La computación cuántica está a la vuelta de la esquina y va a revolucionar los sistemas criptográficos que protegen nuestros datos, comunicaciones e infraestructuras. Es hora de empezar a prepararse. En esta serie de seis artículos sobre criptografía poscuántica (PQC), expertos de F5 en este ámbito explicarán qué está en riesgo, qué oportunidades se presentan y qué medidas puede adoptar hoy su organización para mantener la seguridad en un mundo poscuántico. El futuro está más cerca de lo que cree. Preparémonos juntos.
Como ya hemos explicado en las primeras entradas de esta serie, la llegada de una computación cuántica capaz de vulnerar el cifrado estándar actual —el denominado «Día Q»— no es una cuestión de si ocurrirá, sino de cuándo. Aunque no se sabe con certeza cuándo sucederá, sus implicaciones son inmediatas, especialmente por los riesgos asociados a la estrategia de «recopilar ahora y descifrar después»: los adversarios pueden recopilar hoy datos cifrados y descifrarlos cuando las tecnologías cuánticas sean viables.
Muchas organizaciones deben proteger los datos sensibles durante periodos que superan con creces los horizontes convencionales de planificación de riesgos. Aunque ya se han ratificado nuevos estándares criptográficos poscuánticos y algunos controladores de entrega de aplicaciones (ADC) y redes de distribución de contenidos (CDN) ofrecen ahora protecciones híbridas, el reto es urgente: la deuda técnica acumulada en los sistemas heredados pronto exigirá atención, mientras aumenta la presión de los organismos reguladores y las partes interesadas.
La opinión de este CISO: es hora de ponerse manos a la obra y no hay que descuidar los aspectos de gobernanza, riesgo y cumplimiento (GRC). Cabe esperar auditorías, un mayor escrutinio y un nuevo ecosistema dedicado a validar la preparación para la era cuántica, que podría surgir ya en 2026. Los equipos de seguridad y GRC ya se enfrentan a una complejidad abrumadora a la hora de evaluar a los proveedores, especialmente en el caso de dispositivos antiguos o que no se pueden actualizar. Contar con un mensaje, un estado y unos informes claros será muy beneficioso para su organización durante los próximos años.
El futuro es ahora
Aunque existe cierta tendencia a considerar que los riesgos cuánticos son un problema del futuro, la ratificación oficial de los estándares de criptografía poscuántica (PQC) marca el comienzo de una nueva era. Gartner prevé que los métodos criptográficos asimétricos más utilizados podrían verse comprometidos ya en 2029 y quedar totalmente vulnerados en 2034.*
Estamos más cerca de 2029 que de 2020, y eso no deja mucho tiempo para un proyecto de varios años, especialmente uno cuyo alcance aún no se ha definido, ni se ha priorizado, presupuestado o aprobado. Y, como veremos, el alcance en lo que respecta a la tecnología heredada y los dispositivos que no se pueden actualizar será mayor de lo que muchos creen.
Para los CISO, CTO y CIO, no prepararse de forma proactiva para la criptografía poscuántica (PQC) se está convirtiendo en un riesgo crítico para la resiliencia empresarial y, lo que es aún peor, en uno que llevamos más de una década viendo venir. Retrasar la adopción de medidas puede exponer a las organizaciones a brechas de seguridad previsibles, infracciones normativas —como las del Reglamento General de Protección de Datos (RGPD)— y daños reputacionales.
No es momento de entrar en pánico, pero sí de actuar con urgencia y coordinar la planificación entre las organizaciones y las cadenas de suministro. De cara a 2026, las inversiones estratégicas y los planes de acción concretos para la criptografía poscuántica (PQC) serán requisitos indispensables para ejercer un liderazgo responsable en materia de seguridad en la era de la IA y la computación cuántica.
Normas del NIST y mandatos federales
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) ha trazado una hoja de ruta clara al finalizar algoritmos de criptografía poscuántica (PQC) como ML-KEM (FIPS 203) para el intercambio de claves, ML-DSA (FIPS 204) para las firmas digitales y SLH-DSA (FIPS 205) para las firmas de respaldo. Estos estándares, que ya han sido probados, proporcionan una base técnica estable y permiten que la PQC pase de la teoría a la práctica. Las directrices del NIST también son claras: los estándares ya están ratificados y ha llegado el momento de implementar el primer conjunto.
Y dado que los ordenadores contra los que nos defendemos aún no se han construido (que sepamos), esta es la PRIMERA migración a un nuevo sistema de cifrado. El objetivo no es realizar una actualización puntual, sino implantar la «agilidad criptográfica» como una capacidad esencial de su departamento de TI y su cadena de suministro, ya que tendremos que repetir este proceso a medida que surjan nuevas amenazas cuánticas. Una y otra vez.
