Migrace na postkvantovou kryptografii s ISO 27001

V zasedací místnosti je slyšet jen tlumený zvuk projektoru. Sarah, CISO, právě dokončila čtvrtletní aktualizaci rizik, když generální ředitel zvedne výtisk článku z finančního média. Titulek je nekompromisní: „Kvantové odpočítávání: Jsou vaše data už dnes zastaralá?“

„Sarah,“ říká, spíše se skutečnou obavou než vyčítavým tónem, „utratili jsme miliony za šifrování. Jsme ve shodě. Jsme zabezpečení. Tenhle článek tvrdí, že dostatečně výkonný kvantový počítač by to mohl všechno prolomit. Jsme vystaveni riziku? A co data, která právě teď šifrujeme a ukládáme? Není to časovaná bomba?“

Tato diskuse se dnes přesouvá z bezpečnostních konferencí do vrcholových výborů. Otázkou už není, zda je kvantové počítání zajímavé pro výzkumníky. Otázkou je, zda dnešní kryptografická rozhodnutí dokážou chránit zítřejší obchodní závazky.

Pro mnoho organizací je poctivá odpověď nepříjemná. Šifrování je všude: TLS brány, VPN, zákaznické portály, tokeny identit, zálohy databází, mobilní aplikace, platební platformy, S/MIME, SSH, integrace API, služby SaaS, hardwarové bezpečnostní moduly (HSM), cloudové služby správy klíčů, podepisování firmwaru, podepisování kódu a digitální smlouvy.

A právě to je problém. Kryptografie je všude, ale vlastnictví často nikde.

Migrace na postkvantovou kryptografii není jen o budoucím kryptograficky relevantním kvantovém počítači. Jde také o dnešní riziko „harvest now, decrypt later“, kdy útočníci zachytí šifrovaná data dnes a počkají, až budoucí schopnosti umožní jejich praktické dešifrování. Pokud vaše organizace uchovává osobní údaje, zdravotní záznamy, regulovaná finanční data, obchodní tajemství, právní komunikaci, data národní infrastruktury, produktový firmware nebo dlouhodobé duševní vlastnictví, riziko existuje už dnes jako riziko životního cyklu.

Plán migrace kryptografie odolné vůči kvantovým hrozbám není krizový projekt. Je to strukturovaný program správy, evidence, řízení dodavatelů, architektury, testování a auditu. Praktická otázka pro CISO je jednoduchá:

Jak vytvořit postkvantový migrační plán, který bude důvěryhodný pro vrcholové vedení, použitelný pro technické týmy a obhajitelný před auditory?

Odpovědí je ukotvit práci v ISO/IEC 27001:2022, vykládat opatření prostřednictvím ISO/IEC 27002:2022, používat standardy postkvantové kryptografie NIST jako technický kompas a vytvořit jednotný model důkazů, který podporuje povinnosti podle ISO 27001, NIST, COBIT 2019, GDPR, DORA a NIS2.

Proč postkvantová kryptografie patří do ISMS

Častou chybou je přiřadit postkvantovou migraci výhradně kryptografickým inženýrům. Inženýři jsou nezbytní, ale sami problém správy vyřešit nemohou.

Postkvantová migrace zasahuje do správy aktiv, klasifikace dat, řízení dodavatelů, bezpečné architektury, správy klíčů, vývoje aplikací, cloudové bezpečnosti, reakce na incidenty, kontinuity činností, právních rizik, regulatorní odpovědnosti a auditních důkazů. To jsou témata ISMS.

ISO/IEC 27001:2022 poskytuje rámec řízení. Vyžaduje, aby organizace rozuměla svému kontextu, zainteresovaným stranám, rizikům, cílům, odpovědnostem, kompetencím, dokumentovaným informacím, provoznímu plánování, hodnocení výkonnosti, internímu auditu, přezkoumání vedením a neustálému zlepšování. ISO/IEC 27002:2022 následně poskytuje výklad opatření, zejména v oblastech 8.24 Use of cryptography, 5.9 Inventory of information and other associated assets, 5.12 Classification of information, 5.21 Managing information security in the ICT supply chain, 5.23 Information security for use of cloud services, 8.25 Secure development life cycle, 8.8 Management of technical vulnerabilities, 8.16 Monitoring activities a 5.30 ICT readiness for business continuity.

