PQC การก้าวสู่ความมั่นคงปลอดภัย ยุคควอนตัม (PQC: The Journey to the Quantum-Safe Era)

เพื่อพิจารณาแผน Quantum Migration Plan ซึ่งมีเป้าหมายในการเตรียมความพร้อมและยกระดับความมั่นคงปลอดภัยไซเบอร์ของประเทศให้สามารถรองรับการเปลี่ยนผ่านเข้าสู่ยุคเทคโนโลยีควอนตัมได้อย่างมีประสิทธิภาพ

การจัดเวทีดังกล่าวมุ่งเน้นการนำเสนอสาระสำคัญของแผน สร้างความเข้าใจแก่หน่วยงานและผู้มีส่วนได้ส่วนเสีย รวมถึงเปิดรับฟังความคิดเห็น ข้อเสนอแนะ และข้อจำกัดจากแต่ละภาคส่วน

เพื่อนำข้อมูลที่ได้รับไปปรับปรุงและพัฒนาแผนให้มีความเหมาะสม สอดคล้องกับบริบทของแต่ละหน่วยงาน และสามารถนำไปประยุกต์ใช้ได้จริง

โดยการสร้างความตระหนักรู้ถึงภัยที่อาจเกิดขึ้นจากเทคโนโลยีควอนตัมเป็นก้าวแรกที่สำคัญ เรามาร่วมกันยกระดับความเข้าใจและให้ความสำคัญกับเรื่องนี้ เพื่อสร้างความพร้อมสำหรับโลกเทคโนโลยีในอนาคต

โครงสร้างพื้นฐานที่สำคัญเป็นศูนย์รวมของข้อมูลส่วนบุคคลและข้อมูลที่มีความอ่อนไหวสูง จึงตกเป็นเป้าหมายหลักของการโจมตีทางไซเบอร์ ไม่ว่าจะเป็นการฉ้อโกงทางดิจิทัล การโจรกรรมข้อมูล หรือการเรียกค่าไถ่ (Ransomware)

ด้วยเหตุนี้ มาตรฐานและข้อกำหนดด้านการกำกับดูแล จึงกำหนดให้องค์กรที่อยู่ภายใต้ขอบเขตการบังคับใช้ต้องใช้ระบบการเข้ารหัสข้อมูลที่มีความแข็งแกร่ง เพื่อรักษาความลับ ความถูกต้อง และความน่าเชื่อถือของข้อมูลระหว่างการรับส่ง

อย่างไรก็ตาม ความก้าวหน้าของเทคโนโลยีคอมพิวเตอร์ควอนตัม (Quantum Computing) กำลังสร้างความท้าทายครั้งสำคัญต่อระบบการเข้ารหัสแบบดั้งเดิม

เนื่องจากอัลกอริทึมทางคณิตศาสตร์ที่เป็นรากฐานของการเข้ารหัสในปัจจุบัน อาจถูกถอดรหัสได้ด้วยศักยภาพการประมวลผลของคอมพิวเตอร์ควอนตัมในอนาคต

สถานการณ์ดังกล่าวทำให้องค์กรจำเป็นต้องเตรียมความพร้อมสู่การใช้ Post-Quantum Cryptography (PQC) ซึ่งเป็นเทคโนโลยีการเข้ารหัสที่ได้รับการออกแบบให้สามารถต้านทานการโจมตีจากทั้งคอมพิวเตอร์แบบดั้งเดิมและคอมพิวเตอร์ควอนตัม เพื่อคุ้มครองการเชื่อมต่อที่สำคัญและรักษาความมั่นคงปลอดภัยของข้อมูลในระยะยาว

ระบบที่มีการประมวลผลและจัดเก็บข้อมูลที่มีความสำคัญ เช่น ข้อมูลการชำระเงิน ข้อมูลทางการเงิน ข้อมูลธุรกรรม และข้อมูลการดำเนินงาน โดยเฉพาะข้อมูลที่ต้องได้รับการคุ้มครองตลอดอายุการใช้งาน (Long-lived Data)

ความท้าทายสำคัญคือ หากช่องทางการรับส่งข้อมูล ถูกโจมตีด้วยคอมพิวเตอร์ควอนตัมที่มีศักยภาพในการถอดรหัสทางคริปโตกราฟี (Cryptographically Relevant Quantum Computers: CRQCs) ระบบการเข้ารหัสที่ใช้อยู่ในปัจจุบันอาจไม่สามารถปกป้องข้อมูลได้

แม้ว่าคอมพิวเตอร์ CRQCs จะยังอยู่ระหว่างการพัฒนา แต่คาดว่าจะมีความสามารถในการทำลายความปลอดภัยของระบบการเข้ารหัสแบบอสมมาตร (Asymmetric Cryptography) ซึ่งเป็นรากฐานของโปรโตคอลสำคัญ เช่น SSH และ SSL/TLS รวมถึงโปรโตคอลที่เกี่ยวข้องกับการเข้าถึงเครื่องและการรับส่งไฟล์

ความเสี่ยงไม่ได้จำกัดอยู่เพียงวันที่คอมพิวเตอร์ควอนตัมจะเกิดขึ้นจริงเท่านั้น ในปี 2024 สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐอเมริกา (NIST) ได้แจ้งเตือนถึงภัยคุกคามรูปแบบ Harvest Now, Decrypt Later (HNDL)

ซึ่งเป็นแนวทางที่ผู้ไม่หวังดีรวบรวมข้อมูลที่ถูกเข้ารหัสไว้ในปัจจุบัน เพื่อนำไปเก็บรักษาและรอถอดรหัสเมื่อคอมพิวเตอร์ควอนตัมที่มีประสิทธิภาพเพียงพอพร้อมใช้งานในอนาคต

