Migrácia na postkvantovú kryptografiu podľa ISO 27001

V zasadacej miestnosti je počuť iba tlmený zvuk projektora. Sarah, riaditeľka informačnej bezpečnosti (CISO), práve ukončila štvrťročnú aktualizáciu rizík, keď generálny riaditeľ zdvihne výtlačok článku z finančných správ. Nadpis je nekompromisný: „Kvantové odpočítavanie: sú vaše údaje už zastarané?“

„Sarah,“ povie nie obviňujúco, skôr so skutočnou obavou, „minuli sme milióny na šifrovanie. Sme v súlade. Sme bezpeční. Tento článok tvrdí, že dostatočne výkonný kvantový počítač by to všetko mohol prelomiť. Sme vystavení riziku? A čo údaje, ktoré práve teraz šifrujeme a ukladáme? Je to časovaná bomba?“

Tento rozhovor sa dnes presúva z bezpečnostných konferencií do rokovaní vrcholového vedenia. Otázkou už nie je, či je kvantové počítanie zaujímavé pre výskumníkov. Otázkou je, či dnešné kryptografické rozhodnutia dokážu chrániť budúce záväzky organizácie.

Pre mnohé organizácie je úprimná odpoveď nepríjemná. Šifrovanie je všade: TLS brány, VPN, zákaznícke portály, tokeny identít, databázové zálohy, mobilné aplikácie, platobné platformy, S/MIME, SSH, API integrácie, SaaS služby, hardvérové bezpečnostné moduly, cloudové služby správy kľúčov, podpisovanie firmvéru, podpisovanie kódu a digitálne zmluvy.

V tom je problém. Kryptografia je všade, ale vlastníctvo často nikde.

Migrácia na postkvantovú kryptografiu nie je len otázkou budúceho kryptograficky relevantného kvantového počítača. Týka sa aj dnešného rizika „harvest now, decrypt later“, pri ktorom útočníci zachytia šifrované údaje už dnes a čakajú, kým budúce schopnosti spravia dešifrovanie prakticky uskutočniteľným. Ak vaša organizácia uchováva osobné údaje, zdravotné záznamy, regulované finančné údaje, obchodné tajomstvá, právnu komunikáciu, údaje národnej infraštruktúry, produktový firmvér alebo duševné vlastníctvo s dlhou životnosťou, riziko už dnes patrí do riadenia životného cyklu.

Plán migrácie kryptografie pripravený na kvantové hrozby nie je panický projekt. Je to štruktúrovaný program správy a riadenia, inventarizácie, riadenia dodávateľov, architektúry, testovania a auditu. Praktická otázka pre CISO je jednoduchá:

Ako vytvoriť plán postkvantovej migrácie, ktorý je dôveryhodný pre vedenie, použiteľný pre inžinierov a obhájiteľný pred audítormi?

Odpoveďou je ukotviť prácu v ISO/IEC 27001:2022, interpretovať kontroly cez ISO/IEC 27002:2022, používať štandardy postkvantovej kryptografie NIST ako technický kompas a vytvoriť jednotný model dôkazov podporujúci povinnosti podľa ISO 27001, NIST, COBIT 2019, GDPR, DORA a NIS2.

Prečo postkvantová kryptografia patrí do ISMS

Častou chybou je priradiť postkvantovú migráciu výlučne kryptografickým inžinierom. Inžinieri sú nevyhnutní, ale problém správy a riadenia nedokážu vyriešiť sami.

Postkvantová migrácia zasahuje správu aktív, klasifikáciu údajov, riadenie dodávateľov, bezpečnú architektúru, správu kľúčov, vývoj aplikácií, cloudovú bezpečnosť, reakciu na incidenty, kontinuitu činností, právne riziko, regulačnú zodpovednosť a auditné dôkazy. To sú témy ISMS.

