Il 90% delle aziende globali non ha un piano per affrontare le minacce alla cybersicurezza nel calcolo quantistico, secondo una ricerca di Trusted Group Computing. Il cosiddetto “Q-Day” è fissato al 2030 o oltre, e appare sufficientemente lontano. Ma, secondo gli esperti e gli organismi di standardizzazione, è già il momento di occuparsi della sicurezza della quantum era.
Il Q-Day è la data presunta in cui dati sensibili e proprietà intellettuale, nonché i meccanismi crittografici alla base della fiducia digitale, potrebbero essere violati dai quantum computer in grado di decifrare gli algoritmi. L’adeguamento tecnologico non è banale: per questo bisogna cominciare a studiare i rischi e aggiornare le strategie di sicurezza informatica adesso.
“La nostra esperienza suggerisce che i team di gestione del rischio aziendale e di cybersicurezza, insieme ai loro fornitori, dovranno concentrarsi su qualcosa di più della semplice tecnologia; dovranno attuare cambiamenti strutturali nel modo in cui stabiliscono le priorità e si organizzano per affrontare la transizione al PQC (Post-Quantum Crime)”, scrivono gli analisti di McKinsey.
Indice degli argomenti
Cybersicurezza, comunicazioni e quantum, telco primi utenti
In questo senario, McKinsey prevede che gli operatori di telecomunicazioni saranno i maggiori clienti commerciali delle soluzioni per le comunicazioni quantistiche, passando da una quota del 2-6% nel 2023 del mercato totale delle comunicazioni quantistiche a una del 16-26% entro il 2035. Questa crescita sarà trainata dalla diffusione delle reti quantistiche e dall’integrazione con il cloud pubblico e le offerte di sicurezza informatica.
Anche le organizzazioni del settore dei servizi finanziari diventeranno probabilmente un gruppo di utenti di primo piano: McKinsey stima che questo settore rappresenterà una quota di mercato compresa tra il 14 e il 24% entro il 2035, perché le istituzioni vorranno dotarsi di comunicazioni sicure per le transazioni di alto valore.
In merito ai clienti commerciali del quantum, McKinsey osserva che il mercato delle comunicazioni quantistiche si colloca all’incrocio tra cybersicurezza, sicurezza nazionale e infrastrutture di nuova generazione. Oggi il mercato, in termini di fonti di fatturato, è trainato principalmente dai governi, ma la crescita futura arriverà dal privato, a comunicare dai settori telecom e finance. Il valore complessivo è previsto tra 11 e 15 miliardi di dollari entro il 2035.
Tecnologia quantistica, i settori a più rapida crescita
McKinsey rileva anche un’accelerazione degli investimenti nelle startup di tecnologia quantistica, passati da 2 miliardi di dollari nel 2024 a 13 miliardi di dollari nel 2025. Oltre il 90% degli investimenti totali è concentrato in hardware, sistemi e tecnologie abilitanti per il calcolo quantistico.
Dato il loro ruolo nel consentire infrastrutture scalabili e sicure per il calcolo quantistico, McKinsey prevede che il PQC (Physical Qualification Computing) e i connettori modulari diventeranno i principali settori verticali della comunicazione quantistica entro il 2035.
In particolare, entro il 2035 il mercato del PQC dovrebbe raggiungere un valore compreso tra 2,4 e 3,4 miliardi di dollari, per poi stabilizzarsi con la maturazione del mercato. Nel frattempo, il mercato dei connettori modulari, ovvero i meccanismi che consentono le interfacce tra sistemi telefonici, reti dati e altri sistemi, è ancora in fase di sviluppo, ma si prevede che raggiungerà un valore compreso tra 2,1 e 2,9 miliardi di dollari, trainato da progressi tecnologici che consentiranno una maggiore scalabilità e prestazioni superiori.
Anche altri settori verticali dovrebbero crescere in modo significativo nei prossimi cinque-dieci anni, tra cui la distribuzione di chiavi quantistiche (QKD) e la relativa tecnologia di generazione di numeri casuali quantistici, le reti quantistiche regionali e l’internet globale quantistico.
Da notare che l’innovazione quantistica fino ad oggi si è concentrata in pochi paesi, soprattutto Cina e Stati Uniti: negli ultimi anni, questi due paesi hanno rappresentato circa il 70% delle domande di brevetto globali. Gli Stati Uniti hanno ottenuto il maggior numero di brevetti, mentre la Cina è leader nelle pubblicazioni di ricerca a livello mondiale.
I rischi per la cybersicurezza nell’era del quantum
Quattro ambiti sono particolarmente a rischio disruption con l’avvento del calcolo quantistico: la riservatezza a lungo termine dei dati e delle comunicazioni, l’integrità dei meccanismi di fiducia digitali, l’invisibilità crittografica e l’accumulo di debito tecnico.
