الموعد النهائي الكمي غير واضح. الحاجة للتحضير ليست كذلك.

على مدى العقد الماضي، ظلت الحوسبة الكمومية في الأفق، تمثل تحديًا نظريًا بعيدًا وليست ضرورة تشغيلية فورية. لقد تصدرت الاختراقات عناوين الأخبار، ولكن في غياب موعد نهائي محدد لتهديد أجهزة الكمبيوتر الكمومية لمعايير التشفير الحالية، لم يكن لدى مسؤولي أمن المعلومات (CISOs) حافز كبير لجعل الاستعداد الكمي أولوية فورية. ويُظهر مؤشر الاستعداد الكمي الآمن لعام 2025 الصادر عن شركة IBM حجم العمل المتبقي، حيث تسجل المؤسسة المتوسطة 25 درجة فقط من أصل 100.

غير أن فترة الاستعداد هذه تتقلص بسرعة. ففي ربيع هذا العام، حذرت جوجل من أن الحدود الكمومية قد تكون أقرب مما تبدو، مشيرة إلى التقدم في الأجهزة وتصحيح الأخطاء والخوارزميات التي تسرع التطور نحو الحوسبة الكمومية ذات الصلة بالتشفير. وقد حددت جوجل منذ ذلك الحين هدفًا لعام 2029 لاستكمال ترحيلها إلى التشفير ما بعد الكمي (PQC).

ومع ذلك، فإن هذا الإلحاح المتزايد لا يزال يفتقر إلى موعد نهائي محدد. فعلى عكس الموعد النهائي الثابت لعام 2000، فإن ملف المخاطر الكمومية غامض؛ ويظل الحد الدقيق للخطر غير محدد، على الرغم من أن الجدول الزمني للمعالجة المطلوبة يمتد لعدة سنوات.

تحتاج المؤسسات الكبيرة إلى الوقت الكافي لتحديد تبعيات التشفير، وتقييم البنية التحتية القديمة، وتنسيق البائعين، وتأمين الميزانيات اللازمة للترحيل. تتجاوز هذه القرارات مجال التشفير، وتؤثر على كيفية تخطيط الأعمال وتمويلها وتحديد أولويات المخاطر. في الواقع، ستمس قدرات الحوسبة الكمومية تقريبًا كل جانب من جوانب الشركات في جميع أنحاء العالم.

تحويل المخاطر الكمومية إلى أولوية على مستوى المؤسسة

يمتلك الاستعداد الكمي بالفعل حلًا تقنيًا محددًا. ففي عام 2024، انتهت NIST من مجموعتها الأولى من معايير التشفير ما بعد الكمي (PQC) وشجعت المؤسسات على البدء في التحول في أقرب وقت ممكن. بالنسبة لبعض الأنظمة، قد يتضمن الترحيل تحديثًا للبرنامج أو تغييرًا في التكوين. أما بالنسبة للبعض الآخر، فقد يكون الأمر أكثر تعقيدًا. ويكمن التحدي الذي يواجه المؤسسات الكبيرة في معرفة أين يجب أن تحدث هذه التغييرات.

تتمثل الخطوة العملية الأولى في إنشاء قائمة مواد التشفير الكمي (QBOM)، والتي تفهرس أنواع التشفير المستخدمة ومواقعها، والأنظمة التي يمكن تحديثها بسهولة نسبيًا، وأين تتطلب البنية التحتية القديمة استبدالًا أو استراتيجية تخفيف أخرى. يعد هذا جهدًا مكثفًا، ولكن تتوفر منصات برمجية للمساعدة.

بعد ذلك، يجب على المؤسسات تحديد أولويات الأنظمة بناءً على قيمة البيانات والمدة التي تحتاجها للبقاء محمية. على سبيل المثال، قد تتطلب السجلات المالية أو معلومات التعريف الشخصية للعملاء (PII) إلحاحًا أكبر من سجل الدردشة الداخلي عديم القيمة على المدى الطويل.

يعد طول عمر البيانات أمرًا بالغ الأهمية بشكل خاص لأن الخصوم يجمعون بالفعل حركة المرور المشفرة على أمل أن تتمكن أجهزة الكمبيوتر الكمومية المستقبلية من قراءتها، وهي ممارسة تُعرف باسم الحصاد الآن، فك التشفير لاحقًا (harvest now, decrypt later). بالنسبة للبيانات الحساسة، ربما يكون الهجوم قد حدث بالفعل، وإن لم يظهر تأثيره على الأعمال بعد.