ISO/IEC 27001:2022 poskytuje rámec správy a riadenia. Vyžaduje, aby organizácia rozumela svojmu kontextu, zainteresovaným stranám, rizikám, cieľom, zodpovednostiam, kompetenciám, zdokumentovaným informáciám, prevádzkovému plánovaniu, hodnoteniu výkonnosti, vnútornému auditu, preskúmaniu manažmentom a neustálemu zlepšovaniu. ISO/IEC 27002:2022 následne poskytuje interpretáciu kontrol, najmä pri 8.24 Use of cryptography, 5.9 Inventory of information and other associated assets, 5.12 Classification of information, 5.21 Managing information security in the ICT supply chain, 5.23 Information security for use of cloud services, 8.25 Secure development life cycle, 8.8 Management of technical vulnerabilities, 8.16 Monitoring activities a 5.30 ICT readiness for business continuity.

V Clarysec sa preto pripravenosť na postkvantové hrozby chápe ako transformácia riadená ISMS, nie ako izolovaná výmena algoritmov.

Ako sa uvádza v dokumente Clarysec Zenith Blueprint: 30-krokový plán audítora, fáza 2, krok 8, „Vymedzenie rozsahu aktív, závislostí a dôkazov“:

„Kontrole nemožno dôverovať, kým organizácia nedokáže preukázať, kde sa uplatňuje, kto ju vlastní, ktoré dôkazy ju podporujú a ktoré riziko znižuje.“

Táto veta je osobitne dôležitá pre postkvantovú kryptografiu. Skôr než nahradíte algoritmy, musíte vedieť, kde sa používajú.

Clarysec Zenith Controls: príručka pre krížový súlad rámcuje kryptografiu ako prepojený reťazec dôkazov, nie ako jedno technické nastavenie:

„Kryptografické uistenie sa audituje cez životný cyklus informácií: identifikáciu, klasifikáciu, schválené používanie, ochranu kľúčov, prevádzkové monitorovanie, závislosť od dodávateľov, riadenie výnimiek a uchovávanie dôkazov.“

Tento pohľad na životný cyklus bráni najčastejšiemu zlyhaniu: pýtať sa iba „Používame kvantovo bezpečné algoritmy?“ Lepšie otázky sú:

• Ktoré systémy potrebujú postkvantovú migráciu ako prvé?
• Ktoré údaje majú požadovanú dobu dôvernosti dlhšiu než horizont kvantového rizika?
• Ktorí dodávatelia riadia naše šifrovanie, podpisy, certifikáty alebo správu kľúčov?
• Ktoré aplikácie sú kryptograficky agilné a ktoré majú kryptografiu pevne zakódovanú?
• Ktoré kompenzačné kontroly existujú, kým migrácia nie je dokončená?
• Ktoré dôkazy preukážu, že rozhodnutia boli založené na riziku a riadne preskúmané?

Od kvantovej hrozby k auditovateľnému riziku organizácie

Použiteľný postkvantový plán začína rizikovými scenármi. Vyhnite sa neurčitým vyhláseniam typu „kvantové počítanie môže prelomiť šifrovanie“. Namiesto toho vytvorte auditovateľné záznamy o rizikách, ktoré prepájajú dopad na organizáciu, hrozbu, zraniteľnosť, dotknuté aktíva, aktuálne kontroly, reziduálne riziko a opatrenia na ošetrenie rizík.

Napríklad:

„Šifrované doklady totožnosti zákazníkov uchovávané sedem rokov môžu byť v budúcnosti zraniteľné voči dešifrovaniu, ak budú zálohy exfiltrované už dnes a súčasná kryptografia s verejným kľúčom sa v budúcnosti stane prelomiteľnou.“

Tento scenár odkazuje na uchovávanie údajov, šifrovanie záloh, správu kľúčov, riadenie prístupu, hosting u dodávateľa, monitorovanie a prioritu migrácie.

Ďalší príklad:

„Podpisovanie firmvéru pre pripojené zariadenia sa spolieha na podpisové schémy, ktoré nemusia zostať dôveryhodné počas očakávaného životného cyklu zariadenia.“

To odkazuje na bezpečnosť produktov, mechanizmy bezpečnej aktualizácie, schopnosti HSM, bezpečnosť zákazníkov, uistenie o návrhu dodávateľa a dlhodobú prevádzkovú odolnosť.

