GOVERN
PQC 治理、责任和供应商要求。
明确负责人、数据保留要求、采购要求及供应商路线图。
为什么现在规划 PQC？
后量子密码旨在抵御经典与量子计算攻击。足够强大的量子计算机可能影响 RSA 和椭圆曲线等公钥密码系统。时间仍不确定，组织可以先从资产盘点和风险评估开始。
对需要长期保密的数据，应考虑先收集密文、未来再解密的风险。结合保密期限、业务重要性和迁移周期确定优先级。
ALPHASEC · END TO END
一个 PQC 计划，六个相连领域。
以下是 ALPHASEC 的服务划分，并非额外的 NIST 认证。
IDENTIFY
密码资产盘点与量子风险评估。
在约定范围内审查 TLS、VPN、PKI、应用、云和 HSM 的算法、密钥与证书依赖。
PROTECT
密码敏捷性架构与迁移试点。
在受控试点中评估产品支持的 PQC 或混合方案，以及兼容性和性能。
DETECT
监测密码配置偏移及旧算法。
制定旧算法、证书变化和意外回退的监测检查；不声称能检测量子解密。
RESPOND
密钥和证书事件响应计划。
规划密钥泄露、证书撤销和重新签发，以及紧急算法变更。
RECOVER
将密码恢复纳入 BCP、DRP 和 BCM。
测试密钥、证书、加密备份和关键业务恢复，并对接连续性计划。
交付成果
- 密码资产与依赖关系清单
- 按优先级排列的风险和准备度报告
- 分阶段迁移路线图
- 试点计划与测试证据
- 响应与恢复操作方案
- 管理层简报与技术知识转移
规划参考标准
密码敏捷性意味着在维持安全和业务运行的同时更换密码算法。
范围、访问权限、时间和交付成果在提案中确认。实施取决于产品与协议支持。准备度评估不等于认证，采用标准算法也不等于产品验证或绝对安全。
常见问题
是否必须立即替换所有系统？
先进行资产盘点和风险排序，再结合供应商支持与测试结果分阶段迁移。
PQC 会取代 SOC、渗透测试或 BCM 吗？
不会。访问控制、监测、测试、事件响应和连续性管理仍然必要。