Bugetul dvs. pentru IA scrie cecuri pe care criptografia dvs. nu le poate onora

Semnele sunt peste tot. Moody’s (MCO ), Google, Cloudflare și Casa Albă sună toate alarmă. De ce încă CISO-ii tratează cuantica ca pe o problemă “pentru mai târziu”?

Întrebați orice CISO unde a ajuns bugetul său discreționar anul acesta, și veți auzi același răspuns: IA. Piața a decis că inteligența artificială este provocarea de securitate definitorie a epocii noastre, și banii au urmat.

Există doar o problemă. În timp ce organizația dvs. a construit conducte de IA, cineva ar putea deja să fure în mod silențios datele dvs. criptate și să aștepte sosirea unui computer cuantic pentru a le decripta.

Acesta nu este un scenariu ipotetic. Este o atitudine de colecție documentată, cunoscută sub numele de “a recolta acum, a decripta mai târziu”, și este exact de ce Moody’s Ratings (agenția de credit a cărei opinie mișcă piețele obligațiunilor suverane) a emis un avertisment ferm că adoptarea lentă a criptografiei post-cuantice (PQC) ar putea reprezenta un risc de credit material pentru organizații din domeniul financiar, sănătate și infrastructură critică, și Casa Albă a impus recent o adoptare accelerată a PQC pentru agențiile și contractanții federali

Calendarul s-a scurtat semnificativ

De ani de zile, asigurarea standard oferită consiliilor care ezită să cheltuiască pentru pregătirea cuantică a fost simplă: avem până în 2035. Acesta a fost obiectivul guvernului american pentru migrarea sistemelor de securitate națională la criptografia post-cuantica și a fost un orizont suficient de îndepărtat pentru a se simți confortabil cu deprioritizarea, pentru moment. Cu toate acestea, lucrurile s-au schimbat. La 22 iunie 2026, Casa Albă a prezentat nu una, ci două ordine executive care au impus termene pentru agențiile federale să migreze către soluții criptografice post-cuantice. În ansamblu, aceste ordine executive recunosc că avansarea calculului cuantic și apărarea împotriva implicațiilor sale de securitate sunt acum priorități naționale inseparabile. O ordine accelerează inovația cuantică; cealaltă accelerează pregătirea operațională necesară pentru a proteja sistemele critice în era cuantică.

Până de curând, consensul a susținut că spargerea criptării de astăzi ar necesita milioane de cubiți, o capacitate încă departe. Noi cercetări, inclusiv lucrări citate de echipa Quantum AI a Google, sugerează că aproximativ 10.000 de cubiți ar putea fi suficienți pentru a rula algoritmul lui Shor împotriva standardelor actuale. Aproximativ 26.000 de cubiți ar putea sparge P-256, curba eliptică care stă la baza unor sectoare financiare și sisteme guvernamentale. Cercetarea Google indică o reducere de aproximativ 20 de ori a resurselor de calcul necesare pentru a ataca criptografia eliptică sigură, comparativ cu estimările anterioare

În martie 2026, Google a anunțat că accelerează ținta sa internă de migrare PQC către 2029. Cloudflare a urmat în aprilie cu aceeași țintă. Cel mai recent, la sfârșitul lunii iunie, Microsoft (MSFT ) și-a mutat ținta de tranziție PQC de la 2033 la 2029. Poziția regulamentară a SUA cu privire la PQC s-a schimbat semnificativ în ultimele 18 luni. NSA se așteaptă acum ca furnizorii de echipamente de rețea să susțină și să prefere algoritmii CNSA 2.0 până în 2026, și ordonanța executivă recentă a dispus agențiilor federale să treacă activele cu valoare ridicată și sistemele cu impact ridicat la PQC până în 2030.

În UE, mesajul Comisiei Europene este clar: începeți tranziția până la sfârșitul anului 2026 și finalizați protecția infrastructurilor critice cel târziu până la sfârșitul anului 2030.

Efectul combinat al acestor evoluții este că “calendarul de mai târziu” pe care îl utilizează majoritatea organizațiilor nu mai este valabil. Întrebarea nu este dacă presiunea regulamentară asupra criptografiei cuantice va apărea. Este dacă organizația dvs. va fi prinsă în încercarea de a se conforma atunci când vine presiunea, sau dacă va fi construit deja fundația.

Capcana bugetară: De ce IA câștigă întotdeauna și de ce acest lucru este o problemă

Aici este dinamica incomodă care se desfășoară în ședințele de buget IT de fiecare trimestru. Investițiile în IA au o poveste. Generează lead-uri, reduc costurile, accelerează analiștii și produc ieșiri pe care executivii le pot vedea și atinge. Un instrument de securitate SOC alimentat de IA vă va arăta un panou de bord în prima zi. Un program de migrare PQC vă va arăta un inventar criptografic de probleme pe care nu le știați că le aveți, și nicio schimbare discernibilă a experienței utilizatorului.

Moody’s a identificat această tensiune în mod explicit, notând că cheltuielile PQC “vor concura direct cu investițiile în IA” pentru că nu oferă niciun avans imediat de venituri sau câștig de productivitate. Este tipul de cheltuieli care este foarte ușor de amânat și foarte greu de justificat până când ceva nu merge catastrofal de rău.

