El reloj cuántico corre: 2030 no está tan lejos

La administración Trump ha establecido 2030 como horizonte para que las agencias federales —y, por extensión, sus proveedores y contratistas— completen la transición hacia algoritmos resistentes a la computación cuántica. Lo que sobre el papel parece un plazo razonable se convierte, en la práctica, en una carrera contrarreloj para cualquier organización con infraestructura heredada o entornos industriales.

El problema real: no saber lo que tienes

Antes de migrar cualquier protocolo criptográfico, una organización debe saber exactamente qué sistemas utilizan qué algoritmos. Y aquí es donde muchas se topan con el primer obstáculo: la falta de visibilidad completa sobre el inventario criptográfico. En entornos que combinan tecnología de la información (IT) con tecnología operacional (OT), ese inventario puede ser extraordinariamente difícil de construir.

Los entornos multifabricante agravan la situación. Diferentes proveedores implementan TLS, certificados o intercambio de claves de formas distintas y con documentación variable. Cuando a esto se añaden los ciclos de vida de actualización desalineados —un controlador industrial puede tener soporte garantizado hasta 2035, pero su firmware criptográfico podría ser incompatible con los nuevos estándares del NIST—, el mapa de dependencias se vuelve difícil de gestionar.

Interoperabilidad: el nudo gordiano

Uno de los aspectos menos discutidos de la transición poscuántica es que no basta con actualizar un extremo de la comunicación. La criptografía híbrida —que combina algoritmos clásicos y poscuánticos durante el período de transición— exige que ambos extremos de cada canal cifrado soporten los nuevos esquemas. En entornos OT con dispositivos embebidos de capacidad computacional limitada, esto puede ser técnicamente inviable sin sustitución de hardware.

El coste, por tanto, no es solo de licencias o consultoría: en muchos casos implica renovación de equipamiento físico, algo que los presupuestos de ciberseguridad actuales raramente contemplan a esta escala.

¿Por dónde empezar?

Los expertos del sector coinciden en una hoja de ruta básica:

  1. Inventario criptográfico completo: identificar cada sistema, protocolo y certificado en uso, con especial atención a IT/OT.
  2. Clasificación por criticidad y exposición: priorizar los activos que protegen datos con largo período de sensibilidad (lo que se conoce como el riesgo harvest now, decrypt later).
  3. Evaluación de dependencias de proveedor: determinar qué fabricantes tienen ya hojas de ruta poscuánticas y en qué plazos.
  4. Piloto de migración controlada: probar los nuevos algoritmos del NIST (ML-KEM, ML-DSA, SLH-DSA) en entornos no críticos antes de extender la implantación.

La realidad es que 2030 deja aproximadamente cinco años útiles de trabajo. Para organizaciones grandes o con infraestructura industrial, ese tiempo puede ser insuficiente si la planificación no comienza de inmediato.

Implicaciones más allá del sector federal

Aunque el mandato afecta directamente a agencias federales estadounidenses y sus contratistas, su impacto se extiende a cualquier empresa con presencia en cadenas de suministro norteamericanas o que opere bajo marcos regulatorios que referencien los estándares del NIST. En Europa, el contexto no es muy diferente: ENISA y el esquema de certificación europeo apuntan en la misma dirección y con plazos similares.

¿Estás cubierto en DefensOps?

La transición a criptografía poscuántica no genera por sí misma alertas de intrusión inmediatas, pero la falta de visibilidad sobre activos y configuraciones criptográficas sí representa una superficie de riesgo que tu SIEM debe monitorizar.

Con el plan Essential de DefensOps, el motor de correlación genérico te permite construir reglas personalizadas para detectar anomalías en el uso de protocolos criptográficos débiles o deprecados, cambios inesperados en certificados y comunicaciones que utilicen suites de cifrado no conformes con tu política interna. Aunque este escenario no mapea a técnicas MITRE específicas de forma directa, la cobertura de correlación de eventos proporciona la base de monitorización continua que necesitas para gestionar el riesgo durante el período de transición.

Da el primer paso hacia la visibilidad criptográfica. Consulta nuestros planes en la página de precios de DefensOps o solicita una demo gratuita y descubre cómo adaptar las reglas de correlación a tu inventario de activos.

Fuente: Dark Reading – Meeting Trump's 2030 Quantum Deadline Will be Expensive, Complex