新聞

企業因應未來量子電腦對傳統密碼學的威脅，除了需要升級既有系統、導入抗量子密碼演算法，也必須讓相關人員具備部署及維護新密碼學機制所需的知識。澳洲政府情報與資安機構澳洲通訊局（ASD）公布後量子密碼學（Post-Quantum Cryptography，PQC）轉型系列的第五階段建議，將重點放在跨部門溝通、教育訓練及長期維護，強調企業不能將PQC轉型視為一次性的系統升級工作。

ASD提出的PQC轉型架構LATICE，前四個階段依序為密碼學資產盤點、風險評估、排定轉型優先順序及執行系統改造，協助企業找出使用傳統非對稱式密碼學的系統，評估風險並逐步導入抗量子密碼演算法。第五階段則聚焦溝通（Communicate）與教育訓練（Educate），讓相關部門了解轉型計畫，並為後續維護做好準備。

部分系統可透過例行憑證更新或平臺升級導入PQC，一般使用者可能不會察覺明顯變化，但系統負責人、架構師、採購及資安人員則需要了解轉型將如何影響系統管理、設計、採購及資安工作。因此，企業應依照不同職務調整溝通內容，例如向管理階層說明整體轉型方向及風險，並向負責系統設計與維護的人員提供具體的技術資訊。此外，企業也應說明轉型時程及可能面臨的限制，並與供應商及服務提供者協調產品支援情況及不同系統之間的相依關係。

導入PQC不只是更換密碼演算法，新演算法的效能特性可能與既有演算法不同，也可能影響系統運作、資料大小及運算資源需求。因此，企業應更新內部教育訓練及技術指引，協助相關團隊掌握PQC系統的部署與維護方式，並了解PQC對各自工作及維護責任的影響。

ASD也建議企業在日常的系統設計、產品採購及風險管理工作中考量PQC需求，而不是只在執行轉型專案時才處理。

即使企業已完成特定PQC轉型里程碑，仍須持續監控已部署的密碼學機制，並留意技術指引、密碼學標準、供應商產品更新及量子威脅的變化，必要時調整系統。企業也應隨著系統及需求變化，更新相關人員的技術知識，並確認前四階段的盤點、風險評估、轉型優先順序及系統改造決策是否仍然適用。