Tretí príklad:

„Archivovaná právna komunikácia šifrovaná dnes môže vyžadovať dôvernosť dlhšie než pätnásť rokov, čím vzniká expozícia typu harvest now, decrypt later.“

To odkazuje na klasifikáciu, uchovávanie, kryptografickú ochranu, právnu blokáciu, bezpečnú komunikáciu a akceptáciu rizika zo strany vedenia.

Rizikom nie je len budúci „Q-Day“. Zahŕňa tri súvisiace oblasti:

1. Harvest now, decrypt later, pri ktorom útočníci dnes zhromažďujú šifrované údaje na budúce dešifrovanie.
2. Kompromitácia digitálneho podpisu, pri ktorej budúce útoky oslabia dôveru v aktualizácie softvéru, tokeny identít, právne dokumenty, firmvér a finančné transakcie.
3. Zlyhanie z dôvodu kryptografickej koncentrácie, keď sa široká trieda produktov, protokolov, knižníc alebo dodávateľov stane zastaranou naraz.

Podniková politika Clarysec Politika kryptografie a správy kľúčov, kapitola 5.1, zachytáva požiadavku správy a riadenia takto:

„Kryptografické kontroly sa musia vyberať, implementovať, preskúmavať a vyraďovať na základe klasifikácie informácií, požadovanej doby ochrany, schválených kryptografických štandardov, vlastníctva kľúčov a zdokumentovaných rozhodnutí o ošetrení rizík.“

Táto kapitola je kritická, pretože doba ochrany sa stáva faktorom prioritizácie. Krátkodobé údaje relácie a dlhodobé zdravotné záznamy nenesú rovnaké kvantové riziko. Kľúč na podpisovanie kódu, ktorý podporuje dôveru v zariadenia počas pätnástich rokov, má iný rizikový profil než krátkodobý interný testovací certifikát.

Tá istá rodina politík, v materiáloch Clarysec uvádzaná ako Politika kryptografických kontrol, môže formalizovať očakávania preskúmania aj takýmto znením:

Kapitola 5.4: štandardy algoritmov a dĺžok kľúčov
„Všetky kryptografické algoritmy a dĺžky kľúčov používané v organizácii musia byť vybrané zo schváleného zoznamu udržiavaného tímom informačnej bezpečnosti. Tento zoznam sa musí každoročne preskúmať voči odvetvovým osvedčeným postupom a usmerneniam národných orgánov kybernetickej bezpečnosti (napr. NIST, ENISA), s osobitným zreteľom na vývoj štandardov postkvantovej kryptografie. Plán migrácie systémov z algoritmov zraniteľných voči kvantovým útokom musí byť udržiavaný ako súčasť kryptografického inventára aktív.“

To nevyžaduje nebezpečné skoré prijatie. Vyžaduje povedomie, plánovanie, preskúmanie a dôkazy.

Používajte štandardy NIST PQC ako technický kompas

Práca NIST v oblasti postkvantovej kryptografie dáva organizáciám dôveryhodný technický smer. NIST štandardizoval ML-KEM na ustanovenie kľúčov, ML-DSA na digitálne podpisy a SLH-DSA na bezstavové podpisy založené na hašoch. Tieto štandardy poskytujú dodávateľom a architektom základ pre plány a pilotné návrhy.

Pre CISO nie je cieľom memorovať detaily algoritmov. Cieľom je vytvoriť migračnú cestu, ktorá dokáže prijať schválené kryptografické voľby bez narušenia služieb organizácie, záväzkov súladu alebo auditnej sledovateľnosti.

Migračný plán zosúladený s NIST by mal zahŕňať štyri pracovné prúdy:

1. Zisťovanie, identifikovať, kde existuje zraniteľná kryptografia s verejným kľúčom.
2. Prioritizácia, zoradiť systémy podľa citlivosti údajov, doby ochrany, expozície, dopadu na integritu a kritickosti pre organizáciu.
3. Prechodová architektúra, určiť, kde sa budú testovať a prijímať hybridné, kryptograficky agilné alebo postkvantové mechanizmy.
4. Uistenie, vytvoriť dôkazy, že rozhodnutia, výnimky, závislosti od dodávateľov, testy a reziduálne riziká sú riadené.

