การก้าวกระโดดของเทคโนโลยีควอนตัมคอมพิวติ้ง (Quantum Computing) กำลังกลายเป็นทั้งโอกาสครั้งใหญ่และภัยคุกคามทางไซเบอร์ที่น่าพรั่นพรึงที่สุดแห่งยุค แม้ในปัจจุบันเราจะยังไม่สามารถระบุวันเวลาที่แน่ชัดได้ว่า ควอนตัมคอมพิวเตอร์ระดับสูงที่มีศักยภาพมากพอในการทำลายระบบถอดรหัสข้อมูลเดิม จะถูกพัฒนาขึ้นมาสำเร็จเมื่อใด และมีความเป็นไปได้ว่าอาจต้องใช้เวลาอีกหลายปี แต่อุตสาหกรรมความมั่นคงปลอดภัยไซเบอร์ต่างเห็นพ้องต้องกันว่า ‘การเตรียมความพร้อมรับมือ’ ไม่ใช่เรื่องที่สามารถรอคอยได้อีกต่อไป
การเปลี่ยนผ่านเชิงกระบวนทัศน์เข้าสู่ยุคความปลอดภัยยุคหลังควอนตัม (Post-Quantum Security) เป็นกระบวนการที่ยุ่งยาก ซับซ้อน และต้องใช้เวลาในการวางโครงสร้างยาวนานหลายปี ไม่สามารถแก้ไขได้เพียงแค่นำเข้าซอฟต์แวร์หรือซื้อบริการด้านความปลอดภัยใหม่มาติดตั้งเพียงรายการเดียว
ด้วยเหตุนี้ผู้เชี่ยวชาญและบรรดาผู้บริหารในวงการเทคโนโลยีจึงได้สรุป 5 ประเด็นสำคัญเกี่ยวกับภัยคุกคามด้าน
ควอนตัมพร้อมแนวทางที่องค์กรและผู้ให้บริการโซลูชันจำเป็นต้องเริ่มลงมือปฏิบัติทันทีตั้งแต่ตอนนี้
1. การจัดลำดับความสำคัญต้องเอาชนะแรงต้านภายในองค์กร
ความท้าทายหลักที่ทำให้หลายองค์กรละเลยการเตรียมพร้อม คือความไม่แน่นอนของวัน ‘Q-Day’ (วันที่ควอนตัมคอมพิวเตอร์สามารถเจาะระบบเข้ารหัสปัจจุบันได้สำเร็จ) ประมาณการบางแห่งชี้ว่าอาจเกิดขึ้นภายใน 5 ปี ขณะที่บางส่วนมองว่าอาจเร็วกว่าหรือนานกว่านั้น ความไม่ชัดเจนนี้ส่งผลให้ผู้บริหารระดับสูงมักเลื่อนการลงทุนในเรื่องนี้ออกไป เพื่อนำทรัพยากรไปจัดการกับปัญหาเร่งด่วนเฉพาะหน้า โดยเฉพาะกระแสการเปลี่ยนผ่านด้านปัญญาประดิษฐ์ (AI) ที่กำลังแย่งชิงงบประมาณและเวลาของผู้บริหารอย่างหนัก อย่างไรก็ตาม สิ่งที่องค์กรต้องตระหนักคือ การเตรียมระบบให้พร้อมรับมือควอนตัมต้องใช้เวลาวางแผนและปรับปรุงยาวนานหลายปี จึงควรมองเรื่องนี้เป็นอีกหนึ่งฉากทัศน์ภัยคุกคาม (Threat Scenario) สำคัญที่ต้องวางแผนรับมือควบคู่ไปกับภัยไซเบอร์อื่นๆ ทันที
2. รับมือภัยคุกคาม ‘ดักเก็บวันนี้ ถอดรหัสวันหน้า’ (Harvest Now, Decrypt Later)
ผู้เชี่ยวชาญย้ำว่า องค์กรกำลังเผชิญกับความเสี่ยงจากควอนตัมตั้งแต่วันนี้ แม้จะยังไม่มีการโจมตีด้วยควอนตัมเกิดขึ้นจริงก็ตาม ภายใต้รูปแบบการโจมตี ‘Harvest Now, Decrypt Later’ กลุ่มผู้ไม่หวังดีจะลักลอบรวบรวมและกักตุนข้อมูลที่ถูกเข้ารหัสไว้ในปัจจุบัน แล้วรอคอยจนกว่าเทคโนโลยีควอนตัมจะพร้อมใช้งานในอนาคตเพื่อนำมาถอดรหัส ข้อมูลใดก็ตามที่มีความสำคัญต่อธุรกิจและจำเป็นต้องเก็บรักษาเป็นความลับในระยะยาว (เช่น ข้อมูลความลับทางการค้า หรือข้อมูลสุขภาพ) ถือเป็นเป้าหมายที่มีความเสี่ยงสูง ดังนั้น สมการการประเมินภัยคุกคามจึงเปลี่ยนไป จากเดิมที่เคยถามว่า ‘ควอนตัมจะมาถึงเมื่อไร’ กลายเป็นการตั้งคำถามว่า ‘ข้อมูลแต่ละชุดมีความสำคัญและต้องรักษาความลับไว้นานแค่ไหน’ เพื่อนำมาจัดลำดับการปกป้องให้ถูกต้อง
