Teidän AI-budjettinne kirjoittaa sekkejä, joita teidän salausaluksenne ei voi katsoa

Merkit ovat joka paikassa. Moody’s, Google, Cloudflare ja Valkoinen talo varoittavat kaikki. Miksi CISO:t kuitenkin käsittelevät kvantti-ilmiötä edelleen “myöhemmäksi” ongelmaksi?

Kysy CISO:ltä, minne hän on käyttänyt vuoden varallisuusbudjettinsa, ja saat saman vastauksen: AI. Markkinat ovat päättäneet, että tekoäly on määräävä turvallisuushaaste meidän aikakaudellamme, ja raha on seurannut.

On kuitenkin yksi ongelma. Siinä, kun organisaationne on rakentanut AI-pipelineita, joku saattaa hiljaisesti varastaa teidän salattuja tietoja ja odottaa, että kvanttitietokone saapuu purkamaan ne.

Tämä ei ole hypoteettinen skenaario. Se on dokumentoitu keräysasenne, jota kutsutaan “kerää nyt, purka myöhemmin” -asenteeksi, ja se on tarkalleen sitä, miksi Moody’s Ratings (luottoluokituslaitos, jonka mielipide vaikuttaa valtioiden joukkolainamarkkinoihin) on antanut selkeän varoituksen, että hitaasti tapahtuva post-kvantti-salaus (PQC) -siirtymä voi edustaa aineellista luottoluokitusriskiä organisaatioille rahoitus-, terveydenhuolto- ja kriittisen infrastruktuurin aloilla, ja Valkoinen talo on viimeksi määrännyt nopeutettua PQC-omaksumista liittovaltion virastoille ja urakoitsijoille

Aikajana on merkittävästi lyhentynyt

Vuosiin, standardivakuutus, jota tarjottiin hallituksille, jotka epäröivät käyttää varoja kvanttitietoturvaan, oli yksinkertainen: meillä on aikaa vuoteen 2035 asti. Se oli Yhdysvaltain hallituksen oma kohde siirtymiseen post-kvantti-salausjärjestelmiin, ja se oli riittävän kaukainen horisontti tunteakseen itsensä mukavaksi priorisoida sitä myöhemmäksi. Mutta se on muuttunut. 22. kesäkuuta 2026 Valkoinen talo julkisti kaksi toimeenpanoasetusta, jotka määräsivät aikataulut liittovaltion virastoille siirtymiseen post-kvantti-salausratkaisuihin. Nämä toimeenpanoasetukset tunnustavat, että edistyneen kvanttilaskennan edistäminen ja sen turvallisuusvaikutusten torjunta ovat nyt erottamattomia kansallisia etuoikeuksia. Toisessa määräyksessä nopeutetaan kvantti-innovaatiota, toisessa määräyksessä nopeutetaan operatiivista valmiutta suojella kriittisiä järjestelmiä kvantti-aikakaudella.

Viime aikoihin asti konsensus oli, että nykyisen salauksen murtaminen vaatisi miljoonia qubiteja, kykyä, joka on edelleen vuosia etäällä. Uusi tutkimus, mukaan lukien Google-omien Quantum AI -tiimin viitatut työt, osoittaa, että noin 10 000 qubittia saattaa olla riittävä Shorin algoritmin suorittamiseen nykyisiä standardeja vastaan. Noin 26 000 qubittia saattaa murtaa P-256: n, elliptisen kaaren algoritmin, joka on perustana laajalle rahoituspalveluille ja hallituksen järjestelmille. Google-omassa tutkimuksessa osoitetaan noin 20-kertaista laskentaresurssien vähennystä turvallisen elliptisen kaaren salauksen hyökkäyksessä aiempiin arvioihin verrattuna

Maaliskuussa 2026 Google ilmoitti nopeuttavansa sisäistä PQC-siirtymäkohdettaan vuoteen 2029. Cloudflare seurasi huhtikuussa samalla kohteella. Viimeksi kesäkuun lopussa Microsoft siirsi PQC-siirtymänsä vuodesta 2033 vuoteen 2029. Yhdysvaltain sääntelyasenne PQC: ssä on myös muuttunut merkittävästi viimeisen vuoden ja puolen aikana. NSA odottaa nyt, että verkkoalan laitteiden toimittajat tukkivat ja suosivat CNSA 2.0 -algoritmeja vuonna 2026, ja viimeisin toimeenpanoasetus ohjaa liittovaltion virastoja siirtymään arvokkaiden varojen ja vaikutusjärjestelmien PQC: hen vuoteen 2030 mennessä.

