Infraestructuras financieras: hoja de ruta poscuántica de NIST

Muchos consejos de administración creen que la criptografía poscuántica (PQC) puede esperar a que los grandes sistemas cuánticos se usen de forma comercial. Para las instituciones financieras, los operadores de telecomunicaciones y los gestores de infraestructuras nacionales, el riesgo ya ha empezado.

Por qué es un problema hoy

Los atacantes ya recogen datos cifrados para leerlos más tarde. Esto se conoce como “recoger ahora, descifrar después”. Interceptan y almacenan hoy el tráfico TLS cifrado, los flujos de liquidación interbancaria y las copias de seguridad de bases de datos, seguros de que RSA-2048 y la criptografía de curva elíptica (ECC) se romperán mientras esos datos aún importan.

Si guarda secretos de Estado, préstamos a largo plazo o registros de identidad permanentes, los datos que deben seguir confidenciales durante 10 a 25 años quedan expuestos en el momento en que salen de su red con los cifrados actuales.

NIST ha publicado ya sus estándares poscuánticos definitivos, incluidos FIPS 203 (ML-KEM) para el cifrado y FIPS 204 (ML-DSA) para las firmas digitales. Los reguladores y los bancos centrales pasan de las recomendaciones a calendarios de migración obligatorios.

El problema oculto: criptografía integrada en sistemas antiguos

Pasar a los estándares poscuánticos rara vez es tan simple como actualizar una biblioteca OpenSSL. Cuando nuestros ingenieros principales revisan sistemas empresariales consolidados, tres obstáculos aparecen una y otra vez:

• Criptografía oculta. Las integraciones ERP antiguas, los puentes con el mainframe y los módulos de seguridad de hardware (HSM) suelen usar conjuntos de cifrado fijos, certificados anclados o intercambios de claves obsoletos, enterrados en un middleware que nadie mantiene.

• Claves más grandes, negociaciones más pesadas. Las claves y firmas poscuánticas, como ML-KEM y ML-DSA, son mucho más grandes que las de RSA y ECDSA. En pasarelas de pago muy ocupadas o redes OT e IoT limitadas, las negociaciones más grandes pueden fragmentar paquetes, desbordar búferes y desencadenar cadenas de tiempos de espera.

• Socios que no están listos. Sus propios sistemas pueden admitir intercambio de claves híbrido. Pero si su cámara de compensación, su adquirente de tarjetas o su pasarela fiscal aún exige ajustes TLS antiguos, las conexiones fallan a menos que una capa de proxy gestione la diferencia.

Una hoja de ruta de cuatro pasos hacia la agilidad criptográfica

En XSIS, respaldados por la herencia de KONG GROUP en ingeniería criptográfica, acompañamos a las empresas en el paso a la criptografía poscuántica sin arriesgar la disponibilidad de producción.

1. Mapear cada clave y certificado

No se puede migrar lo que no se ha mapeado. Combinamos monitorización pasiva de red, análisis de código y descubrimiento de certificados en sus repositorios, API e infraestructura. El resultado es un inventario de componentes criptográficos (CBOM): cada certificado, longitud de clave, conjunto de cifrado y dependencia criptográfica.

2. Clasificar los sistemas por riesgo

No todo necesita migrar a la vez. Clasificamos los sistemas por cuánto tiempo deben permanecer secretos sus datos y por su nivel de exposición. Las conexiones bancarias externas host-to-host, los registros nacionales de identidad y los enlaces entre centros de datos van antes que la telemetría interna de corta vida.

3. Añadir intercambio de claves híbrido

En lugar de un cambio arriesgado en una sola fecha, desplegamos modos híbridos que combinan ECDHE clásico con ML-KEM poscuántico en el controlador de entrada, la pasarela API y la malla de servicios. Los sistemas más antiguos siguen funcionando, el cumplimiento FIPS existente se mantiene y el tráfico queda protegido contra “recoger ahora, descifrar después” desde ese día.

4. Integrar la agilidad criptográfica

Colocamos el cifrado y la firma de sus aplicaciones detrás de proveedores criptográficos compartidos y HSM preparados para el poscuántico. Cuando cambian los algoritmos o llegan nuevas reglas, rote los conjuntos de cifrado cambiando una política, no reescribiendo código.

Por dónde empezar

La migración poscuántica empieza por saber qué tiene. Reserve una revisión de preparación con un arquitecto principal de ciberseguridad de XSIS para definir un inventario no intrusivo de la criptografía de sus sistemas bancarios, ERP y de nube.