La estrategia conocida como ‘Harvest now, decrypt later’ plantea un nuevo desafío para las empresas: información cifrada que hoy resulta inaccesible puede ser interceptada y almacenada a la espera de que la computación cuántica permita romper sus protecciones. SAIMA SYSTEMS advierte de que la migración hacia la criptografía post-cuántica no debería esperar a que esa capacidad tecnológica sea una realidad.

Hay ciberataques cuyo éxito se mide en minutos. Otros, sin embargo, pueden diseñarse pensando en la próxima década. La evolución de la computación cuántica está dando relevancia a una amenaza especialmente difícil de detectar por sus consecuencias diferidas: robar información cifrada hoy y conservarla hasta disponer de la tecnología necesaria para descifrarla.

Esta estrategia recibe el nombre de Harvest now, decrypt later (HNDL) y cambia uno de los principios con los que las organizaciones han gestionado tradicionalmente la protección de sus datos. Que una información no pueda ser descifrada actualmente no significa necesariamente que vaya a permanecer protegida durante toda su vida útil.

SAIMA SYSTEMS alerta de que esta amenaza obliga a las compañías a empezar a pensar en la seguridad de sus datos en función del tiempo durante el que seguirán siendo sensibles, y no únicamente de los ataques que pueden comprometerlos en el presente.

El valor de un dato dentro de diez años

El planteamiento de los atacantes es relativamente sencillo. En lugar de intentar romper inmediatamente una comunicación cifrada, pueden interceptarla, almacenarla y esperar.

El riesgo aparece con el desarrollo de ordenadores cuánticos suficientemente avanzados. Su capacidad de cálculo podría poner en cuestión algunos de los sistemas criptográficos de clave pública utilizados actualmente, haciendo accesible en el futuro determinada información capturada años atrás.

Por eso, no todos los datos presentan el mismo nivel de exposición. Propiedad intelectual, secretos empresariales, contratos estratégicos, diseños industriales, información financiera o determinados datos personales pueden conservar su carácter confidencial durante periodos muy prolongados.

«Muchas organizaciones creen que todavía falta mucho para que la computación cuántica tenga un impacto en su actividad, pero el problema ya ha empezado. Si una información sigue siendo valiosa dentro de diez años, también debe estar protegida frente a las amenazas de dentro de diez años», explica Ignacio Marco, director comercial y cofundador de SAIMA SYSTEMS.

Esta perspectiva introduce una cuestión relevante para los responsables de ciberseguridad: ¿durante cuánto tiempo necesita permanecer secreto cada dato de la organización?

La criptografía post-cuántica entra en la agenda empresarial

La respuesta tecnológica a este escenario pasa, entre otras medidas, por la criptografía post-cuántica (PQC), basada en algoritmos concebidos para resistir ataques procedentes tanto de sistemas convencionales como de futuros ordenadores cuánticos.

Pero la transición no se limita a sustituir una tecnología criptográfica por otra.

Las empresas tendrán que identificar dónde utilizan actualmente criptografía vulnerable al escenario cuántico, qué información necesita protección a largo plazo y qué aplicaciones, comunicaciones, dispositivos y proveedores dependen de esos mecanismos.

SAIMA SYSTEMS considera que este proceso terminará afectando transversalmente a las infraestructuras corporativas, incluidas las comunicaciones, las redes empresariales y los sistemas de acceso.

«La transformación no consistirá simplemente en cambiar un algoritmo de cifrado. Será una evolución completa de las infraestructuras digitales y las empresas que empiecen antes tendrán una ventaja importante cuando lleguen las nuevas exigencias regulatorias y tecnológicas», señala Marco.

De protegerse del ataque de hoy a anticiparse al de mañana

La amenaza cuántica introduce así un cambio de horizonte en la gestión del riesgo. Una organización puede contar actualmente con sistemas de cifrado adecuados y, aun así, tener información cuya confidencialidad futura esté en juego.

El desafío resulta especialmente significativo para sectores que trabajan con activos de larga duración. Una patente en desarrollo, información estratégica sobre infraestructuras o documentación empresarial confidencial pueden continuar teniendo valor cuando la tecnología disponible sea muy diferente de la actual.

Esto convierte la migración post-cuántica en un proceso que requiere planificación. Esperar a que exista un ordenador cuántico capaz de comprometer determinados sistemas criptográficos podría dejar poco margen para revisar infraestructuras complejas y grandes volúmenes de información.

España busca ganar terreno en la carrera cuántica

El desafío también tiene una dimensión de soberanía tecnológica. Mientras Estados Unidos, China y Europa avanzan en el desarrollo de capacidades cuánticas, España está impulsando proyectos destinados a reforzar su posición en este ámbito.

Entre ellos se encuentra MareNostrum Ona, la iniciativa de computación cuántica vinculada al Barcelona Supercomputing Center (BSC), concebida para ampliar las capacidades nacionales de investigación y desarrollo en tecnologías cuánticas.

Para SAIMA SYSTEMS, disponer de conocimiento, infraestructura y tecnología propia será especialmente relevante en un escenario en el que la computación cuántica tenga implicaciones directas sobre la ciberseguridad y las infraestructuras críticas.

Las redes también tendrán que adaptarse

El cambio llegará igualmente a las arquitecturas de red. Tecnologías empresariales como SD-WAN tendrán que incorporar progresivamente mecanismos criptográficos resistentes al escenario cuántico.

Paralelamente, podrían ganar protagonismo modelos de acceso bajo demanda a capacidad de computación cuántica, conocidos como Quantum-as-a-Service (QaaS), que permitirían utilizar estos recursos sin necesidad de disponer físicamente de un ordenador cuántico.

La cuestión, por tanto, ya no es únicamente cuándo llegará una computación cuántica suficientemente potente. Para las organizaciones que manejan información cuyo valor se mantiene durante años, el reloj de la seguridad post-cuántica ya ha empezado a correr.

Y ahí reside la particularidad de Harvest now, decrypt later: cuando llegue el momento en el que determinados datos puedan descifrarse, el ataque podría llevar una década esperando para completarse.