Un cambio arquitectónico fundamental, y no olvidemos la gobernanza, el riesgo y el cumplimiento normativo
Esta primera implementación de los estándares de criptografía poscuántica (PQC) consistirá principalmente en una actualización de software. Sin embargo, lograr la agilidad criptográfica —la capacidad de actualizar rápidamente la criptografía a medida que evolucionan los estándares— requiere cambios profundos en la gestión de activos, la gobernanza y las operaciones de TI. Los equipos de gobernanza, riesgo y cumplimiento (GRC) deben prepararse para abordar un amplio ámbito que incluye el inventario, la gestión de versiones, las pruebas de compatibilidad y los registros de riesgos.
Las transiciones mal gestionadas aumentan el riesgo de interrupciones del servicio, problemas operativos e incumplimientos normativos, especialmente en entornos híbridos, multinube y heredados.
Sin embargo, la transición hacia la computación cuántica puede actuar como catalizador e impulsar la transformación digital y la retirada de los sistemas mainframe, aplazadas durante tanto tiempo, siempre que se encuentren el talento adecuado y la documentación de los sistemas heredados.
Las empresas que han externalizado funciones críticas de TI, especialmente las relacionadas con sistemas heredados, deben empezar a documentar y comprender realmente cómo funcionan estos sistemas antiguos. Muchos proyectos sufrirán importantes sobrecostes y retrasos por haber subestimado el trabajo necesario.
El triángulo de hierro de la gestión de proyectos será relevante en este caso, ya que pueden surgir múltiples casos de negocio y líneas de actuación correctiva, especialmente en empresas complejas que han crecido mediante adquisiciones.
Aplicaciones bajo la lupa cuántica
La PQC afecta directamente a las aplicaciones, no solo a la infraestructura. Adoptar una criptografía resistente a la computación cuántica implica mucho más que cambiar una biblioteca: puede requerir modificaciones sustanciales del código en componentes criptográficos profundamente integrados. Dado que se trata de un esfuerzo de varios años, los CISO y los responsables de GRC deben prever objeciones, quejas por la falta de recursos, elevados honorarios de consultoría cuando se necesiten competencias especializadas, resistencia interna y cambios en la justificación empresarial, todo ello a menudo agravado por la escasa documentación de los sistemas heredados.
Actuar con antelación mitiga futuras crisis y permite llevar a cabo cambios más meditados y menos disruptivos. La mayoría de las empresas aún desconocen el alcance de lo que no saben, y la gestión de las partes interesadas en este ámbito será fundamental para lograr una ejecución satisfactoria.
Impactos de la aplicación en el mundo real
Los algoritmos de criptografía poscuántica (PQC) suelen requerir claves de mayor tamaño y más recursos computacionales, lo que puede afectar a la latencia y al rendimiento de las aplicaciones, especialmente en cargas de trabajo sensibles al tiempo.
La modernización para admitir la PQC suele sacar a la luz deuda técnica oculta, lo que provoca sobrecostes presupuestarios, pero, en última instancia, aporta resiliencia de cara al futuro y mejoras de rendimiento.
Es fundamental gestionar las expectativas y dejar claro que no todos los sistemas pueden actualizarse y que no se trata de un proceso puntual que se pueda «configurar y olvidar». Las comunicaciones con las partes interesadas deben recalcar que la identificación continua de necesidades y la adaptación son la nueva norma, y que es previsible que esta transición saque a la luz nuevos retos con el tiempo.
Transformación de la infraestructura: redes, nube y edge
La criptografía poscuántica (PQC) transformará los dispositivos de red, los servidores y los servicios en la nube, especialmente aquellos que gestionan la terminación TLS y el cifrado. Aunque muchos navegadores y servidores se adaptarán, numerosos sistemas antiguos deberán actualizarse o sustituirse debido al aumento de las necesidades de ancho de banda y procesamiento.
Una consideración estratégica para la planificación de la seguridad es distinguir entre el impacto de la PQC en los mecanismos de encapsulación de claves (KEM) y su impacto en las firmas digitales de protocolos como TLS. La prioridad más urgente es implementar KEM poscuánticos (por ejemplo, ML-KEM) para contrarrestar las amenazas de «recopilar ahora y descifrar después», ya que protegen los datos de larga duración que los adversarios están recopilando actualmente.
La implantación de las firmas digitales puede seguir un calendario más gradual y basado en el riesgo, ya que la falsificación solo es posible durante las sesiones activas.
