Creación y mantenimiento de un inventario criptográfico para la migración poscuántica

Objetivo

Estado al 25 de octubre de 2026. Crear un inventario respaldado por pruebas que sirva para decidir las migraciones y siga siendo útil después de los cambios de despliegue. Volver a consultar las preguntas frecuentes de NIST sobre migración, que se actualizan de forma continua, y el esquema de CycloneDX elegido para el intercambio. Este procedimiento propone un registro operativo, sin afirmar que un escáner pueda descubrir todas las dependencias criptográficas.

NIST describe un inventario que abarca sistemas, aplicaciones, servicios, dispositivos y flujos de datos. CycloneDX proporciona un modelo para algoritmos, claves, certificados y sus relaciones con los componentes de software. Estas relaciones técnicas aportan información útil; sigue siendo necesario registrar las responsabilidades y las decisiones de migración.

Requisitos previos

Elegir un servicio con un alcance delimitado y un responsable que rinda cuentas. Obtener su arquitectura, los inventarios de software y hardware, los registros de certificados, la configuración y las observaciones autorizadas de su funcionamiento. Incluir a los proveedores cuando una dependencia se gestione externamente. Registrar expresamente lo que se desconoce en lugar de asumir que la ausencia de resultados significa que no existe criptografía.

Pasos

1. Representar los flujos de datos y los límites de confianza del servicio. Crear registros separados para las conexiones que terminan en componentes externos, las conexiones internas, los datos almacenados y la verificación de firmas. Identificar qué datos necesitan confidencialidad a largo plazo y qué firmas deben seguir siendo verificables.
2. Registrar la finalidad criptográfica, el algoritmo o conjunto de parámetros exactos, el tamaño de la clave cuando corresponda, el protocolo y el grupo negociado. Distinguir entre una capacidad implementada, un ajuste habilitado y un uso observado. Evitar un único campo de sí/no sobre criptografía poscuántica para todo un servicio.
3. Adjuntar el contexto de implementación: versiones de bibliotecas y entornos de ejecución, identificador del paquete o de la imagen, proveedor, ubicación de la configuración, cadena de certificados y algoritmo de clave pública. Registrar el modelo de hardware y las dependencias de firmware cuando un HSM o un dispositivo especializado limite las actualizaciones. Almacenar identificadores de claves y metadatos de custodia, nunca claves privadas, secretos compartidos ni material de recuperación.
4. Añadir pruebas y responsabilidades. Para cada entrada, conservar el método de recopilación, la hora de observación, el entorno, el equipo responsable y la referencia a la fuente. Indicar si las pruebas proceden de la inspección del código fuente, de la configuración, de la documentación del proveedor o de una conexión observada. Tratar las discrepancias como tareas pendientes, no como valores que se fusionan sin advertencia.
5. Exportar los activos técnicos y sus relaciones como una CBOM de CycloneDX con un esquema compatible con las herramientas receptoras. Validar la exportación frente a ese esquema. Vincularla al inventario de software y mantener un registro complementario de responsables de negocio, necesidades de conservación, restricciones de proveedores, excepciones y la acción de migración propuesta.
6. Actualizar el registro cuando cambien el software, el firmware, los certificados, la política o las rutas de terminación. Revisar las diferencias durante la aprobación del despliegue. Asignar a cada dependencia pendiente un responsable y un próximo momento de revisión; conservar las pruebas que expliquen una decisión de migración anterior.

Resultado esperado

El responsable puede relacionar los datos protegidos con un protocolo, una implementación y un responsable, distinguir las observaciones confirmadas de las suposiciones e identificar la siguiente tarea práctica de migración. Una nueva versión produce cambios del inventario que pueden revisarse.

Límites y base de verificación

No se probó ninguna herramienta de descubrimiento ni ningún conjunto de sistemas para este artículo. Superar la validación del esquema acredita la estructura del documento, no que esté completo ni que su contenido sea criptográficamente correcto. Las pruebas de red no permiten determinar todo el comportamiento de firma sin conexión o de almacenamiento. Restringir el acceso al inventario porque sus metadatos describen infraestructura sensible, aunque no contenga material secreto.