Post-Quantum Cryptography Migration Readiness in Global Capability Centres: A Governance Framework for Enterprise Transition

Technische Samenvatting: Gereedheid voor de Migratie naar Post-Quantum Cryptografie in Global Capability Centres

Probleemstelling
De finalisering van de NIST Post-Quantum Cryptography (PQC) standaarden (FIPS 203, 204 en 205) heeft een kritieke cryptografische migratie in gang gezet. De adoptie door ondernemingen blijft echter laag, wat een aanzienlijk kwetsbaarheid creëert voor Global Capability Centres (GCC's). GCC's zijn offshore strategische hubs die gevoelige grensoverschrijdende gegevens verwerken over meerdere regelgevende jurisdicties. Zij worden geconfronteerd met een uniek "governance tekort" dat wordt gekenmerkt door:

• Grensoverschrijdende afhankelijkheden: Gegevens die in de ene jurisdictie worden versleuteld en naar een andere worden verzonden.
• Governance-asymmetrie: Migratiestrategieën worden vastgesteld bij het hoofdkantoor, maar worden geïmplementeerd door GCC-teams onder verschillende regelgevende beperkingen.
• Regulatorische duplicatie: Indiase GCC's moeten alleen al navigeren door meer dan 500 afzonderlijke juridische verplichtingen.
• Geconcentreerd risico: Als cybersecurity-leveringshubs (SOC's, Cyber Fusion Centres) brengt een cryptografisch falen in een GCC de wereldwijde beveiligingshouding in gevaar.

Huidige kaders adresseren niet de intersectie van algoritme-prestatieafhankelijkheden, grensoverschrijdende naleving en de afstemming tussen moederbedrijf en dochteronderneming. Bov�elijk impliceert het "Harvest Now, Decrypt Later" (HNDL) dreigingsmodel dat gegevens die onder de huidige standaarden zijn beveiligd, al lopen risico, wat "Mosca's ongelijkheid" schendt (waarbij de tijd om te migreren langer is dan de tijd tot de aanwezigheid van een cryptografisch relevante kwantumcomputer).

Methodologie
De studie maakt gebruik van een kwalitatief literatuuronderzoekontwerp bestaande uit twee primaire componenten:

1. Integratieve Literatuurreview (ILR): Een systematische verzameling en synthese van 72 bronnen (38 peer-reviewed artikelen, 18 standaarden en 16 industrieverslagen) vanaf 2018. Bronnen werden afkomstig uit Scopus, IEEE Xplore, ACM Digital Library, Web of Science, SpringerLink en regelgevende instanties (NIST, NSA, CISA, etc.).
2. Thematische Analyse: Volgens het zesfasenprotocol van Braun en Clarke werden de gegevens gecodeerd in vier domeinen (PQC-migratie-uitdagingen, governance-mechanismen, GCC-kenmerken, prestatieafhankelijkheden) om 147 initiële codes te identificeren. Deze werden gesynthetiseerd in vijf onderscheidende governance-thema's.

De studie vermijdt expliciet empirische veldtesten en vertrouwt in plaats daarvan op de conceptuele integratie van bestaande literatuur om de gefragmenteerde aard van PQC-governance onderzoek aan te pakken.

Belangrijkste Bijdragen
Het artikel breidt het onderzoek naar cybersecurity-governance uit door het narratief van de PQC-migratie te verschuiven van een puur technische transitie naar een enterprise governance-uitdaging. De primaire bijdragen zijn:

1. Identificatie van Vijf Governance-thema's: Afgeleid van de thematische analyse van 72 bronnen.
2. Ontwikkeling van het PQC-GCC Governance Framework (PGGF): Een nieuw 5-laags × 6-fasen model specifiek ontworpen voor gedistribueerde, multi-jurisdictionele GCC-omgevingen.
3. Integratie van Prestatiebewijs: Het framework incorporeert uniek empirische multi-layer prestatiegegevens, waarbij de selectie van algoritmen wordt behandeld als een governance-beslissing met meetbare operationele consequenties.
4. Analytische Evaluatie: Het framework wordt geëvalueerd tegen bestaande modellen, ontwerpprincipes en NIST CSF 2.0 dekking.

Resultaten en Framework Architectuur
De studie synthetiseert de vijf geïdentificeerde thema's in de PGGF, die bestaat uit:

• Vijf Governance-lagen:

  • Laag 1 (Strategische Governance): Richt zich op quantumrisico op bestuursniveau, parent-GCC afstemming en "Time-to-React" KPI's.
  • Laag 2 (Cryptografische Asset Governance): Richt zich op de Cryptographic Bill of Materials (CBOM), Mosca-risicoclassificatie en grensoverschrijdende HNDL-beoordeling.
  • Laag 3 (Technische Migratie Governance): Integreert prestatie-geïnformeerde algoritme-selectie. Cruciaal is dat het benadrukt dat algoritme-rangschikkingen verschuiven over protocollagen (bijv. ML-KEM/ML-DSA presteren sneller op x86 op primitief niveau, maar ARM-architecturen vertonen lagere end-to-end latentie op TLS/VPN-niveau; HQC vertoont tot 100× hogere executietijden).
  • Laag 4 (Compliance Governance): Brengt regelgevende vereisten in kaart over de VS (CNSA 2.0), EU (NIS2/DORA), VK (NCSC) en India (DPDP Act 2023).
  • Laag 5 (Talent Governance): Richt PQC Centres of Excellence (CoE) op, kennisoverdracht en quantum-dreigingscommunicatie.

• Zes Migratiefases:

  1. Initiëren: Executive sponsoring en risicobeoordeling.
  2. Ontdekken: CBOM-creatie en HNDL-evaluatie.
  3. Strategie bepalen: Prestatie-geïnformeerde algoritme-selectie.
  4. Piloot: Multi-layer Proof of Concept (PoC) benchmarking.
  5. Migreren: Gefaseerde uitrol.
  6. Duurzamen: Voortdurende crypto-agility instandhouding.

Evaluatie en Claims van Significantie
Het artikel claimt dat de PGGF het enige framework is dat acht kritieke criteria vervult: PQC-dekking, GCC-specificiteit, multi-jurisdictionele ondersteuning, crypto-agility, volwassenheidsmodellering, prestatiebewustzijn, hardware-bewustzijn en gefaseerde progressie.

• NIST CSF 2.0 Alignement: Het framework biedt volledige dekking van alle NIST CSF 2.0 functies (Govern, Identify, Protect, Detect, Respond, Recover).
• Ontwerpprincipes: Het houdt rekening met zes principes, waaronder gelaagde abstractie, bewijsvoering en contextgevoeligheid.

Centrale Bevinding
De studie concludeert dat governance-gereedheid, in plaats van technische capaciteit, de primaire barrière vormt voor PQC-migratie in gedistribueerde enterprise-omgevingen. De PGGF biedt de noodzakelijke architectuur om de kloof tussen theoretische cryptografische vooruitgang en engineering-haalbaarheid te overbruggen.

Beperkingen en Toekomstig Werk
De auteurs erkennen dat dit een op literatuur gebaseerd framework is, en geen veldstudie. De bevindingen zijn gebaseerd op gepubliceerde bronnen in plaats van interviews of casestudies, en de geografische focus op Indiase GCC's kan de generaliseerbaarheid beperken. Toekomstig werk omvat de evaluatie door expertpanels, pilot-casestudies bij 2–3 GCC's en sector-specifieke aanpassingen voor BFSI en de gezondheidszorg.