بسیاری از سازمان‌ها قادر نیستند به سرعت تمامی نقاط استفاده از رمزنگاری در زیرساخت‌های خود را شناسایی کنند و جایگزینی این متدها بدون ایجاد اختلال در برنامه‌ها و زیرساخت‌ها، چالشی جدی است. ایجاد این قابلیت ممکن است سال‌ها زمان ببرد؛ به همین دلیل مدیران فناوری اطلاعات (CIO) و مدیران امنیت اطلاعات (CISO) باید پیش از آنکه ضرب‌الاجل‌های دوران پساکوانتوم منجر به تغییرات عجولانه و مخاطره‌آمیز شوند، برنامه‌ریزی را آغاز کنند.
ضرورت گذار به رمزنگاری پساکوانتوم (PQC)
با نهایی شدن اولین استانداردهای رمزنگاری پساکوانتوم توسط NIST در سال ۲۰۲۴، سازمان‌ها فراخوانده شده‌اند تا استفاده از آن‌ها را آغاز کنند. پیش‌بینی می‌شود الگوریتم‌های آسیب‌پذیر در برابر کوانتوم تا سال ۲۰۳۵ به‌طور کامل کنار گذاشته شوند. همچنین شرکت‌هایی مانند گوگل هدف خود را برای مهاجرت به PQC سال ۲۰۲۹ تعیین کرده‌اند که این امر ناشی از پیشرفت در سخت‌افزارهای کوانتومی و تحقیقات فاکتورگیری است.
یکی از خطرات جدی، حملات Harvest Now, Decrypt Later است که در آن مهاجمان داده‌های رمزگذاری شده را اکنون جمع‌آوری می‌کنند تا در آینده با استفاده از کامپیوترهای کوانتومی آن‌ها را رمزگشایی کنند.
استراتژی دستیابی به چابکی رمزنگاری
هدف نهایی تنها جایگزینی یک الگوریتم با الگوریتم دیگر نیست، بلکه دستیابی به Crypto Agility یا چابکی رمزنگاری است تا سازمان بتواند در آینده به راحتی متدهای رمزنگاری خود را اندازه‌گیری و تغییر دهد. مراحل پیشنهادی برای این مسیر عبارتند از:
- ایجاد موجودی جامع (Inventory): شناسایی تمامی گواهینامه‌ها (Certificates)، اعتبارنامه‌های Hard-coded و کتابخانه‌های رمزنگاری در مخازن کد و زیرساخت‌ها.
- شروع با گام‌های کوچک: به جای اسکن کلی و پراکنده، تمرکز بر روی مسائل محدود با ضرب‌الاجل مشخص، مانند گواهینامه‌های عمومی (Public Certificates)، توصیه می‌شود تا «حافظه عضلانی» سازمان در اتوماسیون و ارکستراسیون تقویت شود.
- اولویت‌بندی بر اساس ریسک: تمرکز بر سیستم‌های درآمدزا، خدمات حیاتی و داده‌های حساس بلندمدت (مانند داده‌های بیومتریک و مالکیت معنوی).
مدیریت تامین‌کنندگان و حاکمیت
چابکی رمزنگاری نیازمند همکاری تیمی متشکل از معماران، مهندسان شبکه، مالکان اپلیکیشن و بخش‌های حقوقی است. در هنگام خرید تجهیزات یا نرم‌افزار، توصیه می‌شود SLAهای مربوط به چابکی رمزنگاری در قراردادها گنجانده شود تا تضمین گردد تامین‌کننده در صورت تغییر استانداردهای جهانی، در بازه زمانی کوتاهی (مثلاً ۶ ماه) پچ‌های لازم را ارائه دهد.
همچنین باید توجه داشت که هیچ محصول واحدی نمی‌تواند راهکار کامل برای چابکی رمزنگاری باشد و ترکیبی از ابزارهای Discovery، مانیتورینگ شبکه (Deep Packet Inspection) و ابزارهای Microsegmentation برای اجرای این استراتژی ضروری است.
