Добро пожаловать в первый выпуск Cloud CISO Perspectives за октябрь 2026 года. Сегодня Стефани Киль рассказывает о последних новостях нашего подхода к постквантовой криптографии и представляет новый инструмент, который поможет CISO и руководителям подготовить свои организации к PQC.
Как и в случае со всеми материалами Cloud CISO Perspectives, содержимое этой рассылки публикуется в блоге Google Cloud. Если вы читаете это на веб-сайте и хотите получать версию по электронной почте, вы можете подписаться здесь.
Новый Gemini Notebook помогает CISO и директивным органам подготовиться к PQC
Автор: Стефани Киль (Stephanie Kiel), руководитель отдела политики безопасности облачных технологий, вопросов взаимодействия с государственными органами и общественной политики, Google Cloud
Постквантовая криптография (PQC) — это один из самых срочных сдвигов в сфере безопасности за последнее десятилетие и один из тех, которые легче всего пропустить мимо ушей. Для специалистов по безопасности и директивных органов эти исследования сложны, разрознены по статьям и инженерным блогам, и их бывает непросто превратить в реальные действия.
Чтобы помочь в этом, мы запускаем Prepare for Post-Quantum Cryptography, публичный блокнот Gemini Notebook, который объединяет в одном месте исследования Google в области PQC, инженерные блоги и руководства по миграции. Задавайте ему вопросы, слушайте аудиообзор или проверяйте свои знания с помощью карточек и быстро разбирайтесь в квантовой угрозе.
Почему PQC важна прямо сейчас
Квантовые вычисления стремительно переходят из теории в реальность. Наш чип Willow и алгоритм Quantum Echoes знаменуют собой существенный прогресс, и, по оценкам исследований Google, для взлома шифрования ECDLP-256 и RSA-2048 — схем с открытым ключом, защищающих значительную часть наших онлайн-данных, — потребуется около 500 000 и 1 миллиона несовершенных компонентов квантового компьютера (шумных кубитов) соответственно.
Чтобы помочь в этом, мы запускаем Prepare for Post-Quantum Cryptography, публичный блокнот Gemini Notebook, который объединяет в одном месте исследования Google в области PQC, инженерные блоги и руководства по миграции.
Эти исследования имеют последствия уже сейчас. Они показывают, что современная онлайн-безопасность более уязвима перед будущими квантовыми компьютерами, чем считалось ранее.
В ходе атак типа «Сохрани сейчас, расшифруй позже» (Store Now, Decrypt Later) злоумышленники могут похитить зашифрованные данные сейчас и подождать с их расшифровкой до появления достаточно мощного квантового компьютера. Данные, которые мы долгое время считали конфиденциальными — медицинские карты, финансовые данные, интеллектуальная собственность и государственные секреты, — уже находятся под угрозой.
Поскольку постоянные достижения в области архитектуры, квантовых алгоритмов и исправления квантовых ошибок сокращают будущие требования к квантовому оборудованию, откладывать обновление наших цифровых замков — не вариант. Чтобы помочь организациям опережать события, Google опубликовал график миграции, в котором указаны наши планы по переходу на PQC к 2029 году, и мы настоятельно рекомендуем другим сделать то же самое.
По мере развития технологий директивным органам следует рассмотреть возможность призыва владельцев и операторов критической инфраструктуры признать сокращенные сроки и заложить готовность к PQC в существующие планы минимизации рисков. Мы также рекомендуем правительствам взаимодействовать с международными партнерами для продвижения согласованного подхода к разработке стандартов, а также привлекать экспертов по техническим вопросам и безопасности к созданию политики и нормативных требований, ориентированных на квантовую безопасность.
Экспертиза Google в области PQC в одном блокноте
Блокнот Prepare for Post-Quantum Cryptography превращает многолетний опыт Google в интерактивное руководство, которым может воспользоваться каждый. Он создан на основе тщательно отобранных источников Google, охватывающих квантовую эру, прорывы в области квантовых вычислений, такие как Willow, Quantum Echoes и подавление ошибок поверхностного кода, отраслевые стандарты PQC, собственные внедрения Google и последние исследования.
В Gemini Notebook вы можете:
- Получать ответы на основе источников Google.
Получать ответы на основе источников Google.
- Слушать аудиообзор в стиле подкаста.
Слушать аудиообзор в стиле подкаста.
- Проверить свои знания PQC с помощью карточек.
Проверить свои знания PQC с помощью карточек.
- Изучить интерактивную визуальную диаграмму квантовой угрозы.
Изучить интерактивную визуальную диаграмму квантовой угрозы.
- Прочитать краткий аналитический документ.
Прочитать краткий аналитический документ.
Попробуйте эти запросы
Для начала вот несколько вопросов, которые можно задать блокноту:
- Для CISO: «Чему CISO должен уделить первоочередное внимание в первые 90 дней миграции на PQC?»
Для CISO: «Чему CISO должен уделить первоочередное внимание в первые 90 дней миграции на PQC?»
- Для новичков в PQC: «Объясните концепцию "сохрани сейчас, расшифруй позже" простыми словами».
