La possibilità che, nei prossimi anni, computer quantistici sufficientemente potenti possano compromettere gli attuali meccanismi crittografici sta introducendo una nuova dimensione nel cyber risk: quella di un attacco che può essere preparato oggi, rimanere invisibile per anni e produrre i suoi effetti solo in futuro.
È questo il principio alla base della strategia “Harvest Now, Decrypt Later” (HNDL): un attaccante può intercettare e archiviare oggi dati cifrati, comunicazioni e informazioni sensibili che non è ancora in grado di decifrare, confidando nella possibilità di farlo successivamente, quando saranno disponibili i quantum computer. Pertanto, le organizzazioni devono, sin d’ora, essere in grado di identificare i dati che stanno proteggendo oggi e che dovranno rimanere protetti anche quando la tecnologia quantistica sarà disponibile.
Indice degli argomenti
Un rischio silenzioso per governance e resilienza
Ne consegue che la tecnica di attacco HNDL diventa un tema di governance e resilienza: un rischio silenzioso, difficilmente osservabile attraverso i tradizionali indicatori di cybersecurity e che richiede di anticipare oggi decisioni tecnologiche, organizzative e di gestione del rischio il cui impatto si manifesterà nel futuro. Ogni giorno di attesa è, quindi, un giorno in cui dati sensibili possono essere silenziosamente sottratti, senza che nessuno se ne accorga, fino a quando sarà troppo tardi per porvi rimedio.
Come funziona Harvest Now, Decrypt Later e perché il rischio è attuale
L’HNDL è un attacco cyber che funziona in tre fasi.
Fase 1 – L’attaccante intercetta e raccoglie in modo passivo dati cifrati (i.e. traffico TLS, sessioni VPN, backup, archivi documentali) senza cercare di decifrarli subito. Una fase silenziosa che non richiede lo sfruttamento immediato di una vulnerabilità e, per questo, sfugge facilmente ai sistemi di rilevamento tradizionali.
Fase 2- I dati raccolti vengono conservati per un tempo indefinito: lo storage costa poco, il che rende sostenibile per un attore statale o un gruppo organizzato accumulare, negli anni, enormi quantità di materiale cifrato.
Fase 3 – L’attaccante, quando saranno disponibili computer quantistici abbastanza potenti da eseguire su scala l’algoritmo di Shor, userà quella capacità per violare la crittografia a chiave pubblica (i.e. RSA, Diffie-Hellman, curve ellittiche) che proteggeva i dati al momento della cattura.
Ciò che distingue l’HNDL da un attacco informatico classico è la separazione tra il momento del danno e il momento in cui quel danno diventa visibile. Di fatto, in una violazione tradizionale, il furto di credenziali o lo sfruttamento di una falla producono un effetto quasi immediato. Qui, l’evento dannoso è l’esfiltrazione stessa, anche se il dato resta illeggibile per anni: l’azienda potrebbe scoprire la violazione solo quando l’informazione viene infine decifrata e utilizzata, con la finestra di rischio ormai chiusa da tempo.
Il National Institute of Standards and Technology (NIST) ha reso esplicito questo ragionamento nel report NIST IR 8547 (“Transition to Post-Quantum Cryptography Standards”), che propone di deprecare entro il 2030 gli algoritmi a chiave pubblica vulnerabili al calcolo quantistico e di eliminarli del tutto entro il 2035.
Tuttavia, indipendentemente dalla data esatta in cui un computer quantistico riuscirà a rompere RSA-2048, il calendario entro cui iniziare a muoversi è già stato tracciato.
Inoltre, è importante comprendere che l’HNDL non è un tema di innovazione tecnologica rimandabile, ma un rischio di riservatezza differita, da gestire con gli stessi strumenti già applicati a qualsiasi altro rischio cyber rilevante, i.e. classificazione dei dati, architettura di rete, accountability del management.
