Розпорядження виконавчої влади Трампа встановлює терміни для федерального переходу на квантово-стійке шифрування

Федеральні агентства повинні перейти на пост-квантову криптографію для систем високої цінності та високого впливу до 2031 року відповідно до виконавчого указу Трампа. Указ вимагає призначення керівників міграції, оновлення закупівель та координацію з критичною інфраструктурою для вирішення квантових ризиків.

Ключові висновки:

• Федеральні департаменти повинні перевести чутливі системи на криптографічні стандарти, стійкі до квантових обчислень.
• Нові вимоги передбачають призначення керівників агентств, інвентаризацію, планування та контрольні обов’язки.
• Ширше впровадження може вплинути на підрядників, операторів інфраструктури та міжнародну координацію кібербезпеки.

Агентства стикаються з дедлайнами 2030 та 2031 років для чутливих федеральних систем

Президент Дональд Трамп наказав федеральним агентствам перенести активи високої цінності та системи високого впливу на пост-квантову криптографію, встановивши дедлайни до 31 грудня 2030 року для встановлення ключів та до 31 грудня 2031 року для цифрових підписів. Виконавчий указ від 22 червня поширюється на чутливі федеральні системи, правила закупівель та планування у сферах критичної інфраструктури.

Указ зосереджений на ризиках, які створює квантове обчислення. Він попереджає, що противники можуть збирати зашифровані дані США сьогодні і розшифровувати їх пізніше, коли технології квантових обчислень стануть доступними. Пост-квантова криптографія — це криптографічні алгоритми або методи, розроблені для опору атакам як квантових, так і класичних комп’ютерів.

Виконавчий указ стверджує:

> “Сполучені Штати повинні вжити заходів для посилення криптографічного захисту чутливих даних країни, критичної інфраструктури та цифрової економіки.” > >

Керівники агентств повинні призначити керівника міграції на пост-квантову криптографію протягом 30 днів. Ці посадовці звітуватимуть головним інформаційним офіцерам агентств і керуватимуть інвентаризацією криптографічних засобів, розроблятимуть плани міграції та координуватимуть впровадження між департаментами.

Протягом 90 днів Управління з управління та бюджету має видати керівництво у співпраці з Агентством з кібербезпеки та інфраструктурної безпеки (CISA) і Національним кібердиректором. Агентства повинні переглянути свої активи високої цінності та системи високого впливу, за винятком систем національної безпеки, і подати детальні плани щодо переходу на нові стандарти.

NIST, CISA та підрядники отримують визначені ролі у впровадженні

Кілька федеральних агентств мають конкретні обов’язки відповідно до указу. Національний інститут стандартів і технологій (NIST) має розпочати пілотний проект міграції протягом 180 днів на обраних системах, якими він керує, з завершенням до 31 грудня 2027 року. Цей пілот допоможе керувати ширшим впровадженням перед дедлайнами 2030 та 2031 років.

Указ також підкреслює довгострокові ризики даних. Він стверджує:

> “Постійна кіберактивність проти нашої країни також створює ризик того, що противники можуть збирати інформацію США зараз і розшифровувати її пізніше, коли великомасштабні квантові комп’ютери стануть доступними.” > >

Зміни у закупівлях будуть проходити через регулювання. Рада з регулювання федеральних закупівель має 180 днів опублікувати пропоноване правило, яке вимагатиме від підрядників, що підпадають під його дію, відповідати стандартам NIST, включаючи пост-квантові алгоритми, до 31 грудня 2030 року. Також включена критична інфраструктура, для якої секторні агентства з управління ризиками мають співпрацювати з CISA для допомоги операторам у підготовці планів міграції, тоді як CISA і NIST мають 270 днів для публікації керівництва щодо мінімальних елементів криптографічної специфікації.

Указ поширюється за межі внутрішніх систем, наказуючи секретарю держави координувати з федеральними агентствами та розвідниками для просування впровадження стандартів NIST за кордоном. Системи національної безпеки будуть слідувати окремому шляху, при цьому директор NSA має звітувати про прогрес президенту протягом 180 днів і щорічно після цього.