Kryptografická agilita si zaslúži osobitnú pozornosť. Kryptograficky agilný systém dokáže meniť algoritmy, veľkosti kľúčov, knižnice, certifikáty a protokoly bez zásadného prepracovania. V postkvantovej ére nie je kryptografická agilita luxus. Je to požiadavka odolnosti.

Ak má platobné API pevne zakódované kryptografické knižnice a nemá zdokumentovaného vlastníka, nie je kryptograficky agilné. Ak mobilná aplikácia pripína certifikáty bez riadeného aktualizačného postupu, migrácia sa môže výrazne predražiť. Ak má IoT zariadenie pätnásťročnú životnosť v teréne a nedokáže podporovať väčšie podpisy alebo bezpečné aktualizácie firmvéru, riziko je strategické.

Vytvorte kryptografický inventár skôr, než zvolíte migračnú cestu

Väčšina organizácií nemá kompletný kryptografický inventár. Môžu mať inventár certifikátov, tabuľkový prehľad správy kľúčov, záznamy HSM, zoznam cloudového KMS alebo položky CMDB. Zriedkavo však majú jednotný pohľad na kryptografické závislosti.

Plán migrácie na postkvantovú kryptografiu potrebuje kryptografický zoznam materiálov, teda CBOM. Nemusí byť dokonalý v prvý deň. Musí však byť štruktúrovaný, mať vlastníka a priebežne sa zlepšovať.

Minimálne zachyťte tieto polia:

Počiatočný inventár môže vyzerať takto:

Táto tabuľka okamžite ukazuje, prečo na inventári záleží. AES-256 nepredstavuje rovnaký typ kvantového rizika ako RSA alebo ECC, ale archivované záznamy pacientov môžu stále závisieť od zraniteľného obaľovania kľúčov, certifikátov, systémov identít alebo prenosových kanálov záloh. Podpisovanie kódu nemusí chrániť dôvernosť, ale chráni integritu softvéru a dôveru.

V Zenith Controls je kryptografia krížovo prepojená s podpornými normami, ktoré pridávajú hĺbku. ISO/IEC 27005 podporuje riadenie rizík informačnej bezpečnosti a pomáha preklopiť kvantovú neistotu do štruktúrovaných rizikových scenárov. ISO/IEC 27017 podporuje bezpečnostné kontroly špecifické pre cloud, čo je zásadné, keď sa kryptografické služby poskytujú cez cloudový KMS, spravované TLS, šifrovanie SaaS alebo platformové certifikáty. ISO/IEC 27018 je relevantná, keď sa osobné údaje spracúvajú vo verejných cloudových službách. ISO 22301 je relevantná tam, kde by kryptografické zlyhanie mohlo ovplyvniť kontinuitu kritických služieb. ISO/IEC 27036 podporuje bezpečnosť vzťahov s dodávateľmi, čo je kľúčové, keď dodávatelia vo vašom mene spravujú šifrovanie, podpisy, certifikáty alebo bezpečnú komunikáciu.

Poučenie je jednoduché: nemôžete migrovať to, čo neviete nájsť.

Prioritizujte podľa citlivosti, životnosti, expozície a náročnosti migrácie

Keď CBOM existuje, prioritizácia je založená na dôkazoch. Najlepším východiskom je malý počet kritických systémov, nie celopodnikové cvičenie dokonalosti.

Predstavte si spoločnosť poskytujúcu finančné služby s tromi vysoko hodnotnými systémami:

• trezor zákazníckych dokumentov uchovávajúci doklady totožnosti desať rokov,
• B2B API brána podporujúca partnerské transakcie,
• platforma na podpisovanie kódu pre aktualizácie desktopového softvéru.

S využitím Zenith Blueprint, fáza 2, krok 8, tím extrahuje aktíva z CMDB, certifikáty z platformy správy certifikátov, kľúče z HSM a cloudového KMS, dátové triedy z registra ochrany súkromia a závislosti od dodávateľov zo záznamov obstarávania.

