cio_ukhace 33d
La reciente Cumbre Cuántica Segura de Palo Alto Networks reunió a titanes de la industria y líderes de ciberseguridad para entregar un mensaje aleccionador a los CIO: la amenaza cosechar ahora, descifrar después (HNDL) es real y activa, y la ventana para la transición criptográfica se está cerrando. Para el CIO moderno, la preparación cuántica es más que una simple actualización técnica, es un requisito fundamental para la resiliencia empresarial a largo plazo y la confianza pública. Y el consenso de este año hasta ahora es que la cantidad ya no es un si para los CIO, sino un cuándo. Los clientes, empleados, accionistas y otras partes interesadas deben confiar en que los datos que se introducen en los sistemas de IA están protegidos, y la tecnología cuántica surge como una gran amenaza para romper esta confianza. Para navegar este cambio, los CIO deben ir más allá de la conciencia teórica y entrar en un marco operativo estructurado. La siguiente hoja de ruta proporciona una lista de verificación estratégica necesaria para la transición del cifrado heredado a la resiliencia cuántica segura. La realidad del reloj cuántico Existe una idea errónea común de que las amenazas cuánticas están a décadas de distancia. Pero Jerry Chow, director tecnológico de supercomputación cuántica de IBM, afirma que la hoja de ruta se está acelerando. IBM apunta a su procesador Starling, un sistema tolerante a fallas de 200 qubits lógicos, para 2029, y al sistema Blue Jay, que apunta a 1.000 qubits lógicos, para 2033. Y aunque podría ser necesaria una máquina de un millón de qubits para romper completamente el cifrado RSA-2048, el premio Nobel de física John Martinis advierte que la amenaza podría llegar antes a través de avances algorítmicos. “Tienes tiempo para hacer esto correctamente”. Martinis dijo durante la cumbre, “pero no tienes una cantidad de tiempo infinita”. En cuanto a los avances algorítmicos, la mayoría de las proyecciones actuales para romper el cifrado se basan en híbridos cuánticos clásicos, es decir, ejecutando lógica tradicional en hardware cuántico. Sin embargo, a medida que los sistemas cuánticos tolerantes a fallas se vuelvan comercialmente accesibles, veremos el surgimiento de algoritmos cuánticos nativos. Se trata de modelos matemáticos diseñados específicamente para las propiedades únicas de los qubits, como la superposición y el entrelazamiento, lo que les permite resolver problemas que la lógica clásica ni siquiera puede mapear. Es el paso de hacer cosas viejas en una máquina nueva a hacer cosas que antes pensábamos que eran imposibles. El riesgo de HNDL y la navegación por los estándares La razón más apremiante para tomar medidas inmediatas es HNDL. Actualmente, los adversarios interceptan y almacenan datos confidenciales cifrados, como propiedad intelectual, secretos de estado y registros financieros, con la intención de descifrarlos una vez que el hardware cuántico madure. Si sus datos tienen una vida útil de más de 10 años, ya están en riesgo. IoT World Today hace referencia a una encuesta de Deloitte que encontró que más del 50% de los profesionales encuestados creen que sus organizaciones están en riesgo de ataques HNDL, sin embargo, solo una fracción ha completado un inventario completo de vida útil de los datos. La transición a la criptografía poscuántica (PQC) está siendo liderada por el Instituto Nacional de Estándares y Tecnología (NIST). Dustin Moody, líder del proyecto PQC en NIST, dice que los estándares ahora están listos para su implementación. Hitos clave para los CIO: El mandato de 2035: el gobierno federal de EE. UU. ha establecido esta fecha límite para la migración completa a los estándares PQC. Se espera que las organizaciones del sector privado, especialmente aquellas en industrias reguladas como finanzas, atención médica y defensa, sigan este cronograma para mantener el cumplimiento y la interoperabilidad. Agilidad criptográfica: NIST y CISA instan a las organizaciones a alejarse de la seguridad codificada. La agilidad criptográfica, la capacidad de intercambiar algoritmos de cifrado sin revisar sistemas completos, es el nuevo estándar de oro para la arquitectura de TI y es algo que los CIO deben garantizar que sea parte de su estrategia de implementación. Quedarse atrapado en un algoritmo específico podría crear problemas a largo plazo, haciendo que la opcionalidad sea obligatoria. El plan de acción del CIO: descubrir, proteger, acelerar La cumbre esbozó una estrategia de tres pilares para que las organizaciones pasen de la