Шифрование является скрытой основой цифрового доверия. Оно защищает государственные услуги, финансовые транзакции, критическую инфраструктуру, медицинские записи, программные обновления и цифровые идентификаторы. Однако эта основа приближается к серьезному переходу.
Криптографически релевантные квантовые компьютеры могут взломать многие используемые сегодня системы с открытым ключом, причем, по оценкам некоторых представителей индустрии, это может произойти early as 2029.
Риск возникает еще до появления таких компьютеров: злоумышленники уже могут собирать зашифрованные данные сейчас и расшифровывать их позже — этот подход известен как «Собери сейчас, расшифруй позже». Связанный с этим риск «Доверяй сейчас, подделывай позже» может подорвать будущую уверенность в цифровых подписях, используемых сегодня для проверки программного обеспечения, прошивок, сертификатов, деловых соглашений и записей транзакций.
Постквантовая криптография (PQC) призвана противостоять этим рискам с помощью алгоритмов, разработанных для отражения атак будущих квантовых компьютеров. Несмотря на свое название, PQC можно развернуть на классической инфраструктуре уже сегодня. In 2024, Национальный институт стандартов и технологий США финализировал свои первые стандарты PQC, предоставив правительствам и промышленности практическую основу для миграции.
В CCAPAC Annual Report 2026: Quantum Readiness in Asia — Risks and Opportunities, подготовленном при содействии Cisco, отмечается, что прогресс в Азиатско-Тихоокеанском регионе реален, но неравномерен. Оценка семи регионов показывает различные сильные стороны:
- Австралия имеет прочные стратегические основы и международное сотрудничество.
- Китай инвестирует как в распределение квантовых ключей, так и в PQC.
- Индия обладает амбициями и масштабом для координации готовности в условиях быстро цифровизирующейся экономики.
- Япония сочетает мощный научно-исследовательский потенциал с активным регуляторным участием.
- Сингапур объединяет сильную исследовательскую базу с согласованной политикой и регуляторным взаимодействием.
- Южная Корея продвигает дорожные карты под руководством правительства и внутренний технологический потенциал.
- Тайвань предпринял практические шаги, включая руководства для финансового сектора и планы миграции для государственного сектора.
Квантовая готовность — это вопрос государственной политики
Миграция на PQC — это больше, чем просто криптографическое обновление. Криптография внедрена в сети, приложения, облачные сервисы, системы идентификации, операционные технологии, цепочки поставок программного обеспечения и долгосрочные хранилища данных. Многие организации не знают, где используются уязвимые алгоритмы. У некоторых поставщиков отсутствуют четкие дорожные карты миграции, в то время как устаревшие и встроенные устройства могут потребовать замены, а не исправления.
Аппаратное обеспечение может представлять особую сложность. Некоторые IoT-устройства, промышленные системы управления и встроенные технологии могут не обладать гибкостью для внедрения новых алгоритмов NIST PQC посредством обновления программного обеспечения. Для таких систем квантовая готовность может зависеть от решений по закупкам и замене, принятых за много лет вперед.
Правительства должны защищать свои собственные системы, но они также могут формировать ожидания для критической инфраструктуры и всей экономики в целом, влиять на рынки закупок и помогать промышленности осуществлять переход.
Выделяются пять приоритетных направлений политики.
1. Рассматривать квантовый риск как задачу национальной устойчивости
Квантовый риск должен находиться в повестке дня стратегической политики, а не только в ведении специализированных технических групп. Государственные секреты, медицинские карты, системы идентификации, элементы управления критической инфраструктурой и сертификаты подписи кода — все они имеют долгосрочные требования к конфиденциальности или доверию. Их компрометация может повлиять на национальную безопасность, экономическую уверенность и общественное доверие.
Поэтому разработчики политики должны интегрировать готовность к PQC в стратегии национальной кибербезопасности, планы цифровой экономики, структуры критической инфраструктуры и требования к безопасности государственного сектора. Квантовая готовность должна быть очевидна для министров, руководителей ведомств, советов директоров и регуляторов, а не ограничиваться узкими техническими специалистами.
Это также требует более четких национальных сроков. Сами по себе рекомендации могут не создать достаточного уровня срочности. Там, где правительства уже знают, что уязвимая криптография должна быть выведена из эксплуатации, они должны обозначить четкие этапы инвентаризации криптографии, планов миграции, устранения уязвимостей в системах высокого риска и окончательного отказа от классической криптографии с открытым ключом.
2. Обеспечить прозрачность посредством криптографической инвентаризации
Организации не могут расставлять приоритеты миграции, не зная, что именно им нужно защищать.
Базовым действием является требование или, по крайней мере, настоятельная рекомендация обеспечить прозрачность ИКТ-активов и криптографических описей в государственном секторе, на объектах критической инфраструктуры и в регулируемых отраслях.
Зрелые криптографические описи должны определять уязвимые алгоритмы, системы и данные, которые от них зависят, сроки, в течение которых эти данные должны оставаться конфиденциальными, ответственных за устранение уязвимостей, а также способность системы к криптоагильному обновлению — то есть способно ли существующее аппаратное обеспечение поддерживать современные и будущие криптографические требования.
