Basın Bülteni- Kuantum sonrası kriptografi iş dünyası için şimdiden risk oluşturuyor
Kuantum teknolojilerine karşı güvenli bir geleceğe hazırlanmak teorik çalışmaların
ötesine geçip, kurumların bugünden ele alması gereken bir altyapı planlama meselesine
dönüştü.
Yazar: HPE Labs Kıdemli Başkan Yardımcısı, CTO Yardımcısı ve Direktörü Andrew Wheeler
Kuantum sonrası kriptografi geleceğe yönelik bir endişe olmaktan çıkıp iş planlamasında
öncelikli bir konu haline geliyor.
Kuantum teknolojilerine karşı güvenli bir geleceğe hazırlanmak, altyapı genelinde
modernizasyon ve yönetişim gerektiriyor.
HPE, müşterilerinin dijital güveni korumalarına ve geleceğe hazırlanmalarına yardımcı
olmak için altyapının tamamına yönelik kuantum teknolojilerine karşı güvenli
özellikler geliştiriyor.
Kriptografik çevikliği bugünden sağlamak, dijital güvenin korunmasına ve uzun
vadeli risklerin azaltılmasına yardımcı olacaktır.
Kuantum Sonrası Kriptografi Planlama Aşamasına Girdi
Çoğu kurum, kuantum sonrası kriptografiyi değerlendirmek için hala zamanları olduğunu
düşünüyor. Oysa asıl risk mevcut şifreleme yöntemlerini kırabilecek bir kuantum
bilgisayarın ne zaman ortaya çıkacağını tahmin edememek değil. Asıl risk,
kurumun hazırlanmak için yeterli zamana sahip olup olmadığını bilmemek. Kuantum
teknolojilerinin gelişimine dair takvim belirsizliğini korusa da, kurumsal ortamlardaki
kriptografik altyapının modernizasyonu ciddi bir çalışma gerektiriyor.
Kriptografi güvenli iletişimden yazılım bütünlüğüne, cihaz kimliğinden mevzuata
uyuma kadar her şeyin temelini oluşturduğu için bu konudaki planları ertelememek
gerekiyor.
Birçok kurumun bu konuda planlamaya şimdiden başlamasının dört nedeni var.
Birincisi, şimdi topla, sonra şifresini çöz riski. Saldırganlar bugün şifrelenmiş
verileri ele geçirip kuantum teknolojileri olgunlaştığında bunların şifresini
çözebilir. Bu durum, uzun süre gizli kalması gereken bilgileri kuantum bilgisayarların
mevcut şifreleme yöntemlerini kırabilecek düzeye ulaşacağı Q Günü
gelmeden önce riske atıyor.
İkincisi, NIST 2024 yılında ilk kapsamlı kuantum sonrası kriptografi standartlarını
yayımlayarak kurumlara planlama için uygulanabilir bir temel sundu.
Üçüncüsü, kamu kurumları ve düzenlemelere tabi sektörler için rehberler yayınlanmaya
başlandı. Bu kurumlar üzerinde riskleri anlama, hazırlık düzeylerini kanıtlama
ve satın alma kararlarını yeni gerekliliklerle uyumlu hale getirme baskısını
artırıyor.
Dördüncüsü, kriptografi sertifikalardan kod imzalamaya, cihaz kimliğinden ağlara,
uygulamalara ve üçüncü taraf sistemlere kadar kurumsal ortamların tamamına
yerleşmiş durumda. Bu nedenle geçiş yıllar sürecek.
Yıllara Yayılan Geçiş Süreci
HPE, kuantum sonrası kriptografiye hazırlığı yalnızca tek bir güvenlik güncellemesi
olarak değil, kapsamlı bir altyapı dönüşümü olarak görüyor. Başarı için kriptografinin
nerelerde kullanıldığının belirlenmesi, modernizasyonda risk temelli
bir yaklaşımın benimsenmesi, standartların ve gerekliliklerin gelişmesiyle bunlara
uyum sağlayacak esnekliğin oluşturulması gerekiyor. Burada izlenecek en güvenli
yol aşamalı, standartlarla uyumlu ve kriptografik açıdan çevik bir yaklaşım
benimsemekten geçiyor. Bunun için güvenlik açığı taşıyan algoritmaların nerelerde
kullanıldığı tespit edilmeli, uzun süre korunması gereken veri ve sistemlere
öncelik verilmeli, değiştirilmesi en zor güven kökleri öncelikli olarak modernize
edilmeli ve standartlar, protokoller, sertifikasyonlar ile müşteri gereksinimleri
geliştikçe kriptografiyi güncelleyebilecek bir yapı oluşturulmalı.
