Harvest Now, Decrypt Later

Pendant des années, les organisations ont adopté une approche relativement simple face aux nouvelles menaces technologiques : observer leur évolution, attendre qu'elles deviennent concrètes, puis investir au moment opportun.

• « Regardons les choses évoluer et nous nous ajusterons au besoin. »
• « Tant que nous ne savons pas exactement ce qui arrivera, mieux vaut éviter d'investir dans une solution qui pourrait finalement s'avérer inutile ou devoir être remplacée. »

Cette approche est compréhensible. Elle permet d'éviter des investissements prématurés, de limiter les risques liés aux choix technologiques et de concentrer les ressources sur les besoins immédiats de l'organisation. Pendant longtemps, cette stratégie s'est révélée pertinente. Avec l'informatique quantique, cette logique change complètement.

Le risque n'est pas qu'un ordinateur quantique attaque votre organisation demain. Le véritable risque est que vos données soient dérobées aujourd'hui pour être déchiffrées demain. C'est ce que l'on appelle désormais Harvest Now, Decrypt Later.

Le principe est aussi simple qu'inquiétant. Des cybercriminels, des organisations criminelles ou même des États peuvent déjà intercepter et conserver d'importants volumes de données chiffrées, sans être capables de les exploiter immédiatement. Ils accumulent patiemment aujourd'hui un capital informationnel dans l'espoir qu'il puisse devenir exploitable demain.

Certaines organisations pourraient être tentées de banaliser cette réalité en estimant que les données volées finiront par devenir désuètes. Après tout, des coordonnées changent, des employés quittent leur poste, des contrats arrivent à échéance et des infrastructures évoluent. Pourtant, cette vision est trompeuse. Les données prennent souvent davantage de valeur lorsqu'elles sont croisées avec d'autres sources d'information. Ce qui paraît incomplet aujourd'hui peut devenir extrêmement révélateur demain.

Les progrès de l'intelligence artificielle, l'augmentation de la puissance de calcul et la multiplication des jeux de données permettent déjà de reconstituer des profils, des relations, des comportements ou des informations qui semblaient autrefois sans importance. Ainsi, même plusieurs années après leur vol, certaines données peuvent conserver, voire augmenter, leur valeur stratégique.

Aujourd'hui, vos informations demeurent protégées par les mécanismes cryptographiques actuels. Toutefois, lorsque les ordinateurs quantiques atteindront un niveau de maturité suffisant pour remettre en cause certains algorithmes largement utilisés, ces mêmes données pourraient être déchiffrées rétroactivement. Une information confidentielle volée aujourd'hui pourrait perdre toute sa confidentialité demain. Cette réalité transforme profondément notre façon d'aborder la cybersécurité.

Le défi ne consiste plus à protéger les systèmes contre les menaces actuelles mais à protéger les informations qui devront demeurer confidentielles pendant cinq, dix, vingt ans ou plus. Pensons aux dossiers médicaux, aux renseignements financiers, aux secrets industriels, aux contrats stratégiques, aux données gouvernementales, aux infrastructures critiques ou encore à la propriété intellectuelle. Pour plusieurs organisations, la valeur de ces informations dépasse largement leur durée de vie opérationnelle. Attendre l'arrivée des ordinateurs quantiques avant d'agir reviendrait à installer un système d'alarme après un cambriolage.

La transition post-quantique ne consiste pas simplement à remplacer un algorithme cryptographique par un autre. Elle exige une compréhension approfondie des mécanismes de protection de l'organisation. Il faut identifier les actifs sensibles, cartographier les dépendances cryptographiques, évaluer le cycle de vie des données, comprendre les impacts sur les applications, les infrastructures, les partenaires et les fournisseurs, puis planifier une migration progressive compatible avec les réalités opérationnelles. C'est cette préparation qui constitue le véritable défi.

Les algorithmes continueront d'évoluer. Les normes seront mises à jour. De nouvelles recommandations apparaîtront au rythme des avancées scientifiques. Les organisations qui réussiront ne seront donc pas nécessairement celles qui auront choisi le « bon » algorithme dès le départ. Elles seront celles qui auront développé la capacité d'adapter continuellement leur environnement technologique, leur gouvernance et leurs pratiques de sécurité.

La préparation devient ainsi un avantage stratégique. Elle permet d'éviter les migrations réalisées dans l'urgence, de réduire les risques opérationnels et de protéger durablement le capital numérique de l'organisation.

L'ordinateur quantique capable de remettre en cause les mécanismes cryptographiques actuels n'est peut-être pas encore en service. Pourtant, certaines des données qu'il pourra un jour déchiffrer sont peut-être déjà stockées par ceux qui les convoitent. La meilleure façon de se préparer à l'ère post-quantique n'est donc pas d'attendre son arrivée, mais de protéger dès aujourd'hui les informations qui devront encore demeurer confidentielles demain.

Quantum Beyond croit que la transition post-quantique est avant tout un projet de gouvernance, de gestion des risques et de préparation organisationnelle. Bien avant de remplacer une technologie, il faut comprendre ce qui doit être protégé, pendant combien de temps, contre quels risques et selon quelles priorités.