Tant les États adversaires que les organisations cybercriminelles investissent massivement dans la recherche quantique, motivés par la perspective de parvenir à contourner la cryptographie à clé publique telle que nous la connaissons. En tant que dirigeants chargés de la , de la protection des systèmes fédéraux et des infrastructures nationales essentielles, nous devons aller au-delà de la simple sensibilisation et nous orienter vers une mise en œuvre dynamique et stratégique.
Au cours des dernières années, les progrès technologiques réalisés dans le domaine de l'informatique quantique ont suscité un sentiment d'urgence. La communauté fédérale chargée de la cybersécurité dispose désormais de la clarté nécessaire pour agir. Alors que l’Institut national des normes et des technologies (NIST) finalise les premières normes relatives à la cryptographie post-quantique (PQC) dans le document 2024, que la publication du document NIST IR 8545 fournit une feuille de route structurée pour la migration, et que le mandat M-23-02 de l’OMB exige la présentation d’un rapport annuel sur les actifs vulnérables aux attaques quantiques, les agences disposent désormais de consignes claires. Compte tenu des calendriers du CNSS, qui prévoient la version 2030 pour la mise hors service des systèmes de cryptographie vulnérables et la version 2035 pour les systèmes classifiés, la voie à suivre est clairement définie — mais la marge de manœuvre pour agir se réduit.
Les premiers signaux émanant de l'administration Trump laissent entrevoir une continuité dans la priorité accordée à la préparation à l'ère quantique, tout en mettant l'accent sur la rentabilité et la garantie de la mission. Ces tendances semblent confirmer que la préparation à l'ère quantique reste une priorité partagée par les deux partis.
Une étude récente vient renforcer l'urgence de ces efforts : elle estime que la transition des systèmes fédéraux américains vers la cryptographie post-quantique coûtera environ 7,1 milliards de dollars . Ce chiffre met en évidence l'importance des investissements nécessaires pour protéger les systèmes de sécurité nationale contre les futures menaces quantiques.
Pris dans leur ensemble, ces événements marquent un tournant. Il ne s'agit plus de savoir « si » les ordinateurs quantiques auront un impact sur la sécurité nationale, mais « quand », et quelles mesures doivent être prévues et mises en œuvre.
À l'intention des responsables fédéraux à la recherche de cadres pratiques pour se lancer dans cette démarche, notre récent webinaire Carahsoft, auquel ont participé des experts de Tanium, d'Accenture Federal Services et du NIST, a fourni des conseils concrets sur les mesures que les agences devraient prendre dès à présent. Pour approfondir vos connaissances sur les normes quantiques émergentes, les stratégies pratiques de gestion des actifs cryptographiques et la collaboration entre les pouvoirs publics et le secteur privé, vous pouvez consulter les discussions récentes animées par des experts de premier plan lors de ce webinaire intitulé « » (Les normes quantiques : un défi pour la sécurité des systèmes de l'avenir), disponible ici :.
La menace quantique : réalités stratégiques et tactiques
Le défi quantique qui se profile ressemble à l'époque du « Y2K » en termes de complexité et d'urgence : des délais serrés, des interdépendances complexes et des systèmes critiques en jeu. Mais aujourd'hui, les enjeux sont encore plus importants.
Les dirigeants fédéraux doivent prendre pleinement conscience de trois réalités essentielles concernant la menace quantique :
- Inventaire cryptographique complet
L'inventaire n'est pas un simple « plus » : c'est le fondement de toute stratégie de migration. Sans un recensement clair et automatisé des certificats, bibliothèques, protocoles et modules cryptographiques utilisés au sein de votre entreprise, vous avancez à l'aveuglette.
Les plateformes modernes telles que Tanium Certificate Manager permettent d’automatiser ce recensement à grande échelle, mettant ainsi au jour des vulnérabilités que les tableurs et les processus manuels ne peuvent tout simplement pas détecter.