vulnerabilidad a la resiliencia. Fase I: Descubrimiento e inventario No se puede proteger lo que no se puede ver. La mayoría de las organizaciones carecen de una lista de materiales criptográficos (CBOM). El desafío es que la criptografía está oculta en todo, desde la OT heredada hasta los microservicios nativos de la nube. Entonces, el objetivo es utilizar herramientas automatizadas para mapear dónde se utilizan RSA, ECC y otros algoritmos vulnerables. Palo Alto Networks, por ejemplo, aprovecha la telemetría de firewall existente para crear motores de descubrimiento cuánticos sin necesidad de nuevos sensores. Fase II: Protección sistémica Una vez que se establece un inventario criptográfico integral, el enfoque del CIO debe cambiar a la priorización basada en el riesgo, donde la vida útil de los datos dicta la urgencia de la remediación. Pero no todos los datos conllevan el mismo riesgo cuántico en el sentido de que, si bien un token de sesión vence en minutos, los secretos comerciales corporativos o los registros legales deben permanecer confidenciales durante décadas. Al segmentar los activos en datos de alta prioridad y de larga duración y datos de menor prioridad y de corta duración, las organizaciones pueden asegurarse de proteger los activos más vulnerables al descifrado retroactivo antes de que se acabe el reloj cuántico. Los primeros serían datos estratégicos a largo plazo, como propiedad intelectual y registros legales, mientras que los segundos serían información de corta duración, como contraseñas de un solo uso y tokens de sesión. Algunos CIO cuestionan el valor de los datos después de unos años. Si bien no todos los bytes de datos conservan su valor a lo largo del tiempo, todas las empresas poseen información valiosa (propiedad intelectual, contratos a largo plazo o PII confidencial) que siguen siendo objetivos de alto valor para el descifrado retroactivo. La clave es comprender qué son esos datos y protegerlos ahora. Hoy en día, esa es la minoría de los datos de las empresas, aunque sigue siendo un porcentaje saludable. Según el Informe de privacidad de Ponemon-Sullivan de 2025, el 36 % de todos los datos actualmente almacenados se consideran de misión crítica para la supervivencia de la organización, pero la mayor parte permanece protegida por un cifrado clásico vulnerable a futuros ataques cuánticos. Fase III: Resolver el ancla heredada Esto se refiere a sistemas de misión crítica como sistemas satelitales, dispositivos médicos o aplicaciones antiguas de mainframe que no se pueden actualizar fácilmente. Anand Oswal, vicepresidente ejecutivo de Palo Alto Networks, habló sobre la traducción de cifrado, que permite que los firewalls de próxima generación actúen como traductores, convirtiendo el tráfico vulnerable en una sesión cuánticamente segura en tiempo real. Esto prepara efectivamente el hardware heredado para el futuro sin un proyecto de desmontaje y reemplazo. Operacionalizar la seguridad cuántica Mike Duffy, CISO federal de EE. UU., destacó que la preparación cuántica es fundamental para la modernización responsable de TI, ya que sin ella, considerar la preparación de PQC en realidad no es más que crear deuda técnica en el futuro, dijo. Como la mayoría de los CIO han experimentado, la deuda técnica sigue siendo uno de los mayores inhibidores en la modernización de los sistemas, y entre los muchos desafíos está comprender las implicaciones financieras y de riesgo a través de la asignación de recursos. La migración cuántica no es un proyecto paralelo para el equipo de TI, requiere un presupuesto dedicado y patrocinio ejecutivo. Otro son los problemas de gestión de proveedores. Los CIO deben exigir hojas de ruta de PQC a sus proveedores, y cada nueva adquisición de hoy debe evaluarse por su agilidad criptográfica. El camino a seguir Si bien el Q-Day, o el día en que una computadora cuántica rompa Internet, es en el futuro, la preparación de seguridad para ello debe ocurrir hoy. Para prepararse adecuadamente, los CIO deben nombrar un líder cuántico asignando a un miembro senior de TI o seguridad la tarea de supervisar la transición, realizar un inventario CBOM comenzando con los flujos de datos más sensibles e interactuar con el ecosistema mediante el uso de plataformas que ofrezcan resiliencia de circuito cerrado: sistemas que pueden identificar y aplicar la solución a nivel de red. La migración criptográfica manual es matemáticamente imposible a escala empresarial. El cambio hacia la seguridad cuántica debe automatizarse, basarse en plataformas e iniciarse ahora.