La durata della riservatezza determina il rischio HNDL
È importante evidenziare che la priorità con cui intervenire non dipende soltanto dalla probabilità stimata di un attacco quantistico, ma dall’incrocio fra due orizzonti temporali distinti, ovvero: per quanto tempo un dato deve restare segreto; quanto tempo separa oggi dal momento in cui la crittografia che lo protegge smetterà di essere sicura. Ciò si traduce in una formula semplice:
Rischio HNDL = valore del dato × durata della riservatezza richiesta × esposizione crittografica
Ne consegue che, se un’informazione deve restare confidenziale per dieci, quindici o vent’anni, aspettare che la minaccia quantistica diventi concreta prima di avviare la migrazione equivale a intervenire troppo tardi: completare l’aggiornamento crittografico nel 2032 non protegge retroattivamente un dataset già intercettato nel 2024. Pertanto, è necessario comprendere per quanto tempo i dati protetti devono restare illeggibili a terzi.
Tale valutazione deve diventare parte delle policy di gestione del ciclo di vita dei dati, dei criteri di conservazione degli archivi e dei contratti con fornitori cloud, outsourcer e partner di filiera.
I dati più esposti: segreti industriali, salute e informazioni strategiche
Le categorie di dati più esposte all’attacco HNDL sono quelle con una lunga durata di riservatezza richiesta, non necessariamente quelle di maggior valore immediato e, precisamente:
- Segreti industriali e proprietà intellettuale – Brevetti non ancora depositati, formule, codice sorgente, piani di ricerca e sviluppo, documentazione ingegneristica, il cui valore competitivo può restare intatto per decenni.
- Dati sanitari, genomici e biometrici – Informazioni il cui valore identificativo persiste per l’intera vita della persona
- Informazioni finanziarie riservate – Due diligence, operazioni di fusione e acquisizione, modelli di pricing, dati antifrode. Il settore finanziario ha l’obbligo regolamentare di conservare per diversi anni questi dati, ampliando la finestra di esposizione.
- Informazioni legali, contrattuali e negoziali – Informazioni soggette a clausole di riservatezza prolungata.
- Dati governativi, diplomatici, militari e legati a infrastrutture critiche – Dati dal valore strategico e che può restare rilevante per l’intera vita utile di un sistema.
- Credenziali, chiavi private, certificati e configurazioni di rete – Pur non essendo “dati” nel senso classico, si tratta di materiale che, se decifrato, apre la strada a futuri accessi da parte dei cyber criminali.
Inoltre, è doveroso evidenziare che anche un archivio apparentemente innocuo può acquisire valore nel tempo, se combinato in futuro con altre fonti o con tecniche di IA. Pertanto, si consiglia di non valutare l’esposizione soltanto in base all’impatto operativo immediato del dato, ma anche nel lungo termine.
La raccolta silenziosa dei dati cifrati prepara gli attacchi futuri
Un’operazione HNDL raramente somiglia a una violazione “rumorosa”. L’attaccante può limitarsi a: intercettare il traffico TLS e VPN fra sedi e data center; sottrarre backup cifrati, snapshot e repository di codice, compromettere endpoint o account privilegiati per raccogliere file e metadati; ottenere accesso (anche indirettamente, attraverso un fornitore terzo) a chiavi, certificati e token che faciliteranno una futura decifrazione o impersonificazione.
Inoltre, poiché la raccolta non richiede una decifrazione in tempo reale, può restare del tutto invisibile ai controlli di incident response tradizionali, tarati per riconoscere un danno immediato, rispetto ad un’esposizione a lunghissimo termine. Ne consegue che è importante essere consapevoli del fatto che l’assenza di un incidente percepibile non equivale all’assenza di un’esposizione già avvenuta.
Integrare la minaccia HNDL nel risk assessment aziendale
È importante evidenziare che la gestione della minaccia HNDL presuppone che venga inserita nella matrice del risk assessment, come rischio cyber strategico e valutando ogni asset o flusso informativo in base alle seguenti parametri: valore informativo, durata della segretezza, esposizione, dipendenza crittografica, criticità operativa. Ciò permetterà di identificare i dati da proteggere subito, applicazioni da adeguare, dipendenze da terze parti da verificare, sistemi legacy da trattare con misure compensative, fino a quando una sostituzione completa non sarà tecnicamente possibile.
Gli standard NIST per la transizione post-quantum
Il NIST ha finalizzato i primi tre standard di crittografia:
- FIPS 203 (ML-KEM) per lo scambio di chiavi,
- FIPS 204 (ML-DSA) per le firme digitali,
- FIPS 205 (SLH-DSA) come schema di firma basato su hash.