Následne systémy ohodnotí:

Trezor zákazníckych dokumentov sa stáva prioritou pre životnosť dôvernosti. Platforma na podpisovanie kódu sa stáva prioritou, pretože dôvera v podpisy ovplyvňuje integritu softvéru a bezpečnosť zákazníkov. API brána má vysokú prioritu pre externú expozíciu, ale jej uchovávané údaje môžu mať kratšiu dobu dôvernosti.

Register rizík by mal následne prepojiť každý scenár s ošetrením a dôkazmi:

Podniková politika Clarysec Politika bezpečného vývoja, kapitola 6.4, poskytuje uhol pohľadu na dodávanie softvéru:

„Preskúmania bezpečnostného návrhu musia pred schválením do produkcie hodnotiť kryptografické závislosti, životný cyklus knižníc, agilitu algoritmov, nakladanie s tajomstvami, mechanizmy aktualizácie a komponenty riadené dodávateľom.“

Táto kapitola mení pripravenosť na postkvantové hrozby na inžiniersku požiadavku. Bráni tímom nasadzovať nové systémy, ktoré neskôr nebude možné migrovať.

Postupujte podľa 12-mesačného plánu zrozumiteľného pre audítorov

Postkvantová migrácia bude pre mnohé organizácie trvať roky. Prvý rok by mal organizáciu posunúť od neistoty k riadenej migrácii.

V Zenith Blueprint, fáza 3, krok 14, „Návrh ošetrenia rizík a vlastníctvo“, plán varuje pred nefinancovanými bezpečnostnými zámermi:

„Plán ošetrenia bez vlastníka, očakávaných dôkazov, cesty financovania a dátumu preskúmania nie je plán. Je to nevyriešené riziko s lepším formátovaním.“

Presne takto postkvantové programy zlyhávajú. Vytvoria prezentácie na zvýšenie povedomia, ale nie vlastnený backlog nápravných opatrení. Diskutujú o algoritmoch, ale neaktualizujú zmluvy s dodávateľmi. Dokumentujú riziko, ale netestujú migračné vzory.

Dôveryhodný plán vytvára záznamy o rozhodnutiach, vlastníkov, závislosti, očakávania dôkazov, rozpočty a dátumy preskúmania.

Zapojte dodávateľov do programu včas

Mnohé kryptografické závislosti sú outsourcované. Cloudoví poskytovatelia ukončujú TLS. SaaS platformy šifrujú záznamy. Poskytovatelia identít podpisujú tokeny. Spracovatelia platieb spravujú certifikáty. Dodávatelia hardvéru riadia podpisovanie firmvéru. Poskytovatelia riadených služieb prevádzkujú VPN a bezpečnostné brány.

Aj keď je váš interný tím pripravený, migráciu môže blokovať schopnosť dodávateľa.

Podniková politika Clarysec Politika bezpečnosti tretích strán a dodávateľov, kapitola 5.6, uvádza:

„Dodávatelia poskytujúci bezpečnostne relevantné služby musia zverejňovať materiálne závislosti, kryptografické zodpovednosti, dôkazy uistenia, procesy riešenia zraniteľností a zmeny plánu, ktoré môžu ovplyvniť rizikový profil organizácie.“

Pre pripravenosť na postkvantové hrozby sa kritických dodávateľov pýtajte:

• Ktoré algoritmy, protokoly, certifikáty a služby správy kľúčov chránia naše údaje alebo transakcie?
• Udržiavate kryptografický inventár alebo CBOM?
• Aký je váš postkvantový plán podľa NIST?
• Budete podporovať hybridnú výmenu kľúčov, postkvantové podpisy alebo kvantovo odolné ustanovenie kľúčov?
• Ako sa budú komunikovať zmeny certifikátov, tokenov, podpisovania a šifrovania?
• Aké kroky budú vyžadované od zákazníka?
• Aké testovacie prostredia budú dostupné?
• Ako sa bude riešiť výkonnosť, interoperabilita a vrátenie zmien?
• Sú kryptografické zodpovednosti definované v zmluve alebo v modeli zdieľanej zodpovednosti?
• Aké možnosti ukončenia alebo prenositeľnosti existujú, ak váš plán nespĺňa naše rizikové požiadavky?

