Krypto-Agilität in der Post-Quantum-Ära: Der Schlüssel zur IT-Sicherheit der Zukunft

1.    Bestandesaufnahme und Bewertung

Transparenz über die aktuelle kryptografische Umgebung und die bestehenden Risiken basierend auf: 

•    Kryptografische Inventarisierung: Erfassen aller verwendeten kryptografischen Algorithmen, Schlüssellängen, Token, Zertifikate, Protokolle und Anwendungen in den Systemen.
•    Risikoanalyse: Identifizieren der Schwachstellen, insbesondere im Hinblick auf die Bedrohung durch Quantencomputer. Risikoabschätzung potenzieller Auswirkungen auf sensible Daten und Systeme.
•    Compliance-Prüfung: Sicherstellen, dass die kryptografischen Verfahren den aktuellen Anforderungen und Standards entsprechen.

2.    Strategieentwicklung und Planung

Entwickeln einer strategischen Roadmap für die Umstellung auf Krypto-Agilität. 

•    Festlegung von Prioritäten: Priorisieren der Systeme und Anwendungen, die zuerst angepasst werden müssen.
•    Modularisieren: Planen einer flexiblen, modularen Architektur (u.a. Microservices, Container und API-Gateways), die den Austausch kryptografischer Algorithmen ermöglicht.
•    Festlegung von Standards: Definieren der Standards und Richtlinien, die für die Implementierung von Krypto-Agilität gelten sollen (z.B. auf Basis von NIST-Empfehlungen).
•    Einbindung und Prüfung der Lieferanten: Evaluieren der kryptografischen Verfahren Ihrer Software- und Technologielieferanten. Einfordern von Informationen zu Update-Zeitplänen und geplanten Übergängen zu Post-Quantum-Algorithmen.

3.    Technische Implementierung

Einführung quantensicherer Algorithmen und Infrastruktur zur Unterstützung der Krypto-Agilität.

•    Migration auf PQC-Algorithmen: Transition auf die ausgewählten Post-Quantum-Algorithmen.
•    Interoperabilität gewährleisten: Sicherstellen, dass neue und alte Algorithmen für einen Übergangszeitraum parallel verwendet werden können, um eine unterbrechungsfreie Nutzung sicherzustellen.
•    Automatisierte Schlüsselverwaltung: Implementieren von Systemen zur Verwaltung und regelmässigen Aktualisierung von Schlüsseln und Zertifikaten.

4.    Überwachung und kontinuierliche Anpassung

Sicherstellen, dass Systeme kontinuierlich überwacht und bei Bedarf angepasst werden.

•    Regelmässige Sicherheitsprüfungen: Kontinuierliche Sicherheitsbewertungen und Penetrationstests, um Schwachstellen in der implementierten Krypto-Agilität zu identifizieren.
•    Monitoring von Schwachstellen: Überwachen der Entwicklungen in der Kryptografie, um Schwachstellen schnell zu erkennen und auf neue Bedrohungen reagieren zu können.
•    Automatisierte Updates: Automatisierte Prozesse zur Aktualisierung von Algorithmen und Protokollen, um schnelle Anpassungen an neue Sicherheitsanforderungen zu ermöglichen.

5.    Schulung und organisatorische Anpassung

Etablieren einer Unternehmenskultur der Krypto-Agilität.

•    Mitarbeiterschulung: Schulen des IT-Teams und aller relevanten Abteilungen in den Grundlagen der Krypto-Agilität.
•    Erstellen eines Notfallplans: Verfahren für den schnellen Einsatz neuer Algorithmen im Ernstfall, um bei Bedrohungen durch Quantenangriffe handlungsfähig zu bleiben.
•    Kultur des Wandels etablieren: Unternehmenskultur, die kontinuierliche technologische Anpassung unterstützt und den Wandel als Chance sieht, um Sicherheitslücken proaktiv zu schliessen.