Post-Quantum Cryptography Migration Readiness in Global Capability Centres: A Governance Framework for Enterprise Transition

技术摘要：全球能力中心（GCC）的后量子密码学迁移就绪度

问题陈述
随着 NIST 后量子密码学（PQC）标准（FIPS 203, 204, 205）的最终确定，一场关键的密码学迁移已然开启。然而，企业的采用率仍然较低，这为全球能力中心（GCC）带来了显著的脆弱性。GCC 是处理跨多个监管辖区的敏感跨境数据的离岸战略枢纽。它们面临着独特的“治理赤字”，其特征包括：

• 跨境依赖性： 在一个司法管辖区加密并在另一个司法管辖区传输的数据。
• 治理不对称性： 迁移策略由总部制定，但由处于不同监管约束下的 GCC 团队执行。
• 监管重复性： 仅印度 GCC 就必须应对超过 500 项不同的法律义务。
• 风险集中化： 作为网络安全交付枢纽（SOC、网络融合中心），GCC 的密码学失效将危及全球安全态势。

现有框架未能解决算法性能依赖、跨司法管辖区合规性以及母子公司协同之间的交集。此外，“现在收割，稍后解密”（HNDL）的威胁模型意味着，在当前标准下受保护的数据已经处于风险之中，这违反了“莫斯卡不等式”（即迁移所需时间超过了存在足够强大的量子计算机所需的时间）。

研究方法
本研究采用了基于文献的定性研究设计，由两个主要部分组成：

1. 综合文献综述 (ILR)： 对 2 世纪 18 篇源自 2018 年以后的文献（包括 38 篇同行评审文章、18 项标准和 16 份行业报告）进行系统性收集与合成。数据来源包括 Scopus、IEEE Xplore、ACM Digital Library、Web of Science、SpringerLink 以及监管机构（NIST、NSA、CISA 等）。
2. 主题分析： 遵循 Braun 和 Clarke 的六阶段协议，将数据编码为四个领域（PQC 迁移挑战、治理机制、GCC 特征、性能依赖），并将其合成五个不同的治理主题。

本研究明确避免了实证现场测试，而是依靠对现有文献的概念性整合，以解决 PQC 治理研究碎片化的问题。

核心贡献
本文通过将 PQC 迁移叙事从纯粹的技术转型转向企业治理挑战，推进了网络安全治理研究。其主要贡献包括：

1. 识别出五个治理主题： 源自对 72 份文献的主题分析。
2. 开发了 PQC-GCC 治理框架 (PGGF)： 一个专门为分布式、多司法管辖区 GCC 环境设计的新型 5 层 × 6 阶段模型。
3. 集成性能证据： 该框架独特地结合了经验性的多层性能数据，将算法选择视为具有可衡量运营后果的治理决策。
4. 分析评估： 针对现有模型、设计原则和 NIST CSF 2.0 覆盖范围对该框架进行了评估。

结果与框架架构
本研究将识别出的五个主题合成至 PGGF，该框架包含：

• 五个治理层：

  • 第 1 层（战略治理）： 处理董事会层面的量子风险、母公司-GCC 对齐以及“反应时间”KPI。
  • 第 2 层（密码资产治理）： 侧重于密码学物料清单 (CBOM)、莫斯卡风险分类以及跨国 HNDL 评估。
  • 第 3 层（技术迁移治理）： 集成基于性能的算法选择。至关重要的是，它强调了算法排名在不同协议层之间会发生变化（例如，ML-KEM/ML-DSA 在 x86 原语层级的执行速度更快，但在 ARM 架构下的 TLS/VPN 层级表现出更低的端到端延迟；HQC 的执行时间最高可达 100 倍）。
  • 第 4 层（合规治理）： 映射美国 (CNSA 2.0)、欧盟 (NIS2/DORA)、英国 (NCSC) 和印度 (DPDP Act 2023) 的监管要求。
  • 第 5 层（人才治理）： 建立 PQC 卓越中心 (CoE)、知识转移和量子威胁沟通。

• 六个迁移阶段：

  1. 启动 (Initiate)： 高管赞助与风险评估。
  2. 发现 (Discover)： 创建 CBOM 并进行 HNDL 评估。
  3. 策略 (Strategize)： 基于性能的算法选择。
  4. 试点 (Pilot)： 多层概念验证 (PoC) 基准测试。
  5. 迁移 (Migrate)： 分阶段推广。
  6. 维持 (Sustain)： 持续的密码敏捷性维护。

评估与重要性声明
本文声称 PGGF 是唯一满足八项关键标准的框架：PQC 覆盖、GCC 特殊性、多司法管辖区支持、密码敏捷性、成熟度建模、性能感知、硬件感知以及阶段性进展。

• NIST CSF 2.0 对齐： 该框架完整覆盖了所有 NIST CSF 2.0 功能（治理、识别、保护、检测、响应、恢复）。
• 设计原则： 它遵循六项原则，包括分层抽象、证据支撑和上下文敏感性。

核心结论
研究得出结论，治理就绪度而非技术能力，构成了分布式企业环境中 PQC 迁移的主要障碍。PGGF 为弥合理论密码学进展与工程可行性之间的鸿沟提供了必要的架构。

局限性与未来工作
作者承认这是一个基于文献的框架，而非基于实地的研究。研究结果是基于已发表的资料而非访谈或案例研究，且由于地理重点在于印度 GCC，可能会限制其普适性。未来的工作建议包括专家小组评估、在 2-3 个 GCC 中的试点案例研究，以及针对金融保险业 (BFSI) 和医疗保健行业的特定领域适配。