Quantum-security staat bij veel IT- en security-teams wel op de radar, maar krijgt zelden dezelfde prioriteit als andere projecten. Toch worden organisaties vandaag al geconfronteerd met een risico dat vooruitloopt op de komst van quantum-computers: aanvallers onderscheppen versleutelde data en bewaren die om ze later te kraken. Dat is vooral een gevaar voor informatie die jarenlang vertrouwelijk moet blijven. In deze blog schetsen we waarom je dit niet als een hypothetisch risico mag zien en welke eerste stappen je nu al kan zetten om je omgeving voor te bereiden.

De beveiliging van veel digitale diensten steunt op public-key cryptografie. Die techniek maakt veilige verbindingen, certificaten en digitale handtekeningen mogelijk. De algoritmes waarop hedendaagse beveiliging gebaseerd is, zijn vandaag nog sterk, maar quantum-computers zullen in staat zijn bepaalde wiskundige problemen veel sneller op te lossen dan klassieke systemen. Daardoor worden een aantal van de algoritmes die we nu gebruiken in de toekomst kwetsbaar.

En die dreiging mag niet pas aangepakt worden wanneer de eerste volwaardige quantum-computer er is. Omdat aanvallers versleutelde data vaak nu al opslaan, loopt alles met een lange levensduur risico. Veel organisaties erkennen dit wel, maar hun plannen blijven vaak vaag of beperkt. Dat maakt het toekomstige risico alleen maar groter.

Met quantum-security bedoelen we alle maatregelen waarmee je je cryptografie toekomstbestendig maakt. Het doel is dat systemen veilig blijven, zowel tegen klassieke aanvallen als tegen aanvallen met quantum-computers.

De overstap naar nieuwe cryptografie raakt verschillende lagen in je omgeving, zoals:

• identity en access management
• VPN’s en remote access-oplossingen
• certificaten en Public Key Infrastructure (PKI)
• applicaties en Application Programming Interface (API)
• firmware en embedded systemen
• back-up en archivering

In al deze onderdelen kan public-key cryptografie aanwezig zijn. Daarom zal je moeten bepalen welke algoritmes je op termijn vervangt, waar aanpassingen nodig zijn en hoe je die migratie laat aansluiten op bestaande processen.

Internationaal worden al enkele jaren voorbereidingen getroffen tegen quantum-dreigingen. Zo onderzoekt ENISA hoe organisaties deze technologie in bestaande omgevingen kunnen integreren. De richting is dus duidelijk: quantum-security is geen theoretisch onderzoeksdomein meer, maar een traject dat organisaties stapsgewijs moeten doorlopen.

Quantum-security integreer je het best in je bestaande IT- en security-plannen, in plaats van het als apart project te behandelen. Drie concrete stappen helpen je op weg:

1. Breng in kaart waar je public-key cryptografie gebruikt.
   Kijk naar protocollen, diensten, componenten, certificaten en sleutels. Dit vormt de basis van een cryptografische inventaris, iets wat ook door ENISA expliciet wordt aanbevolen.
2. Bepaal welke data lang vertrouwelijk moet blijven.
   Informatie zoals gezondheidsgegevens, financiële data en intellectuele eigendom blijft vaak jarenlang gevoelig. Deze datastromen krijgen prioriteit in je migratieplan.
3. Werk met scenario’s en realistische tijdlijnen.
   Omdat standaarden en producten nog in ontwikkeling zijn, is een gefaseerde overstap het meest haalbaar. Stem je stappen af op de maturiteit van nieuwe oplossingen en op de timing van nieuwe standaarden.

Wanneer je de eerste basis hebt, is het belangrijk om je vooruitgang te blijven volgen. Dat kan met eenvoudige vragen zoals:

• Hoeveel kritieke systemen zijn al in kaart gebracht?
• Welke datastromen lopen het grootste risico op “harvest now, decrypt later”?
• Waar staan we vandaag: in de verkenningsfase, in inventarisatie of al in migratieplanning?

Daarnaast is het belangrijk om vaste momenten in te plannen waarop je je plannen bijstuurt op basis van nieuwe standaarden, inzichten en ontwikkelingen in je omgeving. Zo blijft je aanpak actueel en goed afgestemd op de risico’s en mogelijkheden van dat moment.