La migration vers la cryptographie post-quantique : ce que les entreprises doivent savoir

Les gouvernements avancent à des rythmes différents et pourraient adopter des normes distinctes. Les États-Unis ont fixé des échéances à 2030 et 2031 pour l'adoption, par les systèmes fédéraux, des normes de cryptographie post-quantique approuvées par le National Institute of Standards and Technology (NIST). De son côté, l'Union européenne demande à ses États membres d'entamer leur migration d'ici fin 2026, avec une transition des infrastructures critiques prévue d'ici 2030. La Chine devrait quant à elle publier ses normes nationales de chiffrement post-quantique au cours des prochaines années. Ces approches divergentes contribuent à fragmenter le paysage réglementaire et technologique mondial.

Lorsque les gouvernements et les fournisseurs progressent à des rythmes différents et adoptent potentiellement des normes incompatibles, les entreprises risquent de se retrouver confrontées à des problèmes d'interopérabilité, à de nouvelles obligations de conformité, à une hausse des coûts de remplacement et à des interruptions temporaires de service. Même les entreprises qui modernisent leurs propres infrastructures pourraient rencontrer des difficultés de communication entre leurs systèmes et ceux de fournisseurs, de partenaires ou de prestataires de services de paiement utilisant encore des méthodes cryptographiques anciennes.

Les organisations ne disposent pas toujours d'une cartographie exhaustive des composants cryptographiques présents dans leur environnement opérationnel et n'en maîtrisent pas nécessairement l'ensemble. Les logiciels, les équipements matériels, les certificats numériques, les systèmes embarqués et les plateformes tierces reposent tous sur des mécanismes de chiffrement susceptibles de devoir être remplacés. Les compagnies aériennes, les banques, les hôtels, les opérateurs de télécommunications, les plateformes cloud et les réseaux de paiement sont étroitement interconnectés. Par conséquent, toute mise à niveau des systèmes de chiffrement d'une organisation peut avoir des répercussions directes sur les autres acteurs utilisant les mêmes systèmes. 

Au-delà des difficultés immédiates de compatibilité, la migration vers la cryptographie post-quantique vise à répondre à une menace à plus long terme, souvent désignée par l'expression « collecter aujourd'hui, déchiffrer plus tard » (harvest now, decrypt later). Des acteurs malveillants peuvent dès aujourd'hui collecter des informations chiffrées et les conserver dans l'objectif de les déchiffrer ultérieurement, si des ordinateurs quantiques suffisamment puissants deviennent disponibles. La propriété intellectuelle des entreprises, les données financières, les données biométriques, les informations relatives aux passagers et les communications sensibles pourraient ainsi rester exposées longtemps après leur collecte initiale. L'ancienneté et le degré de sensibilité des informations deviennent donc des facteurs plus déterminants que la disponibilité actuelle d'ordinateurs quantiques capables de les déchiffrer.

Les organisations qui identifient rapidement leurs données sensibles et leurs dépendances cryptographiques seront mieux placées pour hiérarchiser les mises à niveau, maîtriser les coûts et réduire leur exposition aux risques liés aux fournisseurs. 

Le défi le plus complexe pourrait résider dans les dépendances cryptographiques à l'égard de prestataires tiers. Une entreprise peut moderniser ses propres systèmes tout en restant vulnérable par l'intermédiaire d'un fournisseur de services cloud, d'un prestataire de services de paiement, d'une plateforme SaaS, d'un opérateur de télécommunications, d'un système informatique aéronautique ou d'un établissement financier qui continue d'utiliser des méthodes cryptographiques anciennes. Cette exposition aux risques liés aux tiers est particulièrement importante pour les technologies opérationnelles à longue durée de vie, les systèmes embarqués des aéronefs, les équipements aéroportuaires, les terminaux de paiement et les infrastructures de transport qui restent en service pendant de nombreuses années.

Les entreprises du secteur des voyages internationaux, les établissements financiers et les multinationales disposant de chaînes d'approvisionnement complexes sont particulièrement exposés. Une seule plateforme ancienne exploitée par un fournisseur peut freiner la migration de l'ensemble d'une compagnie aérienne, d'un aéroport, d'un groupe hôtelier, d'un réseau de paiement ou d'un opérateur de transport. 

Les conséquences opérationnelles de l'adoption du chiffrement post-quantique se manifesteront progressivement, au fil des mises à niveau des systèmes, des transitions engagées par les fournisseurs et de l'évolution des exigences nationales. Les employés et les voyageurs devraient principalement constater ces changements de manière indirecte, à travers les mises à jour habituelles des applications, de nouvelles exigences d'authentification, des modifications des systèmes d'identité numérique et des évolutions des plateformes de paiement, plutôt que par des mesures de sécurité quantique directement identifiables.

Les entreprises qui font dès maintenant de la migration vers la cryptographie post-quantique une priorité stratégique, en identifiant les informations sensibles nécessitant une protection à long terme, en cartographiant leurs dépendances cryptographiques et en évaluant le niveau de préparation de leurs fournisseurs, disposeront d'une meilleure maîtrise des coûts, de l'interopérabilité et de la protection des données critiques tout au long de cette transition. 

L’analyse stratégique complète de Crisis24 propose une évaluation plus approfondie de la migration vers la cryptographie post-quantique et des conséquences, pour les entreprises internationales, de l’évolution des exigences de conformité, des défis d’interopérabilité et des dépendances à l’égard de prestataires tiers.