Post-Quantum Cryptography Migration Readiness in Global Capability Centres: A Governance Framework for Enterprise Transition

Sintesi Tecnica: Prontezza alla Migrazione della Crittografia Post-Quantistica nei Global Capability Centre

Definizione del Problema
La finalizzazione degli standard per la Crittografia Post-Quantistica (PQC) di NIST (FIPS 203, 204 e 205) ha dato il via a una migrazione crittografica critica. Tuttavia, l'adozione da parte delle imprese rimane bassa, creando una vulnerabilità significativa per i Global Capability Centre (GCC). I GCC sono hub strategici offshore che elaborano dati sensibili transfrontalieri attraverso molteplici giurisdizioni normative. Essi affrontano un unico "deficit di governance" caratterizzato da:

• Dipendenze transfrontaliere: Dati criptati in una giurisdizione e trasmessi in un'altra.
• Asimmetria di governance: Le strategie di migrazione sono stabilite nelle sedi centrali ma implementate dai team dei GCC sotto diversi vincoli normativi.
• Duplicazione normativa: I GCC indiani, da soli, devono gestire oltre 500 obblighi legali distinti.
• Rischio concentrato: In quanto hub di delivery della cybersecurity (SOC, Fusion Centre di Cyber), un fallimento crittografico in un GCC compromette la postura di sicurezza globale.

Gli attuali framework non riescono ad affrontare l'intersezione tra le dipendenze dalle prestazioni degli algoritmi, la conformità transfrontaliera e l'allineamento casa madre-filiale. Inoltre, il modello di minaccia "Harvest Now, Decrypt Later" (HNDL - Raccolta ora, decriptazione dopo) implica che i dati protetti con gli standard attuali sono già a rischio, violando la "disuguaglianza di Mosca" (dove il tempo necessario per la migrazione supera il tempo fino all'esistenza di un computer quantistico crittograficamente rilevante).

Metodologia
Lo studio impiega un disegno di ricerca qualitativa basato sulla letteratura composto da due componenti primarie:

1. Revisione Integrativa della Letteratura (ILR): Una raccolta e sintesi sistematica di 72 fonti (38 articoli peer-reviewed, 18 standard e 16 rapporti industriali) dal 2018 in poi. Le fonti sono state estratte da Scopus, IEEE Xplore, ACM Digital Library, Web of Science, SpringerLink e organismi di regolamentazione (NIST, NSA, CISA, ecc.).
2. Analisi Tematica: Seguendo il protocollo a sei fasi di Braun e Clarke, i dati sono stati codificati in quattro domini (sfide di migrazione PQC, meccanismi di governance, caratteristiche dei GCC, dipendenze dalle prestazioni) per identificare 147 codici iniziali. Questi sono stati sintetizzati in cinque distinti temi di governance.

Lo studio evita esplicitamente i test empirici sul campo, basandosi invece sull'integrazione concettuale della letteratura esistente per affrontare la natura frammentata della ricerca sulla governance PQC.

Contributi Chiave
Il documento fa avanzare la ricerca sulla governance della cybersecurity spostando la narrazione della migrazione PQC da una pura transizione tecnica a una sfida di governance aziendale. I suoi contributi primari includono:

1. Identificazione di Cinque Temi di Governance: Derivati dall'analisi tematica di 72 fonti.
2. Sviluppo del Framework di Governance PQC-GCC (PGGF): Un nuovo modello a 5 livelli × 6 fasi progettato specificamente per ambienti GCC distribuiti e multi-giurisdizionali.
3. Integrazione delle Evidenze sulle Prestazioni: Il framework incorpora in modo unico dati empirici sulle prestazioni multi-livello, trattando la selezione dell'algoritmo come una decisione di governance con conseguenze operative misurabili.
4. Valutazione Analitica: Il framework è valutato rispetto ai modelli esistenti, ai principi di progettazione e alla copertura NIST CSF 2.0.

Risultati e Architettura del Framework
Lo studio sintetizza i cinque temi identificati nel PGGF, che consiste in:

• Cinque Livelli di Governance:

  • Livello 1 (Governance Strategica): Affronta il rischio quantistico a livello di board, l'allineamento casa madre-GCC e i KPI di "Tempo di Reazione".
  • Livello 2 (Governance degli Asset Crittografici): Si concentra sulla Cryptographic Bill of Materials (CBOM), la classificazione del rischio di Mosca e la valutazione HNDL transfrontaliera.
  • Livello 3 (Governance della Migrazione Tecnica): Integra la selezione degli algoritmi basata sulle prestazioni. Fondamentalmente, evidenzia che le classificazioni degli algoritmi cambiano tra i livelli di protocollo (ad esempio, ML-KEM/ML-DSA sono più veloci su x86 a livello di primitiva, ma le architetture ARM mostrano una latenza end-to-end inferiore a livelli TLS/VPN; HQC presenta tempi di esecuzione fino a 100 volte superiori).
  • Livello 4 (Governance della Conformità): Mappa i requisiti normativi tra USA (CNSA 2.0), UE (NIS2/DORA), Regno Unito (NCSC) e India (DPDP Act 2023).
  • Livello 5 (Governance del Talento): Stabilisce Centri di Eccellenza (CoE) PQC, trasferimento di conoscenze e comunicazione della minaccia quantistica.

• Sei Fasi di Migrazione:

  1. Iniziazione: Sponsorizzazione esecutiva e valutazione del rischio.
  2. Scoperta: Creazione della CBOM e valutazione HNDL.
  3. Strategia: Selezione degli algoritmi basata sulle prestazioni.
  4. Pilota: Benchmarking di Proof of Concept (PoC) multi-livello.
  5. Migrazione: Rollout a fasi.
  6. Sostenibilità: Manutenzione continua dell'agilità crittografica.

Valutazione e Rivendicazioni di Significatività
Il documento sostiene che il PGGF è l'unico framework che soddisfa otto criteri critici: copertura PQC, specificità per i GCC, supporto multi-giurisdizionale, agilità crittografica, modellazione della maturità, consapevolezza delle prestazioni, consapevolezza dell'hardware e progressione a fasi.

• Allineamento NIST CSF 2.0: Il framework fornisce una copertura completa di tutte le funzioni NIST CSF 2.0 (Govern, Identify, Protect, Detect, Respond, Recover).
• Principi di Progettazione: Rispetta sei principi, tra cui l'astrazione a strati, la base empirica e la sensibilità al contesto.

Risultato Centrale
Lo studio conclude che la prontezza della governance, piuttosto che la capacità tecnica, costituisce la barriera primaria alla migrazione PQC in ambienti aziendali distribuiti. Il PGGF fornisce l'architettura necessaria per colmare il divario tra i progressi crittografici teorici e la fattibilità ingegneristica.

Limitazioni e Lavori Futuri
Gli autori riconoscono che si tratta di un framework derivato dalla letteratura, non di uno studio basato sul campo. I risultati si basano su fonti pubblicate piuttosto che su interviste o casi studio, e il focus geografico sui GCC indiani può limitarne la generalizzabilità. Per il lavoro futuro si propone l'inclusione di valutazioni di panel di esperti, casi studio pilota in 2-3 GCC e adattamenti specifici per i settori BFSI (Banking, Financial Services and Insurance) e sanitario.