V Clarysec je proto připravenost na postkvantovou kryptografii chápána jako transformace řízená ISMS, nikoli jako izolovaná výměna algoritmů.

Jak uvádí Clarysec Zenith Blueprint: 30krokový plán auditora, fáze 2, krok 8, „Vymezení rozsahu aktiv, závislostí a důkazů“:

„Opatření nelze považovat za důvěryhodné, dokud organizace nedokáže prokázat, kde se uplatňuje, kdo je jeho vlastníkem, které důkazy jej podporují a které riziko snižuje.“

Tato věta je pro postkvantovou kryptografii mimořádně důležitá. Než začnete nahrazovat algoritmy, musíte vědět, kde se algoritmy používají.

Clarysec Zenith Controls: průvodce shodou napříč rámci vymezuje kryptografii jako propojený řetězec důkazů, nikoli jako jedno technické nastavení:

„Kryptografické zajištění se audituje prostřednictvím životního cyklu informací: identifikace, klasifikace, schválené použití, ochrana klíčů, provozní monitorování, závislosti na dodavatelích, ošetření výjimek a uchovávání důkazů.“

Tento pohled na životní cyklus brání nejčastějšímu selhání: ptát se pouze „Používáme kvantově bezpečné algoritmy?“ Lepší otázky zní:

• Které systémy potřebují postkvantovou migraci jako první?
• Která data vyžadují důvěrnost po dobu delší, než je horizont kvantového rizika?
• Kteří dodavatelé řídí naše šifrování, podpisy, certifikáty nebo správu klíčů?
• Které aplikace jsou kryptoagilní a které mají algoritmy pevně zakódované?
• Jaká kompenzační opatření existují, dokud migrace není dokončena?
• Jaké důkazy prokážou, že rozhodnutí byla založena na rizicích a byla přezkoumána?

Od kvantové hrozby k auditovatelnému obchodnímu riziku

Užitečný postkvantový plán začíná rizikovými scénáři. Vyhněte se vágním formulacím typu „kvantové počítání může prolomit šifrování“. Místo toho vytvořte auditovatelné záznamy o rizicích, které propojují obchodní dopad, hrozbu, zranitelnost, dotčená aktiva, stávající opatření, zbytkové riziko a činnosti ošetření rizik.

Například:

„Šifrované doklady totožnosti zákazníků uchovávané po dobu sedmi let mohou být zranitelné vůči budoucímu dešifrování, pokud jsou zálohy exfiltrovány dnes a současná kryptografie s veřejným klíčem se v budoucnu stane prolomitelnou.“

Tento scénář ukazuje na uchovávání dat, šifrování záloh, správu klíčů, řízení přístupu, dodavatelský hosting, monitorování a prioritu migrace.

Další příklad:

„Podepisování firmwaru pro připojená zařízení spoléhá na podpisová schémata, která nemusí zůstat důvěryhodná po celou očekávanou dobu životního cyklu zařízení.“

To ukazuje na produktovou bezpečnost, mechanismy bezpečných aktualizací, schopnosti HSM, bezpečnost zákazníků, ujištění o návrhu ze strany dodavatelů a dlouhodobou provozní odolnost.

Třetí příklad:

„Archivovaná právní komunikace šifrovaná dnes může vyžadovat důvěrnost po dobu delší než patnáct let, čímž vzniká expozice typu harvest now, decrypt later.“

To ukazuje na klasifikaci, uchovávání, kryptografickou ochranu, pozastavení mazání, bezpečnou komunikaci a akceptaci rizika vrcholovým vedením.

Riziko není jen budoucí „Q-Day“. Zahrnuje tři související oblasti:

1. Harvest now, decrypt later, kdy útočníci shromažďují šifrovaná data dnes pro budoucí dešifrování.
2. Kompromitace digitálních podpisů, kdy budoucí útoky naruší důvěru v aktualizace softwaru, tokeny identit, právní dokumenty, firmware a finanční transakce.
3. Selhání kryptografické koncentrace, kdy se široká třída produktů, protokolů, knihoven nebo dodavatelů stane zastaralou ve stejnou dobu.

