La criptografía tradicional ha protegido nuestros datos durante décadas, pero, con la llegada de la computación cuántica, el statu quo de la seguridad está a punto de cambiar.
Mientras los consorcios de América del Norte y Asia ya trabajan para anticiparse a este problema, Europa se está quedando atrás.
Para el sector financiero, especialmente vulnerable a las amenazas cuánticas debido a la sensibilidad de los datos, se trata de una cuestión crítica.
La seguridad de nuestros datos, desde los historiales médicos hasta los pagos en línea y las firmas digitales para la autenticación de identidad, depende de la criptografía. Pronto, los ordenadores cuánticos podrían poner en peligro este enfoque probado con el tiempo.
La computación cuántica avanza rápidamente y la inversión pública y empresarial alcanza los 35.5 mil millones de dólares a escala mundial. La tecnología aún no ha madurado, pero, cuando estas máquinas estén disponibles a gran escala —y sean capaces de realizar operaciones mucho más complejas que los ordenadores binarios actuales—, deberán utilizarse de forma responsable.
Para garantizarlo, necesitamos marcos específicos para cada sector y directrices basadas en las mejores prácticas para la adopción generalizada de los algoritmos de criptografía poscuántica (PQC) anunciados recientemente por el Instituto Nacional de Estándares y Tecnología (NIST).
En Europa, aunque actualmente no existe un marco específico para las entidades financieras, la Comisión Europea ha recomendado que los Estados miembros de la UE y sus sectores públicos elaboren estrategias nacionales para adoptar la PQC y garantizar la coordinación en toda la región. Esta es una señal importante que subraya la urgencia de que los sectores privados, incluidas las entidades financieras, aceleren la adopción de los algoritmos de PQC y lo hagan de forma colaborativa.
Un consorcio europeo para la seguridad de la computación cuántica
Un consorcio europeo debe reunir a empresas, bancos, corredores, infraestructuras de los mercados financieros, empresas de tecnología financiera, reguladores y autoridades públicas para tomar medidas prácticas frente al riesgo cuántico futuro.
Se espera que, para finales de esta década, los ordenadores cuánticos puedan superar a sus equivalentes clásicos en tareas concretas. Cuando eso ocurra, además de aportar innumerables beneficios, los ordenadores cuánticos en manos de actores malintencionados también supondrán una amenaza muy real para los sistemas criptográficos que se utilizan ampliamente hoy, incluido el sector financiero. Los actores malintencionados podrían recopilar datos confidenciales ya desde ahora con el objetivo de descifrarlos en el futuro con ayuda de ordenadores cuánticos.
Los sistemas que se utilizan actualmente para el cifrado general dependen de la dificultad de factorizar números grandes o resolver logaritmos discretos: tareas complejas para una máquina clásica, pero no para algoritmos cuánticos que podrían resolverlas con una rapidez exponencialmente mayor.
Incluso antes del anuncio del NIST, varios gobiernos del mundo ya habían tomado medidas proactivas para iniciar la migración a la PQC, estudiando la normativa e instando a las empresas a comenzar la transición. Por ejemplo, en febrero de este año, la Autoridad Monetaria de Singapur emitió una recomendación en la que describía medidas específicas que las instituciones financieras deberían considerar como parte de su estrategia de migración a sistemas seguros frente a la computación cuántica. A escala sectorial, algunas empresas también han empezado a explorar los beneficios de la migración.
Sin embargo, para cualquier empresa, afrontar por sí sola una transición de este tipo y llevarla a cabo de forma fluida y completa puede resultar abrumador. Aunque las tres nuevas normas del NIST forman parte de la primera capa criptográfica, independiente del sector, la segunda capa que necesitamos consiste en marcos específicos para cada sector, con aplicaciones, casos de uso y directrices pertinentes que ya incorporen los algoritmos criptográficos del NIST y propicien una adopción generalizada.
