Post-Quantum Discovery as a Governance Capability: Evidence-Based Cryptographic Visibility and Exposure Prioritisation in a Critical Service Provider

Résumé Technique : La Découverte Post-Quantique en tant que Capacité de Gouvernance

Énoncé du Problème
La transition vers la Cryptographie Post-Quantique (PQC) est fréquemment entravée non pas par la disponibilité des algorithmes, mais par un manque de visibilité cryptographique, une propriété fragmentée et une connaissance incomplète du déploiement cryptographique au sein des grandes organisations régulées. Bien que les efforts de normalisation (par exemple, NIST, IETF) fournissent les primitives nécessaires, les organisations peinent à planifier les migrations car elles ne peuvent pas inventorier de manière fiable les actifs cryptographiques à travers des infrastructures hétérogènes. Ce déficit de connaissances est critique dans le cadre des modèles de menace « Récolter Maintenant, Décrypter Plus Tard » (HNDL), où des adversaires capturent des données chiffrées aujourd'hui pour les décrypter une fois que des ordinateurs quantiques cryptographiquement pertinents (CRQC) seront disponibles. Sans une base de référence claire sur ce qui est chiffré, où il réside, qui détient les décisions et combien de temps les données doivent rester confidentielles, la planification de la migration reste spéculative et opérationnellement irréalisable.

Méthodologie : La Découverte en tant que Capacité de Gouvernance
L'article propose une stratégie « découverte d'abord », repositionnant la découverte cryptographique non pas simplement comme un exercice d'inventaire technique, mais comme une capacité de gouvernance épistémique. Cette capacité stabilise la connaissance organisationnelle, rend l'incertitude explicite et convertit l'exposition cryptographique en une responsabilité mesurable et auditable.

La méthodologie est opérationnalisée via un pipeline structuré menant à un Registre d'Exposition Quantique (QER) :

1. Découverte à Double Couche :

   • Analyse Statique : Analyse le code source, les configurations et les bibliothèques pour identifier les clés codées en dur, les algorithmes obsolètes et l'utilisation de bibliothèques (par exemple, OpenSSL, Bouncy Castle).
   • Télémétrie Dynamique : Examine le comportement d'exécution via les poignées de main TLS, l'analyse des certificats et le trafic réseau pour capturer les états cryptographiques opérationnels réels, réduisant ainsi les faux négatifs trouvés dans les approches purement statiques.
   • Cartographie des Dépendances : Étend la découverte aux API, aux services tiers et aux systèmes gérés par des fournisseurs pour identifier les mécanismes cryptographiques hérités.

2. Enrichissement des Preuves :
   Les signaux techniques bruts sont transformés en données de niveau gouvernance en enrichissant les enregistrements d'actifs avec :

   • Horizon de Confidentialité ($T_{shelf}$) : Déduit de la classification des données et des politiques de conservation.
   • Durée de Migration ($T_{migration}$) : Estimée en fonction de la complexité du système et des fenêtres de changement.
   • Confiance des Preuves : Un mécanisme de notation (Élevée/Moyenne/Faible) reflétant la qualité des données de découverte.
   • Propriété (RACI) : Cartographie des parties prenantes métier et techniques responsables.

3. Évaluation Temporelle de l'Exposition :
   Le cœur de la méthodologie applique une règle d'exposition basée sur le temps (une instantiation opérationnelle de l'inégalité de Mosca) pour déterminer si un actif est « exposé dans le temps » :
   $$T_{shelf}(A_i) + T_{migration}(A_i) > T_{threat}$$
   Où $T_{threat}$ est l'échéance supposée de la pertinence des CRQC. Les actifs dont la somme de la durée de confidentialité requise et du temps de migration dépasse l'horizon de la menace sont signalés comme exposés.

4. Priorisation via un Modèle de Notation :
   Un score de priorité quantitatif est calculé en utilisant une somme pondérée de trois composantes :

   • Score de Criticité (poids 0,4) : Basé sur l'impact métier (Confidentialité, Intégrité, Disponibilité).
   • Score d'Exposition Temporelle (poids 0,4) : Basé sur le statut d'exposition HNDL (Oui/Limitrophe/Non).
   • Pénalité de Confiance des Preuves (poids 0,2) : Des pénalités plus élevées pour les données de faible confiance afin de refléter l'incertitude.
     Ces scores affectent les actifs à des vagues de migration (Vague 1 à 4), permettant un séquençage basé sur les risques.