Odpovede dodávateľov majú vstupovať do registra rizík. Slabé odpovede nemusia vždy znamenať okamžitú výmenu, ale vyžadujú ošetrenie. Môžete potrebovať kompenzačné kontroly, dodatky k zmluvám, notifikačné doložky, plánovanie ukončenia, rozšírené monitorovanie alebo upravenú stratégiu sourcingu.

Je to osobitne dôležité pri očakávaniach prevádzkovej odolnosti podľa DORA a NIS2. DORA kladie dôraz na riadenie IKT rizík a riadenie rizík externých poskytovateľov IKT vrátane dohľadu nad kritickými závislosťami. NIS2 Article 21 vyžaduje primerané a proporcionálne technické, prevádzkové a organizačné opatrenia na riadenie bezpečnostných rizík vrátane bezpečnosti dodávateľského reťazca, riešenia incidentov, kontinuity činností a kryptografie, ak je to primerané. GDPR Article 32 vyžaduje bezpečnosť primeranú riziku vrátane dôvernosti, integrity, dostupnosti, odolnosti a schopnosti zabezpečiť priebežnú ochranu osobných údajov.

Regulačný jazyk sa líši, ale logika kontrol je konzistentná: poznajte svoje závislosti, riaďte riziko, uchovávajte dôkazy a konajte skôr, než bude odolnosť ohrozená.

Mapovanie krížového súladu: jeden migračný plán, mnoho povinností

Silný plán migrácie na postkvantovú kryptografiu by sa mal vyhnúť vytváraniu samostatných balíkov dôkazov pre každý rámec. Rovnaké jadro dôkazov môže podporovať viacero povinností, ak je správne štruktúrované.

Zenith Controls mapuje tému kryptografie naprieč ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, COBIT 2019, GDPR, DORA a NIS2 so zameraním na účel kontroly, nie na označenie používané jednotlivými rámcami.

Kľúčom je opätovné použitie dôkazov. Kryptografický inventár podporuje správu aktív podľa ISO, výsledky Identify podľa NIST, viditeľnosť IKT aktív podľa DORA, riadenie rizík podľa NIS2 a zodpovednosť podľa GDPR. Dotazníky dodávateľov podporujú kontroly dodávateľov podľa ISO, riziko externých poskytovateľov IKT podľa DORA, bezpečnosť dodávateľského reťazca podľa NIS2 a správu dodávateľov podľa COBIT. Výsledky migračných testov podporujú bezpečnú zmenu, testovanie odolnosti, pripravenosť na audit a preskúmanie manažmentom.

Na čo sa budú pýtať audítori

Postkvantová kryptografia je stále vznikajúca auditná téma, ale audítori už majú dostatok očakávaní kontrol na kladenie náročných otázok.

Audítor ISO/IEC 27001:2022 zvyčajne začne rizikom. Bude sa pýtať, či je kryptografické riziko súvisiace s kvantovými technológiami identifikované, posúdené, ošetrené, monitorované a preskúmavané v rámci ISMS. Bude očakávať dôkazy, že kryptografické kontroly sú vybrané na základe rizika pre organizáciu a že zodpovednosti sú definované.

Posudzovateľ orientovaný na NIST sa môže zamerať na viditeľnosť aktív, ochranné mechanizmy, riziko dodávateľského reťazca, riadenie zraniteľností a výsledky správy a riadenia. Môže sa pýtať, či organizácia identifikovala systémy používajúce zraniteľnú kryptografiu s verejným kľúčom a či je migračné plánovanie zosúladené so smerovaním NIST.

Audítor COBIT alebo ISACA sa často bude pýtať na správu a riadenie. Kto je zodpovedný? Ako predstavenstvo dostáva reporty? Sú investície prioritizované? Sú závislosti od dodávateľov riadené? Sú prínosy, riziká a zdroje vyvážené?