EU: ssä Euroopan komission viesti on selkeä: aloita siirtymä vuoden 2026 loppuun mennessä ja suojaa kriittisiä infrastruktuureja viimeistään vuoden 2030 loppuun mennessä.

Näiden kehitysten yhdistelmä on, että “myöhempi” aikajana, jota useimmat organisaatiot ovat, ei ole enää voimassa. Kysymys ei ole siinä, tuleeko sääntelypaine kvanttisalausta. Se on, onko organisaatiollasi perusta valmiina, kun se saapuu.

Budjettiansa: Miksi AI aina voittaa ja miksi se on ongelma

Tässä on epämukava dynamiikka, joka toistuu IT-budjettikokouksissa joka neljännesvuosi. AI-sijoitusilla on tarina. Se luo liidejä, leikkaa kustannuksia, kiihdyttää analyytikkoja ja tuottaa tuloksia, joita johtajat voivat nähdä ja koskettaa. AI-pohjainen SOC-työkalu näyttää sinulle kojussa päivänä yksi. PQC-siirtymisohjelma näyttää sinulle salauksellisen inventaario-ongelmia, joita et tiennyt, ja mitään havaittavaa muutosta käyttäjäkokemukseen.

Moody’s on tunnustanut tämän jännityksen nimenomaisesti ja huomauttaa, että PQC-kulut “kilpailevat suoraan AI-sijoituksien kanssa”, koska ne eivät tuota välittömästi myyntiin tai tuottavuuden lisäystä. Se on sellaista kulutusta, jota on erittäin helppo lykätä ja erittäin vaikea perustella, kunnes jotain menee katastrofaalisesti pieleen.

Tämä lykätty kustannus ei kuitenkaan ole ilmainen. Moody’s arvioi, että organisaatiot, jotka aloittavat PQC-siirtymisen nyt, pitäisi odottaa, että se edustaa noin 2,5 %: ia vuosittaisista IT-budjeteista. Ne, jotka viivästyvät vuoteen 2030 asti, saattavat katsoa kaksinkertaisen ja paljon pakotetumman, kaoottisemman siirtymisen sääntelypaineen alla. Valkoinen talo on jo arvioinut, että liittovaltion järjestelmien siirtäminen maksaa noin 7,1 miljardia dollaria yli kymmenen vuoden ajan. Se on vain yksi hallitus. Moninkertaistakaa logiikkaa yrittäjämarkkinoille, ja luvut tulevat vaikeiksi ignoreerata.

Mitä älykkäimmät toimijat jo ovat tekemässä

Se, että Google, Cloudflare ja Microsoft ovat edellä käyrää, on merkittävää, mutta se pitäisi myös olla opettavainen. Nämä yritykset ovat päättäneet, että salauksen siirtäminen ei ole sääntelytehtävä, jota suoritetaan hallituksen aikataululla. Se on kilpailukykyinen infrastruktuuri, joka pitäisi tehdä nyt, kun on vielä aikaa tehdä se oikein.

Heidän lähestymistapansa perustuu kahteen periaatteeseen, jotka pitäisi ohjata yritysten strategiaa laajasti.