Clarysec Enterprise Policy, Politika kryptografie a správy klíčů, článek 5.1, formuluje požadavek na řízení takto:

„Kryptografická opatření musí být vybírána, implementována, přezkoumávána a vyřazována na základě klasifikace informací, požadované doby ochrany, schválených kryptografických standardů, vlastnictví klíčů a dokumentovaných rozhodnutí o ošetření rizik.“

Toto ustanovení je zásadní, protože doba ochrany se stává prioritizačním faktorem. Krátkodobá data relací a dlouhodobé zdravotnické záznamy nenesou stejné kvantové riziko. Klíč pro podepisování kódu, který podporuje důvěru zařízení po dobu patnácti let, má jiný rizikový profil než krátkodobý interní testovací certifikát.

Stejná rodina politik, v materiálech Clarysec označovaná jako Politika kryptografických opatření, může také formalizovat očekávání týkající se přezkumu například takto:

Článek 5.4: Standardy algoritmů a délek klíčů
„Všechny kryptografické algoritmy a délky klíčů používané v organizaci musí být vybírány ze schváleného seznamu udržovaného týmem informační bezpečnosti. Tento seznam musí být každoročně přezkoumán vůči osvědčeným postupům v odvětví a doporučením národních orgánů pro kybernetickou bezpečnost (např. NIST, ENISA), se zvláštním důrazem na vývoj standardů postkvantové kryptografie. Plán migrace systémů od algoritmů zranitelných vůči kvantovým útokům musí být udržován jako součást evidence kryptografických aktiv.“

To nevyžaduje nebezpečně brzké nasazení. Vyžaduje to povědomí, plánování, přezkum a důkazy.

Použijte standardy NIST PQC jako technický kompas

Práce NIST v oblasti postkvantové kryptografie dává organizacím důvěryhodný technický směr. NIST standardizoval ML-KEM pro ustavení kryptografických klíčů, ML-DSA pro digitální podpisy a SLH-DSA pro bezstavové podpisy založené na hashování. Tyto standardy poskytují dodavatelům a architektům základ pro plány a pilotní návrhy.

Pro CISO nejde o memorování detailů algoritmů. Jde o vytvoření migrační cesty, která dokáže přijímat schválené kryptografické volby, aniž by narušila podnikové služby, závazky v oblasti shody nebo auditní dohledatelnost.

Migrační plán sladěný s NIST by měl zahrnovat čtyři oblasti:

1. Zjištění, identifikovat, kde existuje zranitelná kryptografie s veřejným klíčem.
2. Prioritizace, seřadit systémy podle citlivosti dat, doby ochrany, expozice, dopadu na integritu a kritičnosti pro podnikání.
3. Přechodová architektura, určit, kde budou testovány a přijímány hybridní, kryptoagilní nebo postkvantové mechanismy.
4. Zajištění, vytvářet důkazy, že rozhodnutí, výjimky, dodavatelské závislosti, testy a zbytková rizika jsou řízeny.

Kryptoagilita si zaslouží zvláštní pozornost. Kryptoagilní systém dokáže měnit algoritmy, velikosti klíčů, knihovny, certifikáty a protokoly bez zásadního redesignu. V postkvantové éře není kryptoagilita luxus. Je to požadavek odolnosti.

Pokud platební API používá pevně zakódované kryptografické knihovny a nemá dokumentovaného vlastníka, není kryptoagilní. Pokud mobilní aplikace provádí pinning certifikátů bez řízené aktualizační cesty, migrace se může prodražit. Pokud má IoT zařízení patnáctiletou životnost v provozu a nedokáže podporovat větší podpisy nebo bezpečné aktualizace firmwaru, jde o strategické riziko.

Vybudujte kryptografickou evidenci před volbou migrační cesty

Většina organizací nemá úplnou kryptografickou evidenci. Mohou mít evidenci certifikátů, tabulku správy klíčů, záznamy HSM, seznam cloudového KMS nebo položky CMDB. Jen zřídka mají jednotný pohled na kryptografické závislosti.

Plán migrace na postkvantovou kryptografii potřebuje kryptografický kusovník, tedy CBOM. První den nemusí být dokonalý. Musí však být strukturovaný, mít vlastníka a být průběžně zlepšován.

Minimálně zachyťte tato pole:

Počáteční evidence může vypadat takto:

Tato tabulka okamžitě ukazuje, proč na evidenci záleží. AES-256 nepředstavuje stejný typ kvantového rizika jako RSA nebo ECC, ale archivované zdravotnické záznamy mohou stále záviset na zranitelném balení klíčů, certifikátech, systémech identit nebo kanálech pro přenos záloh. Podepisování kódu nemusí chránit důvěrnost, ale chrání integritu softwaru a důvěru.