HPE, bilgi işlem, ağ, yönetim platformları ve kriptografi araçları dahil olmak üzere
temel altyapı alanlarına kuantum sonrası kriptografiye hazırlık özelliklerini
şimdiden entegre ediyor. Son dönemdeki gelişmeler arasında kuantum sonrası
kriptografi destekli platform güvenliği, gelişmekte olan standartlarla uyumlu şekilde
güncellenen kriptografi kütüphaneleri ve kuantum saldırılarına dayanıklı
protokollere yönelik genişletilmiş destek yer alıyor.
Beklemenin iş dünyası açısından sonuçları
İş dünyasının liderleri açısından en temel mesele zamanlama. Kriptografi, kurumsal
sistemlerin geneline yayılmış durumda ve kullanıldığı alanların envanteri çoğu
zaman yeterince çıkarılmamış olduğundan, kuantum sonrası kriptografiye geçiş
birçok kurumun tahmininden daha uzun sürecek. Temel geçiş çalışmaları 24 ila 36
ay, daha kapsamlı altyapı dönüşümü ise ölçeğe, eski sistem bağımlılıklarına,
tedarikçilerin hazırlık düzeyine, doğrulama süreçlerine ve operasyonel karmaşıklığa
bağlı olarak 24 ila 48 ay veya daha uzun sürebilir. Mevcut kriptografik yöntemleri
kırabilecek bir kuantum bilgisayar ortaya çıkana kadar beklemek, kurumların
geçişi sağlıklı biçimde tamamlamak için yeterli zamana sahip olamamasına
yol açabilir. Bugün harekete geçen kurumlar maliyet, uygulama sırası, birlikte
çalışabilirlik ve risk üzerinde daha fazla kontrole kavuşacak. Erteleyen kurumlar
ise düzenleyici kurumların, müşterilerin veya yaşanan güvenlik olaylarının baskısıyla
aceleyle geçiş yapmak zorunda kalabilir.
Bu konunun etkileri siber güvenlik ekiplerinin sorumluluk alanının çok ötesine uzanıyor.
Şimdi topla, sonra şifresini çöz saldırıları, uzun süre gizli kalması
gereken hassas verileri riske atarken dijital imzalarda gelecekte ortaya çıkabilecek
güvenlik açıkları yazılımların özgünlüğünü, ürün yazılımlarının bütünlüğünü
ve cihazlara duyulan güveni etkileyebilir. Sertifikalara ve açık anahtar altyapısına
(PKI) yönelik bağımlılıklar, uygulamalar, ağlar ve yönetim sistemleri
genelinde fark edilmesi zor zayıflıklar yaratabilir. Düzenlemelere tabi sektörler
ayrıca resmi son tarihler gelmeden önce geçiş planlarını, tedarikçilerinin
hazırlık düzeyini ve risk temelli önceliklendirme yaklaşımlarını ortaya koyma
baskısıyla karşılaşabilir. Bu nedenle kuantum sonrası kriptografiye hazırlık kurumsal
risk yönetiminin, siber güvenlik planlamasının, altyapı yenileme çalışmalarının,
uyum stratejisinin ve tedarikçi yönetişiminin bir parçası olmalı.
Kuantum teknolojilerine karşı güvenliğe yönelik üç adım
1. İlk adım, kriptografinin sistem genelinde nerelerde kullanıldığını anlamaktır.
Birçok kurum altyapı, uygulamalar, platformlar, sertifikalar, kod imzalama süreçleri,
cihaz kimlikleri, yönetim arayüzleri ve üçüncü taraf hizmetlerde kullanılan
kriptografik algoritmaların eksiksiz bir envanterine sahip değildir. Kurumlar,
uzun süre gizli kalması gereken veri ve sistemlere, özellikle de düzenlemelere
tabi, kritik öneme sahip, yüksek değerli ve operasyonel açıdan hassas bilgilere
öncelik vermelidir. Donanım tabanlı kimlik, güvenli önyükleme, ürün yazılımı
imzalama, altyapı kontrol düzlemleri, uzun süre geçerli sertifikalar ve kurum
içi açık anahtar altyapısı (PKI) gibi değiştirilmesi en zor alanları da erkenden
belirlemelidir.