Módulos de seguridad de hardware (HSM)
Los HSM son fundamentales para gestionar las claves criptográficas, pero se enfrentan a diversos retos en un entorno de criptografía poscuántica (PQC). Las claves de mayor tamaño y las mayores exigencias de procesamiento de los algoritmos resistentes a la computación cuántica pueden superar las capacidades del hardware existente, cuyos recursos son limitados. Técnicas como la generación de claves basada en semillas pueden reducir las necesidades de almacenamiento, pero introducen una sobrecarga computacional adicional. La actualización a HSM compatibles con la PQC suele implicar más costes, complejidad y tiempo, pero es necesaria para mantener la integridad criptográfica.
La parte más difícil: dispositivos heredados y con recursos limitados
Quizá el reto más abrumador de la criptografía poscuántica (PQC) sea su implantación en la tecnología operativa (OT), el IoT y otros sistemas integrados que no se diseñaron para ofrecer agilidad criptográfica. Estos dispositivos suelen carecer de la memoria, el almacenamiento o la potencia de cálculo necesarios para gestionar el mayor tamaño de las claves de PQC y el aumento de los requisitos de procesamiento. Esta situación exige una colaboración transversal entre los equipos de ciberseguridad, infraestructura y gestión de datos, todo ello con unos plazos de entrega cada vez más ajustados. Es posible que estos dispositivos requieran segmentación de red para ganar tiempo hasta que sea viable sustituirlos o actualizarlos.
F5: su socio estratégico
F5, gracias a su amplia experiencia en la entrega y la seguridad de aplicaciones, se encuentra en una posición única para ayudar a las organizaciones durante esta transición. La F5 Application Delivery and Security Platform (ADSP) ya ofrece una integración fluida de soluciones de preparación para la PQC, lo que simplifica tanto la entrega como la seguridad de las aplicaciones en entornos híbridos, multinube y heredados.
Como señaló recientemente EMA, una destacada firma de análisis del sector, en su informe Vendor Vision 2025: Black Hat Edition: «F5 Application Delivery and Security Platform (ADSP) no es una mera herramienta para proteger aplicaciones, sino una solución con visión de futuro diseñada para proteger activos críticos frente a amenazas emergentes, incluido el inminente desafío de la computación cuántica... La integración temprana y decidida por parte de F5 de la preparación para la criptografía poscuántica (PQC) la distingue de competidores que aún se encuentran en fase experimental».
Las herramientas unificadas de F5 para la visibilidad, la gestión y la evaluación de amenazas hacen que coordinar una transición segura frente a la computación cuántica resulte más práctico y suponga un menor lastre para la agilidad empresarial. Como empresa especializada en proxies, podemos considerarnos «su intermediario», ayudando a las organizaciones a centralizar y automatizar las transiciones criptográficas en el perímetro de la red y la puerta de entrada de las aplicaciones, al tiempo que proporcionamos telemetría e información basada en IA para la gestión continua de amenazas. Este enfoque aborda directamente el reto de «cambiar los motores de un avión en pleno vuelo» al desvincular la migración a la criptografía poscuántica (PQC) de los ciclos principales de desarrollo de aplicaciones, lo que reduce significativamente la carga operativa inmediata y el riesgo de interrupciones.
Actúe ahora: guía de resiliencia cuántica para responsables de seguridad de la información
La transición a la criptografía poscuántica (PQC) es un proceso de transformación que durará varios años. Los responsables de seguridad deben explicar claramente el reto, gestionar las expectativas y planificar teniendo en cuenta que los plazos pueden cambiar a medida que surjan nuevas amenazas o complicaciones relacionadas con los sistemas heredados. Una preparación proactiva puede convertir la obligatoriedad y la necesidad de adoptar la PQC en una oportunidad estratégica para abordar por fin la deuda tecnológica acumulada, porque tendremos que volver a pasar por este proceso. Aproveche la oportunidad para obtener una visibilidad integral, modernizar las operaciones y demostrar un liderazgo claro en materia de resiliencia digital.
Las organizaciones que tengan éxito serán aquellas que aborden y comuniquen la PQC como una evolución continua que afecta a toda la empresa, y no como una actualización puntual. Adopte un enfoque integral, difunda el mensaje por toda su organización y cadena de suministro e invierta desde ahora en sentar las bases. Esta es la oportunidad de reforzar su organización para lograr un futuro más seguro, ágil y resiliente. Su liderazgo en esta era determinará la continuidad, el cumplimiento normativo y la reputación de su organización en los próximos años, y F5 estará a su lado en cada paso del camino.
Para obtener más información, inscríbase en nuestro próximo seminario web: «Ciberseguridad preparada para el futuro: cómo abordar la PQC.»
Además, no dejes de consultar nuestras anteriores publicaciones de la serie en el blog:
Analizamos el revuelo en torno a la criptografía poscuántica
Contexto: ¿Por qué es importante la criptografía poscuántica?
Comprender los estándares y plazos de la PQC
* Gartner, «Comience ya la transición a la criptografía poscuántica», por Mark Horvath, 30 de septiembre de 2024
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.