Geen tijd te verliezen: bereid je organisatie nu al voor op quantumtechnologie

‘Ga aan de slag. Wacht niet tot de quantumcomputer er is, maar werk nu al, organisatiebreed, toe naar de overgang naar een quantumveilige infrastructuur’, aldus de programmamanager Quantumveilige Cryptografie bij het ministerie van Binnenlandse Zaken.

Onmisbare bouwsteen

Cryptografie is, zo zegt Schneider, een onmisbare bouwsteen van het digitale leven en vormt de basis van digitaal vertrouwen. Organisaties passen cryptografie toe voor het behalen van diverse informatiebeveiligingsdoelstellingen, zoals vertrouwelijkheid, integriteit en authenticatie. Denk hierbij aan versleuteling, digitale handtekeningen en het gebruik en beheer van certificaten. Op dit moment is cryptografie nog relatief veilig, omdat bepaalde wiskundige problemen voor de conventionele computer nog onoplosbaar zijn.

Met de komst van de krachtige quantumcomputer – die specifieke berekeningen veel beter of sneller kan uitvoeren dan conventionele computers – gaat dat dus veranderen. En dat kan snel gaan, waarschuwt Schneider: ‘De inschatting is tussen zeven en tien jaar, maar misschien wel eerder. Verschillende techpartijen noemen 2031. Op dit moment zijn er al wel quantumcomputers, maar die zijn nog niet krachtig genoeg om de relevante versleuteling te kraken.’

Rijksbrede quantumstrategie

Begin oktober stuurde het kabinet de nieuwe Rijksbrede Quantumstrategie naar de Tweede Kamer. Een van de belangrijkste doelen is dat Nederland in 2035 internationaal leidend is op het gebied van quantum, maar daarbij niet afhankelijk wordt van toepassingen buiten de Europese Unie. Die strategische visie gaat over de kansen die quantum biedt, maar ook over de veiligheidsrisico’s die de technologie voortbrengt. ‘Dat betekent dat de migratie naar postquantumcryptografie over de gehele politieke breedte wordt erkend,’ aldus Schneider. ‘Ook de inlichtingendienst AIVD roept op om er werk van te maken.’

Duidelijk is dat de migratie naar postquantumcryptografie de mens, het proces en de techniek raakt. In de woorden van Schneider: ‘Het gaat om de hele organisatie en neemt jaren in beslag. Het gaat ook over het herinrichten van processen. Dat vereist een stevige, structurele aanpak met eigenaarschap van het MT.’ Je gaat je collega’s nodig hebben, benadrukt hij. ‘Ook andere organisaties en afdelingen zitten met exact dezelfde kwestie: het is beter om die met elkaar op te lossen.’

No-regret-moves

Dit is echt geen toekomstverhaal, houdt Schneider de zaal voor: ‘Zo van: over een paar jaar moeten we ons zorgen maken. Je kunt er nu al mee aan de slag en dat moet je ook doen.’ Maar waar begin je dan als organisatie? Schneider spreekt over no-regret-moves: maatregelen die je nu al kunt nemen, onafhankelijk van het tijdstip waarop zo’n quantumcomputer beschikbaar komt. Met andere woorden: daar hoef je niet op te wachten: je kunt bepaalde keuzes nu al in gang zetten. Je krijgt er als organisatie geen spijt van, omdat je er in elk toekomstscenario profijt van hebt.

Zo moet je je cryptografische assets en systemen in kaart brengen. Zorg ervoor dat je weet welke digitale middelen en systemen je organisatie heeft, zegt Schneider. En wijs voor elke asset een eigenaar aan: maak duidelijk wie verantwoordelijk is. Vervolgens moet je grip krijgen op het gebruik en beheer van die assets. ‘Breng in kaart waar cryptografie zit en hoe systemen worden gebruikt.’

Maak beleid voor de migratie naar postquantumcryptografie. Schneider: ‘Leg vast hoe de organisatie zich voorbereidt en wie welke rol heeft.’ En natuurlijk is er nog een ander belangrijk onderdeel van de migratie: breng de kosten in kaart en zorg voor een back-upplan. Tot slot is ook de toeleveringsketen van belang, zegt Schneider. Organisaties zijn afhankelijk van de cryptografie in ingekochte websites, applicaties en diensten. ‘Onderzoek van wie je afhankelijk bent.’