Audítor ochrany súkromia sa môže zamerať na to, či šifrovanie a správa kľúčov zostávajú primerané citlivosti a dobe uchovávania osobných údajov.

Posudzovateľ zameraný na DORA alebo NIS2 bude sledovať odolnosť, koncentráciu externých poskytovateľov IKT, prevádzkovú kontinuitu a pripravenosť na incidenty.

Zenith Controls odporúča pristupovať k príprave na audit ako k dôkazovej ceste. Nečakajte, kým si audítori vyžiadajú snímky obrazovky a tabuľky. Vytvorte pracovný priestor GRC, ktorý prepája každé kryptografické riziko s jeho vlastníkom, dotknutými aktívami, dodávateľmi, rozhodnutiami, testami, výnimkami a dátumami preskúmania.

Aktualizujte politiky, aby sa program stal prevádzkovým

Väčšina kryptografických politík bola napísaná pre tradičné požiadavky na dôvernosť a integritu. Postkvantová migrácia vyžaduje cielené doplnenia.

Vaša politika kryptografie a správy kľúčov musí riešiť schválené štandardy, frekvenciu preskúmania, klasifikáciu údajov, dobu ochrany, agilitu algoritmov, generovanie kľúčov, úložisko kľúčov, rotáciu, zničenie, vlastníctvo, životný cyklus certifikátov, zodpovednosť za HSM, zodpovednosť za cloudový KMS, schvaľovanie výnimiek, kryptografiu riadenú dodávateľmi a monitorovanie postkvantového prechodu.

Vaša politika bezpečného vývoja musí riešiť schvaľovanie kryptografických knižníc, zákaz pevne zakódovaných algoritmov bez preskúmania, sledovanie závislostí, mechanizmy bezpečnej aktualizácie, testovanie výkonnosti pre väčšie kľúče alebo podpisy, spätnú kompatibilitu, vrátenie zmien a modelovanie hrozieb pre produkty s dlhou životnosťou.

Vaša bezpečnostná politika pre dodávateľov musí riešiť kryptografickú transparentnosť, požiadavky na postkvantový plán, zmluvné oznamovacie povinnosti, zdieľanú zodpovednosť za šifrovanie a správu kľúčov, plánovanie ukončenia a prenositeľnosť.

Váš postup správy aktív musí riešiť polia kryptografického inventára, vlastníctvo, zdroje dôkazov, frekvenciu preskúmania a integráciu s CMDB, cloudovým inventárom, správou certifikátov, záznamami HSM a repozitármi kódu.

Práve tu knižnica politík Clarysec pomáha organizáciám napredovať rýchlejšie. Namiesto písania od prázdnej strany môžu tímy prispôsobiť ustanovenia politík do postupov, registrov, dotazníkov a auditných dôkazov.

Vyhnite sa najčastejším chybám pri postkvantovej migrácii

Najnebezpečnejšie chyby sú zvyčajne zlyhania správy a riadenia, nie technické zlyhania.

Začať algoritmami namiesto aktív. Ak neviete, kde sa kryptografia používa, výber algoritmu vám nepomôže.

Ignorovať životnosť údajov. Krátkodobé transakčné údaje a dlhodobo citlivé archívy nenesú rovnaké riziko.

Považovať dodávateľov za neskoršiu fázu. Mnohé kryptografické kontroly sú spravované dodávateľmi. Ak dodávatelia nie sú zahrnutí včas, plán môže byť nerealistický.

Zabudnúť na podpisy. Postkvantové plánovanie nie je iba o šifrovaní. Digitálne podpisy, podpisovanie kódu, certifikáty, tokeny identít, aktualizácie firmvéru a podpisovanie dokumentov si vyžadujú pozornosť.

Predpokladať, že cloudoví poskytovatelia vyriešia všetko. Cloudové platformy zohrávajú významnú úlohu, ale zodpovednosť zostáva zdieľaná. Stále musíte vedieť, ktoré služby, konfigurácie, kľúče, regióny a integrácie sú dotknuté.

Nevytvoriť auditné dôkazy. Migračný plán, ktorý nemožno doložiť dôkazmi, neuspokojí manažment, regulátorov, zákazníkov ani audítorov.

