CISA y el Grupo de Trabajo de Ciberseguridad del G7 instan a iniciar la transición hacia la criptografía post-cuántica

En una declaración conjunta de máxima relevancia geopolítica y tecnológica, la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) y el Grupo de Trabajo de Ciberseguridad del G7 emitieron una advertencia técnica prioritaria instando a los directores de tecnología (CTOs), responsables de seguridad de la información (CISOs) y líderes de infraestructura de todo el mundo a iniciar de inmediato planes formales de transición hacia la Criptografía Post-Cuántica (PQC). El comunicado oficial subraya que la ventana de oportunidad para proteger los secretos de Estado, la propiedad intelectual y los datos corporativos más sensibles se está cerrando velozmente frente al avance sostenido de las computadoras cuánticas a gran escala.

1. La Mecánica de la Táctica 'Harvest Now, Decrypt Later' (HNDL)

Durante décadas, la seguridad del comercio electrónico, las redes privadas virtuales (VPN) y las comunicaciones gubernamentales ha descansado en la dificultad matemática de factorizar números primos grandes (RSA) o calcular logaritmos discretos en curvas elípticas (ECDSA/ECDH). Sin embargo, el algoritmo cuántico de Shor demostró teóricamente que un computador cuántico tolerante a fallas (CRQC) puede quebrar estos esquemas en cuestión de minutos o segundos.

Los servicios de inteligencia del G7 advierten que las organizaciones criminales avanzadas (APTs) no están inactivas esperando el llamado "Día Q" (Q-Day):

• Exfiltración Silenciosa y Almacenamiento Clandestino: Los atacantes interceptan canales de comunicación troncales y enrutadores perimetrales, extrayendo bases de datos y tráfico confidencial sin alterar su contenido.
• Pérdida de Vida Útil del Secreto: Datos médicos, historiales bancarios, secretos industriales y patentes tienen una validez de 10 a 30 años. Si estos registros son capturados en 2026, perderán toda confidencialidad cuando los descifradores cuánticos estén operativos a comienzos de la próxima década.
• Falsa Sensación de Seguridad Criptográfica: Muchas empresas asumen erróneamente que una clave RSA de 4096 bits o una curva P-384 son invulnerables, ignorando que el cómputo cuántico neutraliza ambas con igual facilidad.

«La transición hacia algoritmos resistentes al cómputo cuántico no es una actualización de software rutinaria: representa la mayor reingeniería de la infraestructura de confianza digital global desde el cambio de siglo. Quienes no auditen hoy sus dependencias criptográficas descubrirán demasiado tarde que sus secretos comerciales ya fueron descifrados en repositorios extranjeros.» — Declaración técnica del Grupo de Trabajo de Ciberseguridad del G7 difundida por The Record by Recorded Future en septiembre de 2026.

2. Estándares FIPS del NIST: ML-KEM, ML-DSA y SLH-DSA

Para guiar esta migración global, el Instituto Nacional de Estándares y Tecnología (NIST) completó la estandarización de sus primeros algoritmos post-cuánticos oficiales, basados principalmente en problemas matemáticos de retículos algebraicos (lattice-based cryptography):

1. ML-KEM (FIPS 203 - anterior Crystals-Kyber): Algoritmo principal para encapsulamiento de claves y establecimiento seguro de sesiones en túneles TLS/HTTPS y VPNs.
2. ML-DSA (FIPS 204 - anterior Crystals-Dilithium): Estándar primordial de firmas digitales para autenticación web, certificados X.509 y validación de software.
3. SLH-DSA (FIPS 205 - anterior SPHINCS+): Esquema de firmas basado en árboles de hash sin estado, utilizado como respaldo de seguridad extrema frente a potenciales debilidades teóricas en retículos.

3. Análisis Financiero: Costo de Migración y Riesgo de Inacción (CapEx/OpEx)

Implementar criptografía post-cuántica requiere planificar partidas presupuestarias específicas, pero postergar la transición incrementa exponencialmente los costos de emergencia:

• Sobrecarga de Ancho de Banda y Almacenamiento: Las claves y firmas PQC son sustancialmente mayores que las de RSA (una clave pública ML-KEM ocupa más de 800 bytes frente a los 256 bytes de RSA-2048), lo que puede elevar los costos de ancho de banda en microservicios de alta concurrencia hasta un 8%.
• Auditoría de Dependencias Heredadas (Legacy Discovery): El 65% del costo de migración se destina al descubrimiento de certificados ocultos, firmware obsoleto y librerías criptográficas embebidas en sistemas monolíticos.
• Costo Catastrófico de Inacción: El compromiso retrospectivo de bases de datos de propiedad intelectual puede acarrear multas regulatorias millonarias bajo normativas como GDPR, además de la anulación irreversible de ventajas competitivas de mercado.

4. Implicancias y Oportunidades para Empresas y PyMEs en América Latina

Para el ecosistema corporativo de América Latina, la alerta de CISA y el G7 no debe interpretarse como un problema exclusivo de superpotencias mundiales:

• Requisitos de Proveedores en Cadenas Globales de Suministro: Multinacionales bancarias y automotrices comenzarán a exigir a sus filiales y proveedores locales en Argentina, Brasil y México que certifiquen cumplimiento PQC para mantener contratos de integración B2B.
• Adopción Temprana de Pilas Tecnológicas Modernas: Las PyMEs que construyen software sobre frameworks actualizados (como Go 1.24+, Rust, Node.js 22+ o OpenSSL 3.4+) pueden activar suites híbridas post-cuánticas de forma nativa sin incurrir en desarrollos costosos desde cero.

5. Hoja de Ruta de Implementación en 4 Pasos

1. Generar un Inventario Criptográfico Automatizado (CBOM): Identificar todos los algoritmos, longitudes de clave y certificados digitales en uso a lo largo de servidores web, bases de datos y APIs.
2. Implementar Modos Híbridos (Clásico + PQC): Desplegar combinaciones como X25519 + ML-KEM en túneles TLS para mantener compatibilidad con clientes antiguos mientras se blinda el tráfico contra capturas HNDL.
3. Capacitar a los Equipos de Desarrollo en Agilidad Criptográfica: Diseñar la arquitectura de software de modo que los algoritmos puedan sustituirse mediante configuración y no requieran reescribir el código base.
4. Verificar Compatibilidad de Carga con Pruebas de Estrés: Evaluar el impacto de las firmas de mayor tamaño en latencia de red y tiempos de respuesta de transacciones críticas.