The Signal
Scaduto il termine per i piani federali sulla crittografia post-quantistica, resta incerta la conformità
Le agenzie federali dovevano presentare i piani di migrazione alla crittografia post-quantistica entro il 22 ottobre, ma la scadenza, da sola, non rivela se li abbiano depositati in tempo. Un precedente obbligo contenuto nello stesso memora
Quantum.world Team · Scritto con l’IA · verificato ·
È scaduto il termine del 22 ottobre entro cui le agenzie dovevano inviare i piani di migrazione alla crittografia post-quantistica all’Office of Management and Budget e all’Office of the National Cyber Director. Non era la prima scadenza federale del programma accelerato del governo: un memorandum di giugno imponeva anche alla General Services Administration di istituire un gruppo di lavoro interagenzia entro 60 giorni. L’obbligo riguarda una tabella di marcia, non il completamento della conversione alla crittografia resistente agli attacchi quantistici. Il semplice decorso della scadenza non dimostra se le agenzie abbiano presentato i piani in tempo; il memorandum dell’OMB non pubblica un conteggio delle presentazioni a livello dell’intero governo.
M-26-15 ha dato 120 giorni per i primi piani
Il direttore dell’OMB Russell T. Vought ha emanato il memorandum M-26-15 il 24 giugno, chiedendo alle agenzie di prepararsi alla crittografia post-quantistica, o PQC. Il memorandum afferma: «Ogni agenzia deve elaborare e presentare un piano di migrazione alla PQC all’OMB e all’ONCD entro e non oltre 120 giorni dalla data del presente memorandum». Contando 120 giorni dal 24 giugno, la scadenza cade il 22 ottobre. Separatamente, il memorandum concede alla GSA 60 giorni dalla sua pubblicazione per istituire un gruppo di lavoro interagenzia sulla modernizzazione del Federal Identity, Credential, and Access Management a supporto della PQC.
«Ogni agenzia deve elaborare e presentare un piano di migrazione alla PQC all’OMB e all’ONCD entro e non oltre 120 giorni dalla data del presente memorandum».
Russell T. Vought, direttore, Office of Management and Budget
L’obbligo si applica ai dipartimenti e alle agenzie dell’esecutivo, ma il memorandum esclude espressamente i sistemi di sicurezza nazionale. Impone alle agenzie di dare priorità ai sistemi ad alto impatto, alle risorse di alto valore e agli altri sistemi che contengono dati altamente sensibili o sono ritenuti particolarmente vulnerabili agli attacchi di un computer quantistico capace di violare la crittografia. Su questi sistemi si concentra il lavoro iniziale; la scadenza non impone di sostituire ogni algoritmo vulnerabile entro questa settimana.
Nove elementi trasformano un piano in un programma di migrazione
M-26-15 richiede che i piani comprendano una strategia per stabilire le priorità tra i sistemi in base al rischio, tempistiche e traguardi per la migrazione e piani di test e implementazione a supporto di TLS 1.3. Le agenzie devono inoltre descrivere come realizzeranno l’inventario della crittografia, compresi i metodi e gli strumenti automatizzati che useranno; introdurranno nei loro sistemi la capacità di adattarsi a diversi metodi crittografici; si coordineranno con soggetti terzi; stimeranno i fondi e il personale necessari; gestiranno i rischi della migrazione; e assegneranno le responsabilità di governance.
L’inventario è più di un elenco di prodotti di crittografia. Il memorandum chiede alle agenzie di individuare dove operano i sistemi e gli algoritmi crittografici nelle loro reti e applicazioni, e raccomanda l’automazione per mantenere una visione costantemente aggiornata. Chiede inoltre alle agenzie di tenere conto dei fornitori e dei provider cloud e di integrare gli aggiornamenti nelle modifiche già previste a software, cloud e hardware. La sfida pratica è individuare i sistemi che dipendono da crittografia vulnerabile prima di decidere che cosa sostituire o aggiornare.
La scadenza per la presentazione è solo l’inizio del calendario
Il memorandum delinea cinque fasi, a partire dalla strategia, dalla pianificazione e dalla ricognizione nel 2026–27, seguite dai progetti pilota e dalle prime migrazioni nel 2027–28. Nel 2028–30 segue la migrazione prioritaria dei meccanismi per stabilire le chiavi nei sistemi di alto valore e ad alto impatto; la migrazione delle firme è prevista nel 2031, mentre il completamento della migrazione dei sistemi restanti è programmato entro il 2035. Separatamente, le agenzie sono tenute a mitigare il rischio quantistico nella maggior misura possibile entro il 31 dicembre 2030.
Questo calendario fa della presentazione di ottobre una tappa della pianificazione, non una prova che i sistemi siano cambiati. I piani delle agenzie sono destinati a svilupparsi nel tempo e l’OMB afferma che valuterà i progressi a livello dell’intero governo insieme al National Cyber Director ed emanerà ulteriori indicazioni man mano che matureranno gli standard, la comprensione dei rischi e l’attuazione. Un piano può fissare traguardi e risorse, ma non può dimostrare che le agenzie abbiano già individuato ogni sistema vulnerabile o raggiunto un futuro obiettivo di migrazione.
La valutazione del GAO ha rilevato lacune prima della scadenza
Un rapporto pubblico del Government Accountability Office, diffuso il 6 ottobre, aggiunge un avvertimento sul grado di preparazione, ma i suoi risultati non misurano se le agenzie abbiano rispettato la scadenza del 22 ottobre per la presentazione dei piani. Il GAO ha valutato gli inventari della crittografia, le stime dei finanziamenti e altri documenti di pianificazione presso 24 agenzie soggette al Chief Financial Officer Act. Il rapporto pubblico è una versione di un rapporto contenente informazioni sensibili che il GAO aveva pubblicato nel settembre 2025. Dal settembre 2025 al settembre 2026, il GAO si è coordinato con le agenzie per ottenere conferma che le informazioni sensibili fossero state rimosse in modo appropriato; queste date si riferiscono al processo di autorizzazione alla pubblicazione, non al periodo della valutazione.
Il GAO ha rilevato che nessuna delle 24 agenzie aveva affrontato pienamente le tre pratiche preparatorie previste dal suo quadro di valutazione. Ha individuato carenze nelle competenze crittografiche, nei processi per realizzare gli inventari e individuare i finanziamenti per la migrazione, e nei piani per testare la PQC. Il rapporto rileva inoltre che 12 agenzie hanno concordato con le sue raccomandazioni, due hanno concordato parzialmente, sette non si sono dette né d’accordo né in disaccordo e una non ha concordato con tre delle quattro raccomandazioni che la riguardavano. Questi risultati non possono essere considerati né un conteggio dei piani presentati né un giudizio sulla conformità delle agenzie dopo il 22 ottobre. Il prossimo indicatore concreto sarà verificare se i piani si tradurranno in inventari finanziati, test e attività di migrazione secondo il calendario stabilito da M-26-15.