La minaccia quantistica non arriva tutta insieme e non tocca tutti i dati allo stesso modo. Chi progetta sicurezza parte da una domanda operativa: quali informazioni resteranno riservate abbastanza a lungo da essere ancora un problema il giorno in cui gli algoritmi in uso oggi diventeranno attaccabili. La crittografia post-quantistica è già uno standard: la scelta che pesa riguarda l’ordine con cui applicarla.
Indice degli argomenti
La strategia “harvest now, decrypt later“
Immaginiamo un attaccante che non ha alcuna fretta. Copia flussi di traffico cifrato, mette da parte dischi di backup, conserva il dump di un database che oggi non può ancora leggere. La chiave non gli serve adesso. Gli basta la ragionevole certezza che, entro qualche anno, esisterà uno strumento capace di rompere gli algoritmi a chiave pubblica su cui poggia gran parte della sicurezza attuale. Gli addetti ai lavori chiamano questa strategia «harvest now, decrypt later»: raccogli adesso, decifra più avanti.
Il Rapporto Clusit 2026 la mette nero su bianco. La minaccia pesa già oggi, anche senza computer quantistici operativi, perché un avversario può accumulare dati cifrati fin da subito con l’obiettivo di decrittografarli quando la tecnologia sarà matura. Le analisi collocano fra il 2030 e il 2035 l’orizzonte di obsolescenza degli algoritmi di cifratura e firma oggi in uso. Visto da un piano industriale trimestrale, sembra lontano. Per certe categorie di dati non lo è per niente.
Crittografia post-quantistica contro gli attacchi differiti
Il ragionamento che rende «harvest now, decrypt later» pericoloso è semplice e controintuitivo. Un dato che deve restare riservato per sei mesi non corre quasi alcun rischio quantistico: quando la capacità di decifrarlo diventerà reale, quel dato avrà smesso di contare. Un dato che deve restare riservato per dieci o vent’anni si trova nella posizione opposta. Se viene copiato oggi in forma cifrata, l’attaccante ha tutto il tempo di aspettare il momento in cui la chiave cadrà, e nel frattempo il valore dell’informazione resta intatto.
La conseguenza per chi decide le priorità di sicurezza è netta. La domanda utile riguarda la durata di vita del dato più che la data di arrivo del computer quantistico. Più a lungo un’informazione deve restare protetta, più la sua migrazione verso algoritmi resistenti diventa urgente adesso, a prescindere da quando quel giorno arriverà.
La priorità quantum-safe dipende dal ciclo di vita dei dati
Qui conviene separare due grandezze che spesso vengono confuse. La prima è il ciclo di vita di una violazione, cioè il tempo che intercorre tra la compromissione e il momento in cui l’organizzazione la individua e la contiene.
Il report IBM Cost of a Data Breach 2025 lo quantifica in 241 giorni di media, il valore più basso degli ultimi nove anni, e osserva che le violazioni con un ciclo di vita superiore a 200 giorni restano le più costose, con una media di 5,01 milioni di dollari a fronte di un costo medio globale di 4,44 milioni. Sono numeri che misurano la reattività delle difese.
La seconda grandezza è il ciclo di vita del dato, e si misura in anni. Un contratto di fornitura pluriennale, una cartella clinica, un fascicolo di adeguata verifica, un brevetto ancora in gestazione restano sensibili molto oltre la finestra in cui un SOC scopre e chiude un incidente. È su questa seconda scala che la minaccia quantistica agisce. Un archivio esfiltrato oggi e decifrato nel 2032 non ha una data di chiusura dell’incidente: la sua compromissione si manifesta anni dopo la sottrazione, quando ogni contromisura perimetrale ha smesso da tempo di essere rilevante.
Gli standard della crittografia post-quantistica
La risposta tecnica alla minaccia esiste ed è uscita dalla fase sperimentale. Dopo un processo di valutazione pubblica durato anni, ad agosto 2024 il NIST ha finalizzato i primi standard di crittografia post-quantistica. FIPS 203 specifica ML-KEM, un meccanismo di incapsulamento delle chiavi derivato dall’algoritmo CRYSTALS-Kyber, destinato a sostituire gli schemi di scambio chiavi come RSA e Diffie-Hellman.
FIPS 204 e FIPS 205 coprono il versante delle firme digitali, con ML-DSA (dal progetto CRYSTALS-Dilithium) e SLH-DSA (da SPHINCS+). La sicurezza di questi algoritmi poggia su problemi matematici, come quelli sui reticoli, che si ritengono difficili anche per un calcolatore quantistico.
Perché ENISA indica un approccio ibrido
Una precisazione terminologica conta più di quanto sembri. Si parla di crittografia «quantum-safe» o «post-quantistica» per indicare una resistenza attesa sulla base delle conoscenze attuali, non una garanzia assoluta e definitiva. La stessa ENISA raccomanda, dove possibile, un approccio ibrido che affianca algoritmi classici e post-quantistici, così da non dipendere da un solo schema mentre le nuove primitive vengono messe alla prova sul campo.
Quali dati proteggere nella transizione post-quantistica
La transizione non si affronta a tappeto e in un colpo solo. Serve un ordine, e l’ordine nasce da un incrocio tra due variabili: quanto a lungo un dato deve restare riservato e quanto grave sarebbe la sua compromissione. La tabella di marcia europea offre una soglia pratica: vanno trattati come alto rischio i dati che devono restare riservati per almeno dieci anni e i prodotti con una vita attesa oltre il 2030.
Da questa lente emerge una lista di priorità piuttosto stabile tra i settori:
Le informazioni con una riservatezza più lunga
- Proprietà intellettuale e segreti industriali: progetti, formule, codice sorgente e ricerca che definiscono il vantaggio competitivo per un decennio o più.
