Post-Quantum Cryptography Migration Readiness in Global Capability Centres: A Governance Framework for Enterprise Transition

Resumen Técnico: Preparación para la Migración a la Criptografía Post-Cuántica en los Centros de Capacidades Globales (GCC)

Planteamiento del Problema
La finalización de los estándares de Criptografía Post-Cuántica (PQC) de NIST (FIPS 203, 204 y 205) ha iniciado una migración criptográfica crítica. Sin embargo, la adopción empresarial sigue siendo baja, lo que crea una vulnerabilidad significativa para los Centros de Capacidades Globales (GCC). Los GCC son centros estratégicos en el extranjero que procesan datos sensibles transfronterizos a través de múltiples jurisdicciones regulatorias. Se enfrentan a un "déficit de gobernanza" único caracterizado por:

• Dependencias transfronterizas: Datos cifrados en una jurisdicción y transmitidos a otra.
• Asimetría de gobernanza: Las estrategias de migración se definen en la sede central pero son implementadas por equipos de los GCC bajo diferentes restricciones regulatorias.
• Duplicación regulatoria: Solo los GCC en la India deben navegar por más de 500 obligaciones legales distintas.
• Riesgo concentrado: Como centros de entrega de ciberseguridad (SOC, Centros de Fusión Cibernética), un fallo criptográfico en un GCC compromete las posturas de seguridad globales.

Los marcos actuales no abordan la intersección entre las dependencias de rendimiento de los algoritmos, el cumplimiento transfronterizo y la alineación entre la matriz y la subsidiaria. Además, el modelo de amenaza de "Recolectar Ahora, Descifrar Después" (HNDL, por sus siglas en inglés) implica que los datos asegurados bajo los estándares actuales ya están en riesgo, violando la "desigualdad de Mosca" (donde el tiempo para migrar excede el tiempo hasta que exista un computador cuántico criptográficamente relevante).

Metodología
El estudio emplea un diseño de investigación cualitativa basada en la literatura que consta de dos componentes primarios:

1. Revisión Integrativa de la Literatura (ILR): Una colección y síntesis sistemática de 72 fuentes (38 artículos revisados por pares, 18 estándares y 16 informes de la industria) desde 2018 en adelante. Las fuentes se extrajeron de Scopus, IEEE Xplore, ACM Digital Library, Web of Science, SpringerLink y organismos reguladores (NIST, NSA, CISA, etc.).
2. Análisis Temático: Siguiendo el protocolo de seis fases de Braun y Clarke, los datos se codificaron en cuatro dominios (desafíos de migración PQC, mecanismos de gobernanza, características de los GCC, dependencias de rendimiento) para identificar 147 códigos iniciales. Estos se sintetizaron en cinco temas de gobernanza distintos.

El estudio evita explícitamente las pruebas de campo empíricas, basándose en la integración conceptual de la literatura existente para abordar la naturaleza fragmentada de la investigación de gobernanza de PQC.

Contribuciones Clave
El artículo hace avanzar la investigación de la gobernanza de la ciberseguridad al desplazar la narrativa de la migración PQC de una transición puramente técnica a un desafío de gobernanza empresarial. Sus principales contribuciones incluyen:

1. Identificación de Cinco Temas de Gobernanza: Derivados del análisis temático de 72 fuentes.
2. Desarrollo del Marco de Gobernanza PQC-GCC (PGGF): Un nuevo modelo de 5 capas × 6 fases diseñado específicamente para entornos de GCC distribuidos y multijurisdiccionales.
3. Integración de Evidencia de Rendimiento: El marco incorpora de manera única datos de rendimiento multicapa, tratando la selección de algoritmos como una decisión de gobernanza con consecuencias operativas medibles.
4. Evaluación Analítica: El marco se evalúa frente a modelos existentes, principios de diseño y la cobertura del NIST CSF 2.0.

Resultados y Arquitectura del Marco
El estudio sintetiza los cinco temas identificados en el PGGF, el cual consta de:

• Cinco Capas de Gobernanza:

  • Capa 1 (Gobernanza Estratégica): Aborda el riesgo cuántico a nivel de junta directiva, la alineación matriz-GCC y los KPIs de "Tiempo de Reacción".
  • Capa 2 (Gobernanza de Activos Criptográficos): Se enfoca en la Lista de Materiales Criptográficos (CBOM), la clasificación de riesgo de Mosca y la evaluación transfronteriza de HNDL.
  • Capa 3 (Gobernanza de Migración Técnica): Integra la selección de algoritmos informada por el rendimiento. Crucialmente, destaca que las clasificaciones de los algoritmos cambian a través de las capas de protocolo (por ejemplo, ML-KEM/ML-DSA funcionan más rápido en x86 a nivel de primitiva, pero las arquitecturas ARM muestran menor latencia de extremo a extremo en niveles de TLS/VPN; HQC exhibe tiempos de ejecución hasta 100 veces mayores).
  • Capa 4 (Gobernanza de Cumplimiento): Mapea los requisitos regulatorios en EE. UU. (CNSA 2.0), la UE (NIS2/DORA), el Reino Unido (NCSC) e India (Ley DPDP 2023).
  • Capa 5 (Gobernanza de Talento): Establece Centros de Excelencia (CoE) de PQC, transferencia de conocimiento y comunicación de amenazas cuánticas.

• Seis Fases de Migración:

  1. Iniciar: Patrocinio ejecutivo y evaluación de riesgos.
  2. Descubrir: Creación de CBOM y evaluación de HNDL.
  3. Estrategia: Selección de algoritmos informada por el rendimiento.
  4. Piloto: Benchmarking de Prueba de Concepto (PoC) multicapa.
  5. Migrar: Despliegue gradual.
  6. Sostener: Mantenimiento continuo de la agilidad criptográfica.

Evaluación y Reivindicaciones de Significancia
El artículo afirma que el PGGF es el único marco que satisface ocho criterios críticos: cobertura PQC, especificidad de GCC, soporte multijurisdiccional, agilidad criptográfica, modelado de madurez, conciencia de rendimiento, conciencia de hardware y progresión por fases.

• Alineación con NIST CSF 2.0: El marco proporciona cobertura completa de todas las funciones de NIST CSF 2.0 (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar).
• Principios de Diseño: Adhiere a seis principios que incluyen abstracción por capas, fundamentación en evidencia y sensibilidad al contexto.

Hallazgo Central
El estudio concluye que la preparación de la gobernanza, más que la capacidad técnica, constituye la principal barrera para la migración a PQC en entornos empresariales distribuidos. El PGGF proporciona la arquitectura necesaria para cerrar la brecha entre los avances criptográficos teóricos y la viabilidad de la ingeniería.

Limitaciones y Trabajo Futuro
Los autores reconocen que este es un marco derivado de la literatura, no un estudio de campo. Los hallazgos se basan en fuentes publicadas en lugar de entrevistas o estudios de caso, y el enfoque geográfico en los GCC de la India puede limitar la generalizabilidad. Se propone como trabajo futuro la evaluación mediante paneles de expertos, estudios de caso piloto en 2–3 GCC y adaptaciones sectoriales para BFSI (Banca, Servicios Financieros y Seguros) y salud.