrowania i odszyfrowywania danych oraz dystrybucję klucza. Jednym z wektorów, które komputery kwantowe mogłyby wykorzystać do złamania obecnych standardów szyfrowania, jest wykorzystanie kluczy szyfrowania/deszyfrowania, które są uzyskiwane z liczb, które nie są naprawdę losowe. Kryptografia odporna na kwantowe wykorzystuje dłuższe klucze szyfrujące i, co najważniejsze, te, które są oparte na naprawdę losowych liczbach, więc nie można ich złamać.

Po drugie, typowa firma ma kilka technologii szyfrowania i produktów do dystrybucji kluczy, a zarządzanie jest złożone. W związku z tym, aby zmniejszyć zależność od kluczy, często szyfrowane są tylko duże pliki lub, co gorsza, zagubione klucze sprawiają, że partie danych są niedostępne. Konieczne jest, aby organizacje wdrażały rozwiązania o wysokiej dostępności na skalę przedsiębiorstwa zarządzanie kluczami szyfrowania aby umożliwić szyfrowanie praktycznie nieograniczonej liczby mniejszych plików i rekordów. Skutkuje to znacznie bezpieczniejszym przedsiębiorstwem.

Szyfrowanie odporne na kwant nie jest już „miło mieć”. Z każdym dniem rośnie ryzyko, ponieważ zaszyfrowane dane są kradzione w celu przyszłego złamania. Na szczęście, w przeciwieństwie do komputerów kwantowych, nie wymaga ogromnych inwestycji, a wynikająca z tego redukcja ryzyka jest niemal natychmiastowa. Rozpoczęcie pracy jest najtrudniejszą częścią.