Post-Quantum Discovery as a Governance Capability: Evidence-Based Cryptographic Visibility and Exposure Prioritisation in a Critical Service Provider

Sintesi Tecnica: La Scoperta Post-Quantistica come Capacità di Governance

Dichiarazione del Problema
La transizione verso la Crittografia Post-Quantistica (PQC) è frequentemente ostacolata non dalla disponibilità di algoritmi, ma dalla mancanza di visibilità crittografica, da una proprietà frammentata e da una conoscenza incompleta del dispiegamento crittografico all'interno di grandi organizzazioni regolamentate. Sebbene gli sforzi di standardizzazione (ad esempio NIST, IETF) forniscano i primitivi necessari, le organizzazioni faticano a pianificare le migrazioni perché non riescono a inventariare in modo affidabile gli asset crittografici attraverso infrastrutture eterogenee. Questo deficit di conoscenza è critico nell'ambito dei modelli di minaccia "Raccogli-Ora, Decifra-Dopo" (HNDL), in cui gli avversari catturano dati cifrati oggi per decifrarli non appena diventeranno disponibili computer quantistici rilevanti dal punto di vista crittografico (CRQC). Senza una chiara baseline di cosa è cifrato, dove risiede, chi prende le decisioni e per quanto tempo i dati devono rimanere confidenziali, la pianificazione della migrazione rimane speculativa e operativamente non fattibile.

Metodologia: La Scoperta come Capacità di Governance
Il documento propone una strategia "scoperta-prima", ridefinendo la scoperta crittografica non semplicemente come un esercizio di inventario tecnico, ma come una capacità di governance epistemica. Questa capacità stabilizza la conoscenza organizzativa, rende esplicita l'incertezza e converte l'esposizione crittografica in responsabilità misurabile e verificabile.

La metodologia viene operazionalizzata attraverso una pipeline strutturata che porta alla creazione di un Registro dell'Esposizione Quantistica (QER):

1. Scoperta a Doppio Livello:

   • Analisi Statica: Scansiona codice sorgente, configurazioni e librerie per identificare chiavi hardcoded, algoritmi deprecati e utilizzo di librerie (ad esempio OpenSSL, Bouncy Castle).
   • Telemetria Dinamica: Esamina il comportamento a runtime tramite handshake TLS, analisi dei certificati e traffico di rete per catturare gli stati operativi crittografici effettivi, riducendo i falsi negativi riscontrati negli approcci basati solo sull'analisi statica.
   • Mappatura delle Dipendenze: Estende la scoperta alle API, ai servizi di terze parti e ai sistemi gestiti dai fornitori per identificare i meccanismi crittografici ereditati.

2. Arricchimento delle Prove:
   I segnali tecnici grezzi vengono trasformati in dati di livello governativo arricchendo i record degli asset con:

   • Orizzonte di Riservatezza ($T_{shelf}$): Derivato dalla classificazione dei dati e dalle politiche di conservazione.
   • Durata della Migrazione ($T_{migration}$): Stimata in base alla complessità del sistema e alle finestre di cambiamento.
   • Affidabilità delle Prove: Un meccanismo di punteggio (Alto/Medio/Basso) che riflette la qualità dei dati di scoperta.
   • Proprietà (RACI): Mappatura delle parti interessate aziendali e tecniche responsabili.

3. Valutazione Temporale dell'Esposizione:
   Il nucleo della metodologia applica una regola di esposizione basata sul tempo (un'istanza operativa della disuguaglianza di Mosca) per determinare se un asset è "esposto temporalmente":
   $$T_{shelf}(A_i) + T_{migration}(A_i) > T_{threat}$$
   Dove $T_{threat}$ è la timeline assunta per la rilevanza dei CRQC. Gli asset in cui la somma della durata di riservatezza richiesta e del tempo di migrazione supera l'orizzonte della minaccia vengono segnalati come esposti.

4. Prioritizzazione tramite Modello di Punteggio:
   Viene calcolato un punteggio di priorità quantitativo utilizzando una somma ponderata di tre componenti:

   • Punteggio di Criticità (peso 0.4): Basato sull'impatto aziendale (Riservatezza, Integrità, Disponibilità).
   • Punteggio di Esposizione Temporale (peso 0.4): Basato sullo stato di esposizione HNDL (Sì/Al Confine/No).
   • Penalità per Affidabilità delle Prove (peso 0.2): Penalità più elevate per dati a bassa affidabilità per riflettere l'incertezza.
     Questi punteggi mappano gli asset su ondate di migrazione (Ondata 1–4), consentendo una sequenzializzazione basata sul rischio.