Это имеет значение, поскольку миграция на PQC не может произойти одновременно. Правительствам и организациям потребуется расставить приоритеты для систем на основе рисков, последствий и целесообразности.
Системы, защищающие долгосрочные конфиденциальные данные, жизненно важные услуги, платежи, идентификационные данные и подписи программного обеспечения, могут потребовать первоочередного внимания; системы с более низким уровнем риска могут мигрировать в ходе обычных циклов обновления.
3. Использовать закупки для предотвращения рисков будущего устаревания
Продукты, приобретаемые сегодня, могут оставаться в эксплуатации на протяжении всего периода квантового риска. Устройства с жестко зашифрованной криптографией или ограниченной вычислительной мощностью может быть трудно обновить в будущем.
Поэтому государственные закупки должны предусматривать поддержку утвержденных алгоритмов PQC, криптоагильность и четкие пути миграции для поставщиков сетевого оборудования, облачных платформ и платформ идентификации, операционных технологий, IoT-устройств и управляемых сервисов. Операторов критической инфраструктуры также следует поощрять к применению аналогичных требований при закупке систем с особо серьезными последствиями.
Это не призыв к преждевременной замене. Как обсуждается в блоге Cisco «Превращение рисков устаревающих технологий в национальное преимущество», неуправляемые устаревающие технологии могут стать источником унаследованных уязвимостей. Закупки, готовые к внедрению PQC, помогут избежать создания следующего поколения таких рисков.
4. Гармонизировать стандарты и поддерживать оперативную совместимость
В отчете CCAPAC также подчеркивается серьезный региональный риск: фрагментация стандартов и дублирование требований к тестированию.
Рынки Азиатско-Тихоокеанского региона используют различные подходы к стандартам и сертификации PQC. Разнообразие исследований ценно, но несовместимые требования могут увеличить расходы, усложнить трансграничные операции и цепочки поставок, а также замедлить внедрение технологий повышения безопасности, потенциально ухудшая результаты обеспечения безопасности.
Правительства должны стремиться к гармонизации через региональные и международные органы по стандартизации, наряду с взаимным признанием испытаний, сопоставлением стандартов и тестированием на совместимость. Такие форумы, как АТЭС и процессы цифровой экономики, связанные с АСЕАН, могут оказаться полезными для снижения дублирования усилий.
5. Уделить первоочередное внимание критической инфраструктуре и секторам с высокими последствиями
Операторы критической инфраструктуры сталкиваются с особыми трудностями при подготовке к PQC, в то время как предоставляемые ими жизненно важные услуги делают своевременную миграцию особенно важной.
Критическая инфраструктура часто опирается на сложные долговечные системы с медленными циклами замены и ограниченными возможностями для простоев. Поэтому миграцию необходимо планировать заблаговременно, тщательно тестировать и согласовывать с жизненными циклами оборудования.
Правительствам следует рассмотреть возможность включения квантовых рисков в существующие обязательства по управлению рисками критической инфраструктуры. Отраслевые руководства могут помочь операторам выявить криптографические зависимости, оценить риски угрозы «перехвати и расшифруй позже» (Harvest Now, Decrypt Later) и отчитываться о прогрессе в достижении этапов. Поэтапные графики также помогут избежать ажиотажа в последний момент в поисках профильных специалистов, надежных поставщиков и оборудования.
Помимо этих пяти приоритетов, правительствам также следует подумать о том, как небольшие организации могут осуществить переход на постквантовую криптографию (PQC). Четкие рекомендации, доступные инструменты и развитие кадрового потенциала помогут обеспечить готовность к PQC не только для крупнейших предприятий. Раннее наращивание этого потенциала также позволит снизить нагрузку на дефицитных экспертов по мере ускорения миграции.
От готовности к устойчивости
Азиатско-Тихоокеанский регион имеет возможность занять лидирующие позиции.
В регионе есть цифровые экономики мирового класса, передовые технологические отрасли, сильные институты кибербезопасности и растущий потенциал квантовых исследований. Но готовность не придет сама собой.
Политическая повестка ясна: повысить приоритет квантовых рисков, обеспечить видимость, установить сроки, гармонизировать стандарты, использовать государственные закупки, уделять первоочередное внимание критической инфраструктуре, поддерживать малый и средний бизнес и инвестировать в кадровый потенциал.
Переход на постквантовую криптографию займет годы. Именно поэтому работу нужно начинать прямо сейчас.
Квантовую эру не следует воспринимать исключительно как угрозу. При правильном управлении она может стать катализатором укрепления цифрового доверия, улучшения управления технологиями и повышения устойчивости инфраструктуры во всем Азиатско-Тихоокеанском регионе.
Выбор, стоящий перед политиками, заключается не в том, действовать или нет. Он заключается в том, чтобы действовать достаточно рано, сделав переход упорядоченным, совместимым и безопасным.
