Les adversaires nationaux et les organisations cybercriminelles investissent massivement dans la recherche quantique, motivés par la promesse de briser la cryptographie à clé publique telle que nous la connaissons. En tant que leaders responsables de la protection des systèmes fédéraux et des infrastructures nationales critiques, nous devons aller au-delà de la sensibilisation et vers une mise en œuvre agressive et stratégique.
Au cours des dernières années, les progrès technologiques dans l’informatique quantique ont créé un sentiment d’urgence. La communauté fédérale de cybersécurité dispose désormais de la clarté dont elle a besoin pour agir. Avec la finalisation par le National Institute for Standards and Technology (NIST) des premières normes PQC en 2024, la publication du NIST IR 8545 fournissant une feuille de route de migration structurée, et le mandat de M-23-02 de l’OMB exigeant des rapports annuels sur les actifs vulnérables quantiques, les agences ont des ordres de marche clairs. Combiné aux chronologies CNSS qui ciblent 2030 pour amortir la cryptographie vulnérable et 2035 pour les systèmes classifiés, la voie à suivre est définie, mais la fenêtre d’action se rétrécit.
Les premiers signaux de l’administration Trump suggèrent une continuité dans la hiérarchisation de la préparation quantique, bien qu’en gardant un œil sur la rentabilité et l’assurance de la mission. Les tendances indiquent une réaffirmation selon laquelle la préparation quantique reste une priorité bipartisane.
En ajoutant une urgence à ces efforts, une étude récente estime que la transition des systèmes fédéraux américains vers la cryptographie post-quantum coûtera environ 7,1 milliards USD. Ce chiffre souligne l’investissement important requis pour sécuriser les systèmes de sécurité nationale contre les menaces quantiques futures.
Pris ensemble, ces développements signalent un point d’inflexion. Nous ne discutons plus de « si » les ordinateurs quantiques auront un impact sur la sécurité nationale, mais de « quand » et des mesures qui doivent être planifiées et mises en œuvre.
Pour les dirigeants fédéraux à la recherche de cadres pratiques pour commencer leur parcours, notre récent webinaire Carahsoft avec des experts de Tanium, Accenture Federal Services et NIST a proposé des conseils exploitables sur les mesures que les agences devraient prendre maintenant. Pour en savoir plus sur les normes quantiques émergentes, les stratégies d’inventaire cryptographique pratiques et la collaboration gouvernement-industrie, vous pouvez explorer les discussions récentes organisées par des experts de premier plan dans ce webinaire ici.
La menace quantique : réalités stratégiques et tactiques
Le défi quantique imminent ressemble à l’ère Y2K en termes de complexité et d’urgence : délais serrés, interdépendances complexes et systèmes critiques en jeu. Mais aujourd’hui, les enjeux sont encore plus élevés.
Les dirigeants fédéraux doivent internaliser trois réalités critiques concernant la menace quantique :
- Inventaire cryptographique completL
’inventaire n’est pas « agréable à avoir », c’est la base de toute stratégie de migration. Sans une découverte claire et automatisée des certificats, bibliothèques, protocoles et modules cryptographiques utilisés dans votre entreprise, vous ne savez pas exactement.
Les plateformes modernes telles que Tanium Certificate Manager offrent la possibilité d’automatiser la découverte à grande échelle, en détectant les vulnérabilités que les feuilles de calcul et les processus manuels ne peuvent tout simplement pas détecter.
Comme Bill Newhouse de NIST l’ a souligné lors de notre discussion, la plupart des agences sous-estiment la prolifération de la cryptographie dans leurs environnements. Sans outils modernes, ils risquent de manquer des actifs critiques, ou de découvrir trop tard que leurs systèmes sont vulnérables quantiques. - Hiérarchisation et gestion des risques
Tous les actifs cryptographiques ne sont pas créés égaux. Les agences doivent établir des priorités en fonction de :
• Sensibilité des données (p. ex., PII, données de sécurité nationale) • Criticité de la mission (p. ex., systèmes de commande et de contrôle, de santé publique) • Exposition aux menaces (p. ex., systèmes externes) La superposition de la migration des PQC dans les architectures Zero Trust fournit une voie stratégique vers l’avenir, en fusionnant les initiatives plutôt que de les dupliquer. - Tester, tester et tester à nouveau
les implémentations cryptographiques hybrides, en combinant des algorithmes classiques et à sécurité quantique, introduisant de nouveaux défis de performance et d’interopérabilité. Sessions TLS, chaînes de certificats, tailles de tampon : tous doivent être testés de manière exhaustive.
Les praticiens fédéraux doivent créer des bancs d’essai maintenant. Attendre que les solutions PQC « parfaites » arrivent à maturité est une erreur stratégique. L’adoption précoce de mises en œuvre hybrides, avec une gestion contrôlée des risques, est essentielle.
Les solutions présentées récemment, y compris la découverte automatisée des certificats et la visibilité cryptographique en temps réel de Tanium et Accenture Federal Services, mettent en évidence à quoi peut ressembler un test pragmatique et un chemin de migration. - Éducation au leadership et communication stratégique
Le leadership doit être intégré dès maintenant à la conversation sur la préparation quantique. Les DSI et les RSSI doivent comprendre que la migration de la cryptographie quantique n’est pas un problème technologique seul, c’est un problème de gestion des risques d’entreprise.
Les cycles budgétaires sont serrés. Les demandes de mission augmentent. La migration vers Quantum ne doit pas être encadrée comme une initiative informatique, mais comme essentielle à la sécurité nationale, à la résilience opérationnelle et à la conformité réglementaire.
[Aller plus loin : ce guide de poche propose 7 étapes pour un plan de cybersécurité quantique]
À l’avenir : la voie vers des systèmes fédéraux quantiques et résilients
Il n’y a pas de « jour quantique » unique lorsque les systèmes se briseront pendant la nuit. Au contraire, l’érosion de la confiance dans la cryptographie existante sera progressive, et les agences qui se déplacent le plus rapidement aujourd’hui conserveront un avantage opérationnel demain.
Les éléments clés d’un programme de migration quantique réussi comprendront :
- Programmes pilotes précoces utilisant des algorithmes PQC approuvés par le NIST
- Équipes de migration interfonctionnelles combinant cybersécurité, propriétaires d’applications, responsables de l’approvisionnement et conseillers juridiques
- Engagement des fournisseurs en s’assurant que les fournisseurs intègrent la PQC dans les achats futurs
- Surveillance continue et crypto-agilité permettant une réponse rapide à l’évolution des menaces et des normes
La migration n’est pas simplement « rip and replace ». Il s’agit d’une transformation dans la façon dont nous observons, gérons et protégeons les données au repos et en transit.
Action unifiée, mission urgente
Dans les secteurs public et privé, une vérité est claire : la menace cryptographique post-quantum est réelle. L’horloge tourne. Et la fenêtre d’action est maintenant.
En tant que communauté fédérale de l’informatique et de la cybersécurité, nous avons déjà relevé des défis transformationnels, de Y2K à l’adoption du cloud et à Zero Trust. La transition post-quantum exige le même esprit de collaboration, d’ingéniosité et d’exécution incessante.
La sécurité de nos missions et la confiance du peuple américain en dépendent. Allons travailler.
