Post-Quantum Cryptography Migration Readiness in Global Capability Centres: A Governance Framework for Enterprise Transition

तकनीकी सारांश: ग्लोबल कैपेबिलिटी सेंटर्स (GCCs) में पोस्ट-क्वांटम क्रिप्टोग्राफी माइग्रेशन तत्परता

समस्या विवरण
NIST के पोस्ट-क्वांटम क्रिप्टोग्राफी (PQC) मानकों (FIPS 203, 204, और 205) के अंतिम निर्धारण ने एक महत्वपूर्ण क्रिप्टोग्राफिक माइग्रेशन शुरू कर दिया है। हालांकि, उद्यमों (enterprises) द्वारा इसे अपनाना अभी भी कम है, जो ग्लोबल कैपेबिलिटी सेंटर्स (GCCs) के लिए एक महत्वपूर्ण भेद्यता (vulnerability) पैदा करता है। GCCs वे ऑफशोर रणनीतिक केंद्र हैं जो कई नियामक क्षेत्राधिकारों (regulatory jurisdictions) में संवेदनशील क्रॉस-बॉर्डर डेटा को प्रोसेस करते हैं। वे एक विशिष्ट "गवर्नेंस डेफिसिट" (शासन अंतराल) का सामना कर रहे हैं, जिसकी विशेषता है:

• क्रॉस-बॉर्डर निर्भरताएं: एक क्षेत्राधिकार में एन्क्रिप्ट किया गया डेटा दूसरे क्षेत्राधिकार में प्रेषित किया जाता है।
• गवर्नेंस विषमता (Governance asymmetry): माइग्रेशन रणनीतियां मुख्यालय (headquarters) में निर्धारित की जाती हैं, लेकिन उन्हें विभिन्न नियामक बाधाओं के तहत GCC टीमों द्वारा कार्यान्वित किया जाता है।
• नियामक दोहराव: अकेले भारतीय GCCs को 500 से अधिक विशिष्ट कानूनी दायित्वों को नेविगेट करना पड़ता है।
• केंद्रित जोखिम: साइबर सुरक्षा वितरण केंद्रों (SOCs, साइबर फ्यूजन सेंटर्स) के रूप में, GCC में एक क्रिप्टोग्राफिक विफलता वैश्विक सुरक्षा स्थिति को खतरे में डाल सकती है।

वर्तमान ढांचे एल्गोरि प्रदर्शन निर्भरताओं, क्रॉस-क्षेत्राधिकार अनुपालन और पैरेंट-सब्सिडियरी संरेखण के मिलन बिंदु को संबोधित करने में विफल रहते हैं। इसके अलावा, "हार्वेस्ट नाउ, डिक्रिप्ट लेटर" (HNDL) थ्रेट मॉडल यह संकेत देता है कि वर्तमान मानकों के तहत सुरक्षित डेटा पहले से ही जोखिम में है, जो "मोस्का की असमानता" (जहाँ माइग्रेशन का समय एक क्रिप्टोग्राफिक रूप से प्रासंगिक क्वांटम कंप्यूटर के अस्तित्व तक के समय से अधिक है) का उल्लंघन करता है।

कार्यप्रणाली (Methodology)
यह अध्ययन एक साहित्य-आधारित गुणात्मक अनुसंधान डिजाइन का उपयोग करता है जिसमें दो प्राथमिक घटक शामिल हैं:

1. इंटीग्रेटिव लिटरेचर रिव्यू (ILR): 2018 के बाद से 72 स्रोतों (38 सहकर्मी-समीक्षित लेख, 18 मानक, और 16 उद्योग रिपोर्ट) का एक व्यवस्थित संग्रह और संश्लेषण। स्रोत Scopus, IEEE Xplore, ACM Digital Library, Web of Science, SpringerLink और नियामक निकायों (NIST, NSA, CISA, आदि) से लिए गए थे।
2. थीमैटिक विश्लेषण: ब्रौन और क्लार्क के छह-चरणों वाले प्रोटोकॉल का पालन करते हुए, डेटा को चार डोमेन (PQC माइग्रेशन चुनौतियां, गवर्नेंस तंत्र, GCC विशेषताएं, प्रदर्शन निर्भरताएं) में कोड किया गया ताकि 147 प्रारंभिक कोड प्राप्त किए जा सकें। इन्हें पांच विशिष्ट गवर्नेंस थीम में संश्लेषित किया गया।

यह अध्ययन फील्ड टेस्टिंग के बजाय मौजूदा साहित्य के वैचारिक एकीकरण पर निर्भर करते हुए स्पष्ट रूप से फील्ड-आधारित परीक्षणों से बचता है, ताकि PQC गवर्नेंस अनुसंधान की खंडित प्रकृति को संबोधित किया जा सके।

प्रमुख योगदान
यह शोध PQC माइग्रेशन के नैरेटिव को विशुद्ध तकनीकी संक्रमण से बदलकर एक एंटरप्राइज गवर्नेंस चुनौती में परिवर्तित करके साइबर सुरक्षा गवर्नेंस अनुसंधान को आगे बढ़ाता है। इसके प्राथमिक योगदान हैं:

