Priorisation de la migration post-quantique : pourquoi tout ne doit pas migrer en premier
La migration post-quantique ne peut pas être un projet « migrer tout ». Les organisations diffèrent en sensibilité des données, périodes de rétention, criticité des systèmes et dépendances fournisseurs. Une préparation efficace nécessite une priorisation—identifier ce qui nécessite une protection en premier et pourquoi.
Pourquoi la priorisation compte
Toutes les données ne nécessitent pas le même niveau de protection :
- Confidentialité à long terme : PI, plans stratégiques, dossiers médicaux, documents juridiques—données qui doivent rester confidentielles pendant 10+ ans.
- Sessions à courte durée : Clés temporaires, OTP, jetons de session—faible pertinence HNDL.
- Données publiques : Informations déjà publiques—aucun risque post-quantique.
Tous les systèmes ne sont pas également critiques :
- Infrastructure critique métier : Opérations principales, données clients, systèmes financiers.
- Systèmes de support : Outils internes, workflows non sensibles.
La priorisation permet des feuilles de route réalistes, une allocation budgétaire et une gestion des risques. Elle empêche les organisations de dépenser des ressources sur des actifs à faible priorité alors que des données à haute valeur restent exposées.
Que faire
Utiliser des critères structurés : sensibilité des données (confidentiel, réglementé, critique), durée de vie des données (confidentiel au-delà de 5–10 ans ?), criticité du système, exposition cryptographique (asymétrique utilisée ?), dépendance et contrôle (interne vs fournisseur). Documenter les décisions et les réviser périodiquement.
Se concentrer sur la préparation—visibilité, documentation, surveillance—avant la migration complète. Une évaluation de maturité (comme le Modèle de Maturité Post-Quantique Qubixor) aide les organisations à évaluer la maturité de la priorisation et identifier où se concentrer en premier.