Кратко

  • Цель миграции к 2031 году относится к критической информационной инфраструктуре; ориентир 2035 года адресован другим организациям, подверженным квантовому риску.
  • Сначала нужно найти уязвимую криптографию в системах, у поставщиков и в операционных зависимостях, назначить владельцев и испытать замену.

План Сингапура по подготовке к квантовым рискам начинается с менее заметной задачи, чем выбор алгоритма: нужно выяснить, где криптография уже стала частью работы сервиса.

14 октября Агентство кибербезопасности Сингапура (CSA) рекомендовало организациям, подверженным квантовому риску, подготовить планы миграции до конца 2027 года и завершить переход к 2035 году. Это рекомендация для организаций с соответствующим риском, а не единый законный срок для всех компаний. В июньских указаниях для критической информационной инфраструктуры (CII) предусмотрен более сжатый график: планы следует подать отраслевому куратору до 31 марта 2027 года, миграцию завершить к 31 декабря 2031 года, а закупаемые с 1 января 2028 года компоненты CII должны поддерживать постквантовую криптографию либо быть готовы к ней к сроку 2031 года.

Разницу в охвате нельзя стирать. Компания вне режима CII не должна считать 2031 год своим установленным законом пределом. Но более дальний горизонт 2035 года не отменяет инвентаризацию. CSA советует выявить затронутые системы и данные, назначить ответственных, изучить планы поставщиков и проверить совместимость и производительность.

Проблема — в зависимостях. Криптография может быть встроена в протокол, промышленное оборудование, управляемый сервис или компонент поставщика, не фигурируя отдельной строкой в закупке. Данные, которые должны оставаться конфиденциальными долгие годы, имеют иной горизонт риска, чем сервис, который можно быстро заменить. Инвентаризация только собственных репозиториев может пропустить именно те внешние компоненты, от которых зависит порядок миграции.

Требование к закупкам CII превращает это в вопрос управления. Спецификации и подтверждения от поставщиков нужны до последнего окна миграции; следует также определить, кто оплачивает интеграцию и можно ли откатить обновление без остановки сервиса. Обещанная дорожная карта поставщика ещё не доказывает, что путь обновления проверен.

CSA считает возможным появление квантового компьютера, способного взломать используемую криптографию, в течение пяти-десяти лет, но подчёркивает неопределённость. Это сценарий для планирования, а не точный прогноз и не доказательство того, что нынешние системы уже взломаны. В 2024 году NIST утвердил три постквантовых стандарта. Они задают общий технический ориентир, но не решают местные проблемы совместимости и устаревшего оборудования.

Грант Quantum-Safe Kickstarter Grant может поддержать ограниченные пилоты негосударственных организаций, зарегистрированных в Сингапуре. Он покрывает до 70% приемлемых расходов; не менее 30% заявитель вносит деньгами. Срок пилота — до шести месяцев, а отчёт должен описывать метод, результаты и ограничения. Пилот может выявить стоимость интеграции или несовместимость, но не подтверждает безопасность всей инфраструктуры организации.

Поэтому непосредственную готовность показывает не число проектов с маркировкой «квантово-устойчивый». Важнее, может ли организация назвать затронутые системы и их владельцев, недостающие доказательства поставщиков и испытания, необходимые для допуска решения в эксплуатацию.

Источники