1. पांच गवर्नेंस थीमों की पहचान: 72 स्रोतों के थीमैटिक विश्लेषण से प्राप्त।
2. PQC-GCC गवर्नेंस फ्रेमवर्क (PGGF) का विकास: विशेष रूप से वितरित, बहु-क्षेत्राधिकार वाले GCC वातावरण के लिए डिज़ाइन किया गया एक अभिनव 5-लेयर × 6-फेज मॉडल।
3. प्रदर्शन साक्ष्य का एकीकरण: यह ढांचा मल्टी-लेयर प्रदर्शन डेटा को एकीकृत करता है, जो एल्गोरि चयन को मापने योग्य परिचालन परिणामों के साथ एक गवर्नेंस निर्णय के रूप में मानता है।
4. विश्लेषणात्मक मूल्यांकन: फ्रेमवर्क का मौजूदा मॉडलों, डिजाइन सिद्धांतों और NIST CSF 2.0 कवरेज के विरुद्ध मूल्यांकन किया गया है।

परिणाम और फ्रेमवर्क आर्किटेक्चर
अध्ययन इन पांच पहचाने गए विषयों को PGGF में संश्लेषित करता है, जिसमें शामिल हैं:

• पांच गवर्नेंस लेयर्स (Layers):

  • लेयर 1 (रणनीतिक गवर्नेंस): बोर्ड-स्तरीय क्वांटम जोखिम, पैरेंट-GCC संरेखण और "टाइम-टू-रिएक्ट" KPIs को संबोधित करता है।
  • लेयर 2 (क्रिप्टोग्राफिक एसेट गवर्नेंस): क्रिप्टोग्राफिक बिल ऑफ मैटेरियल्स (CBOM), मोस्का जोखिम वर्गीकरण और क्रॉस-बॉर्डर HNDL मूल्यांकन पर ध्यान केंद्रित करता है।
  • लेयर 3 (तकनीकी माइग्रेशन गवर्नेंस): प्रदर्शन-सूचित एल्गोरि चयन को एकीकृत करता है। महत्वपूर्ण रूप से, यह रेखांकित करता है कि एल्गोरि रैंकिंग प्रोटोकॉल परतों के across बदल जाती है (उदाहरण के लिए, प्रिमिटिव स्तर पर x86 पर ML-KEM/ML-DSA तेजी से कार्य करते हैं, लेकिन ARM आर्किटेक्चर TLS/VPN स्तरों पर कम एंड-टू-एंड लेटेंसी दिखाते हैं; HQC में 100x तक अधिक निष्पादन समय होता है)।
  • लेयर 4 (अनुपालन गवर्नेंस): US (CNSA 2.0), EU (NIS2/DORA), UK (NCSC), और भारत (DPDP एक्ट 2023) के नियामक आवश्यकताओं को मैप करता है।
  • लेयर 5 (टैलेंट गवर्नेंस): PQC सेंटर्स ऑफ एक्सीलेंस (CoE), ज्ञान हस्तांतरण और क्वांटम थ्रेट संचार स्थापित करता है।

• छह माइग्रेशन चरण (Phases):

  1. इनिशिएट (Initiate): कार्यकारी प्रायोजन और जोखिम मूल्यांकन।
  2. डिस्कवर (Discover): CBOM निर्माण और HNDL मूल्यांकन।
  3. स्ट्रेटेगाइज (Strategize): प्रदर्शन-सूचित एल्गोरि चयन।
  4. पायलट (Pilot): मल्टी-लेयर प्रूफ ऑफ कॉन्सेप्ट (PoC) बेंचमार्किंग।
  5. माइग्रेट (Migrate): चरणबद्ध रोलआउट।
  6. सस्टेन (Sustain): निरंतर क्रिप्टो-एजिलिटी रखरखाव।

मूल्यांकन और महत्व के दावे
पेपर दावा करता है कि PGGF एकमात्र फ्रेमवर्क है जो आठ महत्वपूर्ण मानदंडों को पूरा करता है: PQC कवरेज, GCC विशिष्टता, बहु-क्षेत्राधिकार समर्थन, क्रिप्टो-एजिलिटी, परिपक्वता मॉडलिंग, प्रदर्शन जागरूकता, हार्डवेयर जागरूकता, और चरणबद्ध प्रगति।

• NIST CSF 2.0 संरेखण: फ्रेमवर्क NIST CSF 2.0 के सभी कार्यों (Govern, Identify, Protect, Detect, Respond, Recover) का पूर्ण कवरेज प्रदान करता है।
• डिजाइन सिद्धांत: यह छह सिद्धांतों का पालन करता है जिसमें लेयर्ड एब्स्ट्रैक्शन, साक्ष्य-आधारित आधार, और संदर्भ संवेदनशीलता शामिल हैं।

केंद्रीय निष्कर्ष
अध्ययन निष्कर्ष निकालता है कि गवर्नेंस तत्परता, न कि तकनीकी क्षमता, वितरित एंटरप्राइज वातावरण में PQC माइग्रेशन के लिए प्राथमिक बाधा है। PGGF सैद्धांतिक क्रिप्टोग्राफिक प्रगति और इंजीनियरिंग व्यवहार्यता के बीच के अंतर को पाटने के लिए आवश्यक आर्किटेक्चर प्रदान करता है।

सीमाएं और भविष्य का कार्य
लेखक स्वीकार करते हैं कि यह एक साहित्य-व्युत्पन्न फ्रेमवर्क है, न कि एक फील्ड-आधारित अध्ययन। निष्कर्ष प्रकाशित स्रोतों पर आधारित हैं न कि साक्षात्कार या केस स्टडीज पर, और भारतीय GCCs पर भौगोलिक ध्यान इसकी सामान्यीकरण क्षमता को सीमित कर सकता है। भविष्य के कार्य में विशेषज्ञ पैनल मूल्यांकन, 2-3 GCCs में पायलट केस स्टडीज, और BFSI एवं स्वास्थ्य सेवा (healthcare) के लिए क्षेत्र-विशिष्ट अनुकूलन प्रस्तावित है।