Gestionar los riesgos de los ordenadores cuánticos
Esto ya está ocurriendo. Pensemos, por ejemplo, en las telecomunicaciones. En octubre de 2022, la Asociación del Sistema Global para las Comunicaciones Móviles (GSMA) creó el Grupo de Trabajo sobre Redes de Telecomunicaciones Poscuánticas, que desde entonces ha crecido hasta reunir a más de 60 empresas de toda la cadena de suministro mundial de telecomunicaciones, así como a responsables de políticas y reguladores. El grupo de trabajo anima a los operadores de redes de telecomunicaciones a elaborar hojas de ruta para integrar capacidades de PQC en sus redes y procesos. Cuando los socios del sector se reúnen para mantener conversaciones abiertas, los encuentros generan nuevas ideas y ayudan a aclarar las perspectivas de cada socio y los desafíos concretos que afronta. Esto permite establecer mejores prácticas que otros pueden seguir.
Incluso consorcios de seguridad cuántica independientes del sector, como MITRE PQC Coalition, Linux Foundation PQC Alliance y NIST NCCoE, también están generando beneficios relacionados con la tecnología y la adopción de algoritmos.
En el sector financiero ya existe en Asia un consorcio financiero de PQC, denominado Grupo de Trabajo de EPAA sobre seguridad cuántica. Entre sus miembros figuran EPAA (Emerging Payments Association Asia), IBM, HSBC, AP+, PayPal y otras entidades. En Estados Unidos, IBM colabora con la Asociación Nacional de Cámaras de Compensación Automatizadas para poner en marcha un grupo de trabajo centrado en la adopción de PQC por parte de las organizaciones de pagos. Sin embargo, cada región aborda los servicios financieros de manera distinta, por lo que también es esencial contar con un consorcio financiero en Europa.
La colaboración es clave
Entre los beneficios de un consorcio de este tipo estaría que las instituciones pusieran en común recursos, conocimientos e iniciativas estratégicas en toda Europa para garantizar un enfoque meditado y táctico de la adopción de las normas de PQC del NIST. El consorcio podría ayudar a navegar la compleja red de requisitos normativos al convertirse en una voz única y unificada en las conversaciones con los reguladores y defender políticas que respalden la migración a la PQC. También podría promover las mejores prácticas, organizar talleres y compartir información sobre amenazas emergentes para reforzar la seguridad general del sector financiero europeo.
Sin un marco específico para el sector y directrices para adoptar el algoritmo estándar de PQC, se puede disponer de la mejor solución de PQC, pero su utilidad empresarial será inferior a la óptima. Aunque por ahora la prioridad debería ser crear consorcios regionales, con el tiempo deberían establecerse marcos globales específicos para cada sector, ya que las instituciones asociadas tendrán que colaborar en todo el mundo.
Llevará tiempo. Los criptógrafos tardaron varios años solo en desarrollar los algoritmos, y el NIST necesitó dos años más para normalizar el primer conjunto de algoritmos seleccionados. Ahora se han presentado más algoritmos y se están evaluando para su posterior normalización, pero el siguiente paso, crear marcos específicos para cada sector, es aún más complejo, pues implica a instituciones y responsables de políticas. La cantidad de trabajo que hay que realizar es inmensa y debemos avanzar de forma colaborativa en todo el sector, aprendiendo unos de otros. Los consorcios son la mejor manera de lograrlo y ayudar a acelerar el progreso en todo el sector. Debemos empezar ahora para garantizar que las instituciones financieras de Europa y del mundo sigan funcionando incluso ante la amenaza de ataques cuánticos.
No deberíamos limitarnos a reaccionar ante el riesgo cuántico; debemos dar forma activa al futuro de la seguridad de nuestros datos. Además de todos los beneficios ya mencionados, un consorcio financiero en Europa podría demostrar el compromiso con la protección de la estabilidad financiera del continente y con la preservación de la seguridad europea en el futuro. Y eso es exactamente lo que, como sociedad, deberíamos esforzarnos por lograr.