La préparation quantique est devenue un terme de présentation exécutif et, comme tous les termes à la mode, il a perdu de son avantage. Pour certains, cela devient une excuse pour ne rien faire (« il est encore tôt »). Pour d’autres, c’est une justification pour dépenser à la hâte dans du matériel qu’ils n’utiliseront pas. Les deux extrêmes font des erreurs.
En tant que leader technique, je comprends la préparation quantique comme une position de gestion des risques et des capacités, et non comme un achat. Il s’agit de se préparer à une transition technologique dont le calendrier est incertain, mais dont la direction ne l’est pas. Ce texte définit ce qu'il faut faire maintenant et ce qu'il ne faut pas faire.
Ce que signifie réellement la préparation quantique
Commencez par défaire l’idée fausse centrale. La préparation quantique ne consiste pas à acquérir un ordinateur quantique ou à créer un laboratoire. Pour presque toutes les organisations, cela serait un gaspillage.
La préparation est la capacité de bien réagir lorsque la technologie est importante, dans deux dimensions.
La première est défensive et urgente : protéger vos données et vos systèmes de la menace que représente l’informatique quantique pour la cryptographie actuelle. Ce front est la transition à sécurité quantique, et il commence aujourd’hui.
La seconde est offensive et progressive : soyez prêt à profiter des applications quantiques (simulation, capteurs, optimisation) lorsqu’elles touchent votre secteur. Ce front implique une surveillance et des pilotes spécifiques, et non des investissements lourds.
Confondre les deux est l’erreur la plus courante. La défensive a un court terme et s’applique à tout le monde. L'offensive a une durée variable et est valable pour des secteurs spécifiques. Traiter les deux avec la même urgence (ou la même indifférence) conduit à une mauvaise allocation des ressources.
Le front urgent : une transition à sécurité quantique
La raison pour laquelle la défense est urgente n’est pas que l’ordinateur quantique capable de briser la cryptographie existe déjà. Cela n'existe pas encore. L'urgence vient de la récolte maintenant, décrypter le problème plus tard.
Un adversaire peut capturer des données chiffrées aujourd’hui et les stocker pour les décrypter ultérieurement lorsque la technologie aura atteint sa maturité. Toutes les données ayant une longue durée de conservation sont déjà exposées : secrets commerciaux, propriété intellectuelle, dossiers médicaux, contrats, communications sensibles. Pour eux, la menace n’est pas future, elle est présente, car la capture a lieu maintenant.
La réponse est de migrer vers des algorithmes de chiffrement post-quantiques, résistants aux attaques quantiques. Les normes ont déjà été définies par des organismes de référence. Le défi n’est pas technico-conceptuel, c’est une exécution à grande échelle.
La migration de crypto dans une grande organisation est un projet pluriannuel. Cela implique de déterminer où se trouve le chiffrement (souvent caché dans les bibliothèques, les appareils et les fournisseurs), d'établir des priorités en fonction de la sensibilité et de la durée de vie des données, et de remplacer sans interrompre les systèmes en production. Quiconque ne commence que lorsque la menace est incontestable sera en retard.
Que faire maintenant, pour
La bonne nouvelle : l’urgence se traduit par des mesures concrètes, indépendantes de la prévision de l’avenir de la technologie.
Tout d’abord, faites un inventaire cryptographique. Identifiez les domaines dans lesquels votre organisation utilise le chiffrement : communications, stockage, authentification, signatures, appareils, intégrations tierces. Vous ne pouvez pas migrer ce que vous ne pouvez pas voir.
Deuxièmement, classez les données par durée de vie et sensibilité. Les données qui doivent rester secrètes pendant des années constituent la priorité absolue, car elles sont les plus exposées à la récolte maintenant et au décryptage plus tard.
Troisièmement, exigez l’attitude des fournisseurs. Une grande partie de vos risques réside dans des systèmes tiers. Incluez la préparation quantique et la prise en charge de la cryptographie post-quantique dans les critères d’embauche et de renouvellement.
