CISA, NSA ve Avustralya ACSC'den kuantum sonrası kriptografi için "tedarikçinize sorun" rehberi
Avustralya Sinyal İstihbarat Direktörlüğü'ne bağlı ACSC, ABD'nin CISA ve NSA kurumlarıyla birlikte hazırladığı, tedarikçilerin post-quantum cryptography (PQC) hazırlığını değerlendirmek için sorulacak soruları içeren rehberin güncellenmiş sürümünü yayımladı.
Avustralya Sinyal İstihbarat Direktörlüğü'ne (ASD) bağlı Avustralya Siber Güvenlik Merkezi (ACSC), ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA ve Ulusal Güvenlik Ajansı NSA ile birlikte hazırladığı "Post-quantum questions to ask your vendors: Evaluating third-party readiness for post-quantum cryptography" başlıklı rehberin güncellenmiş sürümünü yayımladı. Intelligence Community News, NSA'nın belgeye 4 Kasım'da ortak olarak katıldığını yazıyor; bir politika takip listesi ise yayın tarihini 5 Kasım olarak veriyor.
Rehber ne amaçlıyor?
Belge, kurumların kullandıkları ürün ve hizmetlerin kuantum sonrası kriptografiye (post-quantum cryptography, PQC) geçişe ne kadar hazır olduğunu tedarikçileriyle konuşabilmesi için bir soru seti sunuyor. Sorular; tedarikçinin kuantum kaynaklı riskleri ne ölçüde anladığına, ürünlerindeki kriptografik uygulamalar konusunda ne kadar şeffaf olduğuna ve geçiş planına odaklanıyor.
ACSC'nin duyurusuna göre güncellenmiş sürüm, ek arka plan bilgisi, PQC geçiş sürecine dair daha açık açıklamalar ve genişletilmiş destekleyici bağlam içeriyor.
Neden önemli?
CISA, NSA ve NIST 2023'te yayımladıkları Quantum-Readiness: Migration to Post-Quantum Cryptography bilgi notunda kurumları PQC konusunu teknoloji tedarikçileriyle şimdiden konuşmaya çağırmıştı. Yeni rehber bu çağrıyı somut sorulara dönüştürüyor. Kurumların kriptografisinin önemli bir kısmı kendi kodlarında değil; VPN, firewall, load balancer, HSM, SaaS ve kütüphane gibi üçüncü taraf bileşenlerde yaşıyor. Bu nedenle geçiş takvimi büyük ölçüde tedarikçilerin yol haritasına bağlı.
Ne yapılmalı?
- Rehberi ACSC, CISA veya NSA sitesinden indirip satın alma ve tedarikçi risk yönetimi ekipleriyle paylaşın.
- Kritik ürünlerinizi (uzak erişim, PKI, HSM, kimlik doğrulama, yedekleme, veri şifreleme) listeleyin ve rehberdeki soruları öncelik sırasına göre bu tedarikçilere yöneltin.
- Kriptografik envanter çalışmanız yoksa başlatın: hangi sistemin hangi algoritma, anahtar uzunluğu ve protokol sürümüyle çalıştığını kayıt altına alın. Örneğin bir sunucunun sunduğu TLS ayarlarını yalnızca okuyarak görmek için
openssl s_client -connect <sunucu>:443 -briefkullanılabilir. - Yeni sözleşme ve yenilemelerde PQC yol haritası, algoritma çevikliği (crypto-agility) ve kriptografik bileşenlerin şeffaf beyanını değerlendirme kriterlerine ekleyin.
- Uzun süre gizli kalması gereken verileri taşıyan sistemleri ("şimdi topla, sonra çöz" riskine en açık olanlar) geçiş planında öne alın.
