Quelque chose de petit va changer le monde d’une grande manière. Et bien que nous sachions qu’elle arrive, une enquête récente révèle que nous ne sommes pas préparés pour cela.
Le problème est l’ informatique quantique, la feuille de route est claire, mais les personnes qui devraient être les plus intéressées ne prêtent pas attention.
Selon le 2025 Quantum Computing Pulse Poll de l’ISACA, une organisation internationale de contrôle à but non lucratif, près des deux tiers (62 %) des professionnels de la technologie et de la cybersécurité craignent que l’informatique quantique ne brise le chiffrement Internet d’aujourd’hui. Pourtant, seuls 5 % disent qu’il s’agit d’une priorité élevée pour un avenir proche, le même nombre faible possédant une stratégie d’informatique quantique définie. Seuls 15 % l’ont sur une feuille de route à long terme, tandis qu’un sur cinq en a discuté, mais n’a pas fait de plans formels. 37 % n’ont pas du tout parlé du problème en interne.
Ces répondants ne sont pas des laïcs. Ce sont des praticiens et des stratèges hautement compétents.
L’ISACA, qui mène des enquêtes annuelles sur la confidentialité des données et d’autres problèmes de sécurité, étudie pour la première fois la question de la préparation quantique avec cette étude. Le groupe a interrogé plus de 2 600 de ces professionnels à travers le monde travaillant dans la confiance numérique, y compris des personnes occupant des rôles de cybersécurité et de gouvernance . Ces experts savent que l’impact de l’informatique quantique sur la cryptographie classique sera plus que quiconque.
C’est ce qui rend ces résultats d’enquête si troublants.
Une tempête quantique arrive
La partie étrange de cette complaisance est que nous savons que le « jour Q » arrive. C’est le moment où nous pourrons briser le chiffrement classique à l’aide d’ordinateurs quantiques.
En manipulant des formes quantiques de bits informatiques classiques, appelés « qubits », les ordinateurs quantiques réécriront les règles de sécurité de A à Z. Contrairement à un bit normal, un qubit peut représenter à la fois un zéro et un un à la fois. Cela lui permet d’effectuer des sommes stupéfiantes à vitesse, y compris la fissuration des mathématiques au cœur de l’algorithme RSA.
RSA est la routine de chiffrement (nommée en hommage à ses inventeurs, Ron Rivest, Adi Shamir et Leonard Adleman) qui permet aux ordinateurs d’encoder et d’échanger des informations entre eux, en toute sécurité, sachant que les données n’ont pas été falsifiées. Ils peuvent également l’utiliser pour vérifier l’identité de l’expéditeur.
Les mathématiques pour déchiffrer RSA sont bien comprises et théoriquement prouvées. Ce qui manque, ce sont les qubits eux-mêmes. Ce sont des flocons de neige numériques : rares, fugaces et extrêmement fragiles. Elles ne fonctionnent qu’à des températures proches de zéro et s’effondrent en quelques millisecondes.
Les entreprises ont du mal à créer et à maintenir suffisamment de qubits pour faire des calculs significatifs, mais elles s’améliorent chaque année. Finalement, ils seront suffisamment bons pour déchiffrer les 2 048 bits qui sont désormais la norme de facto dans le chiffrement RSA.
La menace « récolter maintenant, déchiffrer plus tard »
Quand cela se produira-t-il ? Personne n’est totalement sûr, mais 25 % des répondants à l’enquête de l’ISACA pensent que le « plein potentiel » de l’informatique quantique sera réalisé dans cinq ans ou moins. Environ 39 % disent entre six et dix ans.
Ils comprennent donc que cela se produit, et au moins certains comprennent l’urgence. Plus de la moitié (56 %) des personnes interrogées citent les attaques « récolter maintenant, déchiffrer plus tard » (HNDL) comme une préoccupation. C’est là que les cybercriminels collectent des données chiffrées maintenant afin de pouvoir les décrypter une fois que l’informatique quantique devient viable.
« Les acteurs malveillants peuvent déjà intercepter et stocker des données confidentielles, cryptées classiquement, dans l’intention de les décrypter ultérieurement lorsque les machines quantiques deviennent suffisamment puissantes pour le faire », déclare Rob Clyde, ancien président de l’ISACA qui conseille désormais dans l’espace du chiffrement quantique.
Même si beaucoup voient la menace approcher, 41 % disent ne pas prévoir de traiter l’informatique quantique à l’heure actuelle et 40 % ne sont pas au courant des plans de leur entreprise.
[Lire également : 3 façons dont les banques peuvent se préparer à la menace quantique à venir]
Les responsables de la protection de leurs organisations semblent ressembler un peu aux mystérieux qubits eux-mêmes : coincés dans deux États à la fois. Ils sont simultanément conscients du risque et ne font rien de sérieux à ce sujet.
