澳洲ASD發布企業PQC後量子密碼學轉型架構與盤點指南

隨著量子運算發展，現行公鑰加密機制未來可能遭到破解，政府與企業因而加速導入後量子密碼學（PQC）。英國國家網路安全中心（NCSC）指出，轉型牽涉大量既有系統、資料與供應鏈，及早掌握密碼學資產是降低長期資安風險的基礎。

NCSC最新公布PQC轉型實務成果，建議企業先建立完整的密碼學資產清冊，持續追蹤軟硬體供應商的升級時程，並將PQC支援能力納入採購及資安評估。指引以2035年前完成所有系統轉型為目標，凸顯供應鏈是否及時整備將是落地成敗關鍵。

量子電腦未來可能破解現行公鑰密碼，使企業必須逐步轉向後量子密碼學（PQC）。資安業者F5指出，轉型不能只更換TLS憑證，還須掌握應用程式、基礎設施與供應鏈中的演算法、金鑰、憑證及相關協定，否則隱藏的舊式密碼元件可能成為資安缺口。

F5建議企業先建立完整的密碼學資產盤點，並導入機器可讀的密碼學物料清單（CBOM），記錄各項資產的位置、用途與相依關係。由於單一掃描方式難以涵蓋所有環境，企業還應結合網路流量分析、程式碼掃描與組態檢查，找出盤點盲點，再依風險及業務重要性排定更新順序。

量子電腦可能破解目前廣泛使用的公開金鑰密碼，促使政府與企業規畫導入後量子密碼學（PQC）。然而，轉型不只是更換演算法，也涉及既有系統、密碼資產、相依服務與金鑰生命週期；若缺乏完整治理，組織可能在遷移期間留下安全缺口。

歐洲與德國多所大學的研究團隊近日檢視22篇PQC轉型框架文獻，發現多數方法偏重前期資產盤點、風險評估與規畫，對實際部署及長期維護著墨不足。團隊建議框架納入密碼演算法敏捷性（Crypto-Agility）與系統化金鑰管理，涵蓋完整轉型生命週期。