V Zenith Controls je kryptografie křížově propojena s podpůrnými standardy, které přidávají hloubku. ISO/IEC 27005 podporuje řízení rizik bezpečnosti informací a pomáhá převést kvantovou nejistotu do strukturovaných rizikových scénářů. ISO/IEC 27017 podporuje cloudově specifická bezpečnostní opatření, což je nezbytné, když jsou kryptografické služby poskytovány prostřednictvím cloudového KMS, spravovaného TLS, šifrování SaaS nebo platformních certifikátů. ISO/IEC 27018 je relevantní, když se osobní údaje zpracovávají ve veřejných cloudových službách. ISO 22301 je relevantní tam, kde by kryptografické selhání mohlo ovlivnit kontinuitu kritických služeb. ISO/IEC 27036 podporuje bezpečnost vztahů s dodavateli, což je zásadní, když dodavatelé vaším jménem spravují šifrování, podpisy, certifikáty nebo bezpečnou komunikaci.

Poučení je jednoduché: nemůžete migrovat to, co nedokážete najít.

Prioritizujte podle citlivosti, doby ochrany, expozice a obtížnosti migrace

Jakmile CBOM existuje, prioritizace se opírá o důkazy. Nejlepším výchozím bodem je malý počet kritických systémů, nikoli snaha o celopodnikovou dokonalost.

Představte si společnost poskytující finanční služby se třemi systémy vysoké hodnoty:

• trezor zákaznických dokumentů uchovávající doklady totožnosti po dobu deseti let,
• B2B API brána podporující partnerské transakce,
• platforma pro podepisování kódu pro aktualizace desktopového softwaru.

S využitím Zenith Blueprint, fáze 2, krok 8, tým získá aktiva z CMDB, certifikáty z platformy pro správu certifikátů, klíče z HSM a cloudového KMS, datové třídy z registru ochrany soukromí a dodavatelské závislosti ze záznamů pořizování.

Poté systémy ohodnotí:

Trezor zákaznických dokumentů se stává prioritou kvůli době, po kterou musí být zajištěna důvěrnost. Platforma pro podepisování kódu se stává prioritou, protože důvěra v podpisy ovlivňuje integritu softwaru a bezpečnost zákazníků. API brána má vysokou prioritu kvůli externí expozici, ale její uchovávaná data mohou mít kratší dobu požadované důvěrnosti.

Registr rizik by měl následně propojit každý scénář s ošetřením a důkazy:

Clarysec Enterprise Policy, Politika bezpečného vývoje, článek 6.4, pokrývá pohled dodávky softwaru:

„Přezkumy bezpečnostního návrhu musí před schválením do produkčního prostředí hodnotit kryptografické závislosti, životní cyklus knihoven, algoritmickou agilitu, nakládání s tajemstvími, aktualizační mechanismy a komponenty řízené dodavateli.“

Toto ustanovení převádí připravenost na postkvantovou kryptografii do technického požadavku. Brání týmům nasazovat nové systémy, které později nepůjde migrovat.

Postupujte podle 12měsíčního plánu, kterému auditoři porozumí

Postkvantová migrace bude u mnoha organizací trvat roky. První rok by měl organizaci posunout od nejistoty k řízené migraci.

V Zenith Blueprint, fáze 3, krok 14, „Návrh ošetření rizik a vlastnictví“, plán varuje před bezpečnostními záměry bez financování:

„Plán ošetření rizik bez vlastníka, očekávání důkazů, cesty financování a data přezkumu není plán. Je to nevyřešené riziko s lepším formátováním.“

Právě tak postkvantové programy selhávají. Vytvoří prezentace pro zvyšování povědomí, ale nemají vlastněný backlog nápravných opatření. Diskutují o algoritmech, ale neaktualizují smlouvy s dodavateli. Dokumentují riziko, ale netestují migrační vzory.

Důvěryhodný plán vytváří záznamy o rozhodnutích, vlastníky, závislosti, očekávání důkazů, rozpočty a data přezkumu.