De nouvelles normes informatiques quantiques sont arrivées
Clyde est exaspérée par cette attitude de tête-à-tête car après dix ans d’attente, nous avons désormais des normes pour de nouveaux algorithmes de chiffrement que les ordinateurs quantiques seront moins susceptibles de craquer. Le National Institute of Standards and Technology (NIST) des États-Unis a publié les trois premiers août dernier.
Les normes ont mis des années à se développer en raison de l’examen mathématique intense impliqué. Une norme candidate a été fissurée et éliminée pendant le processus. Cependant, ce retard pourrait faire partie du problème, clyde muses. Au cours de la dernière décennie, on a demandé aux gens d’attendre que les normes évoluent. Maintenant qu’ils sont là, il y a une certaine inertie. Il est difficile de motiver les gens.
« Cette approche d’attente et de vision ne fait que persister », dit-il. « Seule la moitié environ savait que nous avions ces nouvelles normes, et seuls 7 % ont admis les comprendre réellement, et ce sont les experts. »
Beaucoup semblent plus concentrés sur les menaces immédiates. Avec les voleurs de ransomware set les attaquants nationaux qui s’attaquent à leur infrastructure, il existe de nombreux dangers clairs et présents parmi lesquels choisir. Ils peuvent simplement être trop occupés à se concentrer sur ces autres problèmes immédiats pour prêter attention à quelque chose sans date future claire.
Votre liste de choses à faire pour l’informatique quantique
Du côté positif, 55 % des répondants à l’enquête de l’ISACA ont pris une sorte de mesure pour se préparer au Q-day. Certes, une grande partie de cela a été la mise en place de cases réglementaires. L’objectif principal, à 46 %, a été d’évaluer les implications de conformité de quantum.
« Les régulateurs commenceront à échouer les appareils et les logiciels [qui manquent] de cryptographie post-quantum. »Clyde
Seulement 38 % des entreprises explorent la cryptographie à sécurité quantique en préparation d’une période où RSA ne nous protège plus. À 28 %, moins d’un fournisseur sur trois collabore en fait avec des fournisseurs de technologie pour mettre quelque chose en place en investissant dans des projets de preuve de concept. À peu près le même nombre investit dans la formation du personnel.
L’ISACA dispose d’une feuille de route en trois étapes pour aider les gens à se préparer au tsunami quantique. La première implique une éducation et une sensibilisation simples. Étant donné que 30 % des répondants à l’enquête ne parviennent pas à comprendre les capacités de l’informatique quantique, cela doit être un impératif. Vous ne vous souciez pas de ce que vous ne comprenez pas.
La seconde consiste à développer une stratégie de chiffrement informatique quantique. Vous devez éliminer toutes les données chiffrées que vous possédez déjà, conseiller l’ISACA, comprendre où elles sont stockées et dans quelle mesure elles sont sensibles ou critiques.
Ensuite, définissez une feuille de route claire pour le chiffrement à sécurité quantique. Cela sera progressif afin que vous puissiez d’abord traiter les données les plus importantes. Une base de parties prenantes bien informées sur les questions quantiques sera utile ici.
[Lire également : Qu’est-ce que la conformité NIST ?]
Ces politiques quantiques doivent être codifiées dans vos politiques de sécurité et de conformité, ajoute Clyde, prédisant l’examen réglementaire avant longtemps. « Les régulateurs commenceront à échouer les appareils et les logiciels et diront en fait qu’à [une certaine] date, il doit y avoir une cryptographie post-quantum », avertit-il.
Commencez à parler à vos fournisseurs
Travailler avec des fournisseurs sera particulièrement important pendant ces étapes, étant donné que de nombreux systèmes existants ne seront pas en mesure de répondre aux nouvelles exigences, avertit le rapport Project Leap. Project Leap est une initiative de la Banque pour les règlements internationaux visant à établir un échange de données à sécurité quantique entre les banques centrales qui a déjà testé avec succès la nouvelle technologie à résistance quantique dans sa phase initiale.
« Le manque de flexibilité dans les systèmes existants signifie qu’un effort de transition majeur sera nécessaire », déclare le rapport. Les entreprises peuvent également constater que les équipements achetés récemment ne disposant pas de ces capacités nécessitent un remplacement précoce.
Clyde conseille aux entreprises de commencer à parler avec les fournisseurs de technologies dès maintenant. Il décrit certaines conversations possibles avec les fournisseurs : « Allez-vous fournir une cryptographie post-quantum dans votre produit ? Allez-vous être en mesure d’obtenir simplement des mises à jour simples qui passeront soudainement à cela ? Quels sont vos plans ? »
La dernière étape consistera à respecter les exigences de conformité à venir. Des audits réguliers pour la préparation quantique deviendront importants, déclare la feuille de route de l’ISACA. Cela signifie tester la résilience cryptographique et prendre en compte la menace quantique dans les évaluations des risques.
Comme le dit Clyde, attendre le jour Q pour faire quelque chose sur la menace quantique est beaucoup trop tard. Le temps diminue pour vous protéger contre le décryptage à puissance quantique. En fait, lorsque nous prenons en compte les attaques HNDL, vous pouvez dire que le cheval a déjà été boulonné.
