Canadá lanza un plan para proteger sus sistemas públicos frente a las amenazas cuánticas

El Gobierno de Canadá ha iniciado oficialmente un plan de diez años para preparar su infraestructura digital ante una de las principales amenazas emergentes de ciberseguridad: la computación cuántica. Un nuevo Security Policy Implementation Notice (SPIN), vigente desde su publicación, exige que todos los departamentos y organismos federales comiencen la compleja transición a un cifrado resistente a la computación cuántica.

La iniciativa busca proteger los datos y comunicaciones sensibles del país frente a una futura generación de ordenadores que podría dejar obsoletas las defensas criptográficas actuales.

La amenaza cuántica que se avecina

La urgencia responde a la posible aparición de un ordenador cuántico criptográficamente relevante (CRQC). Aunque por ahora es principalmente teórico, un CRQC podría tener capacidad para romper la criptografía de clave pública que protege desde la banca en línea y la mensajería segura hasta las bases de datos gubernamentales.

El aviso destaca la táctica conocida como “Harvest Now, Decrypt Later” (HNDL). Un atacante puede robar hoy datos cifrados y guardarlos hasta que un ordenador cuántico pueda descifrar la información sensible almacenada.

El SPIN señala: “El Gobierno de Canadá, como los gobiernos y organizaciones privadas de todo el mundo, se enfrenta a la amenaza de un futuro ordenador cuántico”, reconociendo el alcance mundial del desafío.

La solución: criptografía poscuántica (PQC)

La respuesta es la criptografía poscuántica (PQC): nuevos algoritmos diseñados para resistir ataques tanto de ordenadores clásicos como cuánticos. El National Institute of Standards and Technology (NIST) y el Canadian Centre for Cyber Security (Cyber Centre) lideran los esfuerzos internacionales para estandarizar estos algoritmos.

El aviso describe la migración de todo el ecosistema digital del gobierno a PQC como un “cambio tecnológico significativo” que requerirá “una planificación y ejecución cuidadosas durante varios años”. También advierte que un retraso podría impedir cumplir los plazos críticos y aumentar el riesgo de exposición de los datos sensibles confiados al Gobierno de Canadá.

Un plan de migración obligatorio por fases

El SPIN establece un plan riguroso de tres fases, con plazos hasta 2035, para coordinar la transición en todo el gobierno federal y asignar responsabilidades.

Fase 1: Preparación (plazo: 1 de abril de 2026)
Los departamentos y Shared Services Canada (SSC) disponen de seis meses para elaborar planes generales de migración, definir funciones y responsabilidades y planificar los recursos financieros. A partir de esta fase, los informes anuales de progreso son obligatorios.

Fase 2: Identificación (plazo: 1 de abril de 2028)
Esta fase de descubrimiento, a menudo la más compleja, exige inventariar todos los sistemas de TI que utilizan criptografía y actualizar los registros del gobierno con información detallada sobre:

• La arquitectura de los sistemas y los algoritmos criptográficos específicos utilizados.
• Los proveedores y el ciclo de vida de los sistemas.
• La prioridad de migración, centrada en sistemas vulnerables a ataques HNDL.

Las herramientas especializadas pueden aportar una ventaja importante. Las herramientas comunitarias gratuitas de Securetron, como PKI Trust Manager (Full CLM), PKI Trust Auditor y PQC TLS Certificate Scanner, pueden automatizar el descubrimiento. Pueden analizar rápidamente redes y sistemas para crear el inventario criptográfico, detectar algoritmos heredados y señalar sistemas prioritarios, en apoyo de los requisitos de las secciones 6.2.3 y 6.2.4.

Fase 3: Transición (plazos: 2026–2035)
En esta fase se implementará PQC. La norma de contratación comienza de inmediato:

• Antes del 1 de abril de 2026: los nuevos contratos de sistemas digitales deben exigir soluciones compatibles con PQC y preparadas para agilidad criptográfica.
• Antes del 1 de abril de 2028: los departamentos y SSC deben iniciar activamente la transición de sus sistemas.
• Para finales de 2031: deben haberse migrado todos los sistemas de alta prioridad.
• Para finales de 2035: debe completarse la migración de todos los sistemas restantes.

Durante la transición, una plataforma como Securetron PKI Trust Manager puede resultar muy útil. Está diseñada para gestionar el ciclo de vida de certificados PQC y ayudar a emitir, desplegar y administrar nuevas identidades criptográficas resistentes a la computación cuántica. Esto respalda el mandato de “agilidad criptográfica” (sección 6.3.1) y ayuda a los departamentos a “comenzar la transición de los sistemas a la criptografía resistente a la computación cuántica” (secciones 6.3.3 y 6.3.5).

Alcance, responsabilidad compartida y consecuencias

La directiva se aplica a los sistemas de información del Gobierno de Canadá que utilicen criptografía, desde servicios y aplicaciones de red hasta dispositivos físicos. Incluye los sistemas que procesan datos clasificados hasta Protected B.

El aviso establece un modelo de “responsabilidad compartida” y destaca el papel de Shared Services Canada (SSC). Como responsable de la infraestructura central de TI, SSC debe elaborar su propio plan de migración y colaborar con los departamentos para gestionar dependencias.

La Secretaría del Consejo del Tesoro de Canadá (TBS) supervisará el cumplimiento. El aviso indica que se consultará a altos funcionarios, como directores de informática y seguridad, si sus departamentos no cumplen los plazos. Podrían aplicarse consecuencias según el Framework for the Management of Compliance del gobierno.

Un referente mundial en preparación cuántica

Con este SPIN, Canadá se posiciona como líder proactivo en la transición mundial hacia un futuro resistente a la computación cuántica. La hoja de ruta obligatoria y escalonada busca mantener durante las próximas décadas la confidencialidad, integridad y disponibilidad de los servicios públicos y de los datos sensibles de la población. Herramientas avanzadas como la suite Securetron para descubrimiento y gestión pueden acelerar esta iniciativa de seguridad nacional y facilitar una migración eficaz.