Our S.O.S. line:
+49 89 262 025954
Our team of experts is ready to assist your organization in the event of a cyberattack.
details
A kvantumszámítógépek qubitekkel dolgoznak, és bizonyos számításokat a hagyományos rendszereknél lényegesen hatékonyabban végezhetnek el. Ez egyes kriptográfiai megoldásokat is érinthet. A post-quantum cryptography, vagyis a PQC célja olyan megoldások alkalmazása, amelyeket a kvantumszámítógépek jelentette támadásokkal szemben is ellenállónak terveznek.
Az EU már kialakította Quantum Europe Strategy-jét, folyamatban van az EU Quantum Act előkészítése, és a PQC-átállás szabályozási keretei is egyre konkrétabbá válnak. A lényegi kérdés azonban nem az, hogy mikor érkezik a következő határidő, hanem hogy mely kockázatokat kell már most kezelni.
Az EU Quantum Act jelenleg még előkészítés alatt áll. A Bizottság dokumentumai alapján várhatóan három nagy területre koncentrál:
A Quantum Act várhatóan nem egyszerűen egy újabb kiberbiztonsági jogszabály lesz. Az előkészítő dokumentumok az EU-n kívüli technológiai függőségekkel, a kritikus komponensekkel, a szellemi tulajdon és know-how védelmével, a külföldi befektetésekkel, az exportkontrollal és a stratégiai beszállítói láncokkal is foglalkoznak. Compliance szempontból ezért a téma az IT-biztonság mellett beszerzési, jogi és üzleti kockázatkezelési kérdés is.
A quantum risk legfontosabb jelenlegi eleme nem az, hogy egy támadó ma már kvantumszámítógéppel töri fel a szervezet titkosítását. A kockázat abból is fakad, hogy a ma megszerzett titkosított adatok később visszafejthetők lehetnek.
Ezt nevezzük store now, decrypt later – vagy harvest now, decrypt later – megközelítésnek: egy támadó már ma megszerezheti és eltárolhatja a titkosított adatokat, majd évekkel később, megfelelő technológia rendelkezésre állása esetén megpróbálhatja visszafejteni őket. Ez különösen üzleti titkok, kutatási eredmények, stratégiai dokumentumok, érzékeny személyes adatok és más, hosszú távon bizalmas információk esetében jelent kockázatot.
A kriptográfiai migrációt emiatt nem lehet arra az időpontra hagyni, amikor a kvantumfenyegetés már közvetlenül kihasználható. Előbb fel kell térképezni a kitettséget, azonosítani kell a hosszú távon védendő adatokat, és időt kell hagyni a technológiai és beszállítói függőségek kezelésére. Mire a fenyegetés teljes mértékben realizálódik, bizonyos adatok esetében már késő lehet elkezdeni a felkészülést.
A szabályozási környezet több ponton már ma is a kriptográfiai felkészültség irányába tereli a szervezeteket:
A közös irány jól látható: egyre kevésbé elegendő azt kimondani, hogy a szervezet titkosítást használ. Azt is ismerni kell, hogy milyen kriptográfiára támaszkodik, mennyire képes azt lecserélni, és hogyan kezeli az ehhez kapcsolódó függőségeket.
Az első lépés nem egy új algoritmus azonnali bevezetése. Először azt kell megérteni, hogy a szervezet hol függ később cserére szoruló kriptográfiai megoldásoktól, és mely adatoknál jelent valódi üzleti kockázatot a későbbi visszafejtés lehetősége.
Ehhez érdemes:
A beszállítói függőségek különösen fontosak: hiába készül fel egy szervezet a saját környezetében, ha az általa használt SaaS-szolgáltatás, hálózati eszköz, PKI-megoldás vagy más kritikus technológia nem képes az átállásra.
A quantum compliance célja ezért jelenleg nem a teljes kriptográfiai infrastruktúra azonnali lecserélése, hanem a kitettség megismerése és a kontrollált átállás előkészítése. A felkészülést éppen azért érdemes most elkezdeni, mert a ma megszerzett adatok bizalmassága már ma is függhet attól, hogy a szervezet mennyire készül fel a későbbi kvantumképességekre.
Kezdje a felkészülést GRC csapatunkkal: Irányítási, kockázatkezelési és megfelelőségi szolgáltatások | White Hat IT Security
Az Ügyészség nevével visszaélő ransomware-kampány nem ért véget. Újra nagyobb számban jelennek meg a megtévesztő e-mailek, és korlátozott számú jelzés alapján az sem zárható ki, hogy a támadók egyes esetekben telefonos megkereséssel próbálják hitelesebbé tenni a történetet. Közben maga a [...]
