🎙️ 3 questions à Hadrien Belluccini : La gouvernance est la pierre angulaire d’une migration PQC saine.

(English below 🇬🇧⬇️)

Hadrien Belluccini, consultant PQC chez QuRISK - Quantum Risk Advisory , partage ce qu’il observe sur le terrain, et ce que les RSSI peuvent anticiper afin de simplifier leur migration PQC.

1. Quel constat revient dans tes missions ?

Hadrien Belluccini : Les organisations disposent généralement de nombreux éléments de cartographie et de documentation de leur système d'information. L'enjeu consiste à capitaliser sur ces travaux pour construire une vision plus précise des usages crypto. Les informations nécessaires sont souvent réparties entre plusieurs référentiels, équipes et outils. Les matrices de flux, les inventaires d'actifs et les solutions de gestion des certificats constituent ainsi des points de départ précieux, qu'il convient de compléter progressivement. Un autre enjeu concerne les dépendances technologiques : une solution annoncée comme compatible PQC ne garantit pas nécessairement que l'ensemble de son environnement soit prêt à évoluer. Notre rôle est d'accompagner les organisations dans la consolidation de ces informations, l'identification des dépendances et la construction d'une feuille de route réaliste, adaptée à leurs contraintes opérationnelles.

2. Alors, par où commence vraiment une migration PQC ?

HB : Par la gouvernance cryptographique. Quand on pense PQC, on pense algorithmes. Mais avant, il faut savoir où est la crypto, qui en est propriétaire et qui tient l'information à jour, et ces responsabilités sont rarement claires. Les scans aident, mais ils remontent parfois des milliers de lignes inexploitables sans analyse. C'est pourquoi nous combinons une méthodologie adaptée au contexte de chaque client et un outillage personnalisé. Il faut aussi solder la dette d'obsolescence : serveurs hors support, applications legacy qu'une simple mise à jour ne suffira pas à faire évoluer. Ce sont des choix d'investissement, et notre rôle est d'aider à trancher. Exemple simple : pas d'hybridation ML-KEM tant que la migration vers TLS 1.3 n'est pas faite.

3. Concrètement, comment un RSSI peut-il préparer le terrain pour sa migration PQC et en maîtriser les coûts ?

HB : Je retiendrais trois leviers essentiels. 1️⃣ S'assurer que les fondamentaux sont en place : inventaire des actifs IT, cartographie applicative, matrices de flux et identification des dépendances technologiques. Ces éléments, déjà mobilisés dans les démarches de gouvernance et de conformité, constituent un socle précieux pour construire progressivement l'inventaire cryptographique et préparer l'analyse de risque PQC. 2️⃣ Désigner un chef de projet PQC avec un mandat clair, capable de coordonner les équipes sécurité, infrastructures, applications, architecture et achats. La migration PQC est un programme transverse qui nécessite une gouvernance structurée et des responsabilités partagées. 3️⃣ Adapter les outils aux processus, et non l'inverse. Il n'existe pas de solution universelle permettant de répondre à tous les besoins d'inventaire et de migration. L'enjeu est de s'appuyer sur les processus et outils existants, de les compléter lorsque nécessaire et de privilégier une collecte progressive et ciblée des informations cryptographiques.

🔐 La migration PQC passe avant tout par la gouvernance. Où en est la vôtre ?

👉🏽 Parlons-en. Prenez RDV avec un de nos experts sur notre site (https://www.qurisk.fr/contact) ou écrivez nous sur contact@qurisk.fr

---

🇬🇧🇬🇧🇬🇧🇬🇧🇬🇧 English version

3 Questions for Hadrien Belluccini: Governance is the cornerstone of a sound PQC migration.

Hadrien Belluccini, PQC Consultant at QuRISK - Quantum Risk Advisory, shares what he sees in the field, and what CISOs can do ahead of time to make their PQC migration easier.

1. What’s the recurring pattern you see in your engagements?

Hadrien Belluccini: Organisations generally already have plenty of mapping and documentation of their information systems. The challenge is to build on that existing work to get a more precise view of how cryptography is actually used. The information needed is often spread across several repositories, teams and tools. Flow matrices, asset inventories and certificate management solutions are therefore valuable starting points, to be gradually filled in. Another challenge is technology dependencies: a solution marketed as PQC-compatible doesn’t necessarily mean its entire surrounding environment is ready to follow. Our role is to help organisations consolidate this information, identify dependencies and build a realistic roadmap suited to their operational constraints.

2. So where does a PQC migration really begin?

HB: With cryptographic governance. When people think PQC, they think algorithms. But first, you need to know where the crypto is, who owns it and who keeps the information up to date, and those responsibilities are rarely clear. Scans help, but they can return thousands of lines that are unusable without analysis. That’s why we combine a methodology tailored to each client’s context with customised tooling. You also have to clear the obsolescence debt: out-of-support servers, legacy applications that a simple update won’t be enough to modernise. These are investment decisions, and our role is to help make the call. A simple example: no ML-KEM hybridisation until the migration to TLS 1.3 is done.

3. In practical terms, how can a CISO lay the groundwork for a PQC migration and keep costs under control?

HB: I would highlight three key levers. 1️⃣ Make sure the fundamentals are in place: IT asset inventory, application mapping, flow matrices and identification of technology dependencies. These elements, already used in governance and compliance initiatives, provide a valuable foundation for gradually building the cryptographic inventory and preparing the PQC risk analysis. 2️⃣ Appoint a PQC project lead with a clear mandate, able to coordinate the security, infrastructure, applications, architecture and procurement teams. PQC migration is a cross-functional programme that requires structured governance and shared responsibilities. 3️⃣ Adapt the tools to the processes, not the other way around. There is no universal solution that meets every inventory and migration need. The key is to build on existing processes and tools, supplement them where necessary, and favour a gradual, targeted collection of cryptographic information.

🔐 PQC migration is first and foremost a governance issue. Where does yours stand?

👉🏽 Let's talk. Book a meeting with one of our experts on our website (https://www.qurisk.fr/contact) or email us at contact@qurisk.fr