Resumen

  • El objetivo de migración de 2031 corresponde a la infraestructura crítica de información; la recomendación de 2035 se dirige a otras organizaciones expuestas al riesgo cuántico.
  • La primera tarea es localizar criptografía vulnerable en sistemas, proveedores y dependencias operativas, asignar responsables y probar las alternativas.

El calendario de Singapur para prepararse frente al riesgo cuántico empieza por una labor menos vistosa que elegir un algoritmo: descubrir dónde se ha incrustado la criptografía en el funcionamiento de un servicio.

El 14 de octubre, la Cyber Security Agency of Singapore (CSA) aconsejó a las organizaciones expuestas al riesgo cuántico elaborar un plan antes de terminar 2027 y completar la migración para 2035. Es una orientación dirigida a organizaciones expuestas, no un plazo legal universal. La infraestructura crítica de información (CII) tiene una vía más exigente en la guía de junio: entregar el plan al responsable sectorial antes del 31 de marzo de 2027, apuntar a completar la migración el 31 de diciembre de 2031 y, desde el 1 de enero de 2028, adquirir equipos CII compatibles con criptografía poscuántica o preparados para ella antes de 2031.

La diferencia de alcance importa: una empresa fuera del marco CII no debe interpretar 2031 como su fecha límite legal. Sin embargo, disponer de más tiempo no elimina la necesidad de averiguar qué habrá que cambiar. CSA recomienda identificar sistemas y datos expuestos, asignar responsables, revisar los planes de los proveedores y probar compatibilidad y rendimiento.

El problema está en las dependencias. La criptografía puede venir integrada en un protocolo, un equipo industrial, un servicio gestionado o un componente de un proveedor y no aparecer en las compras como una partida separada. Los datos confidenciales que deben seguir protegidos durante años plantean otro riesgo frente a un servicio que puede sustituirse pronto. Un inventario basado solo en repositorios internos puede omitir justo las piezas que determinan el orden de migración.

La regla de adquisiciones para CII vuelve esto una cuestión de gobierno corporativo. Las especificaciones y pruebas de los proveedores deben llegar antes de la ventana final, con claridad sobre quién paga la integración y cómo revertir un cambio sin interrumpir el servicio. Una hoja de ruta prometida no equivale a una actualización probada.

CSA estima posible que aparezca un ordenador cuántico capaz de comprometer la criptografía actual en cinco a diez años, pero reconoce la incertidumbre. Es un escenario para planificar, no una fecha anunciada ni una prueba de que los sistemas ya estén vulnerados. NIST finalizó tres estándares poscuánticos en 2024; ofrecen un destino común, aunque no resuelven la compatibilidad local ni los equipos heredados.

El Quantum-Safe Kickstarter Grant puede apoyar pruebas acotadas de entidades no gubernamentales constituidas en Singapur. Cubre hasta el 70 % de los costes elegibles, exige al menos un 30 % de aportación en efectivo y limita cada piloto a seis meses. El informe debe describir método, resultados y límites. Un piloto puede revelar costes o incompatibilidades, pero no certifica toda una red de sistemas.

La medida inmediata de preparación no es cuántas iniciativas se anuncian como «seguras frente a la computación cuántica», sino si la organización puede identificar sus sistemas expuestos, quién responde por ellos, qué pruebas faltan del proveedor y qué test autorizaría el paso a producción.

Fuentes