Většina firem nezná svůj kryptografický inventář, přechod na PQC váznou

Většina organizací se podle nedávno zveřejněného článku s názvem „Getting Past the Post-Quantum Cryptography Discovery Phase“ potýká se stejným problémem: dosud nemá dostatečně zmapovaný svůj kryptografický inventář. Právě to je důvod, proč firmy a instituce často nevědí, kde s přechodem na post-kvantovou kryptografii vůbec začít. Text se věnuje tomu, jak z této úvodní fáze průzkumu, v odborné hantýrce označované jako discovery, vykročit k dalším krokům.

Post-kvantová kryptografie, zkráceně PQC, označuje algoritmy navržené tak, aby odolaly útokům budoucích kvantových počítačů. Současné šifrovací a podpisové mechanismy, na nichž stojí komunikace, platby i ochrana dat, by takovým strojům mohly časem přestat stačit. Přechod na nové algoritmy proto patří mezi témata, kterými se bezpečnostní týmy zabývají stále intenzivněji. Jenže než lze cokoli vyměnit, je třeba vědět, co všechno se vlastně používá.

Právě tady se podle článku většina organizací zadrhává. Chybí jim přehled o tom, kde a jak se kryptografie v jejich systémech nachází. Šifrování totiž nesedí jen na jednom místě. Je zabudované v aplikacích, v síťových zařízeních, v certifikátech, v knihovnách třetích stran, v cloudových službách i ve starších systémech, o kterých už dnes nemusí nikdo přesně vědět. Bez ucelené evidence tak firmy nedokážou posoudit, které součásti jsou nejcitlivější, které je nutné vyměnit přednostně a kolik práce je před nimi.

Důsledkem je jakási paralýza. Organizace si uvědomují, že přechod na PQC bude nutný, ale bez inventáře neumějí stanovit priority, odhadnout náklady ani sestavit realistický harmonogram. Fáze průzkumu se tak může protahovat a stát se překážkou, místo aby byla jen odrazovým můstkem. Článek se proto soustředí na to, jak tuto fázi překonat a posunout se k praktickému zavádění.

Z popsaného problému zároveň vyplývá, že zmapování kryptografického inventáře není okrajová administrativní záležitost, ale základ celého procesu. Teprve když organizace ví, jaké algoritmy, protokoly a certifikáty používá a kde jsou nasazeny, může rozhodnout, kde začít. Dává to smysl i z hlediska řízení rizik: některé systémy chrání data s dlouhou dobou citlivosti a jejich migrace by měla přijít na řadu dříve než u systémů, které pracují s informacemi s krátkou platností.

Autoři článku se tedy zaměřují především na přechod od zjišťování stavu k činům. Nejde jen o to, aby organizace vytvořila seznam, ale aby tento seznam dokázala využít jako podklad pro konkrétní plán. Fáze průzkumu má být pouze první krok, nikoli cíl sám o sobě. Důležité je, aby po ní následovalo vyhodnocení rizik, stanovení priorit a postupné zavádění nových řešení.

Pro bezpečnostní a IT týmy z toho plyne praktické poselství. Čekat na dokonalý přehled nemusí být nejlepší strategie, ale ignorovat nutnost inventáře by znamenalo plánovat naslepo. Organizace, které se s mapováním kryptografie nevypořádají, budou mít podle logiky článku problém jakýkoli další krok vůbec zahájit. Naopak ty, které si včas vytvoří srozumitelný obraz o tom, co používají, získají prostor pro systematický a řízený přechod.

Téma post-kvantové kryptografie tak zůstává především otázkou přípravy. Technologie samotná je jen jednou částí, neméně podstatné je organizační zvládnutí celého procesu, od evidence přes plánování až po realizaci. Článek „Getting Past the Post-Quantum Cryptography Discovery Phase“ upozorňuje, že právě počáteční fáze, často považovaná za pouhou formalitu, je pro řadu organizací největší překážkou. Kdo ji zvládne, má podle autorů výrazně usnadněnou cestu k tomu, aby byl na kvantovou éru skutečně připraven.