Prêt pour l’ère quantique: pourquoi la sécurité commence bien avant

Les ordinateurs quantiques continueront à progresser en matière de stabilité, de mise à l’échelle et de correction d’erreurs, tandis que les standards cryptographiques évolueront en parallèle. Les algorithmes considérés comme sûrs aujourd’hui peuvent devenir obsolètes demain – non seulement en raison des menaces quantiques, mais aussi des progrès de la cryptanalyse classique ou de failles d’implémentation. 

Cette réalité exige une capacité d’adaptation pour laquelle de nombreux environnements informatiques n’ont jamais été conçus. La cryptographie est profondément ancrée dans la plupart des organisations et dispersée entre applications, bibliothèques, appareils, services cloud et logiciels tiers – souvent sans responsabilité claire ni documentation. Lorsque des changements sont nécessaires, la difficulté n’est pas tant de savoir quoi modifier que de savoir où la cryptographie est utilisée.

C’est pourquoi une préparation pertinente à l’ère post-quantique commence par la compréhension des données. Avant de définir des stratégies, des trajectoires de migration ou de nouveaux algorithmes, les organisations doivent savoir quelles données elles traitent, où elles circulent et combien de temps elles doivent rester protégées.

La cryptographie n’a jamais été conçue pour protéger les données indéfiniment: elle les protège uniquement tant que les algorithmes sous-jacents restent sûrs. Si certaines données doivent rester confidentielles pendant des décennies, leur protection doit intégrer les menaces futures dès aujourd’hui. C’est particulièrement pertinent dans le contexte des attaques dites «harvest now, decrypt later»: des données chiffrées sont collectées aujourd’hui dans l’espoir de pouvoir être déchiffrées lorsque des ordinateurs quantiques suffisamment puissants seront disponibles.

De nombreuses entreprises tiennent déjà des inventaires de données pour des raisons réglementaires, notamment dans le cadre de la nLPD suisse ou du RGPD. Toutefois, ces inventaires sont rarement reliés à des exigences cryptographiques concrètes. Or ce lien est essentiel: toutes les données ne nécessitent pas le même niveau de protection cryptographique, et une surprotection peut être aussi problématique qu’une protection insuffisante des actifs critiques – notamment en termes de performance, de disponibilité et de complexité opérationnelle.

Une fois la criticité des données et les horizons de protection compris, la cryptographie peut être traitée pour ce qu’elle est réellement: une capacité d’infrastructure critique pour l’entreprise, et non un simple détail technique. La gouvernance devient alors incontournable. Les décisions cryptographiques ont un impact sur la conformité, la disponibilité, les dépendances vis-à-vis des fournisseurs et l’exposition au risque à long terme. En pratique, cela signifie que la cryptographie ne peut pas être fragmentée entre des équipes isolées ni dissimulée dans des silos d’infrastructure.

De nombreuses organisations mettent donc en place un Cryptographic Center of Excellence (CCoE), ou une structure de gouvernance équivalente, qui définit les politiques, valide les standards cryptographiques et coordonne les transitions entre départements et plateformes. Une telle entité constitue également un point de contact central pour les fournisseurs externes, les prestataires cloud et les éditeurs de logiciels.

Stratégie et gouvernance restent toutefois inefficaces sans transparence technique. Aujourd’hui, l’un des problèmes les plus sous-estimés en matière de cryptographie n’est pas la faiblesse des algorithmes, mais leur utilisation non contrôlée. Les audits révèlent régulièrement que des technologies obsolètes sont encore utilisées dans des systèmes en production. Clés codées en dur, certificats expirés, protocoles non documentés ou bibliothèques non validées résultent souvent d’un manque de supervision.

Sans visibilité continue sur l’utilisation de la cryptographie, toute migration devient lente et risquée. C’est pourquoi les inventaires cryptographiques gagnent en importance: non pas comme documentation statique, mais comme systèmes vivants permettant de découvrir en continu les actifs cryptographiques, de cartographier les dépendances et de fournir les données nécessaires à la conformité et à la gestion des risques.

Une fois la transparence et la gouvernance établies, la migration devient un problème d’ingénierie plutôt qu’une réaction à une crise. Même dans ce contexte, les transitions cryptographiques sont rarement de simples remplacements à l’identique. Les données doivent être rechiffrées, les clés renouvelées, les protocoles mis à jour et les systèmes testés de manière à éviter toute interruption de service ou perte de données. Dans de nombreux cas, des approches hybrides sont nécessaires, dans lesquelles les algorithmes classiques et post-quantiques coexistent afin de garantir la compatibilité et un déploiement progressif. Cette phase offre également des opportunités, par exemple la suppression de données obsolètes qui n’ont plus besoin d’être protégées, ce qui réduit à la fois les risques et les coûts. La migration devient ainsi non seulement un exercice de sécurité, mais aussi une occasion de réduire une dette technique accumulée depuis de nombreuses années. 