Preskočiť testovanie výkonnosti a interoperability. Postkvantové algoritmy môžu ovplyvniť veľkosť prenášaných dát, priebeh nadväzovania spojenia, latenciu, úložisko, obmedzenia vstavaných systémov a kompatibilitu.

Metriky, ktoré má CISO reportovať predstavenstvu

Reportovanie predstavenstvu má byť dostatočne jednoduché na pochopenie a dostatočne konkrétne na vyvolanie opatrení. Vyhnite sa hlbokým debatám o algoritmoch. Sústreďte sa na expozíciu, pokrok, rozhodnutia a reziduálne riziko.

Užitočná správa pre predstavenstvo môže znieť takto:

„Dokončili sme kryptografické zisťovanie pre 72 percent kritických služieb. Dva systémy majú kritickú expozíciu dlhodobej dôvernosti a traja dodávatelia ešte neposkytli postkvantové plány. Spustili sme projekt pripravenosti podpisovania kódu a preskúmanie závislostí cloudového KMS. Núdzová výmena sa dnes neodporúča, ale neistota dodávateľov zostáva najväčším reziduálnym rizikom.“

Toto je jazyk riadeného kybernetického rizika.

Praktický kontrolný zoznam na tento týždeň

Nemusíte čakať na dokonalú istotu. Začnite krokmi, ktoré okamžite zlepšia viditeľnosť a správu a riadenie.

1. Určite vlastníka postkvantovej kryptografie.
2. Doplňte kryptografické riziko súvisiace s kvantovými technológiami do registra rizík ISMS.
3. Identifikujte desať najvýznamnejších služieb s dlhodobo citlivými údajmi alebo vysokým dopadom na integritu.
4. Vytvorte minimálne použiteľný CBOM pre tieto služby.
5. Vyžiadajte si od kritických dodávateľov ich postkvantový plán.
6. Preskúmajte politiky kryptografie, bezpečného vývoja, dodávateľov a aktív.
7. Identifikujte systémy s pevne zakódovanými algoritmami, zastaranými knižnicami, manuálnou rotáciou certifikátov alebo slabým vlastníctvom.
8. Vyberte jeden nízkorizikový pilot na testovanie kryptografickej agility.
9. Definujte metriky pre predstavenstvo a frekvenciu reportovania.
10. Naplánujte vnútorný audit zameraný na kryptografickú správu a riadenie a dôkazy.

Najdôležitejším krokom je premeniť neistotu na riadenú prácu. Kvantové riziko môže smerovať do budúcnosti, ale kryptografický dlh existuje už dnes.

Ďalšie kroky s Clarysec

Postkvantová migrácia bude jedným z najkomplexnejších bezpečnostných prechodov nasledujúceho desaťročia, pretože sa dotýka identít, šifrovania, podpisov, dodávateľov, cloudu, softvéru, zariadení, archívov a auditných dôkazov. Organizácie, ktoré začnú správou a riadením a inventarizáciou, sa budú pohybovať rýchlejšie než tie, ktoré budú čakať na výmenu na poslednú chvíľu.

Clarysec vám môže pomôcť vytvoriť plán migrácie kryptografie pripravený na kvantové hrozby pomocou:

• Zenith Blueprint: 30-krokový plán audítora pre fázovanú implementáciu a pripravenosť na audit
• Zenith Controls: príručka pre krížový súlad pre mapovanie ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, COBIT 2019, GDPR, DORA a NIS2
• Politika kryptografie a správy kľúčov pre kryptografické pravidlá pripravené na správu a riadenie
• Politika bezpečnosti tretích strán a dodávateľov pre požiadavky na plány dodávateľov a uistenie
• Politika bezpečného vývoja pre kryptograficky agilné inžinierske postupy

Najlepší čas začať s postkvantovým plánovaním je skôr, než si regulátor, audítor, zákazník alebo člen predstavenstva vyžiada dôkazy. Začnite inventárom, prepojte ho s rizikom a budujte migračnú cestu po jednom riadenom rozhodnutí.