Riskien arviointi PQC-siirtymässä

Miksi riskien arviointi on välttämätöntä PQC-siirtymässä?

Kvanttiturvallisiin salausmenetelmiin siirtyminen ei tapahdu yhdessä hetkessä, eikä se koske kaikkia järjestelmiä tai tietoja samanaikaisesti. Organisaatioiden käytössä olevat järjestelmät, tiedot ja salausratkaisut muodostavat monimutkaisen kokonaisuuden, jossa kvanttiuhkan vaikutukset vaihtelevat merkittävästi.

Riskien arvioinnin tavoitteena on tunnistaa ne kohteet, joissa kvanttiuhka muodostaa merkittävimmän riskin, ja tukea päätöksiä siitä, missä järjestyksessä ja millä aikataululla siirtymää toteutetaan. Ilman riskiperusteista lähestymistapaa siirtymä voi kohdistua vääriin kohteisiin tai tapahtua liian myöhään.

Riskien arviointi auttaa myös hahmottamaan kvanttiuhkaa laajempana kokonaisuutena, jossa tekniset, toiminnalliset ja organisatoriset tekijät kietoutuvat yhteen.

Kvanttiriskin erityisluonne

Kvanttiriski poikkeaa monista perinteisistä kyberturvallisuusriskeistä. Kyse ei ole yksittäisestä haavoittuvuudesta tai tunnetusta hyökkäysmenetelmästä, vaan pitkällä aikavälillä kehittyvästä uhkasta, jonka tarkkaa aikataulua ei tunneta.

Keskeistä kvanttiriskissä on se, että:

• uhka kehittyy asteittain
• vaikutukset voivat realisoitua viiveellä
• riskin vakavuus riippuu tiedon ja järjestelmän elinkaaresta

Erityisen merkittävä kvanttiriski liittyy tilanteisiin, joissa salattua tietoa kerätään jo nyt myöhempää purkamista varten. Tällöin riskin toteutuminen ei edellytä kvanttitietokoneiden välitöntä käyttöä, vaan ainoastaan sitä, että salattu aineisto on saatu haltuun.

Kryptografinen inventaario riskien arvioinnin perustana

Riskien arviointi edellyttää näkyvyyttä organisaation kryptografiseen ympäristöön. Tämä tarkoittaa ymmärrystä siitä, missä ja miten kryptografiaa käytetään, ja mitkä ratkaisut ovat kvanttiuhalle haavoittuvia.

Kryptografisen inventaarion avulla tunnistetaan muun muassa:

• käytössä olevat salausalgoritmit ja avainpituudet
• avaintenvaihdon ja allekirjoitusten toteutustavat
• järjestelmät ja sovellukset, joissa kryptografia on kriittisessä roolissa
• tiedot, joiden luottamuksellisuusvaatimukset ovat pitkäikäisiä

Ilman kattavaa inventaariota riskien arviointi jää väistämättä puutteelliseksi, ja siirtymään liittyvät päätökset perustuvat oletuksiin eikä todelliseen tilannekuvaan.

Tiedon luokittelu ja elinkaaren huomioiminen

Kvanttiriskin arvioinnissa tiedon luokittelu ja elinkaaren pituus ovat keskeisiä tekijöitä. Kaikki tiedot eivät edellytä suojaa vuosikymmenten päähän, mutta osa tiedoista on luonteeltaan pitkäikäisiä ja niiden suojaaminen on kriittistä myös tulevaisuudessa.

Riskien arvioinnissa tarkastellaan muun muassa:

• kuinka kauan tiedon on säilyttävä luottamuksellisena
• missä muodossa tietoa säilytetään
• kuinka laajasti tietoa siirretään tai jaetaan

Mitä pidempi tiedon elinkaari ja suurempi sen arvo, sitä merkittävämpi kvanttiriski on jo nykyhetkessä.

Uhkamallinnus kvanttiuhkien näkökulmasta

Uhkamallinnus on keskeinen työkalu kvanttiriskien arvioinnissa. Sen avulla tunnistetaan mahdolliset hyökkäysskenaariot ja arvioidaan niiden vaikutuksia.

Kvanttiuhkien osalta uhkamallinnuksessa kiinnitetään huomiota erityisesti:

• tiedon keräämiseen pitkällä aikavälillä
• hyökkääjän kannustimiin ja resursseihin
• järjestelmien ja tietovirtojen altistumiseen

Moscan kvanttiriskiarviota (QRA) voidaan hyödyntää tukena arvioitaessa, milloin kvanttiuhka muodostuu merkittäväksi tietylle tiedolle tai järjestelmälle. QRA auttaa suhteuttamaan tiedon säilytysajan, järjestelmän käyttöiän ja kvanttilaskennan kehitysarviot toisiinsa.

Riskien priorisointi ja päätöksenteon tuki

Riskien arvioinnin keskeinen tehtävä on tukea päätöksentekoa. Kaikkia järjestelmiä ei ole mahdollista tai tarkoituksenmukaista siirtää kvanttiturvallisiin salausmenetelmiin samanaikaisesti.

Riskiperusteinen lähestymistapa auttaa:

• tunnistamaan kriittisimmät kohteet
• kohdentamaan resurssit tehokkaasti
• aikatauluttamaan siirtymän hallitusti

Korkean riskin kohteet voivat edellyttää varhaisempaa siirtymää tai erityisiä suojatoimia, kun taas matalamman riskin kohteissa siirtymä voidaan ajoittaa myöhemmäksi.

Toimitusketjut ja ulkoiset riippuvuudet

Kvanttiriskit eivät rajoitu organisaation omiin järjestelmiin. Myös toimittajat, kumppanit ja palveluntarjoajat vaikuttavat riskitasoon ja siirtymän toteutettavuuteen.

Riskien arvioinnissa on huomioitava:

• kriittiset toimittajariippuvuudet
• toimittajien valmius PQC-siirtymään
• sopimuksiin ja hankintoihin liittyvät vaatimukset

Toimitusketjujen riskit voivat muodostaa merkittävän pullonkaulan, jos kvanttiturvallisuus huomioidaan liian myöhään.

Riskien arviointi jatkuvana prosessina

Kvanttiriskien arviointi ei ole kertaluonteinen tehtävä. Kvanttilaskennan kehitys, standardien kypsyminen ja sääntely-ympäristön muutokset vaikuttavat riskikuvaan ajan myötä.

Tämän vuoksi riskien arviointi on nähtävä jatkuvana prosessina, jota päivitetään säännöllisesti. Näin varmistetaan, että siirtymään liittyvät päätökset perustuvat ajantasaiseen tietoon ja muuttuvaan uhkakuvaan