Summary

  • El GAO no encontró pruebas de criptografía poscuántica dentro de ninguna de las 24 agencias examinadas durante su auditoría de febrero de 2024 a septiembre de 2025. Una investigó opciones comerciales; las otras 23 ni siquiera prepararon la prueba evaluada.
  • La guía federal de 2022 pedía inventariar sistemas, calcular recursos y ensayar la transición. Las normas centrales del NIST quedaron finalizadas en agosto de 2024. La distancia entre ambos hechos es un problema de ejecución local.

Una especificación no conoce los cables

El informe público del GAO salió el 6 de octubre de 2026, con una aclaración el día 14. Su trabajo de auditoría cubrió febrero de 2024 a septiembre de 2025. Por eso, «ninguna agencia» significa ninguna en la muestra y el período auditados; el informe no establece qué instaló cada agencia en noviembre de 2026. Basta el hallazgo histórico para medir el atasco.

La Oficina de Administración y Presupuesto había pedido en noviembre de 2022 tres tareas conectadas: inventarios prioritarios de criptografía vulnerable, evaluaciones de financiación y pruebas de soluciones poscuánticas en entornos propios. El NIST cerró en agosto de 2024 sus primeras normas centrales, entre ellas FIPS 203 para establecer claves. La norma indica cómo debe funcionar el algoritmo. No revela si una aplicación heredada admite nuevas longitudes, si un dispositivo puede actualizarse o quién responde cuando falla la autenticación. Para eso hace falta probar un sistema real.

Solo una agencia había investigado posibles implementaciones de proveedores. No las probó dentro de su entorno. Las otras 23 no habían abordado las actividades preparatorias que examinó el GAO. Investigar un catálogo y verificar una instalación son acciones diferentes. La primera puede apoyar una compra; la segunda puede descubrir que el calendario de la compra no sirve.

El conflicto se escondía en una palabra: «voluntario»

Dieciséis agencias consideraban prematuro elegir candidatos o hacer pruebas porque los proveedores todavía incorporaban las normas. Funcionarios de la Oficina del Director Nacional de Ciberseguridad describieron los ensayos como voluntarios y alegaron falta de recursos. El GAO sostuvo que la guía de la OMB no los calificaba de voluntarios. Señaló además que era posible construir prototipos con herramientas de código abierto antes de disponer de una oferta comercial completa. La discusión no es semántica. Si probar depende de esperar al proveedor, la agencia renuncia a conocer primero los límites de su propia instalación.

El terreno previo estaba mal cartografiado. Una de las 24 agencias había cubierto completamente las actividades aplicables del inventario; una no tenía inventario prioritario y 22 presentaban uno parcial. En una comprobación específica de seis agencias, ninguna había logrado precisión completa en los registros de algoritmos vulnerables. Ese resultado de seis no se puede atribuir a las 24. Aun así, el panorama general muestra cuánta incertidumbre había antes de presupuestar un cambio.

Ninguna agencia completó la evaluación financiera que revisó el GAO. Veintiuna hicieron cálculos parciales con datos reconocidos como inexactos; tres no hicieron el cálculo. Solo una estimación se apoyaba en un inventario completo de sistemas prioritarios. La OMB y la oficina nacional los describieron como órdenes de magnitud para orientar decisiones políticas, sin pretender que fueran solicitudes de apropiación. El problema aparece cuando un orden de magnitud pasa a sonar como un plan de ingeniería.

El texto íntegro oficial explica la urgencia temporal sin fabricar un ataque presente. Las computadoras cuánticas actuales no rompen esta criptografía; una máquina futura suficientemente potente podría hacerlo. Datos cifrados capturados hoy podrían conservar valor entonces. La demora en localizar sistemas y ensayar reemplazos consume tiempo de confidencialidad que no se recupera con una compra apresurada.

El GAO había emitido 89 recomendaciones en un informe sensible de septiembre de 2025. La publicación de octubre de 2026 no añadió recomendaciones nuevas. Contarlas otra vez no mueve un sistema. La prueba convincente sería un inventario fechado, un prototipo en un entorno identificado, incompatibilidades publicadas y un presupuesto revisado con esos resultados. La idea de Heng Lu de una especificación común seguida de decisiones locales verificables ayuda a leer el conflicto institucional; los hechos estadounidenses proceden del GAO y del NIST.

Sources