Contributions Clés

1. Cadre de Capacité de Gouvernance : L'article positionne la découverte PQC comme une capacité de gouvernance répétable et auditable qui stabilise la connaissance organisationnelle, plutôt que comme une tâche technique ponctuelle.
2. Registre d'Exposition Structuré (QER) : Introduction d'un modèle permettant une priorisation basée sur les risques à travers plusieurs dimensions, tenant explicitement compte des systèmes aux cycles de vie opérationnels longs où l'intégrité et l'authentification (plutôt que la seule confidentialité) sont les principaux moteurs.
3. Étude de Cas Empirique : Présentation de données provenant d'un grand fournisseur de services critiques européen (Organisation A) démontrant que la fragmentation de la propriété, la qualité variable des preuves et les chaînes de dépendance fournisseurs sont les principaux obstacles structurels à la migration PQC.

Résultats et Constatations de l'Étude de Cas
L'étude de cas anonymisée de l'Organisation A (un fournisseur de services critiques dans les secteurs postal, de l'identité et financier) a produit les observations empiriques suivantes :

• Échelle de la Découverte : Sur 14 mois, l'organisation a analysé 148 environnements, 24 350 terminaux et catalogué 87 200 certificats. La base de référence a révélé une dépendance de 68 % à RSA (principalement héritée) et de 32 % à ECC.
• Fragmentation de la Propriété : Environ 40 % des actifs cryptographiques ne disposaient pas d'un gardien opérationnel clairement défini, créant des impasses administratives pour les décisions de migration.
• Variation des Preuves : Les charges de travail modernes fournissaient une télémétrie riche, tandis que les systèmes hérités ne produisaient que des preuves partielles. L'introduction d'un score de confiance des preuves a empêché une mauvaise allocation budgétaire vers des faux positifs et a mis en évidence les risques dans les systèmes à faible visibilité.
• Dépendance aux Fournisseurs : Les services à haute criticité héritaient souvent de la cryptographie de fournisseurs SaaS ou de bibliothèques de paiement, rendant la faisabilité de la migration dépendante des feuilles de route des fournisseurs plutôt que de la vitesse d'ingénierie interne.
• Priorisation HNDL : La recoupe de l'inventaire avec les obligations de conservation a identifié un petit sous-ensemble (moins de 3 % du portefeuille, 12 services critiques) comme étant exposé dans le temps. Ces actifs, contenant des données à longue durée de vie (10 à 15 ans et plus), ont été prioritaires pour une transition immédiate (Vague 1).

Signification et Revendications
L'article soutient que la préparation à la PQC est fondamentalement un défi de gouvernance. Il affirme que sans la « stabilisation épistémique » fournie par une découverte structurée, la planification de la migration est intrinsèquement spéculative. La signification du travail réside dans la démonstration que :

• La Découverte est une Condition Préalable : Elle n'est pas une surcharge préparatoire mais une condition nécessaire pour rendre la migration PQC réalisable et gouvernable.
• Gouvernance Actionnable : Le QER transforme le risque quantique abstrait en un registre concret et auditable au niveau des actifs, soutenant la prise de décision exécutive et la coordination de l'écosystème.
• Agilité Cryptographique : En stabilisant la connaissance du déploiement cryptographique et des dépendances, les organisations peuvent passer d'exercices de migration ponctuels à des processus de contrôle continus, soutenant une véritable agilité cryptographique face à des modèles de menace évolutifs.

Les auteurs adoptent une position modeste, reconnaissant que les résultats sont dérivés d'une seule entité européenne régulée et que les détails d'implémentation spécifiques peuvent varier en fonction de la structure organisationnelle et du parc technologique. Ils soulignent que la méthodologie est neutre vis-à-vis des fournisseurs d'outils et se concentre sur des classes de capacités plutôt que sur des produits commerciaux spécifiques.