Определение постквантовой стратегии, согласование с графиками NIST и обеспечение криптографической гибкости
19 октября 2026 г.
Винод Бабурао Ваг (Vinod Baburao Wagh)
Заместитель генерального директора по кибербезопасности, HCLTech
19 октября 2026 г.
Стратегический вопрос звучит не «Когда наступит Q-Day?», а «Будут ли защищены наши самые ценные данные и критически важные сервисы до того, как это произойдет?»
Главное для руководства: начните с четкого управления и криптографического обнаружения. Расставьте приоритеты для систем на основе критичности для бизнеса и жизненного цикла данных, валидируйте стандартизированные NIST алгоритмы с помощью контролируемых пилотных проектов и внедрите миграцию в рутинные циклы обновления технологий.
Q-Day: определение, которое необходимо каждой команде руководителей
Q-Day — это момент, когда криптографически релевантный квантовый компьютер сможет взломать широко используемую криптографию с открытым ключом в операционно значимых масштабах. Чаще всего обсуждаются системы RSA, Диффи — Хеллмана и криптография на эллиптических кривых, которые лежат в основе цифровых сертификатов, TLS, подписания кода, идентификации, обновлений программного обеспечения, безопасной связи и многих доверенных служб.
Q-Day — это не подтвержденная календарная дата. Это порог риска. Ни одна организация не должна строить свой план вокруг одного предсказания, поскольку миграция крупных ИТ-инфраструктур может занять годы, в то время как конфиденциальная информация, собираемая сегодня, все еще может представлять ценность, когда квантовая дешифровка станет практической реальностью. Это создает угрозу «собрать сейчас, расшифровать позже» (harvest now, decrypt later): злоумышленник может перехватить зашифрованный трафик или данные сейчас и сохранить их для последующей дешифровки.
Почему ожидание определенности — неверная стратегия
- Стандарты уже доступны. В августе 2024 года NIST завершил работу над FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) и FIPS 205 (SLH-DSA).
- Миграция — это проблема управления инфраструктурой, а не просто замена алгоритмов. Она затрагивает приложения, протоколы, сертификаты, платформы HSM/KMS, программные библиотеки, аппаратное обеспечение, поставщиков и третьих лиц.
- Долгосрочные конфиденциальные данные уже могут подвергаться риску будущей дешифровки.
- Устаревшие и операционные технологии могут иметь циклы замены, которые выходят за рамки внешних целевых показателей перехода.
Что график NIST означает для клиентов
NIST заявляет, что организации должны начать применять финализированные стандарты PQC уже сейчас. NIST IR 8547, представляющий собой в настоящее время первоначальный публичный проект, описывает предполагаемый подход к переходу и призван информировать федеральные ведомства, отрасль и организации по стандартизации. Проект NIST по PQC утверждает, что уязвимые к квантовому воздействию алгоритмы, как ожидается, будут признаны устаревшими и в конечном итоге удалены из стандартов NIST к 2035 году, причем системы с высоким уровнем риска будут переведены раньше.
Важно: NIST IR 8547 — это проект документа о переходе. Клиентам следует отслеживать окончательную публикацию и любые руководства, специфичные для алгоритмов, протоколов или секторов, а не рассматривать проектный этап как универсальный юридический дедлайн.
Стратегия клиента, основанная на семи решениях:
- Установите подотчетное управление. Назначьте исполнительного спонсора и руководителя программы PQC. Определите права принятия решений в области безопасности, корпоративной архитектуры, команд разработки приложений, инфраструктуры, закупок, конфиденциальности, юриспруденции, рисков и владельцев бизнеса.
Установите подотчетное управление
Назначьте исполнительного спонсора и руководителя программы PQC. Определите права принятия решений в области безопасности, корпоративной архитектуры, команд разработки приложений, инфраструктуры, закупок, конфиденциальности, юриспруденции, рисков и владельцев бизнеса.
- Определите склонность к риску и масштаб. Согласуйте, какие данные, сервисы и функции доверия не могут допускать квантовых угроз. Учитывайте время жизни конфиденциальности, время жизни целостности, критичность систем, внешнюю подверженность, влияние на безопасность и время, необходимое для замены.
Определите склонность к риску и масштаб
Согласуйте, какие данные, сервисы и функции доверия не могут допускать квантовых угроз. Учитывайте время жизни конфиденциальности, время жизни целостности, критичность систем, внешнюю подверженность, влияние на безопасность и время, необходимое для замены.
- Создайте управляемый криптографический инвентарь. Обнаруживайте алгоритмы, ключи, сертификаты, библиотеки, протоколы, крипто-API, зависимости HSM/KMS, идентификаторы, пути подписания кода и сторонние сервисы. Нормализуйте эти данные в спецификацию криптографических материалов (Cryptographic Bill of Materials — CBOM) на уровне приложений.
Создайте управляемый криптографический инвентарь
Обнаруживайте алгоритмы, ключи, сертификаты, библиотеки, протоколы, крипто-API, зависимости HSM/KMS, идентификаторы, пути подписания кода и сторонние сервисы. Нормализуйте эти данные в спецификацию криптографических материалов (Cryptographic Bill of Materials — CBOM) на уровне приложений.
- Расставьте приоритеты, не мигрируйте все сразу. Ранжируйте системы по степени критичности для бизнеса, времени жизни данных, рискам HNDL, доступности из интернета, регуляторной значимости, готовности поставщиков и сложности миграции.
Расставьте приоритеты, не мигрируйте все сразу
Ранжируйте системы по степени критичности для бизнеса, времени жизни данных, рискам HNDL, доступности из интернета, регуляторной значимости, готовности поставщиков и сложности миграции.
