Black Kite 增加针对第三方供应商的 Quantum Readiness 检查

内部简报

• Black Kite 在其 Cyber Rating 平台中引入了 Quantum Readiness 控制措施，用于评估组织第三方供应商中可观察到的后量子密码学就绪迹象。
• 这些新控制措施检查诸如混合后量子密钥交换、证书签名就绪情况以及没有明确迁移路径的资产等指标，并将结果整合到平台的 SSL/TLS 强度类别中。
• 该功能旨在帮助组织跟踪供应商的就绪情况，识别供应链加密安全中的潜在漏洞，并为后量子迁移要求做好准备。

新闻稿 — Black Kite，第三方网络风险管理的领导者，今日宣布发布 Quantum Readiness，这是 Black Kite Cyber Rating 中 SSL/TLS 强度类别下的一套新控制措施，旨在评估组织第三方供应商生态系统的量子敏捷性。Quantum Readiness 揭示了哪些供应商已实现量子就绪或正在采用量子安全加密方法，为后量子时代的安全性成熟度和准备情况提供了早期指示。

能够破解当今加密技术的量子计算机尚未问世，但专家预测 “Q-Day” 最早可能在 2028 年到来。这种风险也具有追溯力：在“现在收割，以后解密”的攻击中，不良行为者已经在收集加密数据，以便在量子计算机足够强大后进行解密。组织现在就需要做好准备——对于许多组织来说，向量子安全加密的转变正在进行中，这使得量子敏捷性成为供应商安全性成熟度和准备情况的关键指标。

“第三方网络风险管理需要考虑风险的走向，而不仅仅是现状，”Black Kite 首席研究与情报官 (CRIO) Ferhat Dikbiyik 表示。“我们构建 Quantum Readiness 是为了让客户能够及早了解其供应链的量子敏捷性，并帮助他们了解哪些供应商正在为未来最重要的密码学转型之一做准备。”

组织每天都在通过第三方传输敏感数据，但对于这些供应商是否准备好在后量子时代保护这些数据，可见性有限。监管压力进一步加剧了组织面临的挑战。后量子期限现已固定。NIST 的时间表规定在 2030 年后弃用 RSA、ECDSA 和 ECDH，并在 2035 年后禁止使用。OMB M-26-15 要求美国机构在 2030 年底前实现后量子密钥建立，并在 2031 年前实现数字签名。第 14412 号行政命令启动了联邦采购规则的时钟，要求相关承包商在 2030 年 12 月 31 日之前达到 NIST 后量子标准。

在欧盟，成员国预计将在 2026 年底前制定国家计划和密码学清单，高风险关键基础设施将在 2030 年前完成迁移，而 NIS2 如今已将供应链安全和密码学纳入风险管理义务中。

组织将需要了解其自身系统以及所依赖的供应商的密码学态势。Black Kite 为第三方生态系统的供应商后量子就绪情况提供了外部衡量标准，帮助组织回答一个关键问题：我的供应链中哪些供应商已实现量子就绪，哪些正在迈向就绪，哪些可能已经落后？因此，他们能够：