De quantumcomputer is nog volop in ontwikkeling, maar de dreiging ervan is al springlevend. Met deze techniek is het mogelijk veelgebruikte encryptiemethoden zoals RSA (asymmetrische encryptie) en ECC (elliptic curve cryptografie) te kraken. Data waarvan we nu aannemen dat die veilig is, eenmaal in verkeerde handen, is daardoor nu al kwetsbaar. We noemen dit: ‘Store now, decrypt later’. Organisaties met langlevende data zouden daarom nu al hun risico’s in kaart moeten brengen en een pad uitstippelen naar een quantumveilige toekomst.
Door: Nort van Schayik
Quantumcomputers werken fundamenteel anders dan klassieke computers. Deze maken gebruik van twee zaken. Principes worden gebruikt als superpositie, waarbij een deeltje meerdere toestanden tegelijk kan aannemen. Ook maken ze gebruik van verstrengeling, waarbij de toestand van het ene deeltje direct verbonden is met die van een ander. Dit stelt supercomputers in staat stelt om bepaalde berekeningen extreem snel uit te voeren. Dat is fijn in toepassingen waar grote hoeveelheden data geanalyseerd moet worden, zoals in de zorg of voor onderzoeksdoeleinden.
Bedreiging voor de samenleving
Quantumcomputers zijn echter ook een fundamentele bedreiging voor de gehele samenleving. Algoritmes waarop we nu vertrouwen, zoals RSA en ECC, kunnen binnen enkele uren of dagen worden gekraakt. Dit zou kunnen leiden tot het feit dat alle digitale transacties niet meer te vertrouwen zijn. Toch maken veel bedrijven en/of instellingen gebruik van asymmetrische encryptie, simpelweg om de reden dat symmetrische encryptie praktisch niet altijd mogelijk is. Data die nu wordt gestolen, of die vandaag in de cloud of in back-ups staat, kan binnen enkele jaren alsnog toegankelijk worden voor kwaadwillenden.
> LEES OOK: Als quantumcomputers straks echt doorbreken is Nederland voorbereid
Inventariseren en bewustwording
Hoewel quantumcomputing nu nog abstract is en ver weg lijkt, is de dreiging concreet, en dus moet je als organisatie in actie komen. De eerste stap is inzicht krijgen: welke data en systemen moet je beschermen tegen de quantumcomputer? Dan hebben we het bijvoorbeeld over langlevende data, zoals:
- Persoonsgegevens en identiteitsgegevens (bijvoorbeeld uit HR-systemen).
- Medische dossiers en patiëntgegevens.
- Overeenkomsten en contracten met looptijden van 10 jaar of langer.
- Intellectueel eigendom zoals ontwerpen, broncodes of onderzoeksdata.
- Financiële data, zoals pensioeninformatie en lange-termijnbeleggingen.
Verantwoordelijk voor securityniveau toeleveranciers
Naast de interne inventarisatie is het belangrijk om leveranciers en partners vragen te stellen. De nieuwste Cyberbeveiligingswet stelt namelijk nadrukkelijk vast dat je als organisatie ook verantwoordelijkheid draagt voor het securityniveau van ketenpartners. Ga dus na bij deze partners welke encryptiestandaarden zij gebruiken en of zij plannen voor post-quantum cryptografie ontwikkelen of implementeren. Zeker voor systemen en applicaties die je bij een leverancier afneemt is het belangrijk dit al in een vroeg stadium duidelijk te hebben. Je bent voor je cryptografie immers van hen afhankelijk.
Migratie naar quantumsafe
Zodra je inzicht hebt in je kwetsbare data en systemen, kun je starten met voorbereiden en de volgende stappen nemen:
- Inventariseer alle plekken waar encryptie wordt gebruikt. Denk aan applicaties, back-ups, API’s, devices en communicatieprotocollen.
- Maak een migratieplan naar quantum-safe algoritmes. Wacht niet op een big bang, maar maak een roadmap voor gefaseerde overgang zodra standaarden breed beschikbaar zijn.
- Overweg het gebruik van hybride encryptie. Daarbij worden bestaande, klassieke algoritmes gecombineerd met quantumveilige algoritmes. Zo voeg je als het ware een extra beschermingslaag toe, zonder afhankelijk te zijn van nog niet afgeronde standaarden.
- Betrek quantumkennis bij de aanschaf van nieuwe systemen en oplossingen. Deze moeten flexibel zijn om toekomstige cryptografie te ondersteunen.
- Werk samen. Betrek securitypartners en softwareleveranciers actief bij je plannen en vraag specifiek naar hun voorbereiding op het quantumtijdperk.
Sneller schakelen
De komst van de quantumcomputer is geen onmiddellijke ramp, maar wel een sluimerend risico waarvoor voorbereiding nú noodzakelijk is. Organisaties die vandaag beginnen met inzicht en bewustwording, kunnen straks sneller, veiliger en gecontroleerd overstappen op nieuwe standaarden. Cybersecurity draait immers niet alleen om beschermen wat nu belangrijk is, maar ook om vooruitdenken naar wat morgen cruciaal zal zijn.
Auteur: Nort van Schayik, Technisch Directeur bij Compumatica, dochteronderneming van Tesorion
Volg Security Management op LinkedIn