Zapojte dodavatele do programu včas

Mnoho kryptografických závislostí je outsourcovaných. Poskytovatelé cloudových služeb ukončují TLS. SaaS platformy šifrují záznamy. Poskytovatelé identit podepisují tokeny. Zpracovatelé plateb spravují certifikáty. Dodavatelé hardwaru řídí podepisování firmwaru. Poskytovatelé řízených služeb provozují VPN a bezpečnostní brány.

I když je váš interní tým připraven, vaše migrace může být zablokována schopnostmi dodavatelů.

Clarysec Enterprise Policy, Bezpečnostní politika dodavatelů a poskytovatelů služeb třetích stran, článek 5.6, uvádí:

„Dodavatelé poskytující bezpečnostně relevantní služby musí zpřístupnit významné závislosti, kryptografické odpovědnosti, důkazy o zajištění, procesy zvládání zranitelností a změny plánů, které mohou ovlivnit rizikový profil organizace.“

Pro připravenost na postkvantovou kryptografii se kritických dodavatelů ptejte:

• Které algoritmy, protokoly, certifikáty a služby správy klíčů chrání naše data nebo transakce?
• Udržujete kryptografickou evidenci nebo CBOM?
• Jaký je váš postkvantový plán podle NIST?
• Budete podporovat hybridní výměnu klíčů, postkvantové podpisy nebo kvantově odolné ustavení kryptografických klíčů?
• Jak budou komunikovány změny certifikátů, tokenů, podepisování a šifrování?
• Jaká akce bude vyžadována od zákazníka?
• Jaká testovací prostředí budou k dispozici?
• Jak bude řešena výkonnost, interoperabilita a návrat do původního stavu?
• Jsou kryptografické odpovědnosti definovány ve smlouvě nebo v modelu sdílené odpovědnosti?
• Jaké možnosti ukončení nebo přenositelnosti existují, pokud váš plán nesplňuje naše rizikové požadavky?

Odpovědi dodavatelů musí vstupovat do registru rizik. Slabé odpovědi nemusí vždy znamenat okamžitou náhradu, ale vyžadují ošetření. Můžete potřebovat kompenzační opatření, změny smluv, oznamovací doložky, plánování ukončení, posílené monitorování nebo upravenou sourcingovou strategii.

To je zvlášť důležité v rámci očekávání provozní odolnosti podle DORA a NIS2. DORA klade důraz na řízení rizik v oblasti ICT a řízení rizik třetích stran v oblasti ICT, včetně dohledu nad kritickými závislostmi. NIS2 Article 21 vyžaduje vhodná a přiměřená technická, provozní a organizační opatření řízení bezpečnostních rizik, včetně zabezpečení dodavatelského řetězce, zvládání incidentů, kontinuity činností a kryptografie tam, kde je to vhodné. GDPR Article 32 vyžaduje zabezpečení odpovídající riziku, včetně důvěrnosti, integrity, dostupnosti, odolnosti a schopnosti zajistit průběžnou ochranu osobních údajů.

Regulatorní jazyk se liší, ale logika opatření je shodná: znát své závislosti, řídit riziko, uchovávat důkazy a jednat dříve, než bude odolnost ohrožena.

Mapování napříč rámci shody: jeden migrační plán, mnoho povinností

Silný plán migrace na postkvantovou kryptografii by se měl vyhnout vytváření samostatných balíčků důkazů pro každý rámec. Stejné základní důkazy mohou podporovat více povinností, pokud jsou správně strukturovány.

Zenith Controls mapuje téma kryptografie napříč ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, COBIT 2019, GDPR, DORA a NIS2 tak, že se zaměřuje na účel opatření, nikoli na označení používané jednotlivými rámci.

Klíčem je opětovné použití důkazů. Kryptografická evidence podporuje správu aktiv podle ISO, výsledky Identify podle NIST, viditelnost ICT aktiv podle DORA, řízení rizik podle NIS2 a odpovědnost podle GDPR. Dotazníky dodavatelů podporují dodavatelská opatření ISO, riziko třetích stran v oblasti ICT podle DORA, zabezpečení dodavatelského řetězce podle NIS2 a správu dodavatelů podle COBIT. Výsledky migračních testů podporují bezpečné změny, testování odolnosti, připravenost na audit a přezkoumání vedením.

Na co se budou auditoři ptát

Postkvantová kryptografie je stále vznikajícím tématem auditu, ale auditoři už dnes mají dostatek očekávání v oblasti opatření, aby kladli obtížné otázky.

