Résumé exécutif
L’informatique quantique ne se limite pas à introduire un nouveau choix d’algorithme ; elle forcera les entreprises à réimaginer la découverte, la gouvernance, la migration et la surveillance continue de la cryptographie. L’infrastructure à clés publiques (PKI) traditionnelle demeure le socle de la confiance numérique, mais elle doit évoluer vers une infrastructure crypto-agile et compatible PQC. Les organisations devraient commencer par améliorer la visibilité, établir un inventaire cryptographique (CBOM), prioriser les cas d’utilisation à haut risque, puis effectuer des vagues contrôlées de migration hybride et PQC sur les certificats, TLS, signatures, gestion des clés et applications dépendantes.
L’imminente rupture cryptographique
Depuis des décennies, l’infrastructure à clés publiques (PKI) assure la trame de confiance pour la sécurité d’entreprise : communications TLS, certificats numériques, plateformes d’identité, authentification applicative, signature de code et transactions commerciales sécurisées. Cette trame de confiance est désormais en pleine transition. Les ordinateurs quantiques à grande échelle, une fois disponibles, pourraient fragiliser les algorithmes cryptographiques largement utilisés comme RSA et la cryptographie sur courbes elliptiques (ECC). En conséquence, les entreprises doivent se préparer avant que ces risques ne deviennent urgents sur le plan opérationnel.
La transition de la PKI vers la cryptographie post-quantique (PQC) n’est pas une simple mise à niveau technologique. Il s’agit d’un programme stratégique de transformation cryptographique qui touche l’architecture, la conformité, les fournisseurs, les opérations du cycle de vie, les inventaires d’actifs et les applications essentielles à l’entreprise.
Pourquoi les entreprises doivent agir maintenant
Risque « collecter aujourd’hui, déchiffrer plus tard » : Les données sensibles chiffrées peuvent être capturées aujourd’hui et conservées pour un déchiffrement futur. Les données à long cycle de vie comme les dossiers financiers, la propriété intellectuelle, les données réglementées et les renseignements confidentiels exigent une planification précoce de la protection.
La cryptographie est omniprésente : La cryptographie est intégrée à travers les applications, appareils, plateformes infonuagiques, API, bases de données, réseaux, IoT, micrologiciels et produits tiers. Sans découverte, les entreprises ne peuvent pas déterminer la portée de la migration.
Les normes sont désormais disponibles : En 2024, le NIST a finalisé ses trois premières normes PQC : ML-KEM pour l'établissement de clés, ML-DSA pour les signatures numériques et SLH-DSA pour les signatures sans état à base de hachage.
La migration prendra des années : La modernisation cryptographique d’entreprise requiert une planification séquentielle, des tests de compatibilité, la vérification des fournisseurs, les mises à jour des politiques et des transitions progressives. Commencer tôt réduit les perturbations opérationnelles.
PKI actuelle vs. PKI compatible PQC de demain
| Domaine | PKI traditionnelle | PKI compatible PQC | Implications pour l’entreprise |
| Algorithmes | RSA, ECC, échange de clés classique et signatures | ML-KEM, ML-DSA, SLH-DSA et modes hybrides | Mettre à jour les politiques crypto et catalogues d’algorithmes approuvés |
| Modèle de sécurité | Fondé sur les hypothèses de l’informatique classique | Conçu pour résister aux modèles d’attaque quantique | Prioriser les systèmes ayant de longues durées de confidentialité des données |
| Architecture | Implantations cryptographiques statiques et propres à chaque application | Architecture crypto-agile et axée sur des politiques | Dissocier les applications des algorithmes codés en dur |
| Opérations | Inventaires manuels et gestion fragmentée | CBOM centralisée, gouvernance du cycle de vie et des risques | Créer une gouvernance des actifs crypto et des rapports prêts à l’audit |
| Approche de migration | Rafraîchissement périodique ou mise à niveau locale | Transformation d’entreprise programmatique et graduelle | Adopter une feuille de route, une gouvernance et des vagues de migration contrôlées |
Feuille de route en six phases pour la transformation crypto
| Phase | Objectif | Activités clés | Livrables principaux |
| 1. Mobiliser | Créer le programme de préparation quantique, définir la gouvernance, nommer les responsables crypto, aligner les équipes de sécurité, infrastructure, application, conformité et approvisionnement. | Charte du programme, modèle de gouvernance, RACI des parties prenantes | Charte du programme |
| 2. Découvrir | Identifier les certificats, clés, algorithmes, protocoles et bibliothèques cryptos dans les applications, points de terminaison, services infonuagiques, HSM/KMS, API et plateformes tierces. | Rapport de découverte crypto, cartographie initiale des actifs | Rapport de découverte crypto |
| 3. Établir le CBOM et la base de risque | Créer un inventaire cryptographique (CBOM) et classifier les actifs par algorithme, usage, responsable, importance pour l’entreprise, sensibilité et durée de vie des données. | CBOM, registre des risques, cartographie thermique | CBOM |
| 4. Concevoir l’état cible crypto-agile | Définir les stratégies PQC et hybrides, mécanismes de contrôle, schémas d’intégration, exigences de préparation fournisseur et flux de gouvernance du cycle de vie. | Architecture cible, cadre de politique, suivi des dépendances fournisseurs | Architecture cible |
| 5. Migrer en vagues contrôlées | Démarrer avec les cas d’utilisation à haut risque et à forte valeur : TLS externe, signature de code, VPN, hiérarchie PKI, services de signature, applications critiques et protection des données à long terme. | Arriéré de migration, résultats de test, plan de déploiement séquencé | Arriéré de migration |
| 6. Surveiller et faire évoluer | Opérer le PQC comme capacité de cycle de vie continu : tableaux de bord, surveillance de la posture, mises à jour des algorithmes, rapports de conformité et gestion des exceptions. | Tableaux de bord opérationnels, rapports SLA/KRI, dossier d’audit | Tableaux de bord opérationnels |
Cas d’utilisation prioritaires pour l’entreprise
- TLS et services orientés vers l’extérieur : Échange de clés hybride et connectivité sécurisée pour les services destinés aux clients.
