摘要

  • 2031年迁移目标针对关键信息基础设施；2035年建议则面向其他面临量子风险的组织。
  • 眼下的第一步不是挑选算法，而是找出系统、供应商和运营依赖中的脆弱密码技术，明确负责人并测试替代方案。

新加坡的量子安全时间表，首先要求做一件不如选算法醒目的事：查明密码技术究竟嵌在服务运行的哪些环节。

10月14日，新加坡网络安全局（CSA）建议受量子风险影响的组织在2027年底前制定迁移计划，并于2035年前完成迁移。这是面向受影响组织的指导建议，并非适用于所有企业的统一法定期限。CSA在6月发布的关键信息基础设施（CII）指南设定了更紧的安排：运营者须在2027年3月31日前向所属行业主管部门提交计划，目标是在2031年12月31日前完成迁移；从2028年1月1日起采购的CII设备，应支持后量子密码，或能在2031年期限前达到量子安全就绪状态。

范围差异不能被抹平。CII框架以外的企业不应把2031年当作自己的法定截止日；但更晚的2035年也不意味着盘点可以拖延。CSA建议组织识别受影响的系统和数据、明确责任人、查看供应商路线图，并测试兼容性与性能。

难点在于依赖关系。密码技术可能藏在协议、工业设备、托管服务或供应商组件中，不会单独出现在采购清单上。需要长期保密的数据，与可以迅速替换的服务，风险期限也不相同。只清点自有代码库，可能恰好漏掉决定迁移顺序的外部环节。

CII采购要求让这件事成为治理问题。采购条款和供应商证据必须早于最终迁移窗口到位，还要说清集成成本由谁承担，以及升级失败时能否回退而不中断服务。供应商承诺的路线图并不等于已经验证的升级路径。

CSA称，未来五至十年出现可破解现有密码体系的量子计算机是一种可能，但时间存在不确定性。这是规划情景，不是确定的到达日期，更不能证明现有系统已经失守。NIST于2024年定稿了三项后量子标准，为采购方提供共同的技术目标，但标准本身不能解决本地兼容、性能或遗留设备限制。

量子安全启动资助计划可支持在新加坡注册的非政府机构开展范围有限的试点：符合条件的项目成本最高可获70%资助，申请方至少承担30%的现金配套，试点最长六个月。结项报告须说明方法、结果和局限。试点可以揭示集成成本或方案不兼容，却不能凭一个应用或设备证明整个系统群已经安全。

因此，眼下衡量准备度的标准，不是有多少项目贴上“量子安全”标签，而是组织能否列出受影响的系统、每项工作的负责人、尚缺的供应商证据，以及允许迁入生产环境的测试条件。

来源