Los números clave
Los esfuerzos para estandarizar la criptografía post-cuántica están siendo liderados globalmente por el National Institute of Standards and Technology (NIST) de Estados Unidos. Tras años de investigación y un riguroso proceso de selección, en julio de 2022, el NIST anunció los primeros cuatro algoritmos candidatos que serían estandarizados. Entre ellos destacan CRYSTALS-Kyber para el establecimiento de claves y CRYSTALS-Dilithium para las firmas digitales, dos pilares fundamentales para proteger la confidencialidad y la autenticidad de los datos, respectivamente. Estos algoritmos están diseñados para resistir ataques de ordenadores cuánticos a gran escala.
Posteriormente, en agosto de 2023, el NIST publicó los borradores de estándares para estos algoritmos seleccionados, marcando un hito crucial en el camino hacia la implementación global. Se proyecta que la finalización de los estándares iniciales ocurra entre 2024 y 2025, lo que dará paso a una fase de adopción masiva. Es importante recalcar que, una vez que los estándares sean finales, el proceso completo de migración para organizaciones complejas podría extenderse entre 10 y 20 años. Esta proyección de tiempo subraya la magnitud del desafío y la urgencia de iniciar la planificación desde ahora, mucho antes de que las computadoras cuánticas capaces de romper el cifrado actual se vuelvan comercialmente viables.
Compañías como IBM Quantum, un actor fundamental en la computación cuántica, han estado desarrollando activamente herramientas y soluciones para facilitar la adopción de estos nuevos estándares PQC. Su participación es crucial para la creación de un ecosistema que soporte esta transición.
Análisis de la tendencia
La tendencia principal que emerge de esta evolución es la necesidad de una preparación proactiva, no reactiva. El concepto de la PQC no es solo un cambio de algoritmo, sino una modernización integral de la infraestructura criptográfica de cualquier entidad que maneje datos sensibles. Los expertos, como Dustin Moody del NIST, enfatizan la complejidad de esta migración, que requiere un inventario detallado de todos los activos criptográficos dentro de una organización. Esto incluye identificar dónde se utiliza la criptografía, qué algoritmos están en uso y cómo se pueden reemplazar de manera eficiente sin interrumpir las operaciones.
Una de las amenazas más citadas por los analistas es la de "cosechar ahora, descifrar después" (harvest now, decrypt later). Esta preocupación se refiere a la capacidad de los adversarios de recolectar datos cifrados hoy, almacenarlos y esperar a que las computadoras cuánticas suficientemente potentes estén disponibles en el futuro para descifrarlos. Para la información con una larga vida útil —como secretos gubernamentales, datos financieros a largo plazo o historiales médicos— esta amenaza es particularmente alarmante y es uno de los principales impulsores de la urgencia para adoptar PQC lo antes posible.
En este contexto, la "cripto-agilidad" se convierte en una capacidad empresarial fundamental. Se refiere a la habilidad de una organización para cambiar rápidamente los algoritmos criptográficos en respuesta a nuevas amenazas o la aparición de nuevos estándares. Esta agilidad no solo es vital para la migración a PQC, sino que también será un requisito continuo en un paisaje de ciberseguridad en constante evolución.
Contexto regional
En Latinoamérica, la adopción de la criptografía post-cuántica se encuentra, en gran medida, en sus etapas iniciales. Aunque la amenaza cuántica es global, la región enfrenta desafíos específicos que pueden influir en el ritmo y la estrategia de migración. Actualmente, no existe una regulación regional unificada en Latinoamérica específica para la adopción de PQC. Sin embargo, dada la naturaleza interconectada de la ciberseguridad global y la dependencia de estándares internacionales (como los de NIST), es previsible que las futuras regulaciones y políticas de ciberseguridad en la región se alineen progresivamente con estas directrices a medida que los estándares se solidifiquen y la conciencia sobre la amenaza cuántica aumente.
Muchas empresas y gobiernos en Latinoamérica aún están lidiando con desafíos de ciberseguridad más inmediatos y con la modernización de infraestructuras existentes, lo que puede desviar la atención de una amenaza que, aunque inminente, aún se percibe como futura. No obstante, sectores críticos que manejan grandes volúmenes de datos sensibles y transacciones de alto valor serán los primeros en sentir la presión para evaluar y planificar la migración.
Esto incluye a la banca, las empresas de tecnología financiera (fintech), los proveedores de telecomunicaciones, agencias gubernamentales, empresas de energía y grandes minoristas. Cualquier entidad en la región que dependa de la criptografía de clave pública (como RSA o ECC) para proteger comunicaciones, transacciones financieras, identidades digitales o datos sensibles, deberá prepararse. Por ejemplo, los procesadores de pagos regionales o los proveedores de servicios en la nube con operaciones en varios países de Latinoamérica, que cumplen con estándares internacionales de seguridad, se verán directamente afectados y probablemente liderarán la adopción inicial. La falta de una directriz local uniforme podría llevar a una adopción fragmentada, con las empresas más expuestas a riesgos globales o reguladas por estándares internacionales tomando la delantera.
Perspectiva a futuro
El camino hacia una infraestructura digital resistente a los ataques cuánticos es un maratón, no un sprint. La finalización de los estándares iniciales del NIST entre 2024 y 2025 marcará el comienzo de la fase de implementación a gran escala. Sin embargo, el NIST continuará investigando y evaluando nuevos algoritmos PQC, lo que significa que la selección inicial no será el fin de la evolución. Podríamos ver futuras rondas de estandarización a medida que la investigación avanza y las capacidades cuánticas se desarrollan.
La colaboración será una piedra angular para el éxito. La interacción entre la academia, la industria de la tecnología, los proveedores de servicios y los gobiernos es fundamental para desarrollar herramientas, mejores prácticas y guías que faciliten esta compleja transición. Asimismo, la educación y la capacitación de desarrolladores y profesionales de TI sobre las implicaciones y el despliegue de la criptografía post-cuántica son cruciales. Necesitamos una fuerza laboral capaz de implementar y mantener estos nuevos sistemas de manera efectiva.
Mirando hacia adelante, las organizaciones deberán mantener una vigilancia constante sobre el desarrollo de la computación cuántica y las actualizaciones en los estándares PQC. La estrategia más inteligente no es esperar a que la amenaza cuántica se materialice, sino integrar la planificación de PQC como un componente esencial de la estrategia de ciberseguridad a largo plazo. Aquellas organizaciones que adopten un enfoque proactivo y ágil estarán mejor posicionadas para proteger sus activos digitales en la era post-cuántica.