- Dati clinici e sanitari: informazioni legate all’identità e alla salute della persona, soggette a obblighi di conservazione lunghi e prive di qualsiasi «scadenza» naturale.
- Contratti, accordi e documentazione legale di lungo periodo: clausole e strategie negoziali che restano vincolanti e riservate per molti anni.
- Dati finanziari e di adeguata verifica della clientela: i fascicoli KYC e antiriciclaggio, che la normativa impone di conservare a lungo, sono un bersaglio ideale per un attacco differito.
- Credenziali, chiavi e segreti a lunga persistenza: quelli che, se decifrati in futuro, aprono le porte a molto altro.
L’inventario delle operazioni crittografiche
Prima ancora di scegliere un algoritmo, l’azione che paga di più è l’inventario. Sapere dove risiedono le operazioni crittografiche, quali dati proteggono e quanto a lungo devono restare protetti è il presupposto di ogni migrazione ordinata. È anche la prima cosa che le indicazioni europee chiedono di fare.
Le scadenze europee per la crittografia post-quantistica
Il tema è uscito dal perimetro tecnico ed è entrato in quello regolatorio. La Raccomandazione (UE) 2024/1101 dell’11 aprile 2024 ha istituito una tabella di marcia per l’attuazione coordinata della transizione verso la crittografia post-quantistica, poi dettagliata dal gruppo di cooperazione NIS in tre tappe. Entro la fine del 2026 gli Stati membri dovrebbero aver avviato la transizione, a partire da inventario e consapevolezza.
Entro la fine del 2030 vanno messi in sicurezza i casi d’uso ad alto rischio, con l’indicazione esplicita che i meccanismi a chiave pubblica vulnerabili non andranno più usati da soli oltre quella data. Entro la fine del 2035 la transizione dovrebbe estendersi ai casi a rischio medio e completarsi per quanti più sistemi possibile.
GDPR, DORA e NIS2 davanti alla minaccia quantistica
Le norme trasversali spingono nella stessa direzione, senza nominare una tecnologia specifica. L’articolo 32 del GDPR chiede misure di sicurezza adeguate «tenendo conto dello stato dell’arte» e cita espressamente la cifratura: man mano che gli algoritmi post-quantistici diventano lo stato dell’arte, la soglia di ciò che è considerato adeguato si sposta.
Nel settore finanziario, l’articolo 9 del Regolamento (UE) 2022/2554 (DORA) e le relative norme tecniche impongono controlli crittografici tarati sulla classificazione dei dati e sul rischio. La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il D.Lgs. 138/2024, colloca all’articolo 21 le politiche sull’uso della crittografia tra le misure minime di gestione del rischio.
La protezione quantum-safe deve seguire il dato
Aggiornare gli algoritmi è necessario, ma non basta se la protezione resta legata al canale o all’ambiente in cui il dato transita. Un file cifrato «in transito» torna in chiaro appena arriva a destinazione. Un archivio protetto «a riposo» sul server aziendale perde ogni difesa nel momento in cui viene copiato altrove. La protezione più stabile è quella che appartiene al dato stesso e lo accompagna: se un documento resta cifrato anche quando lascia il perimetro, un’eventuale sottrazione consegna all’attaccante byte inutilizzabili, oggi come nel 2032.
L’agilità crittografica come vantaggio operativo
Questa impostazione ha un secondo vantaggio, spesso trascurato: la cosiddetta agilità crittografica. Se la cifratura è una proprietà del dato, gestita in modo centralizzato, sostituire un algoritmo domani diventa un’operazione di piattaforma e non un cantiere applicazione per applicazione. In un percorso di migrazione che durerà anni e che quasi certamente vedrà più di un cambio di primitive, poter aggiornare gli schemi senza toccare i flussi di lavoro segna la distanza tra una transizione governata e una rincorsa continua.
Per anni la domanda di chi progetta sicurezza è stata quando arriverà il computer quantistico capace di rompere la crittografia di oggi. Quella che conta adesso riguarda quali informazioni saranno ancora sensibili quel giorno, e quante di esse un attaccante paziente ha già messo da parte in forma cifrata. Il momento utile per rispondere coincide con il periodo, già cominciato, in cui vengono creati e archiviati i dati destinati a durare oltre la soglia quantistica. Da lì parte l’inventario, e dall’inventario l’ordine delle priorità.
In poche parole
- «Harvest now, decrypt later» descrive un attacco a lungo termine: esfiltrare oggi dati cifrati per decifrarli quando la crittografia classica sarà rotta. Il rischio esiste già, prima ancora dei computer quantistici operativi.
- Il criterio che ordina le priorità è la durata di riservatezza del dato: ciò che resta sensibile per anni va protetto adesso.
- Gli standard esistono. Il NIST ha finalizzato ad agosto 2024 ML-KEM (FIPS 203, derivato da CRYSTALS-Kyber) per lo scambio di chiavi, insieme agli standard per le firme digitali FIPS 204 e FIPS 205.
- La Raccomandazione (UE) 2024/1101 e la tabella di marcia del gruppo di cooperazione NIS scandiscono le tappe: avvio entro fine 2026, casi ad alto rischio entro il 2030, transizione ampia entro il 2035.
- I dati a più alta priorità: proprietà intellettuale e segreti industriali, dati clinici, contratti e documentazione legale pluriennali, dati finanziari e di adeguata verifica della clientela.
- La protezione più stabile è quella che appartiene al dato: cifratura applicata al file, valida anche quando l’informazione lascia il perimetro aziendale.
Partecipa alla community