Quatrièmement, privilégiez l’agilité cryptographique. Concevez des systèmes qui vous permettent de changer les algorithmes sans tout réécrire. Cette flexibilité s’applique au-delà du contexte quantique, c’est une bonne ingénierie de sécurité en général.
Cinquièmement, nommez un responsable. Sans propriétaire, la préparation quantique devient un glissement sans action. Il n’est pas nécessaire que ce soit une grande équipe, il faut quelqu’un avec un mandat clair.
Ce qu'il ne faut pas faire
Éviter des erreurs coûteuses est tout aussi important que d’agir.
N'achetez pas de matériel quantique pour « être préparé ». Pour presque toutes les entreprises, il s’agit de capital inutilisé. L'accès utile se fait via le cloud, à la demande, lorsqu'il y a un problème réel à résoudre.
Ne considérez pas cela comme un projet informatique de routine sans parrainage. La migration à sécurité quantique traverse les zones, dépend des fournisseurs et prend des années. Sans le soutien des dirigeants, il meurt dans la première priorité concurrente.
Ne tombez pas dans la paralysie de l’incertitude. "Personne ne sait quand l'ordinateur quantique arrivera" est vrai et n'a aucun rapport avec le front défensif. La capture des données a lieu quel que soit le moment de la pause. Attendre la certitude, c'est renoncer à un temps qui ne reviendra pas.
Ne poursuivez pas toutes les applications quantiques en même temps. Le front offensif est sélectif. Si votre industrie n’est pas celle de la chimie, des matériaux, de l’énergie, de la logistique lourde ou de la haute sécurité, la surveillance à distance suffit pour l’instant.
Et ne confondez pas activité et progrès. Embaucher un conférencier ou diriger un projet pilote de marketing n’est pas une préparation. La préparation est l'état des lieux fait, la priorité définie et le plan de migration en cours.
Le contexte réglementaire a accéléré le temps
L’urgence a été renforcée de l’extérieur. Un récent décret aux États-Unis a accéléré les initiatives d’informatique quantique et, surtout, la transition vers la cryptographie post-quantique dans les agences publiques et leur chaîne d’approvisionnement.
L'effet dépasse les frontières. Lorsqu’un gros acheteur établit un calendrier de migration à sécurité quantique, cela devient une exigence contractuelle, exerçant une pression sur les fournisseurs mondiaux et servant de référence aux régulateurs d’autres pays. Les entreprises qui vendent aux gouvernements ou opèrent dans des secteurs réglementés le ressentent en premier.
Pour un manager, la lecture est objective, sans entrer dans le mérite politique : le sujet n'est plus une recherche lointaine et est entré dans le champ de la conformité et du risque contractuel. Cela raccourcit le délai confortable pour démarrer.
La préparation quantique mature concerne moins la technologie futuriste que la discipline de gestion. Le dirigeant qui fait l’inventaire, classe les données, facture les fournisseurs et désigne un propriétaire est déjà mieux préparé que ceux qui attendent le titre définitif.
Si vous avez besoin d’une seule étape suivante, c’est celle-ci : classer l’inventaire cryptographique et les données par durée de vie. Sans cela, tout projet de sécurité quantique n’est qu’un discours. Avec cela, vous sortez de la paralysie sans tomber dans le battage médiatique.
A lire aussi
- L'informatique quantique au-delà du battage médiatique : une lecture pour adultes
- L'informatique quantique sans battage médiatique : à quoi s'attendre réellement
- WebAssembly pour les dirigeants : quand la décision architecturale en vaut la peine
- Infrastructures critiques et dépendance énergétique : ce que les gestionnaires doivent savoir -Lean product development dans les entreprises : comment planifier sans tuer la vitesse en cours de route -[Capteurs et réseaux quantiques : applications qui arrivent avant 11