La criptografía del futuro empieza con su inventario.

Sí. Los 6 servicios se pueden planificar como paquetes de trabajo delimitados. Juntos aclaramos la situación de partida, los requisitos previos y el resultado que necesita en primer lugar. Las subpáginas muestran el alcance correspondiente y las decisiones técnicas.

Antes de la implementación se acuerdan los objetivos, los sistemas afectados, la participación, los resultados y los criterios de aceptación. Las cuestiones técnicas abiertas pueden aclararse primero mediante un inventario o un piloto. Las tareas adicionales se evalúan según su impacto en el esfuerzo y en el plazo.

La documentación, la formación y las responsabilidades se contemplan en el encargo. Si OTOKO® asume tareas continuas, acordamos para ello un alcance de operación con horarios de servicio y vías de escalado. Su equipo también puede dar continuidad a los resultados por su cuenta o con sus socios actuales.

La criptografía poscuántica, o PQC, designa los algoritmos concebidos para resistir también ataques con ordenadores cuánticos de alta capacidad. Para las empresas, la cuestión inicial es dónde se emplean algoritmos vulnerables y durante cuánto tiempo deben permanecer protegidos los datos y las firmas. OTOKO® combina la elaboración del inventario, la evaluación de riesgos y la implementación técnica. Cambiar solo el algoritmo no es suficiente: las bibliotecas, los protocolos, los dispositivos y las contrapartes deben funcionar de forma conjunta.

¿Cuáles de sus aplicaciones utilizan qué cifrado, y quién puede modificarlo? Registramos las dependencias criptográficas y las asignamos a sus sistemas y responsables. El inventario crea una base verificable para la planificación posterior.

Definir el alcance del análisis y las vías de recopilación permitidas Registrar protocolos, certificados, bibliotecas y usos de claves Consolidar los resultados de escaneos, análisis de código y exportaciones de sistemas Señalar las dependencias y las áreas no analizadas Preparar la actualización continua del inventario y una exportación legible por máquina

Inventario criptográfico con origen y cobertura Resumen de dependencias por aplicación Procedimiento de actualización de la CBOM

Un escaneo de red detecta los servicios accesibles, pero no toda la criptografía de una organización. Combinamos vías de recopilación autorizadas: puntos finales, inventarios de certificados, bibliotecas, configuración y entrevistas con los responsables de los sistemas. También pueden ser relevantes las firmas fuera de línea, los dispositivos móviles y los componentes embebidos. Los resultados distinguen entre el uso observado y las capacidades meramente instaladas. Cada hallazgo recibe una fuente y una fecha, para que las decisiones posteriores no se basen en suposiciones poco claras.

Una Cryptography Bill of Materials, o CBOM, describe los componentes criptográficos y sus relaciones en un formato legible por máquina. Lo decisivo es la asociación con su finalidad de uso: un certificado puede proteger una conexión o respaldar una firma verificable a largo plazo. Registramos el propietario, la posibilidad de modificación y las dependencias con los fabricantes. Los sistemas inaccesibles o no analizados siguen siendo visibles como lagunas. Una gran exportación de datos sin esta clasificación no constituiría una base sólida para la toma de decisiones.

Los cambios en las bibliotecas, los certificados y la configuración deben incorporarse a la actualización continua. Para ello se definen los responsables y los motivos de actualización. En la aceptación comprobamos muestras frente a los sistemas reales y documentamos el alcance del análisis realizado. Los escaneos en producción se realizan solo dentro del marco aprobado y teniendo en cuenta los componentes sensibles.

No todos los sistemas deben migrarse al mismo tiempo. Evaluamos la duración de la protección necesaria, la superficie de ataque, las dependencias técnicas y el esfuerzo de migración. De ahí resulta un orden con medidas justificadas, responsabilidades y puntos de decisión.

Evaluar conjuntamente la necesidad de protección de datos y firmas Clasificar las dependencias criptográficas y el esfuerzo de migración Registrar las dependencias de los fabricantes y los ciclos de adquisición Planificar proyectos piloto y oleadas de migración Documentar los riesgos residuales y las decisiones pendientes

Priorización justificada Plan de migración con dependencias Documento de decisión para el área de negocio y TI

Determinada información debe permanecer confidencial durante muchos años. Por eso, el tráfico cifrado capturado puede ser relevante ya hoy para la evaluación del riesgo a largo plazo. Al mismo tiempo, la adquisición, la adaptación del software y el cambio de las contrapartes requieren tiempo. Combinamos estos factores con su necesidad de protección, sin tratar una fecha especulativa para un ordenador cuántico de alta capacidad como una base de planificación fiable. Las firmas se consideran por separado, porque su verificabilidad a largo plazo puede requerir medidas distintas de las que requiere la confidencialidad de una conexión.

Una biblioteca o plataforma de certificados central puede afectar a muchas aplicaciones. Por el contrario, un único dispositivo antiguo puede limitar el cambio de toda una ruta. Ordenamos estas dependencias, revisamos la información de los fabricantes y separamos las medidas que se pueden implementar a corto plazo de los trabajos previos. Los proyectos piloto parten de preguntas claras, por ejemplo la compatibilidad de una cadena de gateways o el soporte de un tipo de clave. La hoja de ruta incluye puntos de decisión en los que los resultados de las mediciones y la nueva información pueden modificar la planificación posterior.