Cyber resilience quantistica: guida al budget

Il calcolo quantistico crittograficamente rilevante (Cryptographically Relevant Quantum Computer -CRQC) non è ancora una capacità operativa diffusa tra gli attaccanti. Ciò nonostante, i CISO devono essere in grado, già oggi, di gestire il rischio legato a dati, chiavi e firme digitali che devono restare protetti nel tempo.

Si tratta di essere consapevoli della minaccia “Harvest Now, Decrypt Later” che permette ad un attore ostile di intercettare e conservare oggi comunicazioni o archivi cifrati con algoritmi a chiave pubblica vulnerabili al calcolo quantistico, per decifrarli in futuro.

Il rischio riguarda soprattutto informazioni con un lungo orizzonte di riservatezza: proprietà intellettuale, segreti industriali, dati sanitari, informazioni finanziarie, dati strategici, documentazione legale e comunicazioni con la pubblica amministrazione.

Migrazione post-quantum: gli standard e la roadmap europea

Il contesto normativo, inoltre, si è già mosso: nell’agosto 2024 il NIST ha formalizzato i primi tre standard PQC e, da allora, il portafoglio si è ampliato su altri due fronti: lo sviluppo di uno standard di firma più compatto e la selezione di un algoritmo di backup per l’incapsulamento delle chiavi. Di seguito una tabella che fornisce il quadro aggiornato.

La migrazione verso ML-KEM, ML-DSA e SLH-DSA resta la priorità operativa immediata per i CISO, poiché sono già standard definitivi; FN-DSA, HQC e i futuri schemi dell’on-ramp per le firme vanno monitorati e inseriti nella roadmap come opzioni di backup e diversificazione algoritmica e non come requisito bloccante per l’avvio del programma.

Il NIST invita le organizzazioni ad avviare la transizione senza attendere la disponibilità di un computer quantistico rilevante. In Europa la transizione sta diventando una priorità di resilienza sistemica: Commissione europea e Stati membri indicano l’avvio della migrazione alla PQC entro la fine del 2026, con la protezione dei casi ad alto rischio e delle infrastrutture critiche da completare, indicativamente, entro il 2030.

Come portare il rischio quantistico al CdA

Il CISO deve evitare di presentare la PQC come un progetto tecnico o come la semplice sostituzione di un algoritmo. Il tema da sottoporre al CdA è la continuità della fiducia digitale, ovvero: riservatezza dei dati, integrità delle transazioni, validità delle firme, disponibilità dei servizi e dipendenza da fornitori tecnologici.

Una formula utile per strutturare la discussione è il teorema di Mosca:

T + D > V

dove:

T = tempo necessario per inventariare, progettare, testare e migrare l’ecosistema crittografico

D = periodo per cui un dato deve restare riservato o verificabile

V = tempo stimato prima della disponibilità di un CRQC

Quando la somma di migrazione e vita utile della riservatezza supera il tempo residuo stimato, il rischio esiste già, non perché l’algoritmo sia compromesso oggi, ma perché il dato può essere raccolto oggi e sfruttato in futuro. Pertanto, la domanda corretta da sottoporre al CdA non è “quando arriverà il quantum computer?”, ma: “quali dati perderebbero valore, riservatezza o validità se fossero decifrati o manipolati tra cinque, dieci o quindici anni?”

Nel presentare il rischio al CdA, può risultare utile descrivere i seguenti impatti di business che scaturirebbero:

• Perdita di proprietà intellettuale – Progetti R&D, formule, brevetti, software, piani industriali.
• Esposizione normativa e contrattuale – Dati personali, finanziari o classificati che restano leggibili oltre il periodo previsto.
• Compromissione della supply chain – VPN, API, certificati, firmware, code-signing e servizi cloud dipendono tutti dalla crittografia.
• Rischio di continuità operativa – Se la migrazione avviene in emergenza, senza test, inventario e interoperabilità con partner e clienti.

Budget PQC: finanziare la migrazione per fasi

Un errore frequente è trattare la quantum readiness come un programma immediato di sostituzione generalizzata. L’approccio più efficace è progressivo, basato sul rischio, e integrato nella pianificazione pluriennale di cyber resilience e di trasformazione digitale.

Di seguito una tabella con un’ipotesi di investimenti e tempistiche

La prima spesa, quindi, non è l’acquisto di un prodotto “quantum-safe“, ma la raccolta di evidenze: dove viene usata crittografia vulnerabile, da quali applicazioni, per quali dati, con quali dipendenze e con quale impatto sul business.

Il NIST considera la cryptographic discovery un passaggio iniziale essenziale per fornire il contesto necessario all’analisi del rischio e relativa gestione.

Il CBOM come base della transizione crittografica

Il CBOM è lo strumento che rende operativa la fase di acquisizione delle evidenze e dovrebbe diventare un artefatto di governance paragonabile a un inventario degli asset, a una Software Bill of Materials (SBOM) o a un registro dei trattamenti. Non basta elencare i prodotti: occorre capire dove e come opera la crittografia. Un CBOM efficace censisce:

• Algoritmi, librerie e protocolli utilizzati, inclusi RSA, ECC, TLS, SSH, IPsec, PKI e firme del codice.
• Certificati digitali, autorità di certificazione, chiavi, moduli HSM e procedure di gestione del ciclo di vita.
• Applicazioni, API, ambienti cloud, dispositivi OT/IoT, firmware e componenti della supply chain software.
• Tipologia, criticità e periodo di riservatezza dei dati protetti.
• Proprietario dell’asset, fornitore, dipendenze tecniche, data di fine supporto e capacità dichiarata di migrare alla PQC.
• Algoritmo primario adottato e algoritmo di backup previsto (es. ML-KEM/HQC, ML-DSA/FN-DSA), per documentare al CdA anche la diversificazione algoritmica, non solo la migrazione di base

L’inventario evita due rischi opposti, ovvero: investire in modo uniforme su asset poco rilevanti e scoprire tardivamente che un’infrastruttura critica dipende da librerie non aggiornabili, dispositivi obsoleti o contratti privi di qualsiasi impegno di transizione da parte del fornitore.