Per prepararsi, le aziende devono rispondere a tre domande fondamentali: Quali parti della nostra infrastruttura tecnologica supportano i processi aziendali più critici e quali di questi sono maggiormente a rischio in vista del Q-Day? Data questa valutazione del rischio potenziale, come dovremmo dare priorità ai piani di migrazione post-quantum (ovvero, quali parti aggiornare e quali sostituire completamente) prima che il Q-Day sia noto? Infine, ma non meno importante, quale modello di governance dovrebbe adottare ora il responsabile IT o il responsabile della sicurezza informatica per preservare la fiducia nelle identità, nei certificati e negli aggiornamenti software durante la transizione?
“L’obiettivo è valutare, dare priorità e riorganizzare l’architettura”, scrivono gli analisti.
Tre passi per la cybersicurezza quantistica
Quanto ai suggerimenti pratici, la prima cosa da fare per McKinsey è valutare i potenziali rischi e le esposizioni quantistiche e dare priorità alla transizione al controllo qualità predittivo (PQC). Una valutazione del rischio semplice ma strutturata può aiutare le organizzazioni a stabilire le priorità per rafforzare la protezione dei dati. Quattro fattori sono fondamentali: per quanto tempo i dati devono rimanere al sicuro, quanto sono sensibili, quanto sono esposti e quanto è critico il sistema di supporto per l’azienda.
Utilizzando questi criteri, i team possono concentrarsi prima sulle risorse a più alto rischio, ad esempio i dati dei clienti a lungo termine o la proprietà intellettuale, piuttosto che sui dati operativi a breve termine. Una volta definite le priorità, i team di sicurezza informatica e gestione del rischio possono implementare gradualmente gli aggiornamenti di crittografia insieme alle modifiche pianificate, come le migrazioni al cloud, gli aggiornamenti di sistema o i rinnovi contrattuali. Questo può contribuire a ridurre le interruzioni e al contempo migliorare la sicurezza.
Costruire l’agilità crittografica
Il secondo passo è riprogettare l’architettura e abilitare l’agilità crittografica. Nei casi in cui la crittografia è strettamente legata a funzionalità di base, come algoritmi hardcoded, implementazioni personalizzate, firmware e piattaforme legacy, i normali aggiornamenti di sicurezza potrebbero non essere sufficienti, spiega McKinsey. In questi casi, i team potrebbero essere costretti a intraprendere una riprogettazione completa del sistema.
Per costruire una resilienza quantistica, i team di sicurezza informatica e gestione del rischio devono progettare i sistemi futuri tenendo conto della possibilità di sostituzione.
Sarà inoltre importante per i team di sicurezza informatica e gestione del rischio creare e mantenere un inventario crittografico dinamico, ovvero una chiara descrizione di dove viene utilizzata la crittografia, quanto è integrata nei sistemi e quanto è difficile modificarla tra sistemi e prodotti di terze parti. In questo modo, i team possono sviluppare agilità crittografica, preservando la capacità di modificare le proprie architetture di sicurezza anche quando la soluzione crittografica “perfetta” non è disponibile.
Queste informazioni dovrebbero guidare direttamente le decisioni di investimento dei leader. Invece di adottare un approccio generalizzato alla transizione, i dirigenti possono dare priorità ai sistemi con il maggiore impatto aziendale e la minore adattabilità. Per le comunicazioni più sensibili, i team potrebbero voler implementare una combinazione di metodi di crittografia classici e post-quantistici, contribuendo a preservare la riservatezza e al contempo a mantenere l’interoperabilità con l’evoluzione degli standard.
Un esempio pratico: la strategia di una telco
La terza mossa suggerita da McKinsey chiama in causa proprio la leadership: la preparazione al mondo quantistico non è solo una questione tecnica, ma è una priorità strategica che influenza la strategia, il rischio e le operazioni. I dirigenti non devono necessariamente diventare esperti in tutti i dettagli tecnici, ma dovranno prestare attenzione ai compromessi chiave, ai rischi aziendali e all’esposizione a lungo termine derivante dal Q-Day.
McKinsey porta l’esempio di come un fornitore di servizi di rete ha affrontato la questione cruciale per il top management di gestire le esposizioni al mondo quantistico per l’azienda e per i suoi clienti: se un cliente viene colpito da una violazione dei dati, ad esempio, come dovrebbe la telco comunicare tale informazione agli altri clienti? Se la telco stessa fosse colpita da un’esposizione al mondo quantistico, quali elementi dell’infrastruttura dovrebbero assolutamente rimanere operativi e quali dovrebbe essere disattivati?
Questo fornitore di rete ha intenzionalmente riservato del tempo nelle riunioni strategiche per valutare tali rischi quantitativi, in modo che i suoi leader potessero comprenderne il potenziale impatto ed essere preparati ad agire di conseguenza.
