Depuis des années,cryptographie post-quantique(PQC) se situait confortablement dans la catégorie « important, mais pas urgent ».
Les responsables de la sécurité savaient que cela allait arriver. Les chercheurs en parlaient. Les organismes de normalisation y travaillaient. La plupart des organisations reconnaissaient que cela finirait par nécessiter leur attention. Mais je dirais que c’est dès maintenant qu’il faut commencer à s’y préparer.
Dans cet épisode de STRIVE, j’ai rencontré Michael Fasulo, directeur principal du marketing de portefeuille, pour discuter des raisons pour lesquelles le débat autour de la PQC évolue si rapidement — et pourquoi les organisations qui attendent d’avoir des certitudes risquent de se retrouver à court de temps.
Regardez laépisode.
Points clés à retenir
- Les attaques de type « Harvest Now, Decrypt Later » (collecter maintenant, décrypter plus tard) signifient que les données sensibles sont déjà exposées à des risques, même si les capacités quantiques ne sont pas encore stables ni commercialement viables.
- La plupart des organisations n’ont pas une vue d’ensemble de leur parc cryptographique, ce qui fait de l’inventaire le premier obstacle majeur.
- Le PQC relève autant d’un défi technologique à relever que d’une question de hiérarchisation des risques.
- Les organisations qui commencent dès maintenant à se préparer disposeront de plus de possibilités pour réajuster leurs priorités que celles qui seront contraintes de réagir plus tard.
Le problème ne vient pas de la technologie
La plupart des débats sur la cryptographie post-quantique partent de la technologie.
- À quel rythme l’informatique quantique progresse-t-elle ?
- Quand les systèmes quantiques pertinents pour la cryptographie deviendront-ils exploitables ?
- Quels algorithmes ont le plus de chances de perdurer à long terme ?
Ce sont des questions importantes. Mais ce ne sont pas celles que je poserais en priorité. Michael a écrit unblog de l’année dernièreau sujet de la PQC et nous avons évoqué aujourd’hui les nombreux changements intervenus depuis lors.
Au cours des dernières années, les estimations ont systématiquement évolué dans un seul sens : ce qui semblait autrefois lointain semble désormais de plus en plus proche. Parallèlement, les normes évoluent ; les exigences réglementaires se renforcent, et les organisations commencent à prendre conscience de l’ampleur de la dette cryptographique qu’elles ont accumulée au fil des décennies.
La date exacte du « Q-Day » reste peut-être incertaine. Mais la direction à suivre ne fait aucun doute.
Le risque est bien réel, ici et maintenant
L’une des raisons pour lesquelles ce débat est devenu plus pressant tient à l’attention croissante portée aux attaques de type « Harvest Now, Decrypt Later » (collecter maintenant, décrypter plus tard). Le principe est simple : un attaquant accède aujourd’hui à des informations chiffrées, les stocke et attend que des capacités futures lui permettent de les rendre lisibles.
Ce qu’il faut retenir ici, c’est que le risque ne commence pas avec l’avènement de l’informatique quantique. Il commence dès lors que des données, même chiffrées, sont exfiltrées et stockées.
Pour les organisations qui protègent la propriété intellectuelle, les dossiers médicaux, les informations gouvernementales ou d’autres données sensibles devant être conservées à long terme, cette distinction change tout.
Les organisations doivent savoir si les données conservées aujourd’hui auront encore de l’importance lorsque cet avenir se concrétisera.
Pour beaucoup, en particulier dans les secteurs fortement réglementés et les infrastructures critiques, la réponse est oui.
Aperçu : Pourquoi l’agilité en matière de cryptomonnaies est-elle importante ?
https://www.youtube.com/watch?v=A3YWU5rlmGADans cette vidéo, Michael explique pourquoi le PQC n’est pas une solution ponctuelle ni un simple changement. Le véritable objectif est l’agilité cryptographique : se doter de la flexibilité nécessaire pour adapter les algorithmes cryptographiques à mesure que les normes et les menaces évoluent. Car en matière de cybersécurité, le défi ne consiste pas seulement à se préparer à ce qui va arriver ensuite. Il s’agit d’être prêt pour ce qui viendra après.
