Создание и ведение реестра криптографии для постквантовой миграции

Цель

По состоянию на 25 октября 2026 года. Создать подтверждённый свидетельствами реестр, который помогает принимать решения о миграции и остаётся полезным после изменений развёртывания. Заново проверьте обновляемый FAQ NIST по миграции и выбранную для обмена схему CycloneDX. Процедура предлагает вести рабочий реестр, а не утверждает, что сканер способен обнаружить все криптографические зависимости.

NIST описывает инвентаризацию систем, приложений, сервисов, устройств и потоков данных. CycloneDX предоставляет модель алгоритмов, ключей, сертификатов и их связей с программными компонентами. Эти технические связи служат полезными исходными данными; ответственность и решения о миграции всё равно нужно фиксировать.

Предварительные условия

Выберите сервис с чёткими границами и ответственного владельца. Получите его архитектуру, перечни программного и аппаратного обеспечения, записи о сертификатах, конфигурацию и разрешённые наблюдения за работой. Включите поставщиков, если зависимость управляется извне. Явно отмечайте неизвестное вместо предположения, что отсутствие результата означает отсутствие криптографии.

Шаги

1. Составьте карту потоков данных сервиса и границ доверия. Создайте отдельные записи для соединений, завершающихся во внешних компонентах, внутренних соединений, хранимых данных и проверки подписей. Определите, какие данные требуют длительного сохранения конфиденциальности и какие подписи должны оставаться проверяемыми.
2. Запишите назначение криптографии, точный алгоритм или набор параметров, размер ключа, где применимо, протокол и согласованную группу. Различайте реализованную возможность, включённую настройку и наблюдаемое использование. Не ограничивайтесь одним полем «постквантовый: да/нет» для всего сервиса.
3. Добавьте контекст реализации: версии библиотеки и среды выполнения, идентификатор пакета или образа, провайдера, расположение конфигурации, цепочку сертификатов и алгоритм открытого ключа. Зафиксируйте модель оборудования и зависимости от прошивки, если HSM или специализированное устройство ограничивает обновления. Храните идентификаторы ключей и метаданные об их хранении и контроле, но никогда — закрытые ключи, общие секреты или материалы для восстановления.
4. Добавьте свидетельства и ответственность. Для каждой записи сохраняйте метод сбора, время наблюдения, среду, ответственную команду и ссылку на источник. Отмечайте, получены ли сведения из анализа исходного кода, конфигурации, документации поставщика или наблюдаемого соединения. Рассматривайте расхождения как задачи для разбора, а не значения, которые можно молча объединить.
5. Экспортируйте технические активы и связи в CycloneDX CBOM по схеме, которую поддерживают принимающие инструменты. Проверьте экспорт на соответствие этой схеме. Свяжите его с реестром программного обеспечения и ведите сопутствующий реестр бизнес-ответственности, требований к срокам хранения, ограничений поставщиков, исключений и предлагаемых действий по миграции.
6. Обновляйте записи при изменении ПО, прошивок, сертификатов, политик или путей завершения соединений. Рассматривайте различия при согласовании развёртывания. Назначьте владельца и срок следующего рассмотрения каждой неурегулированной зависимости; сохраняйте свидетельства, объясняющие прежние решения о миграции.

Ожидаемый результат

Владелец может проследить связь защищаемых данных с протоколом, реализацией и ответственной стороной, отличить подтверждённые наблюдения от предположений и определить следующую практическую задачу миграции. Новый выпуск приводит к изменениям реестра, которые можно проверить.

Ограничения и основание проверки

Для этой статьи не испытывались ни инструменты обнаружения, ни инфраструктура. Успешная проверка схемы подтверждает структуру документа, но не полноту сведений и не корректность криптографии. Наблюдения за сетью не позволяют установить все особенности подписания без подключения к сети или хранения данных. Ограничьте доступ к реестру: его метаданные описывают чувствительную инфраструктуру, даже если он не содержит секретных материалов.