Het PQC-migratie handboek : Richtlijnen voor het migreren naar post-quantumcryptografie

Abstract

Dit handboek ondersteunt organisaties met concrete stappen en advies om de dreiging van quantumcomputersvoor cryptografie te beperken. Het moment waarop quantumcomputers een dreiging zullen vormenvoor momenteel gebruikte cryptografie is onvoorspelbaar. Toch moeten bepaalde organisaties nu al aan oplossingenwerken vanwege het risico dat quantumcomputers met zich meebrengen. Bijvoorbeeld organisatiesdie data verwerken die zelfs over 20 jaar nog vertrouwelijk moeten blijven of die systemen met een langelevensduur ontwikkelen. De meest veelbelovende oplossing is de zogenaamde post-quantumcryptografie(PQC). PQC kan draaien op nagenoeg dezelfde systemen die nu in gebruik zijn en is veilig tegen quantumcomputers.Migreren naar PQC kost echter bijzonder veel tijd en middelen. Afgaande op eerdere migratieskan dit ruim meer dan vijf jaar in beslag nemen.Organisaties dienen daarom nu al te beginnen zich op de quantum-dreiging voor te bereiden. Als eersteno-regret move zou elke organisatie al een PQC-diagnose moeten uitvoeren. Deze eerste stap is bedoeld omte bepalen welke houding een organisatie moet aannemen op basis van het soort gegevens dat ze verwerkten haar risico-oppervlak. Verder is het aan te raden een inventarisatie te maken van alle gebruikte cryptografischetechnieken, van de data die ze beschermen en van wie deze assets beheert. Alleen dan kan eenorganisatie de mate van urgentie correct inschatten. Deze inventarisatie verkleint later ook het risico op eenoverhaaste, foutgevoelige migratie die in de toekomst onnodige kosten en risico's met zich zou meebrengen.Het is voor elke organisatie nuttig om een dergelijke inventarisatie te maken en up-to-date te houden, aangezienelke organisatie vroeg of laat zal moeten migreren.Na deze eerste stap richt het handboek zich tot de zogenaamde urgente adopters, organisaties die daadwerkelijkzo snel mogelijk met de migratie moeten starten omdat ze anders over twintig jaar onaanvaardbarerisico's lopen. De volgende twee stappen van de migratie bestaan uit het plannen en het uitvoeren van demigratie. In de planningsfase is het belangrijk om een speciaal team te vormen om de migratie uit te voerenen ervoor te zorgen dat er bedrijfsprocessen actief zijn om de migratie soepel te laten verlopen. Vanuittechnisch oogpunt kunnen organisaties PQC op verschillende manieren implementeren. Voor momenteelgebruikte systemen is mogelijk niet elke PQC-oplossing geschikt. Dit handboek geeft concrete handvattenvoor het kiezen van een geschikte implementatiestrategie voor PQC, afhankelijk van de functionaliteitendie de organisatie levert of beheert. Dit kan betekenen dat een organisatie nieuwe hardware moet kopen ofmoet overstappen op nieuwe leveranciers die de juiste PQC-oplossingen ondersteunen.Ten slotte moet de organisatie dit plan uitvoeren. Het is van groot belang daarbij voorzichtig te werk te gaanom geen nieuwe risico's te introduceren. Dit handboek bevat richtlijnen voor het migreren van verschillendesoorten cryptografie op basis van de strategieën die in de planningsfase zijn gekozen. Bovendien is het nietonwaarschijnlijk dat er de komende jaren nieuwe kwetsbaarheden in de PQC-oplossingen worden ontdekt.Daarom is het belangrijk om cryptographic agility in gedachten te houden. Met cryptographic agility kan eenorganisatie gemakkelijk geïmplementeerde cryptografische primitieven aanpassen of vervangen zonder datdit de processen van organisaties bovenmatig verstoort. Dit is vooral belangrijk wanneer wanneer er er nieuweverbeteringen of kwetsbaarheden in protocollen worden ontdekt.