Cu toate acestea, costul amânat nu este gratuit. Moody’s estimează că organizațiile care încep migrarea PQC acum ar trebui să se aștepte ca aceasta să reprezinte aproximativ 2,5% din bugetele lor anuale IT. Cei care întârzie până în 2030 ar putea fi confruntați cu dublul acestor costuri și o migrare mult mai comprimată și haotică, sub presiunea regulamentară. Casa Albă a estimat deja că migrarea sistemelor federale singure va costa aproximativ 7,1 miliarde de dolari pe o perioadă de zece ani. Acesta este doar pentru un singur guvern. Multiplicați această logică pe piața întreprinderilor și numerele devin dificil de ignorat.

Ce fac already cei mai deștepți operatori

Faptul că Google, Cloudflare și Microsoft sunt înaintea curbei este notabil, dar ar trebui să fie și edificator. Aceste companii au concluzionat că migrarea criptografică nu este un exercițiu de conformitate care trebuie finalizat pe un calendar guvernamental. Este o decizie de infrastructură competitivă care trebuie luată acum, în timp ce există încă timp să o facă corect.

Abordarea lor se concentrează pe două principii care ar trebui să informeze strategia întreprinderilor în general.

Primul este agilitatea criptografică: construirea sistemelor în care algoritmii subiacenți pot fi schimbați curat, fără a fi nevoie de o înlocuire, pe măsură ce peisajul PQC continuă să evolueze. Finalizarea de către NIST a ML-KEM și ML-DSA ca standarde post-cuantice principale în 2024 a fost o piatră de hotar importantă, dar peisajul algoritmilor va continua să se schimbe. Mai multe candidați puternici au fost deja sparte în timpul procesului de standardizare. Organizațiile care codifică rigid algoritmii PQC de astăzi cu aceeași rigiditate pe care au aplicat-o RSA vor fi confruntate cu același ciclu dureros de înlocuire din nou peste cinci ani.

Al doilea este vizibilitatea. Nu puteți migra criptografia pe care nu o puteți vedea, și majoritatea întreprinderilor nu au o imagine coerentă a modului în care criptografia cu chei publice trăiește în întreaga lor avere. Nu doar în aplicațiile proprii, ci și în integrările cu terți, platformele gestionate de furnizori, dispozitivele IoT, tehnologia operațională și sistemele legacy care nu au fost actualizate de ani de zile.

Ambele aceste capacități – agilitate și vizibilitate – necesită investiții. Cheltuieli dedicate pentru inventarul criptografic, orchestrarea și instrumentele de migrare. Această cheltuială trebuie alocată acum, înainte de a se închide fereastra pentru a acționa la un cost rezonabil.

Întrebarea pe care consiliile trebuie să o pună

Există o versiune a acestei povești care se termină prost și este complet previzibilă. Organizațiile continuă să direcționeze bugetul de securitate discreționar către instrumentele de IA prin 2027 și 2028. Capabilitățile de calcul cuantic avansează mai repede decât se aștepta. Regulatorii încep să impună conformitatea PQC cu termene scurte. Organizațiile se grăbesc să migreze infrastructura criptografică critică sub presiunea timpului, la dublul costului, în timp ce gestionează incidentele legate de IA care domină știrile în acel an.

Acesta nu este un pericol cuantic. Acesta este un eșec de planificare.

Versiunea mai deșteaptă a acestei povești arată diferit. Începe cu consiliile care își pun CISO-ilor o întrebare simplă: unde este criptografia noastră cu chei publice, ce ar costa să o migrăm și când ar trebui să începem? Continuă cu conducerea IT care recunoaște că o parte a bugetului de securitate IA, chiar și una modestă, ar trebui să fie redirecționată către construirea fundației criptografice pe care se bazează toate celelalte investiții.

IA și PQC nu sunt de fapt priorități care se concurează. Fiecare sistem de IA pe care îl implementează o organizație, fiecare model pe care îl antrenează pe date sensibile, fiecare API pe care îl expune, se bazează pe infrastructura criptografică de dedesubt. Dacă acea infrastructură este ruptă de un adversar cuantic, instrumentele de securitate IA care stau deasupra nu contează.

Cazul pentru a muta o parte a bugetului dvs. de IA către pregătirea criptografiei cuantice nu este de fapt un argument tehnic. Este unul financiar.

Mișcările timpurii vor construi agilitatea criptografică în noi sisteme la un cost marginal. Vor negocia cerințele de pregătire PQC în contractele cu furnizorii înainte ca acestea să devină standardul industriei și furnizorii să-și majoreze prețurile în consecință. Vor distribui costurile de migrare pe parcursul mai multor ani, în loc să le comprime într-un sprint panicat și condus de regulator.

Mișcările târzii vor plăti de două ori mai mult, vor migra sub presiune și vor explica consiliilor lor de administrație de ce au citit ordinele executive, au văzut avertismentul Moody’s, au urmărit Google, Cloudflare și Microsoft cum și-au mutat termenele către 2029 și totuși nu au acționat.