Crypto-agility: prepararsi a cambiare algoritmi

La PQC non va affrontata come una migrazione una tantum, dato che gli algoritmi evolvono, gli standard possono essere aggiornati, senza contare l’evoluzione dei requisiti di prestazione, di interoperabilità e di sicurezza.

Pertanto, l’obiettivo, è la crypto-agility, ovvero: la capacità di identificare, sostituire, configurare e ritirare algoritmi, chiavi e protocolli crittografici, senza riscrivere intere applicazioni o interrompere servizi critici. Ciò richiede decisioni architetturali, non solo configurazioni di sicurezza . Pertanto, i CISO dovrebbero considerare le seguenti priorità:

• Eliminare l’hardcoding degli algoritmi crittografici nel codice applicativo.
• Centralizzare le policy crittografiche e la gestione delle chiavi.
• Separare la logica di business dalle implementazioni crittografiche.
• Introdurre test di compatibilità per schemi ibridi, che combinano meccanismi classici e post-quantum durante la transizione.
• Definire processi di crypto deprecation, i.e. sapere non solo come introdurre un nuovo algoritmo, ma come ritirare in sicurezza quello precedente.

La Commissione europea, nella Recommendation on a Coordinated Implementation Roadmap for the transition to Post-Quantum Cryptography, richiama espressamente l’uso di schemi ibridi nella transizione, anche in combinazione con approcci crittografici esistenti.

Le competenze per governare la migrazione post-quantum

La scarsità di specialisti quantistici non giustifica l’inazione. Pertanto, il modello più pragmatico è creare un Cryptographic Center of Excellence (CCoE), con mandato operativo e di governance, guidato dal CISO, ma interfunzionale: sicurezza, architettura enterprise, sviluppo software, infrastrutture, cloud, procurement, legal, compliance, privacy, risk management e business owner degli asset critici.

Di seguito le competenze distribuite da sviluppare per prime:

• Crypto-agility engineering – Progettare applicazioni e piattaforme in cui algoritmi e parametri possano essere sostituiti rapidamente.
• Cryptographic discovery – Riconoscere dipendenze crittografiche nel codice, nel traffico di rete, nei sistemi operativi e negli ambienti cloud.
• Data classification e data lineage – Individuare i dati con lunga vita utile e alto costo di esposizione.
• Vendor risk management – Valutare la maturità PQC dei fornitori e negoziare impegni contrattuali verificabili.
• Business impact analysis – Tradurre il rischio crittografico in perdite finanziarie, interruzioni operative, esposizione regolatoria e danno reputazionale.
• Board communication – Presentare scenari, soglie decisionali, costi di non intervento e indicatori di avanzamento al CdA.

Procurement: evitare nuovo debito crittografico

La policy di procurement è uno degli strumenti più efficaci e meno costosi a disposizione del CISO per applicare le clausole PQC, già introdotte, nella fase di “vendor assurance“.

Pertanto, dal 2026, ogni acquisto di software, cloud, rete, OT, IoT, PKI, HSM o servizi gestiti dovrebbe essere effettuato in base a:

• Un inventario degli algoritmi e delle dipendenze crittografiche impiegate
• Una roadmap documentata verso gli standard PQC riconosciuti
• La capacità di aggiornare componenti, firmware e librerie senza sostituzioni non pianificate dell’intera piattaforma
• Supporto a configurazioni ibride durante la transizione
• Tempi di notifica e remediation nel caso emergano vulnerabilità crittografiche o cambiamenti negli standard
• Evidenze di test, interoperabilità e gestione sicura di chiavi e certificati

Di fatto, la PQC va trattata come parte della gestione ordinaria del rischio di terze parti e non come un requisito a sé stante.

KPI per misurare la transizione davanti al CdA

IL CISO deve determinare KPI comprensibili e comparabili nel tempo per il CdA e il comitato rischi, tra cui:

• % di asset critici con CBOM completo e aggiornato
• % di dati “long-life” classificati per durata della riservatezza
• % di applicazioni critiche con architettura crypto-agile
• Quota di fornitori strategici con roadmap PQC e clausole contrattuali verificabili
• Numero di certificati, algoritmi o componenti legacy privi di piano di dismissione
• Copertura della formazione su rischio quantistico per dirigenti, procurement, sviluppo e security team
• Avanzamento del piano PQC rispetto alle soglie di rischio e alle dipendenze di settore

Dalla compliance alla resilienza post-quantum

La svolta quantistica impone al CISO un cambio di prospettiva: non si tratta solo di adottare nuovi standard, ma di rendere l’impresa capace di cambiare crittografia in modo ordinato, misurabile e sostenibile.

Gli standard NIST, già disponibili, rendono concreta la pianificazione; mentre la roadmap europea spinge organizzazioni pubbliche, infrastrutture critiche e imprese che supportano servizi essenziali a iniziare la transizione già entro il 2026.

Inoltre, è quanto mai importante per i CISO: inserire il rischio quantistico nel registro dei rischi aziendali ed avviare il CBOM; identificare i dati da proteggere nel lungo periodo; introdurre requisiti PQC nel procurement; finanziare la crypto-agility come capacità permanente di cyber resilience.