إن التعرض للبيانات ليس سوى جزء واحد من هذا التقييم. يدعم تشفير المفتاح العام (PKC) أيضًا عملية المصادقة، بما في ذلك تسجيل الدخول الموحد والآليات الأخرى المستخدمة لتحديد الهوية. إذا لم يعد بالإمكان الوثوق بهذا الأساس التشفيري، فستواجه المؤسسات خطر انتحال الشخصية، وما يترتب على ذلك من عواقب على الوصول إلى التطبيقات والبنية التحتية والبيانات.

يقع جزء كبير من هذا العمل خارج نطاق السيطرة المباشرة لمسؤول أمن المعلومات (CISO). فغالبًا ما تكون البنية التحتية والتطبيقات والبيانات والعلاقات مع الأطراف الخارجية مملوكة بشكل مشترك عبر الشركة، وكذلك العديد من الميزانيات المطلوبة لمعالجتها. يجب على رؤساء تكنولوجيا المعلومات تقديم عرض لمخاطر الأعمال يوضح للقادة الآخرين – مدير تكنولوجيا المعلومات، ورئيس قسم التكنولوجيا، والمشتريات، والامتثال، والمديرين التنفيذيين – أين تكمن أكبر المخاطر وما الذي يحتاج إلى الاهتمام أولًا.

اجعل مرونة التشفير جزءًا من عملية الترحيل

يتطلب الاستعداد لمستقبل ما بعد الكم أيضًا مرونة في التشفير. ستستمر معايير التشفير في التطور مع ظهور ثغرات أمنية جديدة وتغير الخوارزميات. تحتاج المؤسسات إلى أنظمة ومنصات يمكنها استيعاب هذه التغييرات دون الحاجة إلى ترحيل آخر مكلف ومتعدد السنوات. وهذا يعني الشراء والبناء بطرق يمكنها استيعاب تغيير الخوارزمية في المستقبل بدلاً من نسخ الأجهزة واستبدالها.

يوصي المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) بدمج هذه المرونة في خطط ترحيل PQC ووضع معايير لإيقاف الخوارزميات التقليدية، بهدف إزالة الاعتماد الوحيد على التشفير التقليدي بالمفتاح العام. ويعني ذلك أيضًا إعادة التفكير في كيفية إعداد ميزانية المنظمات لعملية التحول.

غالبًا ما تعمل المؤسسات الكبيرة وفقًا لميزانيات سنوية معتمدة مسبقًا ولا يتم تعديلها إلا بشكل طفيف على مدار العام، لكن التحول ما بعد الكم قد يتطلب المزيد من المرونة مع تطور المعايير والتهديدات.

ويجب أن يؤثر هذا المبدأ أيضًا على المشتريات. يتطلب الامتثال لـ SOC 2 بالفعل من المؤسسات فحص سياسات الخصوصية والشهادات وعناصر التحكم في الوصول الخاصة بالموردين، ولكن تبعيات التشفير يمكن أن تكون نقطة عمياء أخرى. إن السؤال عن المعايير التي يدعمها البائع، وكيف يمكن تحديث التشفير، وكيف تبدو خريطة طريق PQC الخاصة به، يمكن أن يقلل من مخاطر شراء البنية التحتية التي يصبح من الصعب أو المكلف ترحيلها لاحقًا.

الجدول الزمني الكمي يبدأ بميزانية اليوم

على الرغم من أن الموعد النهائي المحدد للاستعداد الكمي لا يزال بعيد المنال، إلا أن دورات الميزانية توفر إطارًا أكثر انضباطًا وقابلية للتنفيذ للتخطيط. يتطلب تنفيذ عملية ترحيل متعددة السنوات التزامًا ماليًا مستمرًا على مدى دورات متتالية؛ فكل فترة ميزانية تمر تضغط النافذة المتاحة للمعالجة بشكل فعال.

يدرك معظم مسؤولي تكنولوجيا المعلومات بالفعل المخاطر الكمومية. ويتمثل التحدي في نقل الاستعداد الكمي من مجرد خطة للربع القادم أو العام المقبل إلى عمل ممول. ومع وجود عدد محدود فقط من دورات الميزانية المتاحة للترحيل متعدد السنوات، تتزايد حالات التأخير المتكررة بسرعة.

وتتمثل الأولوية في تحويل هذا الوعي إلى قائمة جرد واضحة، وأولويات عمل، وخطة انتقال مرحلية يمكن تمويلها خلال دورات الميزانية القادمة. فمن خلال البدء الآن، سيكون لدى المؤسسات الوقت الكافي للتركيز على الأنظمة الأكثر خطورة ومعالجة البنية التحتية القديمة قبل أن يصبح الجدول الزمني بالغ الأهمية.