2. Yönetişim yapısını erkenden oluşturun. Tedarikçilerle yapılacak görüşmelerde
standartlarla uyum, geçiş yol haritaları, sertifikasyon planları, performans açısından
olası ödünler ve uzun vadeli destek taahhütleri ele alınmalıdır. Uzun yıllar
kullanılacak altyapılara yönelik satın alma süreçlerine kuantum sonrası kriptografi
gereksinimleri de dahil edilmelidir. Bir ürün veya çözümün yalnızca
kuantum sonrası kriptografiye hazır olduğunun belirtilmesi yeterli değildir.
Üretim ortamlarında kullanıma hazır olmak, birlikte çalışabilirlik, doğrulama,
operasyonel destek ve NIST ile diğer standart kuruluşlarının rehberleri geliştikçe
bunlara uyum sağlama becerisi gerektirir.
3. Son adım, kriptografik çevikliği kurumsal yapının bir parçası haline getirmektir.
Şirketlerin standartlar, tehdit modelleri veya uyum beklentileri her değiştiğinde
ortamı baştan tasarlamak zorunda kalmadan kriptografik algoritmaları devreye
alma, test etme, değiştirme ve doğrulama becerisine sahip olması gerekir.
Özellikle mevcut sistemlerle birlikte çalışabilirliğin korunması gereken durumlarda,
geçiş sürecinde hibrit yaklaşımlar önem taşır. Yeni yatırımların gelecekteki
geçiş yükünü artırmak yerine azaltması için altyapı yenileme döngüleri kuantum
sonrası kriptografi gereksinimleriyle uyumlu hale getirilmelidir.
HPE olarak müşterilerimizin bugünden hazırlanmasına yardımcı oluyoruz.
Bugünün sorusu kurumların kuantum sonrası kriptografiye hazırlanmasının gerekip
gerekmediği değil. Asıl soru hazırlıklara kendi koşullarında mı başlayacakları,
yoksa harekete geçmek için dış baskıların oluşmasını mı bekleyecekleri. Bugünden
hazırlanmaya başlayan kurumlar dijital güveni koruma, riskleri yönetme ve yeni
nesil bilgi işlem teknolojilerine uyum sağlama konusunda daha avantajlı olacak.
HPE, şirketlerin risklerin nerelerde bulunduğunu belirleyerek, riskleri önceliklendirerek,
kriptografi yönetimini modernize ederek, altyapı yatırımlarını yeni
gereksinimlerle uyumlu hale getirerek ve teknoloji yığınının tamamında kriptografik
açıdan çevik operasyonlara geçerek pratik bir yol izlemelerine yardımcı oluyor.
HPE Services, müşterilerin uyum, egemenlik, dayanıklılık ve operasyonel süreklilik
gereksinimlerini karşılamalarına yardımcı olurken değerlendirme, kriptografik
güvenlik duruşunun yönetimi, açık anahtar altyapısı (PKI) ve anahtar yönetiminin
modernizasyonu ile altyapı dönüşümünü destekleyen hazırlık ve danışmanlık
yetkinliklerini genişletiyor.
Yöneticilere verilecek mesaj basit: Paniğe kapılmayın, ama ertelemeyin. Kuantum
sonrası kriptografiye hazırlık, iş sürekliliği ve dijital güven açısından kritik
önem taşıyor. Bugün harekete geçen kurumlar standartlarla uyumlu ve ölçülü kararlar
alabilir, en uzun süre korunması gereken verileri güvence altına alabilir,
değiştirilmesi en zor güven unsurlarını modernize edebilir ve son anda yapılacak
maliyetli iyileştirme çalışmalarından kaçınabilir. HPE'nin gücü donanım tabanlı
güveni, yaşam döngüsü boyunca yönetilen altyapıyı, ağ uzmanlığını, hizmet
danışmanlığını ve standartlara dayalı uygulamaları bir araya getirebilmesinden
geliyor. Böylece kurumların kuantum teknolojilerinin yarattığı belirsizliği, bu
teknolojilere karşı güvenli operasyonlara uzanan uygulanabilir bir yol haritasına
dönüştürmesine yardımcı oluyor.
-iDeal Haber Merkezi-
- twitter.com/iDealDataHaber // www.idealdata.com.tr -