加密与密钥管理 , 领导力与高管沟通 , 安全运营

向董事会陈述后量子准备工作的必要性

CIO 和 CISO 需要董事会对后量子计算密码学项目的支持。但这里有一个关键提示：在你的演示中不要涉及量子物理。

另请参阅： 向董事会简报 AI 代理风险

“如果你走进董事会，表现得像个物理学家，谈论纠缠、量子门和量子比特，你会失去所有人，因为大家要么会睡着，要么会认为你置身于《星际迷航》的情节中，”爱尔兰银行（Bank of Ireland）安全与韧性卓越中心负责人 Francis Gorman 表示。

董事们不需要了解量子计算机是如何工作的。他们只需要知道哪些业务服务和数据可能暴露、组织需要多长时间来降低风险、迁移成本是多少，以及应该首先资助什么。

Monique Shivanandan 是 Token 董事会成员，曾任 HSBC 集团 CISO 兼首席数据和分析官，她在最近接受 ISMG 采访时就人工智能发表了类似的观点。

“董事会并不真正需要知道你为达到目标所做的所有细节，”她说。“他们信任你。这就是你担任该职位的原因。”

将量子风险转化为业务风险

Gorman 建议从解释组织提供的服务以及交付这些服务所需的安全性入手。

“为了在该业务线中执行，我们需要能够提供机密性、完整性、可用性和不可否认性，”他说。“所有这些方面都以密码学为基础。”

对于每项服务，CIO 可以识别其处理的敏感数据以及这些数据必须保持受保护状态的时间。敏感数据（如生物识别和财务记录）可以保持数十年的价值，从而产生了来自“现在收集，以后解密”攻击的现实风险，在这种攻击中，对手现在收集加密数据，稍后可能破解该加密。

Forrester 分析师 Jitin Shabadu 表示，这种风险远不止银行和政府机构。例如，一家医疗保健研究公司对分子的研究在“10 年或 15 年后仍将非常有价值且非常可信，”他说。

他表示，对于董事会来说，展示组织如何容易受到此类攻击“大有帮助”，而来自 Google、Cloudflare 和 Microsoft 等公司的量子研究进展也强化了这一信息。

避免 Q-Day 预测

没有哪位 CIO 能为 Q-Day 提供一个可靠的日期，但董事会不需要这个日期就能做出负责任的投资决策。

“没有人能量化量子相关计算机的具体日期，但我们可以观察研究、突破和资金，”Gorman 说。“我们所知道的是，实施变革的导入时间非常长。”

美国国家标准与技术研究院（NIST）已告知各组织开始采用其后量子标准，并计划在 2035 年之前移除脆弱的加密算法。Google 在 3 月份为其自身的迁移设定了 2029 年的目标，Cloudflare 在不到两周后也采用了相同的目标。

软件定义网络公司 ZeroTier 的 CEO Andrew Gault 表示，这些截止日期的消息是董事会对话发生转变的时刻。他说，一年前，即使是知识渊博的投资者也会询问后量子准备是否真的重要。现在，“我交谈过的几乎每个人都听过这件事。”