Tali standard offrono un riferimento concreto per pianificare l’evoluzione delle architetture e ridurre la dipendenza da meccanismi vulnerabili alla minaccia quantistica.
Inoltre, al momento sono ancora in fase di bozza gli standard FIPS 206 (FN-DSA) per casi d’uso che richiedono chiavi e firme di dimensioni ridotte e HQC (Hierarchical Cipher), selezionato ufficialmente come meccanismo KEM di backup alternativo basato su codici, nell’ambito del Progetto di standardizzazione PQC del NIST.
Cifratura ibrida e segmentazione per ridurre l’esposizione
Le organizzazioni, nel breve termine devono adoperarsi per ridurre quanto prima l’esposizione dei dati più sensibili, costruendo in parallelo la capacità di migrare in modo sostenibile nel tempo.
La cifratura ibrida, che combina in un unico scambio crittografico, meccanismi classici consolidati e algoritmi post-quantum, costituisce al momento la strategia più pragmatica, proteggendo sin d’ora contro il rischio HNDL e non richiedendo di sostituire interi ecosistemi tecnologici. Essa implica sul piano operativo:
- mappare i casi d’uso crittografici, i.e. TLS, VPN, PKI, firme digitali, e-mail, backup, storage, API, identità macchina, code di messaggistica;
- individuare dove sono presenti RSA, ECC, certificati legacy, librerie obsolete e chiavi statiche;
- introdurre, dove supportato e testato, scambi di chiavi ibridi che affianchino algoritmi classici e post-quantum;
- applicare la crypto-agility adottando configurazioni e librerie capaci di sostituire algoritmi e parametri senza dover riscrivere ogni applicazione da zero;
- rafforzare la gestione delle chiavi con rotazione, segregazione, controllo degli accessi e revoca puntuale;
- riesaminare la cifratura di backup e archivi a lunga conservazione, oltre a cifrarli nuovamente durante i normali cicli di aggiornamento.
Separare reti, backup e sistemi di gestione delle chiavi
Inoltre, sul piano strutturale, le organizzazioni dovranno attuare la segmentazione di rete per garantire il controllo crittografico, in modo tale da creare barriere che impediscano all’attaccante di raggiungere repository, backup, sistemi di gestione delle chiavi (HSM, PKI) o piattaforme di logging.
Di fatto, separare ambienti utente da sviluppo e produzione, reti IT da reti OT, sistemi ad alta riservatezza da servizi generalisti e connessioni di terze parti da accessi amministrativi interni riduce in modo concreto la superficie disponibile per una raccolta massiva di dati cifrati.
Le responsabilità del management di fronte al rischio quantistico
È importante evidenziare che la minaccia HNDL implica, non solo essere capace di dimostrare che un dato era cifrato al momento della raccolta, ma anche che la soluzione di protezione selezionata sia ragionevolmente adeguata alla durata di riservatezza prevista e all’evoluzione nota delle minacce.
Nell’attuale quadro normativo europeo, ciò implica per il management doveri di governance, controllo e documentazione.
Pertanto, la due diligence dovrebbe poter mostrare: l’inserimento formale del rischio HNDL nel framework di Enterprise Risk Management (ERP); un inventario aggiornato di algoritmi, chiavi, certificati e dipendenze crittografiche; criteri documentati per classificare i dati in base a valore e durata di riservatezza; una roadmap di migrazione post-quantum con budget, responsabilità e milestone verificabili; valutazioni dei fornitori critici su supporto PQC e crypto-agility; decisioni formalizzate sulle eccezioni e sui sistemi legacy trattati con misure compensative.
Le iniziative statunitensi, europee e italiane
È doveroso evidenziare che il contesto normativo si sta già muovendo in questa direzione: la CNSA 2.0 della NSA richiede algoritmi resistenti al calcolo quantistico per le nuove acquisizioni di sistemi di sicurezza nazionale statunitensi a partire dal 1° gennaio 2027; mentre le indicazioni congiunte di CISA, NSA e NIST invitano da tempo le organizzazioni (in particolare quelle legate a infrastrutture critiche) a costruire una roadmap di quantum readiness. Ovvero, l’HNDL si converte per il Board in una questione di resilienza e di continuità operativa, non una scelta tecnologica opzionale da rimandare al prossimo ciclo di budget.
