量子威胁有最后期限。企业应优先保护什么？

【新加坡】新加坡的量子安全议程正从长期规划图转向明确的迁移时间表。

该国的网络安全局 (Cyber Security Agency, 简称CSA) 近期设定了2031年为目标年份，要求关键信息基础设施系统完成量子安全迁移。

同时，当局鼓励其他面临量子风险的机构在2027年底前制定迁移计划，并在2035年前完成迁移。

对于企业而言，眼前的挑战不仅是理解这一威胁，还要决定哪些信息最重要，必须优先得到保护。

企业领导者必须扪心自问：哪些信息一旦泄露会造成最大风险？哪些系统的迁移耗时最长？

量子风险始于量子计算机问世之前

网络犯罪分子可能已经在收集加密信息，以便在未来足够强大的量子计算机问世后进行解密——这种威胁被称为“先收割，后解密”(harvest now, decrypt later)。

THE BUSINESS TIMES INSIGHTS

Powering Asean's Future 2026

Find out how enterprises are navigating power constraints and sustainability targets

ACCESS THE INSIGHTS

这一威胁改变了数据保护的时间线，更多公司应予以重视。《2026年Thales数据威胁报告》发现，61%的机构已将“未来现有数据被解密”视为与量子相关的首要担忧。

财务记录、知识产权以及必须保密多年的敏感通信，可能会在今天被“收割”，并在日后被曝光。

这些信息的保密期限成为衡量量子风险的关键指标：如果信息需要再保护10年或20年，那么机构就不能仅根据足够强大的量子计算机何时问世来做出迁移决策。

SEE ALSO

Singapore must look beyond AI and build its quantum tech talent now

Singapore, Germany to collaborate on AI use in industries, step up research on new tech

Singapore and Luxembourg working to deepen ties in quantum tech, AI, space, satellite communications

迁移应遵循业务风险，而非一刀切的时间表

机构应根据风险程度来确定量子安全迁移的优先顺序，而不是试图同时升级所有系统。

决定迁移优先顺序的应有三个因素：信息的敏感程度、信息需要保护的时长，以及底层系统迁移所需的时间。

不同行业的优先事项会有所不同。

金融机构可能会重点关注支付基础设施和敏感的金融通信；医疗保健服务提供商则关注长期保存的患者记录；而关键基础设施运营商则着重于支持必要服务的系统。

迁移准备时间也很重要。一些关键系统已运行数十年，并且依赖于遗留基础设施、专用硬件或多个供应商。

更改其加密技术——即在通信或存储中保护和隐藏数据的数学算法——可能需要进行广泛的集成和测试，以避免中断运营。

因此，一个需要数年才能完成迁移的系统，可能比一个风险相似但可以快速更新的系统，需要更早获得关注。

了解风险敞口

如果机构不清楚加密技术用在何处，就无法确定迁移的优先顺序。

加密机制存在于应用程序、数字证书、认证系统、云平台、硬件和第三方服务中。一份加密资产清单可以显示哪些数据受到保护、使用了哪些算法和密钥、它们位于何处以及哪些系统依赖它们。

这些依赖关系决定了迁移的难度。替换一个算法或证书可能会影响身份验证、应用程序之间的通信或与旧有基础设施的兼容性。

这种可见性为机构决策提供了依据，帮助它们决定首先迁移什么、哪里需要供应商协调以及哪些环境需要更长的测试周期。

新加坡的做法反映了这一挑战。CSA的“量子安全启动补助金”(Quantum-Safe Kickstarter Grant) 包括对加密技术发现与盘点、端到端系统迁移以及运营技术和遗留基础设施的支持。

为未来的变化做好准备

企业不仅应考虑如何替换当今的加密技术，还应考虑其系统能多轻易地适应未来的变化。

这就是“加密敏捷性”(crypto-agility) 背后的原则：即在不重新设计整个系统的情况下，更新或替换加密算法、协议和密钥的能力。

随着标准和威胁的演变，这种灵活性可以减少未来变更的成本和干扰。企业可以开始在自身环境中测试后量子密码学，并将量子安全要求纳入计划中的技术升级和采购中。

这需要的决策已超出网络安全团队的范畴。

在规划迁移时，技术、采购、合规和业务部门的领导者需要考虑到运营要求、供应商依赖关系和投资周期。

等待的代价是失去行动空间

当前的重点不是去准确预测量子计算机何时会破解当今的加密技术，而是在迁移成为运营制约之前，做出深思熟虑的决策。

首先要确定，哪些信息即使在多年后被解密也依然重要，以及哪些系统的改造耗时最长。

随着新加坡鼓励面临风险的机构在2027年底前制定好迁移计划，企业有了一个明确的规划期限。

通过梳理加密依赖关系，并根据敏感性、保密期限和迁移准备时间来确定系统优先级，机构可以获得决定迁移顺序的实用依据。

立即采取行动也让企业有时间来管理过渡过程，以免最后期限来临时，他们的选择空间受到挤压。

作者是Thales东南亚网络服务主管