Checklista: Förberedelser inför Q-Day

När tekniken blir tillräckligt kraftfull kan vissa problem lösas betydligt snabbare. Då riskerar delar av dagens kryptering att förlora sitt skydd.

Exakt när det sker är oklart. Men enligt Ronen Shpirer, ansvarig för telekomlösningar på Fortinet, påverkar hotet redan hur organisationer bör planera sin säkerhet.

– Angripare kan samla in krypterad trafik redan i dag utan att kunna läsa den. När kvantdatorerna finns kan de dekryptera den i efterhand, säger han.

Fenomenet brukar beskrivas som ”harvest now, decrypt later” – angripare samlar in krypterad information i dag för att kunna dekryptera den senare.

Det är ett av huvudskälen till att säkerhetsorganisationer nu börjar tala om kvantberedskap.

Sex steg inför Q-Day

1. Identifiera data med lång livslängd

All information är inte lika känslig över tid. Börja med att identifiera vilken information som måste vara konfidentiell i många år – till exempel forskningsresultat, affärshemligheter eller strategiska dokument.

Den typen av information kan bli särskilt värdefull i ett ”harvest now, decrypt later”-scenario.

2. Inventera data i rörelse

Ett område som ofta lyfts fram i diskussionen om kvantsäkerhet är data i rörelse – alltså trafik mellan system, datacenter och molntjänster.

– Den mest känsliga informationen i ett kvantperspektiv är ofta data som rör sig i nätet, säger Ronen Shpirer.

Det gäller till exempel kommunikation mellan datacenter, nätverksinfrastruktur och olika delar av en distribuerad it-miljö.

3. Kartlägg var informationen finns

I säkerhetsarbetet brukar man tala om tre tillstånd för data:

• data i rörelse
• data i vila
• data i användning

Att förstå var organisationens information befinner sig i dessa tre lägen är en grundförutsättning för att kunna bedöma riskerna i ett kvantperspektiv.

4. Identifiera kritiska nätförbindelser

Nästa steg är att identifiera vilka delar av infrastrukturen som transporterar den mest känsliga informationen.

Det kan handla om trafik mellan datacenter, kommunikation mellan interna system och molntjänster – eller i telekommiljöer mellan basstationer och kärnnät.

Det är ofta här behovet av uppgraderad kryptering uppstår först.

5. Följ utvecklingen av post-quantum-kryptografi

Samtidigt pågår ett omfattande arbete med att ta fram nya kryptografiska algoritmer som ska stå emot attacker från kvantdatorer.

För it-organisationer handlar det om att följa utvecklingen och säkerställa att den egna infrastrukturen kan uppdateras när nya standarder etableras.

6. Börja med riskbilden – inte tekniken

Enligt Ronen Shpirer börjar arbetet med kvantberedskap inte med nya produkter utan med en tydlig bild av organisationens information.

– Man behöver förstå vilken data man har, hur länge den måste skyddas och var den rör sig i nätet. Där börjar arbetet, säger han.

Ett säkerhetsarbete över decennier

När Q-Day inträffar är fortfarande en öppen fråga. Prognoserna varierar kraftigt och många experter bedömer att det kan dröja länge innan kvantdatorer når den kapacitet som krävs.

Samtidigt är säkerhetsarbete ofta långsiktigt – särskilt när det gäller kryptografi.

Organisationer som hanterar information med lång livslängd kan därför behöva börja förbereda sig långt innan tekniken finns på plats.

– Organisationer behöver börja förstå sin data redan nu. Arbetet med kvantberedskap börjar där, säger Ronen Shpirer.