ด้วยเหตุนี้ การเตรียมความพร้อมสู่การใช้งาน Post-Quantum Cryptography (PQC) จึงไม่ใช่เพียงการรองรับเทคโนโลยีในอนาคต

แต่เป็นมาตรการเชิงกลยุทธ์ที่ช่วยปกป้องข้อมูลที่มีมูลค่าสูง ลดความเสี่ยงจากภัยคุกคามระยะยาว และเสริมสร้างความมั่นคงปลอดภัยให้กับระบบสารสนเทศที่มีความสำคัญต่อภารกิจขององค์กร

ช่วงรอยต่อระหว่างการเปลี่ยนผ่าน ข้อมูลที่รับส่งผ่านระบบยังคงมีความเสี่ยงต่อการโจมตีรูปแบบ Harvest Now, Decrypt Later (HNDL) ซึ่งผู้ไม่หวังดีสามารถดักเก็บข้อมูลที่ถูกเข้ารหัสไว้ในปัจจุบัน เพื่อนำมาถอดรหัสในอนาคตเมื่อคอมพิวเตอร์ควอนตัมมีศักยภาพเพียงพอ

การเตรียมความพร้อมจึงควรเริ่มจากการประเมินสินทรัพย์ด้านการเข้ารหัสขององค์กร (Cryptographic Inventory) เพื่อให้ทราบว่าองค์กรใช้อัลกอริทึมการเข้ารหัสใด ใช้งานอยู่ในระบบใด และกำลังปกป้องข้อมูลประเภทใดบ้าง ข้อมูลสำคัญที่รับส่งผ่านโปรโตคอล SSH และ SSL/TLS ควรได้รับการจัดลำดับความสำคัญเป็นอันดับแรก

จากนั้นควรปรับปรุงกลยุทธ์การบริหารความเสี่ยงขององค์กร (Enterprise Risk Management) โดยกำหนดแผนการทยอยเปลี่ยนจากอัลกอริทึมการเข้ารหัสแบบเดิมไปสู่ Post-Quantum Cryptography (PQC) สำหรับข้อมูลที่มีความสำคัญสูง

แนวโน้มของมาตรฐานอุตสาหกรรมกำลังกำหนดให้รอบระยะเวลาการเปลี่ยนใบรับรอง (Certificate Rotation) สั้นลงเหลือเพียงประมาณ 47 วัน ส่งผลให้ภาระในการบริหารจัดการของทีม IT และทีมรักษาความมั่นคงปลอดภัยเพิ่มสูงขึ้น

หากไม่มีระบบบริหารจัดการที่มีประสิทธิภาพรองรับ  การกำหนดกลยุทธ์ด้านความมั่นคงปลอดภัยเพื่อรองรับยุคคอมพิวเตอร์ควอนตัม จำเป็นต้องพิจารณาสมดุลระหว่างความเสี่ยง ต้นทุน และผลตอบแทนจากการลงทุนอย่างรอบด้าน

ความเสี่ยงจากการโจมตีในรูปแบบ Harvest Now, Decrypt Later (HNDL) มีแนวโน้มเพิ่มสูงขึ้นอย่างต่อเนื่อง ขณะที่การพัฒนาคอมพิวเตอร์ควอนตัมที่สามารถถอดรหัสระบบเข้ารหัสสมัยใหม่ (Cryptographically Relevant Quantum Computers: CRQCs) ก็กำลังมีความก้าวหน้าอย่างรวดเร็ว

ด้วยเหตุนี้ หน่วยงานกำหนดมาตรฐานและองค์กรกำกับดูแลระดับสากล อาทิ NIST, European Commission และองค์กรด้านมาตรฐานอุตสาหกรรมหลายแห่ง จึงได้ออกคำแนะนำให้องค์กรเริ่มวางแผนและดำเนินการเปลี่ยนผ่านสู่ Post-Quantum Cryptography (PQC) ตั้งแต่วันนี้ เพื่อเตรียมพร้อมรับมือกับความเสี่ยงในอนาคต

แม้ว่าการลงทุนเพื่อเตรียมความพร้อมด้าน Post-Quantum Security จะมีต้นทุนในระยะเริ่มต้น แต่ประโยชน์ที่ได้รับในระยะยาว

ได้แก่ การลดภาระในการบริหารจัดการระบบ การลดความเสี่ยงจากการรั่วไหลหรือการถูกโจมตีกุญแจเข้ารหัส และการหลีกเลี่ยงค่าใช้จ่ายในการปรับปรุงระบบครั้งใหญ่เมื่อเทคโนโลยีคอมพิวเตอร์ควอนตัมถูกนำมาใช้งานจริง

ล้วนเป็นปัจจัยสำคัญที่ช่วยเพิ่มความคุ้มค่าในการลงทุนและเสริมสร้างความมั่นคงปลอดภัยขององค์กร

การลงทุนด้าน Post-Quantum Security ในวันนี้ จึงไม่ใช่เพียงการเตรียมพร้อมสำหรับเทคโนโลยีในอนาคต แต่เป็นการบริหารความเสี่ยงเชิงรุก เพื่อคุ้มครองข้อมูลที่มีความสำคัญ ลดต้นทุนในการปรับปรุงระบบในระยะยาว และเสริมสร้างความมั่นคงปลอดภัยขององค์กรให้พร้อมรับมือกับยุคคอมพิวเตอร์ควอนตัมอย่างยั่งยืน.