Для новичков в PQC: «Объясните концепцию "сохрани сейчас, расшифруй позже" простыми словами».
- Для разработчиков: «Как работает гибридный обмен ключами ML-KEM в Chrome?»
Для разработчиков: «Как работает гибридный обмен ключами ML-KEM в Chrome?»
Как и любая генеративная ИИ, блокнот может совершать ошибки, поэтому сверяйте его ответы со связанными источниками.
Что поставлено на карту
Предыдущие криптографические миграции, такие как переход с SHA-1 или обновление TLS, занимали десять или более лет. Ожидание появления криптографически релевантного квантового компьютера перед началом миграции представляет собой серьезный риск для безопасности, учитывая важность криптографии с открытым ключом для защиты цифровых основ, таких как веб-трафик, обновления программного обеспечения, цифровые удостоверения и подписи.
Для CISO мы рекомендуем начать со следующего:
- Понять, где в вашей организации находится уязвимая криптография.
Понять, где в вашей организации находится уязвимая криптография.
- Определить и расставить приоритеты для данных и систем, подвергающихся наибольшему риску от квантовых угроз, а также разработать план устранения этих рисков.
Определить и расставить приоритеты для данных и систем, подвергающихся наибольшему риску от квантовых угроз, а также разработать план устранения этих рисков.
- Предвидеть системные эффекты, которые может иметь миграция на PQC.
Предвидеть системные эффекты, которые может иметь миграция на PQC.
- Встроить криптографическую гибкость в свои планы безопасности, используя уроки прошлого опыта, например, Heartbleed.
Встроить криптографическую гибкость в свои планы безопасности, используя уроки прошлого опыта, например, Heartbleed.
Дополнительную информацию об этих рекомендациях можно найти в нашей предыдущей публикации в блоге.
Для более широкого сообщества безопасности переход увенчается успехом только в том случае, если эти знания будут доступны каждому, а не только организациям со специализированными командами криптографов.
Как Google претворяет PQC в жизнь
Мы внедряем PQC уже много лет. Основные моменты включают:
PQC в Android
- Квантово-устойчивые цифровые подписи в Cloud KMS
Квантово-устойчивые цифровые подписи в Cloud KMS
- PQC для внутренних коммуникаций Google
PQC для внутренних коммуникаций Google
Мы также стали соучредителями Альянса постквантовой криптографии (Post-Quantum Cryptography Alliance) при Linux Foundation вместе с такими лидерми индустрии, как Amazon Web Services, Cisco, IBM и NVIDIA, для поддержки таких инструментов с открытым исходным кодом, как Open Quantum Safe.
Создайте блокнот PQC для собственной команды
Вот как вы можете создать ресурс, аналогичный нашему блокноту PQC Gemini, адаптированный под конкретные потребности вашей организации:
- Подберите надежные источники. Начните с целевого набора авторитетных исследований, стандартов и руководств.
Курируйте проверенные источники. Начните с ограниченного набора авторитетных исследований, стандартов и руководств.
- Пишите нейтральные промпты. Излагайте инструкции фактологически, чтобы результаты опирались на ваши источники.
Пишите нейтральные промпты. Излагайте инструкции фактологически, чтобы результаты опирались на ваши источники.
- Добавьте предупреждения об использовании ИИ и приветственное слово. Расскажите читателям, чему посвящен блокнот, и напомните, что ИИ может ошибаться.
Добавьте предупреждения об использовании ИИ и приветственное слово. Расскажите читателям, чему посвящен блокнот, и напомните, что ИИ может ошибаться.
- Проверяйте все результаты с привлечением человека. Эксперты должны проверять каждый артефакт перед тем, как вы поделитесь им.
Проверяйте все результаты с привлечением человека. Эксперты должны проверять каждый артефакт перед тем, как вы поделитесь им.
Начните подготовку сегодня
Квантовый переход уже начался, но подготовка вашей организации не обязательно должна начинаться со 100-страничного технического документа. Начните с понимания угрозы, затем оцените свой криптографический инвентарь и постройте дорожную карту миграции.
Вы можете начать работу с блокнотом Gemini «Подготовка к постквантовой криптографии» и поделиться им со своей командой уже сегодня. Чтобы узнать больше о подходах Google Cloud к постквантовой криптографии, посетите наш специальный ресурсный центр Google Cloud PQC.
Если вы пропустили
Вот последние обновления, продукты, сервисы и ресурсы от наших команд безопасности за этот месяц:
- Обеспечение гибкости предприятия в эпоху скоростей машинного обучения: узнайте, что руководителям нужно знать о текущем ландшафте угроз, как должны реагировать команды безопасности и почему Google AI Threat Defense может помочь. Читать далее.
- Gemini 4 Argon доступна на Google Cloud: мы делаем нашу новую передовую модель Gemini 4 Argon доступной для всех в Google Cloud. Вот как она может помочь усилить преимущества защищающейся стороны. Читать далее.
- Анклав следующего поколения в Android для ИИ на устройстве: узнайте об архитектуре анклава Android для персонализированных возможностей ИИ на устройстве. Читать далее.
