بسیاری از سازمان‌ها قادر نیستند به سرعت تمامی نقاط استفاده از رمزنگاری در زیرساخت‌های خود را شناسایی کنند، چه برسد به اینکه بتوانند بدون ایجاد اختلال در برنامه‌ها و سرویس‌ها، آن‌ها را جایگزین نمایند. ایجاد این قابلیت می‌تواند سال‌ها زمان ببرد؛ به همین دلیل مدیران فناوری اطلاعات (CIO) و مدیران امنیت اطلاعات (CISO) باید پیش از آنکه ضرب‌الاجل‌های دوران پساکوانتوم منجر به تغییرات عجولانه و مخاطره‌آمیز شود، برنامه‌ریزی را آغاز کنند.
گام اول: شناسایی و موجودی‌برداری
درک دقیق محیط عملیاتی، اولین قدم است. این فرآیند شامل شناسایی گواهینامه‌ها (Certificates)، اعتبارنامه‌های سخت‌افزاری (Hard-coded credentials) و کتابخانه‌های رمزنگاری (Cryptographic libraries) جاسازی شده در اپلیکیشن‌ها، مخازن کد و زیرساخت‌هاست. با توجه به اینکه NIST اولین استانداردهای رمزنگاری پساکوانتوم (PQC) را در سال ۲۰۲۴ نهایی کرده و الگوریتم‌های آسیب‌پذیر در برابر کوانتوم تا سال ۲۰۳۵ حذف خواهند شد، زمان برای مهاجرت در حال کاهش است.
مفهوم Crypto Agility در مقابل PQC
هدف نهایی نباید صرفاً مهاجرت به PQC باشد، بلکه هدف باید دستیابی به انعطاف‌پذیری رمزنگاری (Crypto Agility) باشد. این به معنای توانایی سازمان در اندازه‌گیری سریع و تغییر آسان متدهای رمزنگاری در آینده است، بدون اینکه نیاز باشد هر بار کل زیرساخت را از ابتدا بازنگری کند.
استراتژی پیاده‌سازی گام‌به‌گام
- شروع با مسائل محدود: توصیه می‌شود به جای اسکن کلی و ایجاد لیستی عظیم از مشکلات، با حوزه‌هایی شروع کنید که ضرب‌الاجل تجاری مشخصی دارند. برای مثال، مدیریت گواهینامه‌های عمومی (Public Certificates) نقطه شروع مناسبی است.
- اتوماسیون و ارکستراسیون: با مدیریت گواهینامه‌ها، «حافظه عضلانی» سازمان در زمینه اتوماسیون و اعتبارسنجی جایگزینی رمزنگاری شکل می‌گیرد که بعدها در مهاجرت به الگوریتم‌های مقاوم در برابر کوانتوم کاربرد خواهد داشت.
- موجودی‌برداری جامع: یک لیست ساده از دارایی‌ها کافی نیست. موجودی باید شامل نام دارایی، پروتکل و نسخه آن، Cipher Suite، زنجیره گواهینامه، نحوه استفاده از کلید (Key Usage) و متادیتای مرتبط باشد.
اولویت‌بندی بر اساس ریسک
پس از تهیه موجودی، سیستم‌هایی که درآمدزایی سازمان را تامین می‌کنند یا سرویس‌های حیاتی را پشتیبانی می‌کنند باید در اولویت قرار گیرند. همچنین باید داده‌هایی که نیاز به حفاظت طولانی‌مدت دارند (مانند بیومتریک‌ها و اسناد هویتی) شناسایی شوند؛ زیرا این داده‌ها در معرض حملات Harvest Now, Decrypt Later (اکنون جمع‌آوری کن، بعداً رمزگشایی کن) هستند.
مدیریت تامین‌کنندگان و حاکمیت
انعطاف‌پذیری رمزنگاری نیازمند همکاری تیمی از معماران، مهندسان شبکه و پلتفرم، و مدیران برنامه است. در هنگام خرید نرم‌افزار، باید از تامین‌کنندگان بخواهید که در قراردادها (SLA) تعهد دهند در صورت تغییر استانداردهای رمزنگاری، در بازه زمانی مشخصی (مثلاً ۶ ماه) پچ‌های لازم را ارائه دهند.
در نهایت، هیچ محصول واحدی نمی‌تواند راهکار کامل Crypto Agility باشد. سازمان‌ها به ترکیبی از ابزارهای شناسایی رمزنگاری، مانیتورینگ شبکه برای بازرسی ترافیک (DPI) و ابزارهای ریزبخش‌بندی (Microsegmentation) برای اعمال سیاست‌های امنیتی نیاز دارند.
