Preparazione quantistica per i leader: cosa fare (e non fare) adesso

La prontezza quantistica è diventata un termine di presentazione esecutiva e, come tutti i termini di moda, ha perso il suo fascino. Per alcuni diventa una scusa per non agire ("è ancora presto"). Per altri, la giustificazione per spendere frettolosamente in hardware che non utilizzeranno. Entrambi gli estremi commettono errori.

In qualità di leader tecnico, intendo la prontezza quantistica come una posizione di gestione del rischio e della capacità, non come un acquisto. Si tratta di essere preparati per una transizione tecnologica i cui tempi sono incerti, ma la cui direzione non lo è. Questo testo definisce cosa fare adesso e cosa non fare.

Cosa significa realmente prontezza quantistica

Inizia smontando l’idea sbagliata centrale. La preparazione quantistica non significa acquisire un computer quantistico o creare un laboratorio. Per quasi tutte le organizzazioni, questo sarebbe uno spreco.

La prontezza è la capacità di rispondere bene quando la tecnologia conta, in due dimensioni.

Il primo è difensivo e urgente: proteggere i dati e i sistemi dalla minaccia che l’informatica quantistica rappresenta per l’attuale crittografia. Questo fronte è la transizione quantistica-sicura, e inizia oggi.

La seconda è offensiva e graduale: siate pronti a sfruttare le applicazioni quantistiche (simulazione, sensoristica, ottimizzazione) quando toccheranno il vostro settore. Questo fronte implica monitoraggio e progetti pilota specifici, non investimenti pesanti.

Confondere i due è l’errore più comune. La difesa ha una durata breve e vale per tutti. L'offensiva ha durata variabile ed è valida per settori specifici. Trattare entrambi con la stessa urgenza (o con la stessa indifferenza) porta a un’errata allocazione delle risorse.

Il fronte urgente: transizione verso la sicurezza quantistica

Il motivo per cui la difesa è urgente non è che il computer quantistico in grado di violare la crittografia esista già. Non esiste ancora. L'urgenza viene dal raccolto adesso, dal decifrare il problema in seguito.

Un avversario può acquisire dati crittografati oggi e archiviarli per decrittografarli in futuro quando la tecnologia maturerà. Tutti i dati con una lunga durata di conservazione sono già esposti: segreti commerciali, proprietà intellettuale, cartelle cliniche, contratti, comunicazioni sensibili. Per questi la minaccia non è futura, è presente, perché la cattura avviene adesso.

La risposta è migrare verso algoritmi di crittografia post-quantici, resistenti agli attacchi quantistici. Gli standard sono già stati definiti dagli organismi di riferimento. La sfida non è tecnico-concettuale, è esecutiva su larga scala.

La migrazione di cripto in una grande organizzazione è un progetto pluriennale. Si tratta di capire dove si trova la crittografia (spesso nascosta nelle biblioteche, nei dispositivi e nei fornitori), stabilire le priorità in base alla sensibilità e alla durata dei dati e sostituire senza interrompere i sistemi in produzione. Chi comincia solo quando la minaccia è indiscutibile, arriverà in ritardo.

Cosa fare adesso, in ordine

La buona notizia: l’urgenza si traduce in passi concreti indipendenti dalla previsione del futuro della tecnologia.

Per prima cosa, fai un inventario crittografico. Individua i luoghi in cui la tua organizzazione utilizza la crittografia: comunicazioni, archiviazione, autenticazione, firme, dispositivi, integrazioni di terze parti. Non puoi migrare ciò che non puoi vedere.

In secondo luogo, classificare i dati in base alla durata e alla sensibilità. I dati che devono rimanere segreti per anni hanno la massima priorità perché sono i più esposti a essere raccolti ora e decrittografati in seguito.

In terzo luogo, l’atteggiamento della domanda da parte dei fornitori. Gran parte del tuo rischio risiede in sistemi di terze parti. Includere la preparazione quantistica e il supporto della crittografia post-quantistica nei criteri di assunzione e rinnovo.

In quarto luogo, favorire l’agilità crittografica. Progettare sistemi che permettano di cambiare algoritmi senza riscrivere tutto. Questa flessibilità si applica oltre il contesto quantistico, è una buona ingegneria della sicurezza in generale.

Quinto: nominare un responsabile. Senza un proprietario, la prontezza quantistica diventa uno scivolo senza azione. Non è necessario che sia una grande squadra, è necessario che ci sia qualcuno con un mandato chiaro.

Cosa non fare

Evitare errori costosi è importante quanto agire.

Non acquistare hardware quantistico per "essere preparato". Per quasi tutte le aziende si tratta di capitale inattivo. L'accesso utile avviene tramite il cloud, on demand, quando c'è un problema reale da risolvere.

Non trattarlo come un progetto IT di routine senza sponsorizzazione. La migrazione quantistica sicura attraversa aree geografiche, dipende dai fornitori e richiede anni. Senza il sostegno della leadership, muore nella prima priorità concorrente.

Non cadere nella paralisi dell'incertezza. "Nessuno sa quando arriverà il computer quantistico" è vero e irrilevante sul fronte difensivo. L'acquisizione dei dati avviene indipendentemente dal momento della pausa. Aspettare la certezza è rinunciare al tempo che non tornerà.

Non perseguire tutte le applicazioni quantistiche contemporaneamente. Il fronte offensivo è selettivo. Se il tuo settore non è quello chimico, dei materiali, dell’energia, della logistica pesante o dell’elevata sicurezza, per ora è sufficiente il monitoraggio da lontano.

E non confondere l'attività con il progresso. Assumere una conferenza o condurre un progetto pilota di marketing non è preparazione. La prontezza è l'inventario effettuato, la priorità definita e il piano di migrazione in corso.

Il contesto normativo ha accelerato i tempi

L’urgenza ha ottenuto un rinforzo esterno. Un recente ordine esecutivo negli Stati Uniti ha accelerato le iniziative [del calcolo quantistico» e, soprattutto, la transizione alla crittografia post-quantistica negli enti pubblici e nella loro catena di fornitura.

L'effetto va oltre i confini. Quando un grande acquirente stabilisce un programma di migrazione quantistico sicuro, questo diventa un requisito contrattuale, esercitando pressione sui fornitori globali e fungendo da riferimento per le autorità di regolamentazione di altri paesi. Le aziende che vendono ai governi o operano in settori regolamentati lo avvertono per prime.

Per un manager la lettura è obiettiva, senza entrare nel merito politico: il tema non è più una ricerca lontana ed è entrato nel campo della compliance e del rischio contrattuale. Ciò riduce il lasso di tempo confortevole per iniziare.

La maturità quantistica è meno legata alla tecnologia futuristica e più alla disciplina gestionale. Il leader che fa l'inventario, classifica i dati, addebita i fornitori e nomina un proprietario è già più preparato di chi aspetta il titolo definitivo.