Cuando una entidad financiera escucha la expresión ‘quantum-safe’, la primera pregunta suele ser inevitable: ¿qué tecnología debemos comprar? Es una reacción comprensible. Durante años, el sector ha respondido a los nuevos riesgos incorporando herramientas, actualizando controles y reforzando sus defensas. Sin embargo, frente a los cambios que traerá la evolución de la computación cuántica y de la criptografía, esa pregunta puede quedarse corta.
La pregunta más útil es otra: ¿tiene nuestra organización la capacidad de identificar, priorizar y transformar los elementos que sostienen la confianza digital del negocio?
Una organización quantum-safe no es aquella que afirma tener una solución de última generación ni la que llena una presentación con términos técnicos. Es la que entiende que su seguridad criptográfica no vive en un único sistema ni pertenece exclusivamente al área de tecnología.
En el sector financiero, esa realidad importa particularmente. La confianza no se construye solo con una buena aplicación o con una transacción que se procesa en segundos. También depende de que los pagos sean auténticos, los saldos sean íntegros, las comunicaciones estén protegidas, los datos personales no se expongan y los canales sigan funcionando cuando ocurren cambios, incidentes o picos de demanda. Buena parte de esa confianza descansa sobre mecanismos criptográficos que normalmente operan en silencio. Solo los notamos cuando fallan.
Y cuando fallan, el problema deja de ser exclusivamente tecnológico. Puede convertirse en riesgo operativo: una interrupción del servicio, una transacción rechazada, un archivo que no se procesa o un canal que queda indisponible. En esos momentos, lo que se pone a prueba no es solo la fortaleza de un algoritmo, sino la capacidad de la organización para seguir operando, responder con claridad y recuperar la confianza de sus clientes.
Por eso, convertirse en una organización quantum-safe exige más que adoptar un algoritmo nuevo. Exige desarrollar capacidades.
La primera es la visibilidad. No se puede transformar aquello que no se conoce. Una entidad debe poder responder preguntas básicas, aunque incómodas: ¿Dónde están sus certificados? ¿Qué sistemas dependen de ellos? ¿Qué datos están protegidos con mecanismos que tendrán que evolucionar? ¿Qué aplicaciones, servicios en la nube, proveedores y terceros intervienen? En organizaciones grandes, la respuesta rara vez está consolidada en un solo lugar. Y esa falta de visibilidad es, en sí misma, un riesgo.
La segunda capacidad es la priorización. No todo debe migrarse al mismo tiempo ni toda información tiene el mismo valor. Una estrategia sensata no empieza intentando cambiar todo; empieza identificando qué no se puede permitir que se exponga, se altere o quede indisponible dentro de diez o veinte años.
La tercera es la criptoagilidad: la habilidad de actualizar mecanismos criptográficos sin paralizar la operación. Esta palabra puede sonar técnica, pero describe una necesidad profundamente empresarial. Un banco no puede apagar sus canales digitales durante meses para reemplazar algoritmos. Una fintech no puede detener sus integraciones para rediseñar toda su seguridad. La organización que podrá responder mejor al futuro es aquella que diseñe sus sistemas y procesos para evolucionar de forma gradual, controlada y verificable.
La cuarta capacidad es la resiliencia operativa. Prepararse para cambios criptográficos no puede crear nuevos puntos de falla. Cada modificación debe considerar la disponibilidad, el desempeño, la interoperabilidad y la experiencia del cliente. No basta con que una solución sea robusta en teoría si, al ponerla en operación, introduce demoras, errores de validación, procesos manuales o dependencia de unas pocas personas que conocen el procedimiento.
Aquí está uno de los puntos más importantes: la transición hacia un entorno quantum-safe también debe gestionarse como un riesgo operativo. Cambiar certificados, algoritmos, llaves, integraciones o mecanismos de firma implica intervenir procesos críticos. Si esos cambios se hacen sin inventario, responsables claros, pruebas suficientes, planes de reversa y coordinación con proveedores, la organización puede intentar reducir un riesgo futuro mientras crea una interrupción presente. La seguridad que no puede sostenerse en el día a día termina convirtiéndose en una nueva fuente de fragilidad.
Finalmente, una organización quantum-safe necesita gobierno compartido. Este no es un asunto que deba quedar únicamente en manos del CISO o de un equipo de infraestructura. Riesgo, cumplimiento, tecnología, operaciones, legal, negocio y alta dirección deben poder discutirlo desde una misma perspectiva: la continuidad de la confianza.
Ese puede ser el cambio más importante: dejar de entender la preparación quantum-safe como una compra puntual y empezar a verla como una disciplina organizacional. Una disciplina que combina inventario, prioridades, arquitectura adaptable, procesos confiables y decisiones de largo plazo.
Por Patricia Gutiérrez, CMO de Cyte - The PostQ Company