Si se dedica suficiente tiempo a analizar el alcance de la migración a la criptografía poscuántica (PQC), es fácil llegar a una conclusión: Esto va a ser difícil.
La criptografía está integrada en décadas de tecnología empresarial. Protege las transacciones web, las conexiones de red, los túneles VPN, los certificados, las aplicaciones, la infraestructura y los datos. Con el tiempo, algunos sistemas necesitarán algo más que una actualización de software. Es posible que haya que sustituirlos. En una gran empresa, esto convierte la migración a la criptografía poscuántica (PQC) en una iniciativa importante que llevará varios años.
Sin embargo, como ingeniero, mi siguiente pregunta no es si el problema es difícil, sino si lo estamos definiendo correctamente.
No es necesario hacerlo todo de una vez
Uno de los mayores errores que pueden cometer las organizaciones al prepararse para la PQC es examinar toda su infraestructura tecnológica y concluir que todo debe cambiarse a la vez. No es así.
La amenaza cuántica afecta de manera distinta a las diferentes formas de criptografía. Esta distinción es importante porque permite a las organizaciones acotar su exposición inmediata, en lugar de abordar la criptografía poscuántica (PQC) como un proceso indiscriminado de sustitución total.
“Las organizaciones no deberían esperar a tener certeza sobre cuándo llegará el Día Q para abordar la arquitectura.”
Sin embargo, acotar el problema no hace que desaparezca la deuda técnica existente. De hecho, la criptografía poscuántica (PQC) puede poner de manifiesto hasta qué punto esa deuda se ha vuelto crítica, algo que analizo con más detalle en mi sesión «La preparación para la PQC empieza ahora», disponible bajo demanda en la F5 Post Mythos Security Summit.
Pensemos en TLS 1.3. La investigación de 2026 de F5 Labs reveló que el 10 % de los sitios web más importantes aún no lo admiten. No se trata solo de una cuestión de modernización. Los cifrados PQC no pueden negociarse mediante TLS 1.2, por lo que TLS 1.3 es un requisito fundamental para estar preparados para la PQC. Por tanto, las organizaciones que aún dependen de versiones obsoletas de TLS tienen trabajo por delante antes de poder siquiera abordar la próxima transición criptográfica.
La modernización pendiente de hoy puede convertirse en la limitación de seguridad de mañana.
El tiempo de migración forma parte del riesgo
Hay otra razón para acotar el problema ahora, en lugar de esperar a tener más certeza sobre cuándo llegará el Día Q: la fecha en sí no es el único plazo que importa.
El teorema de Mosca ofrece una forma útil de abordar los plazos: compara el tiempo durante el que la información debe permanecer segura y el que llevará migrar a una criptografía resistente a la computación cuántica con el tiempo que queda hasta que ordenadores cuánticos lo suficientemente potentes puedan poner en peligro la criptografía de clave pública actual. Si la suma de los dos primeros periodos supera el tercero, la organización tiene un problema.
Eso cambia la forma en que debemos plantearnos la preparación para la criptografía poscuántica (PQC). El tiempo de migración no es una mera consideración de planificación del proyecto, sino que forma parte del riesgo.
Y la arquitectura empresarial puede tener un enorme impacto en ese plazo.
Cuanto más estrechamente esté vinculada la criptografía a aplicaciones y sistemas concretos, más elementos tendrá que modificar, probar, validar y mantener una organización llegado el momento. Si a esto se suman la infraestructura heredada y las dependencias de terceros, lo que parece una actualización criptográfica puede convertirse rápidamente en una transformación empresarial de gran envergadura.
Por eso, las organizaciones no deberían esperar a tener certeza sobre cuándo llegará el Día Q antes de abordar la arquitectura. No es necesario saber exactamente cuándo la computación cuántica superará ese umbral para comprender que reducir el tiempo necesario para responder resulta valioso.
Diseña para el cambio criptográfico
En última instancia, el objetivo no es simplemente implementar los algoritmos de criptografía poscuántica (PQC) aprobados actualmente, sino también desarrollar la capacidad de adaptación a medida que sigan evolucionando los requisitos criptográficos.
Eso es lo que significa para mí la agilidad criptográfica: la capacidad de sustituir y adaptar algoritmos criptográficos sin interrumpir el funcionamiento de los sistemas en ejecución.
Esta es una pregunta útil que deberían plantearse los responsables de tecnología: Si mañana hubiera que cambiar un algoritmo criptográfico, ¿cuántas aplicaciones tendríamos que modificar?
Si la respuesta es cientos o miles, la criptografía poscuántica (PQC) no es solo un problema criptográfico, sino también de arquitectura.
Y tratar de resolver ese problema reescribiendo manualmente una aplicación tras otra no es una solución atractiva. En una gran empresa, este enfoque puede resultar lento y costoso, provocar trastornos operativos y exigir muchos recursos de infraestructura.
Afortunadamente, no es la única solución.
El reto que tenemos por delante es considerable, pero las organizaciones pueden hacerlo más manejable identificando dónde reside su exposición real, comprendiendo qué dependencias controlan y diseñando la infraestructura de modo que los cambios criptográficos no tengan que convertirse en un problema para cada equipo de aplicaciones.
Sesión de la cumbre: la preparación para la PQC empieza ahora
En el evento bajo demanda F5 Post-Mythos Security Summit, analizo en profundidad precisamente ese reto en mi sesión «La preparación para la PQC empieza ahora». Acompáñame mientras explico un enfoque práctico de tres pasos para evaluar la exposición inmediata, gestionar la transición y proteger la infraestructura, evitando al mismo tiempo interrupciones innecesarias en las operaciones actuales.
Sobre el autor
Artículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.