Da dove deve partire un CISO per la migrazione post-quantistica: l'inventario crittografico

Quando un consiglio di amministrazione chiede a un CISO della crittografia post-quantistica, la conversazione di solito salta subito a fornitori e algoritmi.

Capisco perché. Sono cose concrete. Ma ogni piano di migrazione serio che conosco parte da un punto meno entusiasmante: un inventario di dove si usa davvero la crittografia.

La roadmap coordinata dell’Unione europea per la transizione dice la stessa cosa. Le sue prime tappe, entro la fine del 2026, riguardano capire l’esposizione e pianificare, non sostituire algoritmi.

Perché l’inventario è più difficile di quanto sembri

La crittografia è ovunque e da nessuna parte. Sta dentro protocolli, librerie, moduli hardware, servizi cloud, dispositivi embedded e prodotti di terze parti. Pochissime organizzazioni hanno mai avuto bisogno di un elenco completo.

Un foglio di calcolo con i certificati è un inizio. Non ti dirà:

• quali applicazioni negoziano quali algoritmi di scambio delle chiavi;
• quali librerie, in quali versioni, li implementano;
• quali dispositivi verificano il firmware con quale schema di firma;
• quali dati protetti da questi meccanismi devono restare riservati a lungo;
• da quale fornitore dipendi per cambiare qualcosa di tutto questo.

Per questo si sta diffondendo il termine CBOM, distinta dei materiali crittografici: una descrizione strutturata delle risorse crittografiche, con lo stesso spirito di una SBOM per i componenti software. CycloneDX, per esempio, la supporta.

Cosa contiene un inventario utile

Per ogni uso della crittografia vorrei registrare almeno:

1. Dove si trova: sistema, applicazione, dispositivo o servizio.
2. Cosa fa: scambio di chiavi, cifratura, firma, identità, integrità.
3. Quale algoritmo e quale lunghezza di chiave, e se è vulnerabile ai quantistici.
4. Chi lo implementa: codice interno, libreria open source, modulo hardware, fornitore.
5. Cosa protegge, e per quanto tempo quella protezione deve durare.
6. Come si può cambiare: configurazione, aggiornamento software, aggiornamento firmware, sostituzione hardware, o per niente.
7. Chi ne è responsabile.

Gli ultimi due campi sono quelli che la maggior parte degli inventari salta, e quelli che trasformano un elenco in un piano.

Le relazioni contano più degli elementi

Un inventario è un elenco di cose. Una migrazione è una sequenza di cambiamenti a cose che dipendono l’una dall’altra.

Se un’autorità di certificazione cambia algoritmo di firma, quali dispositivi non riusciranno più a validare i nuovi certificati? Se si aggiorna una libreria, quali prodotti la includono? Se un dispositivo non sa verificare una nuova firma, quale aggiornamento deve arrivare prima?

A queste domande non si risponde con un elenco piatto. Serve un modello delle relazioni. È il cuore di ciò che stiamo costruendo in Shorium, ed è il motivo per cui lo considero un problema di design tanto quanto di sicurezza: le persone devono vedere le conseguenze di una decisione prima di prenderla. Ne parlo in Perché sto costruendo Shorium.

Una sequenza pragmatica

Non serve una copertura perfetta per partire. Una sequenza che funziona:

1. Parti dai dati e dai prodotti di lunga durata. Tutto ciò che deve restare riservato oltre il 2035, e ogni dispositivo che sarà ancora sul campo allora. Vedi harvest now, decrypt later.
2. Usa ciò che hai già. Gestori dei certificati, scansioni di rete, repository del codice, SBOM e registri degli acquisti mostrano ciascuno una parte del quadro.
3. Chiedi presto ai fornitori. Le loro roadmap post-quantistiche condizioneranno la tua. Inserisci la domanda nei contratti e nei rinnovi da adesso.
4. Classifica per facilità di cambiamento. Separa ciò che si cambia con una configurazione da ciò che richiede un rilascio, e da ciò che richiede hardware nuovo. Quest’ultimo gruppo stabilisce i tuoi tempi reali.
5. Tienilo vivo. Un inventario aggiornato una volta l’anno sarà sbagliato quando ti servirà. Collegalo ai processi che cambiano i sistemi.

Cosa dire al consiglio di amministrazione

Il consiglio non ha bisogno dei nomi degli algoritmi. Ha bisogno di tre cose: quanto è esposta l’organizzazione, quanto durerà realisticamente una migrazione e quali decisioni servono adesso per non allungarla.

Un buon inventario risponde a tutte e tre. Per questo viene per primo.