- PKI d’entreprise et cycle de vie des certificats : Modernisation de la hiérarchie CA, profils de certificats, flux d’émission et intégrations CLM.
- Signature de code et de micrologiciels : Renforcer la confiance envers l’approvisionnement logiciel avec une stratégie de signature compatible PQC et une gouvernance renforcée.
- VPN, accès à distance et tunnels sécurisés : Évaluer la préparation des protocoles et produits à l’établissement de clés résistantes au quantique.
- HSM, KMS et gouvernance du cycle de vie des clés : Cartographier la propriété, l’utilisation, la rotation, l’archivage et la destruction des clés sur toutes les plateformes.
- Données sensibles à long cycle : Prioriser la confidentialité des données au-delà de l’horizon de risque quantique prévu.
Principaux défis et mesures préconisées
| Défi | Pourquoi c’est important | Atténuation |
| Échelle et complexité | La cryptographie est répartie sur des milliers d’actifs et de dépendances non gérées. | Utiliser la découverte automatisée, le CBOM et la priorisation fondée sur le risque. |
| Contraintes héritées | Les applications, bibliothèques ou appareils plus anciens peuvent ne pas supporter le PQC ou les modes hybrides. | Créer des stratégies correctives : mise à niveau, remplacement, isolation ou compensation. |
| Préparation des fournisseurs | Les produits d’entreprise dépendent des feuilles de route OEM et d’implantations validées. | Ajouter des questions sur la compatibilité PQC dans les processus d’acquisition et de renouvellement. |
| Performance et interopérabilité | Les algorithmes PQC peuvent influencer la taille des échanges, la latence et la compatibilité. | Réaliser des pilotes, tests de laboratoire et déploiements progressifs en production. |
| Lacunes de gouvernance | Le suivi manuel cause une propriété incomplète, une auditabilité faible et des actions incohérentes. | Établir une gouvernance crypto supportée par ServiceNow/CMDB et intégrée aux outils HSM, KMS et CLM. |
Perspective HCLTech
- Les entreprises doivent traiter le PQC comme un programme de résilience et de gouvernance d’affaires, et non uniquement comme un simple changement d’algorithme cryptographique.
- La priorité absolue est la visibilité : sans CBOM fiable, les organisations ne peuvent quantifier leur exposition, prioriser leur migration ni démontrer les progrès aux auditeurs et à la direction.
- La PKI devrait évoluer vers une plateforme de confiance compatible PQC dotée de crypto-agilité, d’une gestion automatisée du cycle de vie des certificats, de la gouvernance HSM/KMS et d’une intégration aux flux ITSM.
- La cryptographie hybride sera un pont incontournable alors que standards, produits et interopérabilité mûriront à des rythmes différents à travers l’écosystème d’entreprise.
Conclusion : Moderniser la confiance avant que le quantique ne devienne une urgence
L’avenir ne consiste pas à remplacer la PKI, mais à la moderniser en l’intégrant à une architecture de confiance agile et sécurisée contre le quantique. Les entreprises qui se préparent tôt pourront réduire les risques à long terme, éviter des remédiations précipitées dictées par la conformité et instaurer durablement la maturité opérationnelle pour leurs actifs cryptographiques.
En conclusion : La question n’est plus de savoir si l’informatique quantique remettra en cause la cryptographie d’aujourd’hui. Elle porte sur la capacité de l’entreprise à disposer de la visibilité, de la gouvernance et de l’agilité nécessaires pour réagir avant que ce risque ne devienne un enjeu d’affaires critique.
Références et lectures complémentaires