Ensimmäinen on salauksellinen joustavuus: järjestelmien rakentaminen, joissa algoritmia voidaan vaihtaa puhtaasti ilman repimistä ja korvaamista, kun PQC-maailma jatkaa kehittymistään. NISTin lopullinen ML-KEM- ja ML-DSA -post-kvantti-standardeja vuonna 2024 oli merkittävä merkkipaalu, mutta algoritmiMaisema jatkaa muuttumista. Useat vahvat ehdokkaat on jo murtanut standardisointiprosessin aikana. Organisaatiot, jotka koodaavat tänään PQC-algoritmeja samalla jäykkyydellä kuin RSA: lle, kohtaavat saman vaienan ja korvaavan kierron uudelleen viiden vuoden kuluttua.

Toinen on näkyvyys. Et voi siirtää salauksia, joita et voi nähdä, ja useimmat yritykset eivät ole selkeää kuvaa, missä julkisessa avaimessa salaus elää koko omaisuudessaan. Ei vain omassa sovelluksessa, vaan myös kolmannen osapuolen integraatioissa, toimittajien hallitsemilla alustoilla, IoT-laitteissa, operatiivisessa teknologiassa ja vanhoissa järjestelmissä, joita ei ole päivitetty vuosiin.

Molemmat nämä kyvyt: joustavuus ja näkyvyys, vaativat investointeja. Omistettu kulut salauksen inventoinnille, orkestraatiolle ja siirtymistyökaluille. Se kulut on leikattava nyt, ennen kuin ikkuna toimia edullisesti sulkeutuu.

Kysymys, jonka hallitukset tarvitsevat kysyä

On versio tästä tarinasta, joka päättyy huonosti ja on täysin ennustettavissa. Organisaatiot jatkavat syöttämistä varallisuusbudjettiaan AI-työkaluihin vuosina 2027 ja 2028. Kvanttilaskennan kyky etenee odotettua nopeammin. Sääntelijät alkavat määrätä PQC-yhdenmukaisuutta lyhyillä johtoajoilla. Organisaatiot kiirehtivät siirtämään kriittistä salausinfrastruktuuria aikapaineen alla, kaksinkertaisella kustannuksella, samalla kun ne hallitsevat mitä tahansa AI-liittyviä tapahtumia, jotka hallitsevat otsikoita sinä vuonna.

Se ei ole kvanttiuhka. Se on suunnitteluvirhe.

Älykkäämpi versio tästä tarinasta näyttää erilaiselta. Se alkaa hallitusten kysymällä CISO: ltaan suoraa kysymystä: missä on julkisavain salaus, mitä se maksaa siirtää, ja milloin sinun on aloitettava? Se jatkuu IT-johtajien tunnustamisella, että osa AI-turva-budjettia, vaikka vaatimatonkin, pitäisi ohjata salauksellisen perustan rakentamiseen, josta kaikki muu sijoitus riippuu.

AI ja PQC eivät ole todella kilpailevia prioriteetteja. Jokainen AI-järjestelmä, jonka organisaatio ottaa käyttöön, jokainen malli, jota se kouluttaa herkillä tiedoilla, jokainen API, jonka se paljastaa, riippuu salausinfrastruktuurista sen alla. Jos se infrastruktuuri on rikkoontunut kvantti-vastustajalta, AI-turva-työkalu, joka on sen päällä, ei ole merkitystä.

Tapaus siirtää osaa AI-budjettia kvantti-salausvalmiuden pariin ei ole todella tekninen argumentti. Se on taloudellinen.

Aikaiset siirtäjät rakentavat salauksellisen joustavuuden uusiin järjestelmiin marginaalikustannuksilla. He neuvottelevat PQC-valmiuden vaatimukset toimittajien sopimuksiin ennen kuin ne tulevat teollisuuden standardiksi ja toimittajat nostavat hintojaan vastaavasti. He jakavat siirtymiskustannukset useiden vuosien yli eivätkä pakkaa niitä paniikin ja sääntelyohjatun spriin.

Myöhäiset siirtäjät maksavat kaksinkertaisen hinnan, siirtävät paineen alla ja selittävät hallituksilleen, miksi he lukevat EO: t, näkivät Moody’sin varoituksen, seurasivat Googlea, Cloudflarea ja Microsoftia siirtymiseen vuoteen 2029 ja eivät kuitenkaan toimineet.