- Wiz Red Agent обнаружил утечку данных компании из списка Fortune 500, которую пропустили другие инструменты: используя мышление злоумышленника, Red Agent за считанные минуты обнаружил публичную страницу, раскрывающую конфиденциальные данные. Читать далее.
- Реакция Chrome на недавние перехваты реестров ccTLD: после недавних перехватов доменов ccTLD .gh, .sl и .as браузер Chrome немедленно заблокировал неавторизованные HTTPS-сертификаты с помощью CRLSets для автоматической защиты пользователей. Читать далее.
- Обзор Wiz Blue Agent: расследование кражи данных в AWS и GitHub: посмотрите, как Blue Agent за считанные минуты расследовал многоплатформенную атаку, следуя по следам в AWS и GitHub, чтобы выявить скомпрометированные учетные данные, украденный исходный код и пользовательские инструменты эксфильтрации данных. Читать далее.
- Представляем Wiz AI SAST: безопасность приложений, которая понимает вас: находите, проверяйте и устраняйте сложные уязвимости бизнес-логики с помощью сканера кода на базе ИI при поддержке Wiz Research, внедренного в вашу текущую программу безопасности. Читать далее.
- Представляем WizOS Helm Charts для защиты цепочки поставок Kubernetes: чарты WizOS Helm могут помочь устранить скрытые риски CI/CD и заброшенные зависимости с помощью укрепленных, подписанных и проверенных на наличие CVE чартов для Kubernetes. Читать далее.
- Что нового в Wiz Service Catalog: более интеллектуальное обнаружение, управление и контекст уровня служб могут помочь быстрее создать каталог служб, поддерживать контекст служб в актуальном состоянии и предоставить командам более четкий путь от облачных рисков к ответственности. Читать далее.
Посетите блог Google Cloud, чтобы ознакомиться с другими материалами по безопасности, опубликованными в этом месяце.
Новости аналитики угроз
- Тенденции обнаружения и эксплуатации уязвимостей в эпоху ИИ: чтобы противостоять возросшему риску быстрого обнаружения и эксплуатации уязвимостей, организациям следует перейти от массового патчинга без учета приоритетов к приоритизации на основе аналитики угроз, объединяя целенаправленную защиту периметра с автоматизированным устранением с помощью агентов. Читать далее.
- Защита от активной эксплуатации устройств Citrix NetScaler ADC и Gateway: специалисты Mandiant Consulting и Google Threat Intelligence Group (GTIG) выявили активную эксплуатацию «нулевого дня» в дикой природе, затрагивающую устройства Citrix NetScaler ADC и NetScaler Gateway. Вот наши рекомендации по локализации и устранению последствий. Читать далее.
- ShinyHunters возобновили масштабную кампанию по эксплуатации уязвимости в Oracle PeopleSoft: Mandiant и Google Threat Intelligence Group (GTIG) зафиксировали новую волну массовой эксплуатации CVE-2026-35273 со стороны группировки UNC6240 (ShinyHunters), а также расширение глобального таргетинга на различные сектора. Читать далее.
- Проактивная защита путем укрепления кодовых пайплайнов и инфраструктуры CI/CD: ознакомьтесь с нашим практическим руководством для архитекторов программного обеспечения и платформ, разработанным для защиты цепочки поставок программного обеспечения от активно эксплуатируемых векторов угроз, рисков третьих сторон и архитектурных уязвимостей на протяжении всего жизненного цикла разработки ПО. Читать далее.
Посетите блог Google Cloud, чтобы прочитать другие материалы об аналитике угроз, опубликованные в этом месяце.
Слушайте нас: подкасты от Google Cloud
- Cloud Security Podcast: Исправление браузеров с помощью ИИ, агентов, Rust и ваших вкладок: Джасика Бава и Даг Тернер из Chrome Security рассказывают о том, как Google Chrome теперь использует агенты ИИ для автономного обнаружения и устранения уязвимостей безопасности в беспрецедентных масштабах, значительно ускоряя цикл обновлений браузера. Слушать здесь.
- Cloud Security Podcast: Все о Project Atlas, исследовании уязвимостей с помощью ИИ от Wiz: Нир Орфельд, руководитель отдела исследований уязвимостей в Wiz, рассказывает о том, как его команда использует многоагентные системы ИИ для обнаружения критически важных уязвимостей нулевого дня в облачной инфраструктуре. Слушать здесь.
- Cloud Security Podcast: Как Google устраняет классы уязвимостей в масштабе: как заложить основы для безопасного предприятия масштаба Google, которое остается защищенным, даже если код пишет ИИ, а у никого нет времени на его проверку? Кристоф Керн, главный инженер по безопасности в Google, исследует, что на самом деле означает концепция «безопасный по дизайну» в эпоху ИИ. Слушать здесь.
Чтобы материалы рассылки Cloud CISO Perspectives приходили к вам на почту дважды в месяц, подпишитесь на нашу рассылку. Мы вернемся через несколько недель с новыми обновлениями безопасности от Google Cloud.
- Безопасность и идентификация
- Cloud CISO
- Госсектор