Comme l’a souligné Bill Newhouse du NIST lors de notre discussion, la plupart des agences sous-estiment l’étendue de l’utilisation de la cryptographie au sein de leurs environnements. Sans outils modernes, ils risquent de passer à côté d'actifs essentiels — ou de découvrir trop tard que leurs systèmes sont vulnérables aux attaques quantiques. - Hiérarchisation et gestion des risques
Tous les actifs cryptographiques ne se valent pas. Les agences doivent établir leurs priorités en fonction des critères suivants :
• Sensibilité des données (par exemple, informations à caractère personnel, données relatives à la sécurité nationale) • Caractère essentiel pour la mission (par exemple, systèmes de commandement et de contrôle, systèmes de santé publique) • Exposition aux menaces (par exemple, systèmes exposés à l’extérieur) L’intégration progressive de la migration vers la cryptographie post-quantique (PQC) dans les architectures « Zero Trust » de l’ offre une voie stratégique pour l’avenir, en fusionnant les initiatives plutôt qu’en les dupliquant. - Tester, tester et tester encore
Les implémentations cryptographiques hybrides — qui associent des algorithmes classiques et des algorithmes résistants à l'informatique quantique — posent de nouveaux défis en matière de performances et d'interopérabilité. Sessions TLS, chaînes de certificats, tailles de tampon : tous ces éléments doivent faire l'objet de tests exhaustifs.
Les professionnels du secteur public doivent mettre en place dès maintenant des bancs d'essai. Attendre que les solutions « parfaites » en matière de PQC arrivent à maturité constitue une erreur stratégique. Il est essentiel de mettre en œuvre rapidement des solutions hybrides, tout en assurant une gestion contrôlée des risques. Les solutions «
» présentées récemment — notamment la détection automatisée des certificats et la visibilité cryptographique en temps réel proposées par Tanium et Accenture Federal Services — illustrent à quoi peut ressembler un parcours pragmatique de test et de migration. - Formation au leadership et communication stratégique
Il faut dès à présent intégrer le leadership dans le débat sur la préparation à l'ère quantique. Les DSI et les RSSI doivent comprendre que la migration vers la cryptographie quantique n'est pas uniquement un problème technologique : il s'agit d'un enjeu de gestion des risques d'entreprise.
Les cycles budgétaires sont serrés. Les exigences liées aux missions ne cessent d'augmenter. La migration vers le quantique ne doit pas être considérée comme une simple initiative informatique, mais comme un élément essentiel à la sécurité nationale, à la résilience opérationnelle et au respect de la réglementation.
Perspectives d'avenir : la voie vers des systèmes fédéraux résistants à l'informatique quantique
Il n'y a pas de « jour quantique » précis où les systèmes tomberont en panne du jour au lendemain. Au contraire, la perte de confiance dans la cryptographie traditionnelle se fera progressivement — et les organismes qui agissent le plus rapidement aujourd’hui conserveront un avantage opérationnel demain.
Parmi les éléments clés garantissant la réussite des programmes de migration quantique, on peut citer :
- Premiers programmes pilotes utilisant des algorithmes de cryptographie post-quanta (PQC) approuvés par le NIST
- Des équipes de migration interfonctionnelles réunissant des spécialistes de la cybersécurité, des responsables d'applications, des responsables des achats et des conseillers juridiques
- en matière d'engagement des fournisseurs : veiller à ce que les fournisseurs intègrent la PQC dans leurs futurs marchés publics
- Surveillance continue et « crypto-agilité » permettant une réaction rapide face à l'évolution des menaces et des normes
La migration ne se résume pas à un simple « remplacement complet ». Il s'agit d'une transformation de la manière dont nous considérons, gérons et protégeons les données au repos et en transit.
Une action concertée, une mission urgente
Que ce soit dans le secteur public ou dans le secteur privé, une chose est claire : la menace que représente la cryptographie post-quantique est bien réelle. Le temps presse. Et c'est maintenant qu'il faut agir.
As a federal IT and cybersecurity community, we have navigated transformational challenges before—from Y2K to cloud adoption and Zero Trust. La transition post-quantique exige ce même esprit de collaboration, d'ingéniosité et d'action sans relâche.
La sécurité de nos missions — ainsi que la confiance du peuple américain — en dépendent. Mettons-nous au travail.
