Algo pequeño va a cambiar el mundo de manera significativa. Y aunque sabemos que se avecina, una encuesta reciente revela que no estamos preparados para ello.
El problema es la computación cuántica: la hoja de ruta está clara, pero las personas que deberían estar más interesadas no le están prestando atención.
Según la encuesta « » n.º 2025 sobre computación cuántica , realizada por la organización internacional sin ánimo de lucro ISACA, dedicada al control de la información, casi dos tercios (62 %) de los profesionales de la tecnología y la ciberseguridad temen que la computación cuántica pueda romper el cifrado actual de Internet. Sin embargo, solo el 5 % afirma que se trata de una prioridad importante para el futuro próximo, y es un porcentaje igualmente reducido el que cuenta con una estrategia definida en materia de computación cuántica. Solo el 15 % lo ha incluido en su plan estratégico a largo plazo, mientras que una de cada cinco empresas lo ha debatido, pero no ha elaborado ningún plan formal. Otro 37 % no ha abordado en absoluto este tema a nivel interno.
Estos encuestados no son personas sin formación específica. Son profesionales y estrategas de gran competencia.
ISACA, que realiza encuestas anuales sobre la privacidad de los datos en el ámbito de la « » ( ) y otras cuestiones relacionadas con la seguridad, aborda por primera vez en profundidad la cuestión de la preparación para la era cuántica con este estudio. El grupo encuestó a más de 2,600 de esos profesionales de todo el mundo que trabajan en el ámbito de la confianza digital , entre los que se incluyen personas que desempeñan funciones en materia de ciberseguridad y gobernanza . Estos expertos conocen mejor que nadie el impacto que tendrá la computación cuántica en la criptografía clásica.
Y eso es precisamente lo que hace que los resultados de esta encuesta resulten tan preocupantes.
Se avecina una tormenta cuántica
Lo desconcertante de esta complacencia es que sabemos que el «día Q» se acerca. Ese será el momento en el que podremos descifrar el cifrado clásico mediante ordenadores cuánticos.
Mediante la manipulación de las formas cuánticas de los bits informáticos clásicos, denominados «qubits», los ordenadores cuánticos redefinirán las normas de seguridad desde cero. A diferencia de un bit normal, un qubit puede representar tanto un cero como un uno al mismo tiempo. Esto le permite realizar cálculos extraordinarios a gran velocidad, entre ellos descifrar los fundamentos matemáticos del algoritmo RSA.
RSA es el algoritmo de cifrado (que recibe su nombre de sus inventores, Ron Rivest, Adi Shamir y Leonard Adleman) que permite a los ordenadores codificar e intercambiar información entre sí, con la seguridad de que los datos no han sido alterados. También pueden utilizarlo para verificar la identidad del remitente.
Los fundamentos matemáticos para descifrar el algoritmo RSA se conocen bien y están demostrados teóricamente. Lo que falta son los propios qubits. Son copos de nieve digitales: únicos, efímeros y extremadamente frágiles. Solo funcionan a temperaturas cercanas a cero y se desintegran en milisegundos.
Las empresas tienen dificultades para crear y mantener un número suficiente de qubits que permita realizar cálculos matemáticos significativos, pero cada año mejoran en este aspecto. Con el tiempo, serán lo suficientemente eficaces como para descifrar los 2,048 bits que actualmente constituyen el estándar de facto en el cifrado RSA.
La amenaza de «cosechar ahora, descifrar más tarde»
¿Cuándo ocurrirá? Nadie lo sabe con certeza, pero el 25 % de los participantes en la encuesta de ISACA cree que el «pleno potencial» de la computación cuántica se alcanzará en un plazo de cinco años o menos. Alrededor del 39 % afirma que entre seis y diez años.
Así pues, son conscientes de que esto está ocurriendo y, al menos algunos, comprenden la urgencia. Más de la mitad (56 %) de los encuestados mencionan los ataques del tipo «recoger ahora, descifrar después» (HNDL) como motivo de preocupación. Es aquí donde los ciberdelincuentes recopilan actualmente datos cifrados para poder descifrarlos una vez que la computación cuántica sea viable.
«Ya en la actualidad, los actores malintencionados pueden interceptar y almacenar datos confidenciales cifrados mediante métodos clásicos con la intención de descifrarlos más adelante, cuando las máquinas cuánticas sean lo suficientemente potentes como para hacerlo», afirma Rob Clyde, antiguo presidente de ISACA y actual asesor en el ámbito del cifrado cuántico.
Aunque muchos perciben que la amenaza se cierne sobre ellos, el 41 % afirma que no tiene previsto abordar la cuestión de la computación cuántica por el momento y el 40 % desconoce los planes de su empresa al respecto.
[Lea también: 3 formas en que los bancos pueden prepararse para la inminente amenaza cuántica]
Los responsables de proteger a sus organizaciones parecen tener algo en común con los propios y misteriosos qubits: se encuentran atrapados en dos estados a la vez. Son conscientes del riesgo y, al mismo tiempo, no están tomando medidas serias al respecto.
Ya están aquí los nuevos estándares de la informática cuántica
A Clyde le exaspera esta actitud de «esconder la cabeza bajo el ala», ya que, tras diez años de espera, ahora contamos con normas para los nuevos algoritmos de cifrado que los ordenadores cuánticos tendrán menos probabilidades de descifrar. El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST), en el marco del programa « » ( ), publicó los tres primeros el pasado mes de agosto.