3. ความพร้อมของมาตรฐานยุคหลังควอนตัม (Post-Quantum Standards)
การเปลี่ยนผ่านเข้าสู่ยุค PQC เริ่มมีโครงร่างที่ชัดเจนขึ้น หลังจากสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ (NIST) ได้ประกาศรับรองมาตรฐานการเข้ารหัสยุคหลังควอนตัมหลัก 3 รายการเมื่อเดือนสิงหาคม 2024 อย่างไรก็ตาม การมีมาตรฐานอัลกอริทึมไม่ได้หมายความว่าจะสามารถเปลี่ยนผ่านระบบทั้งหมดได้ในทันที เนื่องจากช่องว่างสำคัญคือการนำอัลกอริทึมเหล่านี้ไปพัฒนาให้อยู่ในรูปของซอฟต์แวร์และการทำงานร่วมกันในระบบจริง สิ่งที่องค์กรและผู้ให้บริการโซลูชันควรทำตอนนี้ คือการเริ่มทดลองใช้งานในจุดที่เทคโนโลยีมีความพร้อม เช่น ขอซอฟต์แวร์เวอร์ชันทดสอบ มาประเมินผลในสภาพแวดล้อมจำลอง เพื่อศึกษาข้อจำกัดและสร้างความเชี่ยวชาญภายในองค์กรล่วงหน้า
4. ขั้นตอนสำคัญที่ต้องเริ่มลงมือทำทันที
ก่อนที่องค์กรจะสามารถทดแทนระบบเข้ารหัสเดิมได้ จำเป็นต้องทำสำรวจ เพื่อค้นหาว่ามีการใช้ระบบเข้ารหัสที่สุ่มเสี่ยงอยู่ที่จุดใดบ้างในปัจจุบัน ซึ่งต้องครอบคลุมทั้งฐานข้อมูล ใบรับรอง PKI (Public Key Infrastructure), คีย์เข้ารหัส และการพึ่งพาของแอปพลิเคชันต่างๆ หากองค์กรขาดการบริหารจัดการคีย์ที่ดีอยู่แล้ว การเปลี่ยนผ่านสู่ PQC จะกลายเป็นเรื่องที่ยากลำบากอย่างยิ่ง อย่างไรก็ดี ผู้เชี่ยวชาญเตือนว่าไม่ควรรอให้ได้ผลสำรวจหรือแผนงานที่สมบูรณ์แบบร้อยเปอร์เซ็นต์ก่อนจึงค่อยเริ่มลงมือ ให้เริ่มต้นจากการคัดเลือกระบบที่วิกฤตที่สุดเพียงระบบเดียว แล้วเริ่มกระบวนการเปลี่ยนผ่านทันที พร้อมทั้งให้การสนับสนุนและยกระดับบทบาทของบุคลากรภายในที่มีความเชี่ยวชาญด้าน Cryptography ให้เข้ามามีบทบาทนำ
5. โอกาสทางธุรกิจครั้งใหญ่ของผู้ให้บริการโซลูชัน
ความซับซ้อนของการย้ายระบบ PQC กำลังสร้างโอกาสทางธุรกิจมหาศาลให้กับผู้ให้บริการโซลูชันและ MSP ขอบเขตงานบริการจะครอบคลุมตั้งแต่การประเมินความพร้อมเบื้องต้น การจัดทำบัญชีสำรวจสินทรัพย์เข้ารหัส การประเมินคัดเลือกผู้พัฒนาเทคโนโลยี การวางแผนย้ายระบบข้ามแพลตฟอร์ม ไปจนถึงการบริหารจัดการต่อเนื่องในระยะยาว ในปัจจุบัน ทัศนคติของภาคธุรกิจเริ่มเปลี่ยนผ่านจากการตั้งคำถามว่า ‘ควรเตรียมตัวหรือไม่’ ไปสู่การ ‘ลงมือวางแผนสร้างความยืดหยุ่นทางเทคโนโลยีการเข้ารหัสในระยะยาว’ เพื่อให้ทันต่อข้อกำหนดและกรอบเวลาที่เริ่มถูกบังคับใช้ในหลายอุตสาหกรรม
ที่มา CRN