La découverte, c’est ça le véritable projet
Une idée fausse concernant le PQC est qu’il s’agit avant tout d’une mise à niveau du chiffrement. En réalité, la plupart des organisations n’en sont pas encore au stade où le remplacement constitue leur principale préoccupation.
Elles en sont encore à essayer de cerner l’ampleur du problème. La cryptographie est omniprésente.
- Applications
- Certificats
- Cloud services
- API
- Signature de code
- Plateformes tierces
De nombreuses organisations rencontrent des difficultés pour établir l’inventaire cryptographique ou en définir la portée. C’est pourquoi l’inventaire constitue l’une des étapes les plus importantes — et souvent sous-estimées — de ce processus.
Et pour de nombreuses entreprises, cela représente un travail bien plus considérable que prévu.
Le défi de la chaîne d’approvisionnement
Une autre raison pour laquelle la Readiness à l’ère quantique (PQC) est devenue une priorité est qu’aucune organisation ne pourra mener à bien cette transition seule. Les entreprises modernes dépendent de fournisseurs, de prestataires de services cloud, de partenaires logiciels et d’innombrables tiers, qui ont tous recours à la cryptographie.
Cela signifie que la Readiness à l’ère quantique ne se limite pas aux systèmes internes. Il s’agit désormais d’une question de Readiness de l’écosystème.
- Les fournisseurs se préparent-ils ?
- Les fournisseurs clés prévoient-ils des migrations ?
- Les plateformes tierces sont-elles conformes aux normes émergentes ?
Ces questions occuperont une place de plus en plus importante dans les échanges sur les risques, les discussions relatives aux achats et la planification technologique à long terme. En effet, la cryptographie ne s’arrête pas aux frontières de l’organisation. Tout comme le risque.
Pourquoi cette discussion est importante
Le principal enseignement à tirer de cette discussion est que la cryptographie post-quantique n’est plus un défi technologique d’avenir.
Elle devient un enjeu de résilience au quotidien.
Les organisations n’ont pas à céder à la panique et n’ont pas besoin de refondre tous leurs systèmes du jour au lendemain. Mais elles doivent s’y mettre, afin de tirer le meilleur parti du temps dont elles disposent pour se préparer.
Les organisations qui réussiront cette transition ne seront pas nécessairement celles qui disposent de la cryptographie la plus sophistiquée. Ce seront celles qui auront commencé à se familiariser avec le sujet avant même que la certitude ne s’impose.
Et c’est souvent ainsi que fonctionne la résilience.
Regardez l’épisode dans son intégralité
Michael et moi abordons bien d’autres sujets dans cet épisode que je n’ai pas mentionnés ci-dessus. N’oubliez pas deRegardez-le dès maintenantpour en savoir plus sur :
- Les principaux défis auxquels sont confrontées les organisations lorsqu’elles se lancent dans une démarche d’amélioration de la qualité par les participants (PQC).
- Les priorités que les dirigeants devraient se fixer aujourd’hui, ainsi que quelques bonnes pratiques.
- Comprendre les algorithmes MLKEM et l’agilité cryptographique.
- Considérations relatives à l’infrastructure pour la PQC.
- Comment Commvault se prépare à cet avenir.
FAQ
Q: What is post-quantum cryptography (PQC)?
A: PQC refers to cryptographic algorithms designed to help remain secure against attacks from future quantum computers.
Q: What is Harvest Now, Decrypt Later?
A: It’s a strategy where attackers collect encrypted data today with the intention of decrypting it later when more advanced computing capabilities become available.
Q: Why are organizations focusing on PQC now?
A: Because preparation takes years, and sensitive data collected today may still be valuable when quantum threats become practical.
Q: What is the biggest challenge organizations face?
A: Discovery. Most organizations do not have complete visibility into where cryptography is used across their environments.
Q: Do organizations need to replace all cryptography immediately?
A: No. Most experts recommend starting with inventory, discovery, and prioritization before planning broader migrations.
Q: What should leaders do first?
A: Identify long-lived sensitive data, understand cryptographic dependencies, and begin building a roadmap for future transition.Vidya Shankaran est directeur technique (CTO) sur le terrain chez Commvault.