Ignacio Martín Gallardo
Business Development Manager
Ignacio Martín Gallardo
Más allá del cifrado: la amenaza cuántica como crisis de la confianza digital
Durante más de cinco décadas, la criptografía ha sido mucho más que una herramienta para ocultar información. Se ha convertido en una de las infraestructuras invisibles sobre las que hemos construido la economía y la sociedad digital.
Cada vez que accedemos a la banca online, firmamos un documento digital, enviamos información sensible o instalamos una actualización de software, asumimos que determinadas garantías funcionan: sabemos con quién estamos comunicando, podemos confiar en su identidad, el contenido no ha sido alterado y la información permanece protegida.
Gran parte de esa confianza descansa sobre algoritmos como RSA, ECC o Diffie-Hellman y sobre la dificultad matemática de determinados problemas. La computación cuántica introduce, potencialmente, una ruptura de esa premisa.
Pero conviene hacer una distinción importante: el riesgo cuántico es real; el apocalipsis cuántico no es una hipótesis operativa para mañana.
La amenaza cuántica es romper las garantías invisibles sobre las que hemos construido toda nuestra confianza digital
El problema no es solo romper el cifrado
Cuando hablamos de computación cuántica, solemos pensar inmediatamente en la posibilidad de descifrar comunicaciones protegidas con criptografía asimétrica. Sin embargo, el impacto potencial es más profundo.
Si las bases criptográficas actuales dejaran de ofrecer las garantías esperadas, podrían verse afectados diferentes pilares de la confianza digital: la confidencialidad de una comunicación, la autenticidad de una firma, la identidad asociada a un certificado o la integridad del software y de los sistemas.
Por eso, el desafío no consiste simplemente en encontrar un nuevo algoritmo de cifrado. Consiste en garantizar que la infraestructura digital pueda seguir ofreciendo las mismas garantías de confianza cuando cambie la tecnología que las sustenta.
Y aquí aparece una particularidad que hace que esta cuestión sea relevante incluso antes de disponer de un ordenador cuántico criptográficamente relevante.
El riesgo que ya existe: Harvest Now, Decrypt Later
El modelo Harvest Now, Decrypt Later plantea un escenario sencillo: información cifrada que se captura hoy podría conservarse hasta que exista la capacidad tecnológica necesaria para descifrarla.
Esto no convierte automáticamente todo el tráfico cifrado actual en un objetivo de alto valor. Almacenar y procesar grandes volúmenes de información durante años tiene costes y limitaciones, y gran parte de los datos habrá perdido su valor mucho antes de que la tecnología permita explotarlos.
El riesgo se concentra especialmente en aquella información cuyo valor o sensibilidad permanece durante décadas: determinados historiales médicos, información clasificada, secretos industriales, propiedad intelectual o información asociada a infraestructuras críticas.
La pregunta, por tanto, no es “¿cuándo llegará el Q-Day?”, sino:
¿Cuánto tiempo necesitamos para transformar nuestros sistemas y cuánto tiempo debemos mantener protegida nuestra información?
No es una emergencia, es una transición
La transición hacia la Criptografía Post-Cuántica no significa sustituir mañana toda la criptografía existente. Tampoco asumir que los sistemas actuales de las organizaciones son inseguros.
De hecho, la PQC requiere nuevos algoritmos matemáticos diseñados para resistir ataques de ordenadores cuánticos y que pueden ejecutarse sobre la infraestructura convencional.
El verdadero desafío: ¿Dónde y cómo se utiliza la criptografía dentro de la organización?
La criptografía está profundamente distribuida entre aplicaciones, certificados, APIs, conexiones TLS y SSH, HSM, dispositivos IoT / OT, plataformas de identidad, servicios cloud y cadenas de suministro tecnológicas.
En muchas organizaciones no existe una visión completa de dónde se utiliza criptografía, qué algoritmos intervienen o qué información debe permanecer protegida. Por eso, el objetivo es hacer visible y gobernable la criptografía.
Un enfoque pragmático puede estructurarse en cuatro pasos:
1.Descubrir
Identificar dónde está presente la criptografía, qué algoritmos se utilizan y cuáles son sus dependencias. Un Cryptographic Bill of Materials (CBOM) puede ayudar a construir este inventario.
2.Priorizar
Determinar qué sistemas y qué información requieren protección a largo plazo, teniendo en cuenta su criticidad, sensibilidad y exposición a escenarios como HNDL.
3.Migrar
Introducir mecanismos post-cuánticos allí donde el riesgo y la madurez tecnológica lo justifiquen, utilizando esquemas híbridos que combinen mecanismos clásicos y post-cuánticos durante la transición.
4.Adaptar
Diseñar arquitecturas capaces de evolucionar sin tener que reconstruirlas cada vez que cambie un algoritmo, un estándar o un parámetro criptográfico.
Este último principio es fundamental: la cripto-agilidad
La amenaza cuántica obliga a cuestionar esa premisa.
La respuesta no debería ser buscar “el algoritmo definitivo”, sino construir sistemas capaces de cambiar de algoritmo sin cambiar la confianza que depositamos en ellos.
Eso es la cripto-agilidad: la capacidad de evolucionar los mecanismos criptográficos mediante arquitectura, configuración y políticas, evitando que cada cambio implique una reconstrucción completa de las aplicaciones y de la infraestructura.
La hibridación puede desempeñar además un papel relevante durante la transición, combinando mecanismos clásicos y post-cuánticos para introducir progresivamente nuevas capacidades mientras se mantiene el respaldo de tecnologías ampliamente desplegadas.
La criptografía tendrá que evolucionar. La confianza digital también. La diferencia estará en nuestra capacidad para hacer que ese cambio sea controlado, gradual y resiliente.
Serenidad
operativa
frente al ruido
La transición postcuántica no debería plantearse como una carrera contra un reloj desconocida ni como una nueva fuente de alarmismo.
Es, sobre todo, una oportunidad para revisar una dependencia que durante décadas ha permanecido prácticamente invisible.
La criptografía está presente en prácticamente todos los niveles de nuestra infraestructura digital. Su evolución afectará a aplicaciones, identidades, comunicaciones, dispositivos, proveedores y procesos críticos.
Por eso, el objetivo no debería ser simplemente “post-cuántico”, sino construir organizaciones capaces de adaptar su infraestructura de confianza a medida que cambie el entorno tecnológico.
La amenaza cuántica nos recuerda una verdad incómoda pero útil: la confianza digital no es permanente. Depende de tecnologías, algoritmos y supuestos que también evolucionan.
La respuesta responsable no es el miedo; es visibilidad, priorización, planificación y cripto-agilidad.
El mayor riesgo no es que un día deje de funcionar un algoritmo. Es descubrir demasiado tarde que habíamos construido nuestra confianza digital suponiendo que nunca tendría que cambiar.
Ignacio Martín Gallardo
Business Development Manager - TRC