Auditor ISO/IEC 27001:2022 obvykle začne rizikem. Bude se ptát, zda je kryptografické riziko související s kvantovými hrozbami v rámci ISMS identifikováno, posouzeno, ošetřeno, monitorováno a přezkoumáváno. Bude očekávat důkazy, že kryptografická opatření jsou vybírána na základě obchodního rizika a že odpovědnosti jsou definovány.

Hodnotitel orientovaný na NIST se může zaměřit na viditelnost aktiv, ochranné mechanismy, riziko dodavatelského řetězce, řízení zranitelností a výsledky řízení. Může se ptát, zda organizace identifikovala systémy používající zranitelnou kryptografii s veřejným klíčem a zda je plánování migrace sladěno se směrem NIST.

Auditor COBIT nebo ISACA se často ptá na správu a řízení. Kdo nese odpovědnost? Jak správní rada dostává reporty? Jsou investice prioritizovány? Jsou řízeny závislosti na dodavatelích? Jsou přínosy, rizika a zdroje vyvážené?

Auditor ochrany soukromí se může zaměřit na to, zda šifrování a správa klíčů zůstávají přiměřené citlivosti a době uchovávání osobních údajů.

Přezkoumávající osoba zaměřená na DORA nebo NIS2 bude posuzovat odolnost, koncentraci třetích stran v oblasti ICT, provozní kontinuitu a připravenost na incidenty.

Zenith Controls doporučuje přistupovat k přípravě na audit jako k cestě důkazů. Nečekejte, až si auditoři vyžádají screenshoty a tabulky. Vybudujte pracovní prostor GRC, který propojuje každé kryptografické riziko s jeho vlastníkem, dotčenými aktivy, dodavateli, rozhodnutími, testy, výjimkami a daty přezkumu.

Aktualizujte politiky, aby se program stal provozně použitelným

Většina kryptografických politik byla napsána pro tradiční požadavky na důvěrnost a integritu. Postkvantová migrace vyžaduje cílené doplnění.

Vaše politika kryptografie a správy klíčů musí řešit schválené standardy, frekvenci přezkumu, klasifikaci dat, dobu ochrany, algoritmickou agilitu, generování klíčů, ukládání klíčů, rotaci, zničení, vlastnictví, životní cyklus certifikátů, odpovědnost za HSM, odpovědnost za cloud KMS, schvalování výjimek, kryptografii řízenou dodavateli a monitorování postkvantového přechodu.

Vaše Politika bezpečného vývoje musí řešit schvalování kryptografických knihoven, zákaz pevně zakódovaných algoritmů bez přezkumu, sledování závislostí, mechanismy bezpečných aktualizací, testování výkonnosti pro větší klíče nebo podpisy, zpětnou kompatibilitu, návrat do původního stavu a modelování hrozeb pro produkty s dlouhou životností.

Vaše bezpečnostní politika dodavatelů musí řešit kryptografickou transparentnost, požadavky na postkvantové plány, smluvní oznamovací povinnosti, sdílenou odpovědnost za šifrování a správu klíčů, plánování ukončení a přenositelnost.

Váš postup správy aktiv musí řešit pole kryptografické evidence, vlastnictví, zdroje důkazů, frekvenci přezkumu a integraci s CMDB, cloudovou evidencí, správou certifikátů, záznamy HSM a repozitáři kódu.

Právě zde knihovna politik Clarysec pomáhá organizacím postupovat rychleji. Místo psaní od nuly mohou týmy přizpůsobit ustanovení politik do postupů, registrů, dotazníků a auditních důkazů.

Vyhněte se nejčastějším chybám při postkvantové migraci

Nejnebezpečnější chyby jsou obvykle selhání správy, nikoli technická selhání.

Začít algoritmy místo aktiv. Pokud nevíte, kde se kryptografie používá, výběr algoritmů vám nepomůže.

Ignorovat životnost dat. Krátkodobá transakční data a dlouhodobé citlivé archivy nenesou stejné riziko.

Považovat dodavatele za pozdější fázi. Mnoho kryptografických opatření je řízeno dodavateli. Pokud dodavatelé nejsou zapojeni včas, váš plán může být nerealistický.

