Крупнейшие мировые поставщики технологий установили крайние сроки к 2029 году для защиты своих услуг от будущих киберугроз, основанных на квантовых вычислениях. Для их клиентов это звучит обнадеживающе, но каждое обязательство охватывает только ту технологию, которую контролирует поставщик. Средний бизнес может по-прежнему полагаться на устаревшее оборудование, сертификаты, резервные системы и специализированные приложения, выходящие за рамки компетенции основного поставщика. Крупные платформы могут быть готовы вовремя, в то время как бизнес клиента останется уязвимым, поскольку ни один поставщик не несет ответственности за переход всей своей технологической инфраструктуры. Это поднимает справедливый вопрос для британских средних предприятий, уже занятых внедрением ИИ, облачной безопасностью и сегодняшними угрозами: действительно ли квантовые угрозы заслуживают того, чтобы стать еще одним приоритетом? В некоторой степени, да. Большинству организаций не нужна отдельная программа квантовой кибербезопасности, но этот вопрос уже должен влиять на решения, касающиеся долгосрочных данных, закупок технологий и продления контрактов с поставщиками. Угроза не возникает в тот день, когда мощный квантовый компьютер будет запущен в каком-либо злонамеренном государственном агентстве. Злоумышленник, который сегодня крадет зашифрованную информацию, может не иметь возможности прочитать ее немедленно, но это не делает кражу бесполезной. Данные могут храниться до тех пор, пока не появится достаточно широкая вычислительная мощность для их расшифровки — это произойдет с развитием квантовых вычислений. Этот тип атаки, известный как «собирай сейчас, расшифровывай позже», не оставляет записки с требованием выкупа и может не дать жертве повода подозревать, что была сделана пригодная для использования копия. Информация, остающаяся конфиденциальной годами, вызывает наибольшее беспокойство, и такой вид превентивной кражи данных уже рассматривается как реальный риск. Риск неравномерен для каждого файла. Обычные операционные данные могут иметь небольшую ценность через десять лет, в то время как интеллектуальная собственность, юридические материалы или информация о людях могут по-прежнему причинять вред. Это дает директорам по информационной безопасности (CISO) более полезную отправную точку, чем попытка предсказать появление мощного квантового компьютера: какая информация, изъятая из бизнеса сегодня, будет иметь значение, если кто-то сможет прочитать ее только спустя годы?
Не нужно предсказывать Q-Day, чтобы подготовиться к нему
Квантовые компьютеры существуют сегодня только в экзотических исследовательских лабораториях и далеки от массового ИТ-рынка: ни один авторитетный источник не дал никаких указаний на то, когда это может произойти. Более широкое внедрение квантовых вычислений также не сломает все формы шифрования в одночасье. Озабоченность вызывает шифрование с открытым ключом, используемое сегодня для установления безопасных соединений, проверки подлинности и подтверждения подлинности программного обеспечения. Хотя сегодня оно безопасно, квантовые компьютеры смогут взломать даже самые надежные современные формы шифрования с открытым ключом за несколько дней или даже часов. В результате новые формы шифрования, разработанные для повышения устойчивости к квантовым атакам, теперь выходят на массовый рынок технологий. NIST в 2024 году финализировал свои первые стандарты постквантовой криптографии. Microsoft планирует перейти на новую защиту к 2029 году и начала добавлять поддержку в Windows и Windows Server. Google Cloud опубликовал целевой показатель на 2029 год, в то время как NCSC хочет, чтобы британские организации завершили обнаружение и планирование к 2028 году, занялись системами с наивысшим приоритетом к 2031 году и завершили миграцию к 2035 году. Эти даты являются горизонтами планирования, а не предсказаниями Q-Day — момента, когда квантовый компьютер сможет взломать широко используемое сегодня шифрование с открытым ключом. С одной стороны, они показывают, что миграция займет годы. С другой стороны, они также рискуют создать у клиентов ложное ощущение, что проблема решена, когда каждый крайний срок фактически отмечает предел ответственности поставщика. Google Cloud необычайно ясно определяет эту границу. Он обновит технологию, используемую для работы своих облачных сервисов, в то время как клиенты остаются ответственными за свои приложения, устройства, ключи шифрования и настройки безопасности. То же самое разделение применимо к Microsoft и другим крупным платформам. Их работа важна, но она не может обновить каждый продукт или приложение, подключенное к ним.
Готовность вашего поставщика — это не ваша готовность
Проблема среднего сегмента рынка заключается в связях между поставщиками. Облачные сервисы по-прежнему должны работать со старым программным обеспечением, внутренними системами сертификации, сетевым оборудованием и резервными продуктами, все движется с разной скоростью. Платформа может внедрить квантово-устойчивую защиту, в то время как более старое приложение не сможет ее использовать. Резервная копия может надежно зашифровать свое содержимое, в то время как метод защиты ключа, который ее разблокирует, остается уязвимым. Один поставщик может завершить свою подготовку и все же оставить клиента уязвимым через систему, находящуюся вне его контроля. Для средних фирм наиболее полезный ответ начинается с решений, принимаемых уже сегодня. Оборудование, купленное в этом году, может работать и в 2031 году, когда NCSC рекомендует завершить миграцию приоритетных систем. Долгосрочное продление программного обеспечения может связать бизнес с приложением, которое не может использовать более сильное шифрование без перестройки или замены. Поэтому закупки и продление контрактов — это моменты, когда будущую уязвимость можно уменьшить до того, как она станет дорогостоящей проблемой миграции. Запрос поставщику о готовности продукта к квантовым вычислениям дает широкие заверения. Покупателям нужно знать, какие продукты изменятся, требует ли переход нового оборудования или дополнительных затрат, что должен настроить клиент и кто владеет любой технологией, которую нельзя обновить. Дорожная карта имеет небольшую ценность, если она не проясняет эти обязанности. Управляемые поставщики услуг безопасности должны подвергаться такому же контролю. Работа с крупной платформой, имеющей финансируемую постквантовую программу, является преимуществом, но поставщик не может просто предположить, что он унаследует готовность Microsoft и передаст ее оптом. Его полезная роль заключается в интерпретации изменений платформы в более широкой среде клиента и выявлении пробелов по мере приближения сроков действия контрактов и оборудования. Для специалиста по безопасности Microsoft это практический момент, где изменения платформы сталкиваются с реальностью инфраструктуры клиента, и традиционные методы XDR могут играть важную роль в обнаружении и предотвращении атак типа «собирай сейчас, расшифровывай позже». Q-Day предсказать невозможно, но средние предприятия не должны ждать подтвержденной даты, чтобы начать подготовку. Они по-прежнему могут определить информацию, которая должна оставаться конфиденциальной годами, понять, какие системы, и сделать квантовую готовность частью решений о закупках и продлении. Практический крайний срок — это следующее решение, которое может закрепить уязвимую технологию в бизнесе еще на пять или десять лет. Гэри Оуэн — руководитель отдела решений в Softwerx
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Computerweekly
