Un presidente no necesita saber cómo funciona un algoritmo criptográfico. Sí necesita saber qué ocurriría con su organización si tuviera que reemplazarlo. ¿Podría hacerlo sin detener servicios esenciales, perder acceso a información o afectar a sus clientes? Esa es la pregunta que la preparación quantum-safe debería llevar a la alta dirección.
Delegar la ejecución técnica es necesario. Delegar por completo la decisión sobre qué proteger, cuánto invertir y qué riesgos aceptar es otra cosa. Cuando una transición puede afectar la continuidad del negocio, deja de ser una conversación exclusiva del área de tecnología.
El punto de partida exige precisión. Un computador cuántico suficientemente potente podría comprometer determinados mecanismos de criptografía de clave pública que hoy se utilizan para establecer comunicaciones seguras y verificar firmas digitales. No significa que toda la seguridad vaya a desaparecer ni que exista una fecha cierta para ese escenario. Significa que hay una transición que debe planearse. NIST, CISA y NSA han recomendado comenzar la preparación mediante hojas de ruta, evaluación de riesgos y coordinación con proveedores.
Para un presidente, el desafío no consiste en escoger el algoritmo de reemplazo. Consiste en asegurar que la organización pueda cambiar cuando lo necesite.
Pensemos en una situación hipotética: una empresa debe actualizar el mecanismo de firma que utiliza para intercambiar documentos con clientes y proveedores. El equipo técnico puede resolver su implementación interna, pero eso no garantiza que los demás participantes puedan verificar las nuevas firmas. Si no hay coordinación, un cambio pensado para mejorar la protección podría dificultar la aceptación de documentos o retrasar un proceso comercial.
¿Quién decide cuándo hacer la transición? ¿Quién acuerda los plazos con los terceros? ¿Quién autoriza los recursos y determina qué interrupción sería aceptable? Son decisiones que requieren conocimiento técnico, pero también autoridad sobre el negocio.
Ahí aparece el riesgo operativo. No se limita a la posibilidad de sufrir un ataque. También incluye las pérdidas que pueden surgir de procesos deficientes, errores humanos, fallas de sistemas o eventos externos. En una transición criptográfica, la preocupación no es únicamente qué tan resistente será el mecanismo nuevo, sino qué podría dejar de funcionar durante el cambio.
Por eso, la primera responsabilidad de la alta dirección es exigir una respuesta concreta sobre los servicios prioritarios. No un listado interminable de componentes tecnológicos, sino una explicación comprensible: qué operaciones dependen de mecanismos que deberán evolucionar, qué consecuencias tendría una falla y en qué orden se propone intervenirlas.
La segunda es asignar responsabilidad y capacidad de decisión. Nombrar un líder sin presupuesto, sin acceso a las áreas de negocio y sin autoridad para coordinar proveedores puede producir informes, pero difícilmente una transformación. El responsable necesita un mandato que permita resolver desacuerdos entre velocidad, costo y continuidad.
La tercera es pedir evidencia de avance. “Estamos revisando el tema” no debería convertirse en una respuesta permanente. La dirección puede solicitar resultados verificables: una dependencia crítica identificada, una prueba controlada, un compromiso documentado de un proveedor o una decisión de inversión. No todos los avances deben ser grandes, pero sí deben reducir la incertidumbre.
También conviene revisar cómo se aprueban las compras tecnológicas. Una plataforma contratada hoy podría seguir operando durante años. Preguntar cómo actualizará sus mecanismos criptográficos y qué soporte ofrecerá el proveedor es una forma de evitar que la organización adquiera nuevas limitaciones mientras intenta resolver las anteriores. La coordinación con proveedores forma parte de las recomendaciones internacionales para preparar esta migración.
Nada de esto exige convertir cada comité ejecutivo en una sesión de criptografía. Exige traducir el tema al lenguaje que la dirección ya utiliza: exposición, recursos, responsables, plazos y continuidad. La conversación sirve tanto para una clínica como para una universidad, una empresa industrial o una entidad financiera.
Prepararse tampoco significa prometer que no habrá incidentes ni anunciar que la organización está completamente protegida. Significa poder explicar qué se está haciendo, qué falta y qué decisiones siguen pendientes.
Un presidente puede delegar la selección de tecnologías, las pruebas y la implementación. Lo que no debería delegar es la responsabilidad de preguntar si la empresa tiene las condiciones para adaptarse. La respuesta no se encuentra en una presentación que diga “quantum-safe”, sino en la capacidad demostrable de cambiar la protección sin perder el control de la operación.
Patricia Gutiérrez, CMO, Cyte - The PostQ Company