QiC Solutions ha advertido durante la XX edición del Encuentro Internacional de Seguridad de la Información (ENISE) de que empresas e instituciones deben dejar de abordar la transición postcuántica como un proyecto tecnológico puntual y convertir la gestión de su criptografía en una capacidad permanente de la organización.
En palabras de José Cándido Carballido, CTO de la compañía, “la transición postcuántica obliga a las organizaciones a convertir la gestión de su criptografía en una capacidad permanente”.
Durante su ponencia, el CTO de QiC Solutions, ha situado el foco no tanto en predecir cuándo existirá un ordenador cuántico con capacidad suficiente para comprometer los actuales sistemas de criptografía de clave pública, sino en cuánto tiempo necesitará una organización para localizar la criptografía que utiliza, conocer qué sistemas dependen de ella y sustituirla sin afectar a su operativa.
Precisamente un día antes, durante la inauguración del encuentro, el ministro para la Transformación Digital y de la Función Pública, Óscar López, había puesto de relieve durante su discurso de apertura la importancia de la ciberseguridad cuántica entre los nuevos desafíos de la seguridad digital.
«El problema no es cuándo llega el ordenador cuántico, sino cuánto tardamos en cambiar. Y, como vamos a tener que cambiar más de una vez, necesitamos una capacidad permanente para hacerlo», ha señalado Carballido durante su intervención.
Algoritmos, certificados, implementaciones y estándares
La tesis defendida por Carballido parte de que la migración a la criptografía postcuántica no será el último cambio que afrontarán las organizaciones. Algoritmos, certificados, implementaciones y estándares seguirán evolucionando y pueden obligar a reaccionar nuevamente. La criptoagilidad pasa así de ser una respuesta frente a una amenaza concreta a convertirse en la capacidad de una organización para conocer, gobernar y modificar su criptografía de forma controlada cuando sea necesario.
La necesidad de prepararse no depende únicamente de la evolución futura de los ordenadores cuánticos. La hoja de ruta coordinada de la Unión Europea establece que todos los Estados miembros deben comenzar su transición hacia la criptografía postcuántica antes de finalizar 2026 y que los casos de uso considerados de alto riesgo deben estar migrados lo antes posible y, como máximo, a finales de 2030.
En sectores especialmente regulados, las obligaciones actuales apuntan además hacia una gestión cada vez más activa de la criptografía. En el ámbito financiero, DORA y su desarrollo técnico exigen a las entidades integrar el riesgo tecnológico en su sistema global de gestión de riesgos, disponer de políticas documentadas sobre cifrado y controles criptográficos y gestionar las claves durante todo su ciclo de vida, incluyendo la necesidad de adaptar o sustituir las tecnologías criptográficas cuando sea necesario.
La evolución tecnológica acorta los ciclos del cambio
También los propios estándares tecnológicos están reduciendo los márgenes de reacción. Como puso de manifiesto el CTO de QiC durante su intervención, desde el 15 de marzo de 2026 la validez máxima de los certificados TLS públicos se ha reducido a 200 días; cifra que bajará a 100 días en marzo de 2027 y a 47 en marzo de 2029. Este cambio, remarcó “obliga a aumentar la automatización de procesos de inventario, renovación y gestión que tradicionalmente podían ejecutarse con ciclos mucho más largos”.
Para QiC, estos cambios anticipan una realidad más amplia: la criptografía está dejando de ser un mecanismo de ciberseguridad que pueda revisarse de forma esporádica. Regulación, estándares, nuevas vulnerabilidades y evolución tecnológica están acortando los ciclos de cambio y obligando a las organizaciones a saber qué criptografía utilizan, dónde se encuentra y qué consecuencias tendría modificarla.
QiC Solutions plantea abordar este reto desde la criptoagilidad: dotar a las organizaciones de una capacidad permanente para conocer qué criptografía utilizan, gobernarla de acuerdo con sus políticas y necesidades, y modificarla cuando sea necesario sin comprometer la continuidad de sus sistemas. Todo ello en un marco fundamental en el presente y futuro de la ciberseguridad: la necesaria soberanía de las plataformas criptográficas.
La compañía defiende que el primer paso hacia la criptoagilidad no consiste en sustituir algoritmos de forma indiscriminada, sino en conseguir visibilidad sobre certificados, librerías, protocolos, código, sistemas y terceros y conocer las dependencias existentes entre ellos. A partir de ahí, las políticas criptográficas pueden convertirse en reglas verificables que permitan identificar desviaciones y anticipar el impacto de cada cambio antes de ejecutarlo.
En transición hacia la criptoagilidad
Ese es precisamente el ámbito en el que se ha especializado QiC Solutions, compañía 100% española de ciberseguridad cuántica que combina experiencia especializada, metodología y tecnología propia para ayudar a empresas e instituciones en su transición hacia la criptoagilidad.
«Ninguna organización puede cambiar aquello que no conoce. La primera condición para ser criptoágil es saber qué tenemos, dónde está, si cumple nuestras políticas y qué puede dejar de funcionar cuando decidamos cambiarlo», ha concluido Carballido.
QiC defiende que defiende que el primer paso hacia la criptoagilidad consiste en conseguir visibilidad sobre certificados, librerías, protocolos, código, sistemas y dependencias de terceros
QiC Solutions ha desarrollado para ello |QS, una plataforma orientada a automatizar buena parte del ciclo de gestión criptográfica: descubrir activos y certificados, evaluar exposición y vulnerabilidades, traducir políticas a reglas verificables, analizar dependencias, priorizar actuaciones y apoyar los procesos de remediación, manteniendo la validación humana en las decisiones críticas.
La aproximación de la compañía se basa en la gestión de la postura criptográfica como una vía para comenzar a ganar control sobre la infraestructura existente sin exigir inicialmente una rearquitectura completa de los sistemas. El objetivo es reducir la complejidad y la inversión necesaria para comenzar la transformación y determinar posteriormente dónde tiene sentido acometer modificaciones estructurales de mayor alcance.