La elaboración de las normas llevó años debido al riguroso análisis matemático que supuso. Durante el proceso, se descartó una norma candidata. Sin embargo, ese retraso podría ser parte del problema, reflexiona Clyde. Durante la última década, se ha pedido a la gente que espere mientras se iban desarrollando las normas. Ahora que están aquí, se nota cierta inercia. Es difícil motivar a la gente.
«Esta actitud de esperar a ver qué pasa sigue imperando», afirma. «Solo aproximadamente la mitad sabía que contamos con estas nuevas normas, y solo el 7 % admitió que realmente las entendía —y se trata de expertos».
Muchos parecen centrarse más en las amenazas inmediatas. Entre el ransomware , , los delincuentes y los atacantes de estado que amenazan su infraestructura, hay una gran cantidad de peligros evidentes e inmediatos entre los que elegir. Es posible que estén simplemente demasiado ocupados centrándose en esos otros asuntos urgentes como para prestar atención a algo cuya fecha futura no está clara.
Su lista de tareas pendientes en materia de computación cuántica
En el lado positivo, el 55 % de los encuestados por ISACA ha tomado algún tipo de medida para prepararse para el «Q-day». Es cierto que, en gran medida, se ha tratado de cumplir con los requisitos normativos. El objetivo principal, al 46 %, ha consistido en evaluar las implicaciones de la tecnología cuántica en materia de cumplimiento normativo.
«. Las autoridades reguladoras comenzarán a rechazar los dispositivos y el software [que carezcan de] criptografía poscuántica.»Clyde
Exactamente el 38 % de las empresas están investigando la criptografía a prueba de la computación cuántica, con vistas a un futuro en el que el sistema RSA ya no nos proteja. Con un 28 %, menos de uno de cada tres colabora realmente con proveedores de tecnología para poner en marcha alguna iniciativa mediante la inversión en proyectos de prueba de concepto. Aproximadamente el mismo número está invirtiendo en formación del personal.
ISACA cuenta con una hoja de ruta de tres pasos para ayudar a las personas a encauzar sus esfuerzos y empezar a prepararse para el «tsunami cuántico». La primera consiste en una sencilla campaña de educación y sensibilización . Dado que el 30 % de los encuestados no comprende las capacidades de la computación cuántica, esto debe ser una prioridad. No se puede preocuparse por algo que no se comprende.
El segundo consiste en desarrollar una estrategia de cifrado basada en la computación cuántica. ISACA recomienda que identifique todos los datos cifrados de los que ya dispone, determinando dónde se almacenan y cuál es su grado de confidencialidad o importancia.
A continuación, defina una hoja de ruta clara hacia el cifrado a prueba de la computación cuántica. Esto se llevará a cabo por fases, de modo que pueda ocuparse primero de los datos más importantes. En este sentido, resultará útil contar con un grupo de partes interesadas bien versadas en cuestiones cuánticas.
[Lea también: ¿En qué consiste el cumplimiento de las normas del NIST?]
Estas políticas cuánticas deben incorporarse a sus políticas de seguridad y cumplimiento normativo, añade Clyde, quien prevé que, en breve, se producirá un escrutinio por parte de las autoridades reguladoras. «Las autoridades reguladoras empezarán a rechazar dispositivos y programas informáticos y, de hecho, establecerán que, a partir de [una determinada] fecha, estos deberán incorporar criptografía poscuántica», advierte.
Empiece a hablar con sus proveedores
La colaboración con los proveedores será especialmente importante durante estas fases, dado que muchos sistemas heredados no podrán hacer frente a los nuevos requisitos, advierte el informe «Project Leap». El Proyecto Leap es una iniciativa del Banco de Pagos Internacionales destinada a establecer un intercambio de datos a prueba de ataques cuánticos entre bancos centrales, que ya ha probado con éxito la nueva tecnología resistente a los ataques cuánticos en su fase inicial.
«La falta de flexibilidad de los sistemas heredados implica que será necesario un importante esfuerzo de transición», señala el informe. Las empresas también podrían encontrarse con que los equipos adquiridos recientemente que carezcan de esas capacidades deban sustituirse antes de lo previsto.
Clyde aconseja a las empresas que empiecen a hablar con los proveedores de tecnología desde ya. Esboza algunas posibles conversaciones con los proveedores: «¿Van a incluir criptografía poscuántica en su producto? ¿Podrá simplemente recibir unas actualizaciones sencillas que, de repente, le permitan dar ese paso? «¿Qué planes tiene?»
La fase final consistirá en cumplir con los próximos requisitos de la ley « ». Según la hoja de ruta de ISACA, será importante realizar auditorías periódicas para evaluar el grado de preparación para la computación cuántica. Esto implica comprobar la resistencia criptográfica e incorporar la amenaza cuántica en las evaluaciones de riesgos.
Como dice Clyde, esperar hasta el «día Q» para hacer algo al respecto de la amenaza cuántica es ya demasiado tarde. El tiempo se agota para protegerse contra el descifrado basado en la computación cuántica. De hecho, si tenemos en cuenta los ataques HNDL, se podría decir que ya es demasiado tarde.