Zapomenout na podpisy. Postkvantové plánování není jen o šifrování. Digitální podpisy, podepisování kódu, certifikáty, tokeny identit, aktualizace firmwaru a podepisování dokumentů vyžadují pozornost.

Předpokládat, že cloudoví poskytovatelé vyřeší vše. Cloudové platformy budou hrát významnou roli, ale odpovědnost zůstává sdílená. Stále musíte vědět, které služby, konfigurace, klíče, regiony a integrace jsou dotčeny.

Nevytvořit auditní důkazy. Migrační plán, který nelze doložit, neuspokojí vedení, regulační orgány, zákazníky ani auditory.

Přeskočit testování výkonnosti a interoperability. Postkvantové algoritmy mohou ovlivnit velikost payloadu, chování handshake, latenci, úložiště, omezení vestavěných zařízení a kompatibilitu.

Metriky, které by měl CISO reportovat správní radě

Reporting správní radě musí být dostatečně jednoduchý k pochopení a dostatečně konkrétní, aby vedl k akci. Vyhněte se hlubokým debatám o algoritmech. Zaměřte se na expozici, postup, rozhodnutí a zbytkové riziko.

Užitečné sdělení pro správní radu může znít takto:

„Dokončili jsme kryptografické zjišťování u 72 procent kritických služeb. Dva systémy mají kritickou dlouhodobou expozici z hlediska důvěrnosti a tři dodavatelé dosud neposkytli postkvantové plány. Zahájili jsme projekt připravenosti podepisování kódu a přezkum závislostí na cloudovém KMS. Nouzová výměna se dnes nedoporučuje, ale největším zbytkovým rizikem zůstává nejistota u dodavatelů.“

To je jazyk řízeného kybernetického rizika.

Praktický kontrolní seznam pro tento týden

Nemusíte čekat na dokonalou jistotu. Začněte kroky, které okamžitě zlepší viditelnost a řízení.

1. Jmenujte vlastníka postkvantové kryptografie.
2. Doplňte kryptografické riziko související s kvantovými hrozbami do registru rizik ISMS.
3. Identifikujte deset nejdůležitějších služeb s dlouhodobě citlivými daty nebo vysokým dopadem na integritu.
4. Vytvořte pro tyto služby minimální použitelný CBOM.
5. Vyžádejte si od kritických dodavatelů jejich postkvantový plán.
6. Přezkoumejte politiky kryptografie, bezpečného vývoje, dodavatelů a aktiv.
7. Identifikujte systémy s pevně zakódovanými algoritmy, zastaralými knihovnami, manuální rotací certifikátů nebo slabým vlastnictvím.
8. Vyberte jeden nízkorizikový pilot pro testování kryptoagility.
9. Definujte metriky pro správní radu a frekvenci reportingu.
10. Naplánujte interní audit zaměřený na kryptografickou správu a důkazy.

Nejdůležitějším krokem je převést nejistotu na řízenou práci. Kvantové riziko může směřovat do budoucnosti, ale kryptografický dluh existuje už dnes.

Další kroky s Clarysec

Postkvantová migrace bude jednou z nejsložitějších bezpečnostních transformací příští dekády, protože zasahuje identity, šifrování, podpisy, dodavatele, cloud, software, zařízení, archivy a auditní důkazy. Organizace, které začnou správou a evidencí, se budou pohybovat rychleji než ty, které budou čekat na poslední chvíli a výměnný cyklus pod tlakem.

Clarysec vám může pomoci vytvořit plán migrace kryptografie odolné vůči kvantovým hrozbám s využitím:

• Zenith Blueprint: 30krokový plán auditora pro postupnou implementaci a připravenost na audit
• Zenith Controls: průvodce shodou napříč rámci pro mapování ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, COBIT 2019, GDPR, DORA a NIS2
• Politika kryptografie a správy klíčů pro kryptografická pravidla připravená pro řízení
• Bezpečnostní politika dodavatelů a poskytovatelů služeb třetích stran pro požadavky na plány dodavatelů a zajištění
• Politika bezpečného vývoje pro inženýrské postupy podporující kryptoagilitu

Nejlepší čas začít s postkvantovým plánováním je dříve, než si regulační orgán, auditor, zákazník nebo člen správní rady vyžádá důkazy. Začněte evidencí, propojte ji s rizikem a budujte migrační cestu po jednotlivých řízených rozhodnutích.