Cependant, même les migrations réussies ne résolvent que les problèmes d’aujourd’hui si les systèmes ne sont pas conçus pour pouvoir évoluer à nouveau demain. C’est là que l’agilité cryptographique devient indispensable. 

L’agilité cryptographique signifie que les algorithmes et les clés peuvent être remplacés par simple configuration et au moyen de processus de migration contrôlés (tels que le re-keying), sans devoir réécrire l’ensemble de la base de code ni reconstruire les architectures sous-jacentes et les composants d’infrastructure (comme les modules matériels de sécurité, ou HSM).  

Dans la pratique, cela implique de dissocier la cryptographie de la logique métier et de s’appuyer sur des systèmes centralisés de gestion des clés, des modules matériels de sécurité et des API bien conçues, plutôt que sur du code embarqué. Cela nécessite également de l’automatisation, car la gestion manuelle des clés et les modifications de configuration ne passent pas à l’échelle et conduisent inévitablement à des erreurs. Lorsque la cryptographie devient un service interchangeable plutôt qu’un détail d’implémentation figé, les organisations acquièrent la capacité de réagir rapidement, non seulement aux menaces quantiques, mais aussi aux nouvelles vulnérabilités, aux évolutions réglementaires et aux standards de sécurité en constante évolution. 

Ce qui détermine en fin de compte si ces capacités techniques se traduisent par de réels progrès, c’est la préparation organisationnelle (readiness).

Celle-ci comprend notamment:

• la sensibilisation de la direction aux risques cryptographiques
• la volonté d’investir dans les outils et les compétences nécessaires
• la disponibilité d’une expertise spécialisée
• la capacité à aligner les équipes internes et les fournisseurs externes sur des objectifs de sécurité communs

Sans cette readiness, les inventaires peuvent rester incomplets, les principes d’architecture être ignorés et les migrations être continuellement reportées en raison de priorités concurrentes. Avec elle, même les transitions les plus complexes deviennent réalisables, parce qu’elles sont traitées comme des programmes de long terme et non comme des mesures d’urgence. 

Dans son ensemble, la sécurité post-quantique peut être considérée comme le résultat de plusieurs facteurs fondamentaux qui se renforcent mutuellement. De manière simplifiée et symbolique, cela peut être exprimé comme suit:

PQS ≈ ((Visibilité × Agilité)^Préparation organisationnelle) + PQC

Il ne s’agit pas d’une formule mathématique, mais d’une manière d’illustrer les relations entre ces différents éléments:

• La visibilité décrit dans quelle mesure l’utilisation de la cryptographie est identifiée, surveillée et comprise à travers les systèmes et leurs interdépendances.
• L’agilité reflète la facilité avec laquelle les mécanismes cryptographiques peuvent être modifiés sans refactoriser le code source ni repenser les architectures.
• La préparation organisationnelle (organisational readiness) englobe la sensibilisation, les compétences, le financement, la gouvernance et l’alignement des fournisseurs qui permettent de réaliser des transformations techniques à grande échelle.
• PQC désigne la disponibilité et la maturité des algorithmes et des implémentations post-quantiques pouvant être déployés lorsque cela s’avère nécessaire. 
   

La multiplication indique que la visibilité et l’agilité sont toutes deux indispensables; des faiblesses dans l’un ou l’autre de ces domaines limitent considérablement les progrès. L’exposant illustre à quel point la préparation organisationnelle amplifie ou restreint ce qui est techniquement possible. Quant à l’addition de la PQC, elle souligne que les nouveaux algorithmes sont indispensables, mais qu’ils ne deviennent réellement efficaces que lorsqu’une organisation est capable de les mettre en œuvre dans la pratique. 

En définitive, la sécurité post-quantique n’est pas un projet ponctuel doté d’une date de fin prédéfinie. C’est la capacité continue d’adapter les mécanismes de protection cryptographique à l’évolution des menaces, à mesure que les technologies et les réglementations progressent. Les organisations qui développent dès aujourd’hui cette capacité seront non seulement mieux préparées à l’émergence d’ordinateurs quantiques présentant un risque cryptographique, mais aussi plus résilientes face aux risques cryptographiques très concrets d’aujourd’hui. Attendre que les ordinateurs quantiques deviennent suffisamment puissants n’est plus une décision neutre. Des données peuvent déjà être «collectées aujourd’hui et déchiffrées plus tard», mettant dès à présent en danger des informations sensibles. Ceux qui continuent à attendre pourraient découvrir que la véritable difficulté n’a jamais résidé dans les mathématiques, mais dans la capacité de l’organisation à se transformer.