Ваш шаблон для перехода на OMB M-26-15
Переход на постквантовую криптографию (PQC) — это не просто техническое обновление; это важнейшая задача национальной безопасности, представляющая собой самый значительный криптографический перезапуск в истории федерального правительства. Руководствуясь Executive Order 14412 и Office of Management and Budget (OMB) M-26-15, федеральные гражданские исполнительные органы (FCEB) столкнулись со строгим дедлайном — 22 октября 2026 года, к которому необходимо представить комплексные планы перехода на PQC в OMB и Управление национального директора по кибербезопасности (ONCD).
Чтобы облегчить работу руководителей ведомств, столкнувшихся с этим сжатым 120-дневным сроком, мы разработали готовый к использованию «Шаблон для обеспечения готовности к OMB M-26-15» и «Инструкции по плану перехода на PQC в соответствии с OMB M-26-15». Этот шаблон, разработанный с высокой точностью для прямого соответствия требованиям Белого дома, служит «ускоренным путем» для федеральных команд. Вместо того чтобы тратить ограниченные ресурсы на создание сложной документации по соответствию с нуля, руководители служб безопасности могут использовать этот шаблон для быстрой проработки путей перехода и переключения внимания на активное обнаружение и устранение уязвимостей.
Согласно M-26-15, план перехода каждого ведомства должен содержать как минимум девять основных элементов, все из которых представлены в шаблоне плана перехода на PQC:
- Стратегия приоритизации систем с обоснованием на основе рисков.
- Сроки и этапы достижения первых трех фаз миграции.
- Этапы поддержки TLS 1.3 для достижения дедлайна 2 января 2030 года.
- Методологии и автоматизированные инструменты для криптографической инвентаризации.
- План внедрения криптографически гибкой архитектуры.
- План координации со сторонними организациями.
- Оценка финансирования и кадровых ресурсов.
- Стратегия управления рисками на период миграции.
- Определение ролей и обязанностей в рамках управления.
Ведомства должны уделить особое внимание системам с высоким уровнем воздействия, критически важным активам (HVA) и любым системам, уязвимым для атак с использованием криптографически значимых квантовых компьютеров (CRQC). Это включает в себя системы логического контроля доступа, основанные на асимметричном шифровании (например, PKI), и любые данные, которые должны оставаться конфиденциальными в интересах миссии до 2030 года.
Для большинства ведомств основной проблемой плана миграции является обнаружение «криптографического долга» — скрытого годами устаревшего шифрования, погребенного в разрозненных ИТ-системах. Поскольку этот долг создает скрытые риски, обеспечение криптографической прозрачности является главным фактором успеха. Как только вы сможете увидеть всю свою среду, путь к квантово-устойчивому будущему станет ясным и управляемым.
Успешный план миграции зависит от способности ведомства действовать быстро и точно, что требует фундаментального сдвига в архитектуре безопасности, при котором активное обнаружение ставится выше пассивных списков. Внедряя структурированную и автоматизированную методологию, ведомства получают видимость в реальном времени, необходимую для того, чтобы:
- Обнаружить свой полный криптографический след с абсолютной ясностью.
- Защитить критически важные активы от текущих и возникающих угроз.
- Ускорить внедрение квантово-устойчивой устойчивости по всей организации.
Чтобы максимально эффективно использовать ресурсы вашей команды, наши «Инструкции по плану перехода на PQC в соответствии с OMB M-26-15» и «Шаблон для обеспечения готовности к OMB M-26-15» являются практическим «ускоренным путем» для создания плана перехода, соответствующего требованиям. Этот шаблон предоставляет четкую методологию внедрения и подробный контрольный список, гарантирующий, что все необходимые элементы будут учтены.
I. Основы политики
Федеральный мандат опирается на две конкретные директивы, которые ведомства должны реализовать:
- Исполнительный указ 14412: Ускоряет переход федерального правительства на постквантовую криптографию для снижения возникающих угроз квантовых вычислений.
- Меморандум OMB M-26-15: Предписывает каждому ведомству приоритизировать критически важные информационные технологии для миграции и разработать план, который интегрирует готовность к PQC в существующие структуры управления.
Хотя эта конкретная политика нацелена на федеральные ведомства, глобальная тенденция очевидна: операторы критической инфраструктуры и субъекты частного сектора должны рассматривать этот мандат как стратегический план действий.
II. График соответствия и этапы
M-26-15 устанавливает многоэтапный график соблюдения требований для ведомств. В то время как первоначальные усилия сосредоточены на приоритизации HVA и систем с высоким уровнем воздействия для снижения непосредственного риска, ожидается, что ведомства завершат миграцию всех остальных систем к 2035 году.
III. Обязательные элементы плана перехода на PQC
Руководители ведомств должны обеспечить, чтобы представленные ими планы охватывали следующие девять основных элементов:
- Стратегия приоритизации систем: Обоснование на основе рисков с учетом HVA и систем логического контроля доступа на базе PKI.
- Сроки и этапы: Поэтапные планы миграции в рамках первоначального горизонта планирования.
- Этапы поддержки TLS 1.3: Сроки тестирования и развертывания для дедлайна 2030 года.
- Методологии и автоматизированные инструменты: Документация инструментов, используемых для криптографической инвентаризации.
- Криптографически гибкая архитектура: Стратегия ротации алгоритмов через конфигурацию, а не через код.
- План координации со сторонними организациями: Определение модели разделения ответственности с облачными провайдерами.
- Распределение ресурсов и персонала: Оценки для ежегодных бюджетных запросов.
- Стратегия управления рисками: Конкретно для периода миграции.
- Роли и обязанности в управлении: Определение ответственности за внедрение и принятие рисков.
IV. Стратегическое поэтапное планирование: Многолетняя трансформация
- Обнаружение и стратегия (2026-2027): Инвентаризация, оценка и создание структуры управления.
- Пилотирование (2027-2028): Ранняя миграция приоритетных систем.
- Приоритетная миграция ключей (2028-2030): HVA и системы, уязвимые для атак на основе CRQC.
- Миграция подписей (2031): Протоколы цифровой подписи для приоритетных систем.
- Полная миграция предприятия (2035): Завершение для всех оставшихся систем.
V. Операционализация перехода с помощью QSS
Quantum-Safe Security (QSS), инструмент, авторизованный по стандарту FedRAMP Moderate, помогает ведомствам перейти от формального выполнения требований к реальной операционной устойчивости.
Стратегическое соответствие M-26-15:
- Автоматизированное обнаружение и создание CBOM: Видимость в реальном времени и создание криптографических спецификаций (CBOM) для выявления скрытых зависимостей.
- Авторизация FedRAMP: Ускоряет внедрение, устраняя необходимость в отдельном ATO на уровне ведомства для инструмента обнаружения.
- Валидация криптографической гибкости: Гарантирует, что системы могут переключаться на стандарты NIST (ML-KEM, ML-DSA) без жестко закодированных обновлений.
- Интеграция с Zero Trust: Обеспечивает криптографические основы аттестации устройств и межсервисного взаимодействия.
VI. Заключение
Переход на квантово-устойчивую криптографию требует немедленного лидерства. Ведомства не могут позволить себе медлить, пока злоумышленники продолжают архивировать конфиденциальные данные.
Не начинайте с нуля, ускорьте свою стратегию PQC!