- Проектируйте с расчетом на криптографическую гибкость. Отделите криптографическую политику от логики приложений, исключите жестко закодированные алгоритмы и ключи, стандартизируйте интерфейсы, автоматизируйте жизненные циклы сертификатов/ключей и сделайте изменения алгоритмов тестируемыми и обратимыми.
Проектируйте с расчетом на криптографическую гибкость
Отделите криптографическую политику от логики приложений, исключите жестко закодированные алгоритмы и ключи, стандартизируйте интерфейсы, автоматизируйте жизненные циклы сертификатов/ключей и сделайте изменения алгоритмов тестируемыми и обратимыми.
- Используйте контролируемые пилотные проекты и гибридные шаблоны перехода. Проверяйте совместимость, производительность, размеры сертификатов, поведение при рукопожатии (handshake), готовность HSM/KMS, ведение журналов, откат и оперативную поддержку. Используйте гибридные подходы только там, где это поддерживается стандартами, продуктами и решениями по рискам.
Используйте контролируемые пилотные проекты и гибридные шаблоны перехода
Проверяйте совместимость, производительность, размеры сертификатов, поведение при рукопожатии (handshake), готовность HSM/KMS, ведение журналов, откат и оперативную поддержку. Используйте гибридные подходы только там, где это поддерживается стандартами, продуктами и решениями по рискам.
- Управляйте цепочкой поставок. Требуйте от поставщиков раскрытия криптографических зависимостей, дорожных карт PQC, поддержки стандартов, статуса валидации, путей обновления и ограничений окончания срока службы. Сделайте готовность к PQC частью проверки архитектуры и этапов закупок.
Управляйте цепочкой поставок
Требуйте от поставщиков раскрытия криптографических зависимостей, дорожных карт PQC, поддержки стандартов, статуса валидации, путей обновления и ограничений окончания срока службы. Сделайте готовность к PQC частью проверки архитектуры и этапов закупок.
С чего начать: практический 90-дневный план мобилизации
Нормативные акты и государственные рекомендации: что подлежит картированию
Правильное обязательство зависит от юрисдикции, сектора, типа данных, статуса государственных контрактов и систем, входящих в область применения. Следующие источники должны быть внесены в нормативный реестр клиента и проверены юридическими командами и отделами комплаенса.
Рекомендуемая модель трансформации от HCLTech
Обнаружение (Discover): обеспечьте видимость на уровне предприятия для приложений, инфраструктуры, облака, сети, PKI, HSM/KMS, кода, бинарных файлов и третьих сторон.
Оценка (Assess): обогатите CBOM контекстом бизнес-сервисов, классификации данных, хранения, владения, надежности алгоритмов, зависимостей доверия и нормативных требований.
Расстановка приоритетов: создайте обоснованную оценку квантовых рисков и распределите этапы исправления по степени воздействия, срочности, осуществимости и влияния на бизнес.
Трансформация: выполняйте пилотные проекты, обновления платформ, изменения протоколов, модернизацию PKI и подписывания кода, устранение уязвимостей у поставщиков и рефакторинг приложений.
Внедрение в эксплуатацию: заложите криптографическую гибкость в архитектурное управление, DevSecOps, закупки, управление уязвимостями, сбор аудиторских доказательств и операционный жизненный цикл.
Точка зрения HCLTech: самым ценным первым результатом является не список алгоритмов. Это управляемая, учитывающая особенности приложений криптографическая система учета, которая связывает технические данные с бизнес-рисками, нормативными требованиями, зонами ответственности и финансируемой дорожной картой миграции.
Вопросы для совета директоров, на которые клиенты должны уметь отвечать
- Какие данные должны оставаться конфиденциальными или надежными после вероятного появления криптографически релевантного квантового компьютера?
- Где используются RSA, ECC, Diffie-Hellman и зависимые от них протоколы в наших наиболее критически важных службах?
- Какие приложения и поставщики имеют жизнеспособные и протестированные пути обновления, а какие требуют редизайна или замены?
- Каковы наши планируемые допущения на 2028, 2031 и 2035 годы и какие более строгие отраслевые или договорные сроки имеют приоритет над ними?
- Как мы будем измерять прогресс: охват обнаружения, полнота CBOM, готовность поставщиков, успех пилотных проектов, сокращение объема работ по устранению уязвимостей и остаточный риск?
- Кто может одобрять временные исключения и как будут регулироваться компенсирующие средства контроля и сроки их действия?
Заключение: начните до того, как дедлайн превратится в чрезвычайную ситуацию
День Q может быть неопределенным, но направление движения очевидно. Стандарты доступны, правительственные дорожные карты сходятся на обнаружении, расстановке приоритетов и поэтапной миграции, а операционные усилия значительны. Клиентам следует начать прямо сейчас с установления ответственности, обнаружения криптографических зависимостей, выявления долгосрочных и высокоэффективных рисков, проверки готовности поставщиков и пилотного внедрения стандартизированной NIST постквантовой криптографии. Цель шире, чем замена RSA или ECC: это создание криптографической гибкости, чтобы организация могла безопасно адаптироваться по мере изменения алгоритмов, стандартов, продуктов и регуляторных требований.
Ссылки
- Постквантовая криптография NIST
- Проект NIST CSRC по постквантовой криптографии
- Миграция NIST NCCoE на постквантовую криптографию
HCLTech помогает предприятиям оценивать криптографические риски, обеспечивать видимость на основе CBOM, определять приоритеты квантовых рисков, проектировать целевые состояния с криптографической гибкостью и осуществлять поэтапную постквантовую трансформацию в приложениях, инфраструктуре, облаке, PKI, HSM/KMS и экосистемах третьих лиц.
