Kryptografia przyszłości zaczyna się od Państwa obecnych zasobów.

Tak. Wszystkie usługi (6) można zaplanować jako odrębne pakiety prac. Wspólnie ustalamy sytuację wyjściową, wymagania wstępne i wynik, który jest Państwu potrzebny w pierwszej kolejności. Na podstronach opisujemy zakres każdej usługi i związane z nią decyzje techniczne.

Przed realizacją ustalane są cele, systemy, których to dotyczy, zakres współdziałania, wyniki i kryteria odbioru. Otwarte kwestie techniczne można najpierw wyjaśnić w ramach inwentaryzacji lub pilotażu. Dodatkowe zadania są oceniane pod kątem wpływu na nakład pracy i termin.

Dokumentacja, instruktaż i podział odpowiedzialności są uwzględniane w zamówieniu. Jeśli OTOKO® przejmuje bieżące zadania, uzgadniamy w tym celu zakres eksploatacji wraz z godzinami serwisowymi i ścieżkami eskalacji. Państwa zespół może też sam kontynuować prace na bazie wyników lub prowadzić je z dotychczasowymi partnerami.

Kryptografia postkwantowa, w skrócie PQC, oznacza algorytmy, które mają być odporne również na ataki z użyciem wydajnych komputerów kwantowych. Dla przedsiębiorstw kluczowe jest najpierw pytanie, gdzie stosowane są podatne algorytmy i jak długo dane oraz podpisy muszą pozostać chronione. OTOKO® łączy inwentaryzację, ocenę ryzyka i wdrożenie techniczne. Sama zmiana algorytmu nie wystarcza: biblioteki, protokoły, urządzenia i systemy partnerskie muszą współdziałać.

Które z Państwa aplikacji korzystają z jakiego szyfrowania i kto może je zmienić? Rejestrujemy zależności kryptograficzne i przypisujemy je do Państwa systemów oraz osób odpowiedzialnych. Inwentarz tworzy weryfikowalną podstawę dla dalszego planowania.

Określenie zakresu badania i dopuszczonych metod zbierania danych Rejestrowanie protokołów, certyfikatów, bibliotek i zastosowań kluczy Łączenie wyników skanów, analizy kodu i eksportów z systemów Oznaczanie zależności i obszarów nieobjętych badaniem Przygotowanie aktualizacji inwentarza i eksportu w formacie nadającym się do przetwarzania maszynowego

Inwentarz kryptograficzny ze wskazaniem źródeł i stopnia pokrycia Przegląd zależności dla każdej aplikacji Procedura aktualizacji CBOM

Skan sieci pokazuje dostępne usługi, ale nie całą kryptografię organizacji. Łączymy dopuszczone metody zbierania danych: punkty końcowe, zbiory certyfikatów, biblioteki, konfigurację oraz rozmowy z osobami odpowiedzialnymi za systemy. Znaczenie mogą mieć również podpisy offline, urządzenia mobilne i komponenty wbudowane. Wyniki rozróżniają obserwowane użycie od jedynie zainstalowanych możliwości. Każde ustalenie opatrujemy źródłem i datą, aby późniejsze decyzje nie opierały się na niejasnych założeniach.

Cryptography Bill of Materials, w skrócie CBOM, opisuje komponenty kryptograficzne i ich powiązania w formie nadającej się do przetwarzania maszynowego. Decydujące znaczenie ma przypisanie do celu zastosowania: certyfikat może zabezpieczać połączenie albo chronić długoterminowo weryfikowalny podpis. Rejestrujemy właściciela, możliwość zmiany oraz zależności od producentów. Systemy niedostępne lub nieobjęte badaniem pozostają widoczne jako luka. Duży eksport danych bez takiego przyporządkowania nie byłby solidną podstawą do podejmowania decyzji.

Zmiany w bibliotekach, certyfikatach i konfiguracji powinny być uwzględniane w aktualizacji inwentarza. W tym celu wyznaczamy osoby odpowiedzialne i zdarzenia wyzwalające aktualizację. W ramach odbioru sprawdzamy wyrywkowo wyniki na rzeczywistych systemach i dokumentujemy osiągnięty zakres badania. Skany środowiska produkcyjnego są wykonywane tylko w zatwierdzonym zakresie i z uwzględnieniem wrażliwych komponentów.

Nie każdy system trzeba migrować w tym samym czasie. Oceniamy wymagany okres ochrony, powierzchnię ataku, zależności techniczne oraz nakład pracy związany z migracją. Na tej podstawie ustalamy kolejność uzasadnionych działań, zakresy odpowiedzialności i punkty decyzyjne.

Wspólna ocena potrzeb ochrony danych i podpisów Klasyfikacja zależności kryptograficznych i nakładu pracy na migrację Rejestrowanie zależności od producentów i cykli zakupowych Planowanie pilotaży i etapów migracji Dokumentowanie ryzyk rezydualnych i otwartych decyzji

Uzasadniona priorytetyzacja Plan migracji z zależnościami Materiał decyzyjny dla działu biznesowego i IT

Niektóre informacje muszą pozostać poufne przez wiele lat. Nagrany zaszyfrowany ruch sieciowy może więc już dziś mieć znaczenie dla długoterminowej oceny ryzyka. Jednocześnie zakupy, dostosowanie oprogramowania i zmiana systemów partnerskich wymagają czasu. Łączymy te czynniki z Państwa potrzebami ochrony, nie traktując spekulatywnej daty powstania wydajnego komputera kwantowego jako pewnej podstawy planowania. Podpisy są rozpatrywane odrębnie, ponieważ ich długoterminowa weryfikowalność może wymagać innych środków niż poufność połączenia.

Centralna biblioteka lub platforma certyfikatów może wpływać na wiele aplikacji. I odwrotnie, pojedyncze urządzenie starszego typu może ograniczać zmianę całej trasy komunikacji. Porządkujemy te zależności, sprawdzamy informacje od producentów i rozdzielamy działania możliwe do wdrożenia w krótkim czasie od prac przygotowawczych. Projekty pilotażowe otrzymują jasno sformułowane pytania badawcze, na przykład zgodność łańcucha bram (gateway) lub wsparcie dla danego typu kluczy. Mapa drogowa zawiera punkty decyzyjne, w których wyniki pomiarów i nowe informacje mogą zmienić dalsze planowanie.