Notre Vision
La gestion du risque cryptographique
La cryptographie, pilier systémique de la cybersécurité IT/OT
La cryptographie est le socle de la cybersécurité. Elle sécurise les échanges et protège les données critiques au cœur des systèmes IT/OT. Mal maîtrisée, obsolète ou si certains flux ne sont pas chiffrés, elle devient une faille. Lorsqu’elle cède, c’est tout l’édifice de la confiance numérique qui vacille : les signatures perdent leur valeur, les données confidentielles sont exposées en clair, l’usurpation d’identité devient possible. Longtemps reléguée en arrière-plan, la cryptographie s’impose aujourd’hui comme un enjeu central à l’ère de la menace quantique, dont il est impératif de reprendre le contrôle.
Le Discovery : connaître ses actifs cryptographiques pour mieux les maîtriser
Il est impossible de sécuriser ce qu’on ne voit pas.
La découverte des actifs cryptographiques est la première étape pour reprendre le contrôle de sa sécurité. Elle permet de révéler l’usage réel de la cryptographie, souvent sous-estimé et mal documenté.
L’inventaire, ensuite, structure cette connaissance en une cartographie claire : algorithmes, clés, certificats, protocoles… tout est consolidé.
Enfin, l’audit assure la conformité et la robustesse dans le temps. Il identifie les failles, les dérives et guide les évolutions. Ces trois piliers posent les fondations d’une politique cryptographique cohérente, pilotée et crypto-agile.
L’ordinateur quantique remet en cause la cryptographie actuelle
La sécurité de la cryptographie classique se fonde sur la difficulté de résoudre certains problèmes mathématiques avec les moyens de calcul d’aujourd’hui. Mais la disruption technologique majeure à la racine des performances des ordinateurs quantiques, combinée aux avancées algorithmiques, change la donne. Les systèmes de cryptographie asymétriques comme RSA ou ECC, omniprésents aujourd’hui, seront vulnérables dès l’arrivée des premiers Cryptographically Relevant Quantum Computers (CRQC). Et il ne s’agira pas d’un simple affaiblissement, mais d’un effondrement total de la sécurité. Nous sommes donc à l’aube d’une véritable révolution cryptographique.
Le compte à rebours est lancé
L’accélération des progrès dans la conception d’ordinateurs quantiques combinée aux récentes optimisations de l’algorithme de Shor ont incité les agences nationales de sécurité à avancer leur feuille de route pour la migration vers la cryptographie post-quantique (PQC) :
- Le NCSC au Royaume-Uni recommande par exemple aux organisations d’avoir terminé la phase de découverte et d’inventaire cryptographique d’ici 2028, et de migrer leurs systèmes les plus sensibles pour 2031,
- L’ANSSI en France recommande aux organisations qui manipulent des données sensibles avec une valeur en 2030 de mettre en place une stratégie de transition dès maintenant,
- L’ASD australienne interdit l’utilisation des algorithmes de cryptographie traditionnels dès 2030,
- Le NIST américain, de son côté, a annoncé la dépréciation des algorithmes traditionnels en 2030, puis leur interdiction pure et simple à compter de 2035.
Au-delà de ces échéances, la menace existe dès aujourd’hui pour les données sensibles à longue durée de vie (supérieure à 10 ans) : des acteurs malveillants collectent et stockent d’ores et déjà de grandes quantités de données échangées sur internet dans l’objectif de les décrypter lorsqu’un ordinateur quantique le leur permettra. Ce scénario est connu sous le nom de Harvest Now, Decrypt Later.
Face au risque quantique, la PQC s’impose comme la réponse
La cryptographie post-quantique (PQC) est aujourd’hui la seule solution viable et promue par les agences de cybersécurité face au risque posé par les ordinateurs quantiques. Elle s’appuie sur des problèmes mathématiques qui résistent, dans l’état actuel des connaissances scientifiques, tant à l’ordinateur classique qu’à l’ordinateur quantique, et propose de nouveaux schémas de signature et d’échange de clés.
En 2024, le NIST américain a standardisé trois premiers algorithmes (ML-KEM, ML-DSA, SLH-DSA), issus d’un processus de sélection international impliquant chercheurs et industriels depuis 2016, et auquel les équipes de CryptoNext Security ont activement contribué. Issu du troisième tour de cette compétition mais non retenu dans la sélection finale du NIST, l’algorithme FrodoKEM a quant à lui été choisi par l’Union Européenne pour compléter la liste. Ces premiers standards constituent une base solide d’une stratégie industrielle de cybersécurité résistante au quantique.
Contrairement à la Quantum Key Distribution (QKD), encore expérimentale et difficilement industrialisable, la PQC est prête pour un déploiement massif.
La remédiation : sécuriser sur le long terme
Après l’inventaire vient le temps de la remédiation : il s’agit de s’assurer que vos données et vos communications sont réellement protégées contre les attaques quantiques.
Que l’on considère une application de signature, un équipement matériel de type HSM, ou un serveur de communication sécurisé, la stratégie à adopter diffère : remplacer les algorithmes traditionnels vulnérables par de la PQC, hybrider les usages, adapter les protocoles de communication pour supporter cette nouvelle technologie… Dans les environnements IT, OT et IoT, cela suppose une approche fine, adaptée aux contraintes de chaque système.
Cette phase est critique : mal maîtrisée, elle peut introduire de nouvelles failles. D’où l’importance de disposer d’outils robustes, de librairies cryptographiques, de providers, de proxys, de hardware provenant d’industriels experts du domaine. La remédiation est aussi l’occasion d’adopter une stratégie crypto-agile, pour ne plus jamais subir ce type de chantier à l’avenir.
Vers une cryptographie agile et maîtrisée, pour une cybersécurité résiliente
Dans l’ère de disruption cryptographique qui s’ouvre, où de nouveaux algorithmes vont apparaître pour répondre à de nouveaux besoins, tandis que d’autres verront leur sécurité mise à mal, le management de la cryptographie devient une nouvelle compétence critique dans les entreprises.
Il faut dorénavant pouvoir administrer sa cryptographie comme n’importe quelle autre composante de la sécurité des systèmes d’information : la mettre à jour, la remplacer, ou l’adapter en cas de faille de sécurité ou d’évolution réglementaire. Pour ce faire, une seule bonne pratique : la crypto-agilité, qui désigne la capacité à ajouter, modifier ou retirer facilement un algorithme sans impact majeur sur l’architecture des systèmes.
À l’heure où il faut basculer vers une cryptographie post-quantique, mettre en œuvre une telle organisation crypto-agile dotée moyens adéquats devient incontournable et une véritable opportunité pour garantir sécurité et résilience dans la durée.