L’Unione Europea, invece, combatte la minaccia HNDL attraverso un quadro normativo asimmetrico, che combina leggi di cybersecurity vincolanti (i.e. Dora, Nis2 e CRA) ed iniziative di natura più strategica ed industriale, come il Quantum Act (atteso nel corso del 2026 e che mira a coordinare ricerca e capacità produttiva quantistica europea, più che la migrazione crittografica in sé) e l’EuroQCI,(i.e. l’infrastruttura europea di comunicazione quantum-safe).
Inoltre, la Commissione ha pubblicato una Raccomandazione su una tabella di marcia coordinata per l’attuazione della transizione alla crittografia post-quantistica.
A livello italiano, l’Agenzia per la Cybersicurezza Nazionale (ACN) nel luglio 2024 ha pubblicato le Linee guida dedicate crittografia post-quantum e quantistica. A questa si affianca la Strategia Italiana per le Tecnologie Quantistiche, approvata dal comitato interministeriale per la transizione digitale il 10 luglio 2025 e presentata ufficialmente dal governo il 30 luglio 2025 e che contiene una direttrice dedicata esplicitamente a tutelare la sicurezza nazionale attraverso la migrazione alle crittografie post-quantum e l’uso di sistemi quantistici per la protezione dei dati strategici.
Una roadmap contro HNDL: priorità e tempi della migrazione
Si consiglia alle organizzazioni di avviare un programma per fasi, evitando sia l’immobilismo sia una trasformazione non governata. Di seguito un’ipotesi di roadmap per la gestione della minaccia HNDL
Fase 1 (Breve termine: entro tre mesi) – Nominare un responsabile di programma per la quantum readiness, con il coinvolgimento di cybersecurity, IT, risk, legale e business owner dei dati; inserire l’HNDL nel registro dei rischi con criteri basati su durata della segretezza e superficie di esposizione; avviare un inventario crittografico di protocolli, certificati e dipendenze dei fornitori; identificare i flussi ad alta riservatezza che transitano su reti pubbliche o cloud; dismettere suite crittografiche deboli e librerie vulnerabili; riesaminare backup e archivi a lunga conservazione.
Fase 2 (Medio termine: 3-12 mesi) – Definire un modello di classificazione che includa esplicitamente la vita utile della riservatezza; progettare una roadmap di crypto-agility per applicazioni, PKI e servizi cloud; eseguire test controllati di crittografia ibrida sui servizi più esposti; integrare requisiti PQC nei contratti di outsourcing e nel vendor assessment; segmentare reti e backup; aggiornare i piani di incident response e il reporting al board.
Fase 3 (Lungo termine: 12 e 36 mesi) – Migrare progressivamente i casi d’uso prioritari verso implementazioni post-quantum mature; pianificare la sostituzione di dispositivi legacy, OT ed embedded privi di supporto crittografico aggiornabile; integrare la quantum readiness negli audit interni e nella gestione del rischio di terza parte; misurare periodicamente la quota di asset critici con inventario completo e protezione post-quantum o ibrida; rivedere la roadmap in base alla maturità tecnica e all’evoluzione degli standard.
La riservatezza dei dati guida le scelte di risk management
Harvest Now, Decrypt Later trasforma la crittografia da semplice controllo tecnico a variabile strategica di rischio. Di fatto, i dati sottratti oggi possono diventare leggibili domani, e una migrazione avviata dopo la maturazione della minaccia non può proteggere informazioni già raccolte.
Pertanto, l’approccio corretto non è attendere certezze assolute sulla tempistica del quantum computing, ma agire sul fattore già noto: la durata della riservatezza dei dati aziendali.
Inoltre, l’inventario crittografico, la classificazione data-driven, la segmentazione, la gestione rigorosa delle chiavi, la cifratura ibrida e la crypto-agility sono i pilastri per rendere il Risk Management adeguato a un attacco che, proprio perché silenzioso, rischia di essere sottovalutato, sino a quando non sarà troppo tardi per porvi rimedio.
Partecipa alla community