(English below ๐ฌ๐งโฌ๏ธ)
1. Oรน en est-on du rapport des entreprises ร la PQC ?
Mohamed Bassiouny (MB) : La plupart des organisations prennent le sujet PQC (Post-Quantum Cryptography) au sรฉrieux aujourdโhui. On nโa plus lโimpression de crier dans le dรฉsert comme aux dรฉbuts de QuRISK, il y a 5 ansโฏ! Les clients sont de plus en plus nombreux, avec la banque et lโassurance qui ont รฉtรฉ les premiers ร prendre les devants, et dรฉsormais on a tous types de clients notamment des industriels, surtout ceux qui font de la R&D ou traitent des donnรฉes confidentielles.
Avec la plupart des clients on a commencรฉ des actions dโinventaireโฏ: prรฉ-inventaire, macro-inventaire, prรฉ-รฉvaluationโฆ Finalement le plus le long cโest de savoir oรน il faut intervenir, comment et quand. Ensuite la bascule vers les algorithmes post-quantiques nโest pas si compliquรฉe, avec parfois nรฉanmoins des blocages qui peuvent apparaitre, comme un HSM (Hardware Security Module) qui se rรฉvรจle impossible ร updater. Et dans ce cas, on doit annoncer au client quโil va falloir le remplacerโฆ
2. Il y a beaucoup de mauvaises surprises comme รงaโฏ? Faire entrer la PQC dans les organisations cโest le bordel assurรฉโฏ?
MB : Au contraireโฏ! Cโest de plus en plus simple. Avant tout รฉtait neuf pour tout le monde, et on pataugeait un peu... Maintenant le conseil en cybersรฉcuritรฉ quantique arrive ร maturitรฉ grรขce aux retours dโexpรฉrience. Ce quโon vient faire est complexe, mais pas compliquรฉ. On intervient de la maniรจre la plus discrรจte possible, et on s'intรฉresse surtout ร la partie asymรฉtrique. Quand il y a une base crypto solide et de la documentation on est moins obligรฉ de solliciter les รฉquipes, mais quoi quโil arrive, on parle le mรชme langage, cโest toujours smooth. Et cโest pareil quand on a affaire aux dรฉveloppeurs, aux gens de la R&D, de la gouvernance et de la conformitรฉ. Ils savent quโon est lร pour de bonnes raisonsโฆ
Et puis on vient aussi nettoyer leur systรจme crypto! Parce quโil y a toujours un peu de dette. En passant les systรจmes en revue, on trouve des choses qui sont censรฉes avoir disparu, depuis 2009 parfoisโฆ Les mรฉcanismes qui supportent la PQC sont modernes, donc il faut virer ces vieux mรฉcanismes bloquants. On est obligรฉ de faire une passe ยซ dโhygiรจne cryptographiqueโฏยป. Et ce petit coup de propre est trรจs satisfaisant pour tout le monde. Comme quand on passe enfin le balai sous les gros meubles.
3. Quelle est la nouvelle chose ร mettre en place lร tout de suite, avant 2027โฏ?
MB : Ce qui faut mettre en place avant 2027 cโest une capacitรฉ de veille sur le sujet cybersรฉcuritรฉ quantique. รa va trop viteโฏ! Donc si vous nโavez pas de spรฉcialiste innovation ou cyber-risque, abonnez-vous ร notre newsletter mensuelle pour assurer un suivi minimum. Il y a beaucoup dโavancรฉes techniques, technologiques et surtout surtout rรฉglementairesโฏ!
Pour donner un exemple, la montรฉe de lโIA change parfois la donne, elle crรฉe de nouveaux challengesโฏ. Parmi les propositions de nouveaux algorithmes de crypto post-quantique par le NIST il y avait Hawk qui รฉtait testรฉ depuis 2 ans, et il a รฉtรฉ cassรฉ en 60h par Claude Mythos, donc voilร โฆ poubelle.
Bon, mais pragmatiquement pour les organisations face au risque quantique, il faut continuer sur cette bonne lancรฉe. Dโurgence commencer les stratรฉgies et les inventaires pour ceux qui ne les ont pas initiรฉs, et lโidรฉe pour 2027 cโest dโavoir des inventaires complets, des outils choisis, et de commencer le dรฉveloppement de la PQC sur une partie de lโITโฏ: un systรจme pilote identifiรฉ.
๐ฌ๐ง๐ฌ๐ง๐ฌ๐ง๐ฌ๐ง๐ฌ๐ง English version
3 Questions for Mohamed Bassiouny, QuRISK
1. Where do companies stand today on PQC?
Mohamed Bassiouny (MB): Most organisations now take the subject seriously. We no longer feel like we're shouting into the void, as we did when QuRISK started out five years ago! Our client base keeps growing. Banking and insurance were the first to get ahead of the curve, which makes sense, but we now work with all kinds of clients, including industrial companies, especially those doing R&D or handling confidential data.
With most clients, we've started with inventory work: pre-inventory, macro-inventory, pre-assessmentโฆ In the end, the longest part is figuring out where to intervene, how and when. After that, the switch to post-quantum algorithms isn't that complicated, although blockers can sometimes come up, such as an HSM (hardware security module) that turns out to be impossible to update. In that case, you have to tell the client it will need to be replacedโฆ
2. Are there a lot of nasty surprises like that? Is bringing PQC into an organisation a guaranteed mess?
MB: Quite the opposite! It's getting simpler and simpler. In the beginning, everything was new to everyone, and we were all finding our feet... Now quantum cybersecurity consulting is coming of age, thanks to lessons learned in the field. What we're here to do is complex, but not complicated. We work as unobtrusively as possible, and we focus mainly on the asymmetric side. When there's a solid crypto foundation and good documentation, we don't need to call on the teams as much, but either way, we speak the same language, so it's always smooth. And it's the same when we're dealing with developers, R&D people, or governance and compliance teams. They know we're there for the right reasons...
And we also come in to clean up their crypto systems! Because there's always a bit of debt. When we review the systems, we find things that were supposed to be gone, sometimes since 2009... The mechanisms that support PQC are modern, so these old, blocking mechanisms have to go. We have to do a "cryptographic hygiene" pass. And that little clean-up is very satisfying for everyone. It's like finally sweeping under the heavy furniture.
3. What's the one new thing to put in place right now, before 2027?
MB: What needs to be in place before 2027 is the ability to monitor developments in quantum cybersecurity. Things are moving too fast! So if you don't have an innovation or cyber-risk specialist, subscribe to our monthly newsletter to keep at least a minimum level of oversight. There are a lot of technical and technological developments, and above all, regulatory ones!
To give you an example, the rise of AI is now changing the game and creating new challenges. Among the new post-quantum cryptography algorithms proposed to NIST was Hawk, which had been under testing for two years, and it was broken in 60 hours by Claude Mythos. So there you goโฆ straight in the bin.
That said, pragmatically speaking, organisations facing the quantum threat need to keep up this good momentum. Those who haven't yet started their strategies and inventories need to do so urgently, and the goal for 2027 is to have complete inventories, tools selected, and PQC deployment underway on part of the IT estate: an identified pilot system.