Contributi Chiave

1. Quadro di Capacità di Governance: Il documento posiziona la scoperta PQC come una capacità di governance ripetibile e verificabile che stabilizza la conoscenza organizzativa, piuttosto che come un compito tecnico una tantum.
2. Registro Strutturato dell'Esposizione (QER): Introduzione di un modello che consente la prioritizzazione basata sul rischio attraverso molteplici dimensioni, tenendo esplicitamente conto dei sistemi con lunghi cicli di vita operativi in cui integrità e autenticazione (piuttosto che solo la riservatezza) sono i driver principali.
3. Caso di Studio Empirico: Presentazione di dati provenienti da un grande fornitore di servizi critici europeo (Organizzazione A) che dimostra come la frammentazione della proprietà, la variabilità della qualità delle prove e le catene di dipendenza dai fornitori siano le principali barriere strutturali alla migrazione PQC.

Risultati e Riscontri del Caso di Studio
Il caso di studio anonimizzato dell'Organizzazione A (un fornitore di servizi critici nei settori postale, identità e finanziario) ha prodotto le seguenti osservazioni empiriche:

• Scala della Scoperta: In oltre 14 mesi, l'organizzazione ha scansionato 148 ambienti, 24.350 endpoint e catalogato 87.200 certificati. La baseline ha rivelato una dipendenza del 68% da RSA (per lo più legacy) e del 32% da ECC.
• Frammentazione della Proprietà: Circa il 40% degli asset crittografici non aveva un custode operativo chiaramente definito, creando blocchi amministrativi per le decisioni di migrazione.
• Varianza delle Prove: I carichi di lavoro moderni fornivano telemetria ricca, mentre i sistemi legacy producevano prove parziali. L'introduzione di un punteggio di affidabilità delle prove ha prevenuto un'allocazione errata del budget verso falsi positivi e ha evidenziato i rischi nei sistemi a bassa visibilità.
• Dipendenza dai Fornitori: I servizi ad alta criticità ereditavano spesso la crittografia da fornitori SaaS o librerie di pagamento, rendendo la fattibilità della migrazione dipendente dalle roadmap dei fornitori piuttosto che dalla velocità dell'ingegneria interna.
• Prioritizzazione HNDL: L'incrocio dell'inventario con gli obblighi di conservazione ha identificato un piccolo sottoinsieme (meno del 3% del portafoglio, 12 servizi critici) come esposto temporalmente. Questi asset, contenenti dati a lunga vita (10–15+ anni), sono stati prioritizzati per una transizione immediata (Ondata 1).

Significato e Affermazioni
Il documento sostiene che la prontezza PQC è fondamentalmente una sfida di governance. Afferma che senza la "stabilizzazione epistemica" fornita dalla scoperta strutturata, la pianificazione della migrazione è intrinsecamente speculativa. Il significato del lavoro risiede nel dimostrare che:

• La Scoperta è una Precondizione: Non è un sovraccarico preparatorio, ma una precondizione necessaria per rendere la migrazione PQC fattibile e governabile.
• Governance Azionabile: Il QER trasforma il rischio quantistico astratto in un registro concreto e verificabile a livello di asset che supporta il processo decisionale esecutivo e il coordinamento dell'ecosistema.
• Crypto-Agilità: Stabilizzando la conoscenza sul dispiegamento crittografico e sulle dipendenze, le organizzazioni possono passare da esercizi di migrazione una tantum a processi di controllo continui, supportando una vera crypto-agilità in modelli di minaccia in evoluzione.

Gli autori mantengono una posizione modesta, riconoscendo che i risultati sono derivati da una singola entità regolamentata europea e che i dettagli specifici dell'implementazione possono variare in base alla struttura organizzativa e al patrimonio tecnologico. Sottolineano che la metodologia è neutrale rispetto ai fornitori di strumenti e si concentra su classi di capacità piuttosto che su prodotti commerciali specifici.