ماذا لو كان نظام PQC الخاص بك يمكنه توفير 120 ألف دولار سنويًا؟ (سبويلر: يمكن ذلك.)

توقفت عن النظر إلى PQC كعنصر أمني فقط. بدأت أنظر إليها كخطة للتحكم في التكاليف. معظم الفرق تخسر المال بطرق هادئة. أرى ذلك في إعدادات TLS القديمة، والأدوات الإضافية، وعمل البائع المستعجل، والإعداد للتدقيق، وإعادة العمل بعد مراجعة تشفير ضعيفة. نادرا ما تظهر الفاتورة في مكان واحد. ينتشر. هذا هو السبب في أنه مؤلم. عندما أنظر إلى التشفير ما بعد الكمي، لا أسأل: "هل هذا عصري؟" وأنا أسأل: "أين تكمن النفايات، وإلى أي مدى يمكنني خفضها؟" هذا هو المكان الذي تبدأ فيه فكرة مبلغ 120 ألف دولار سنويًا في أن تكون منطقية. عادةً ما أقوم بتقسيم المدخرات إلى أجزاء بسيطة. - عمل يدوي أقل لجرد العملات المشفرة - عدد أقل من أدوات الأمان المكررة - عدد أقل من الإصلاحات السريعة قبل عمليات التدقيق - مساعدة خارجية أقل للترقيات في اللحظة الأخيرة - إعادة صياغة أقل عبر التطبيقات وواجهات برمجة التطبيقات والشهادات يمكن للخطة النظيفة تقليص كل ذلك. هنا كيف سأتعامل مع الأمر. سأبدأ بخريطة تشفير كاملة. أريد أن أعرف أين يعيش التشفير، ومن يملكه، وما هي الأنظمة التي لا تزال تستخدم الأساليب القديمة. العديد من الفرق تخمن. أنا لا أثق بالتخمينات. يمكن لشركة SaaS التي تضم ما بين 200 إلى 500 موظف أن تمتلك العشرات من مسارات الشهادات المخفية عبر تطبيقات الويب والأدوات الداخلية والشبكات الافتراضية الخاصة (VPN) والأجهزة وروابط البائعين. هذه الخريطة وحدها يمكن أن تقلل من العمالة المهدرة. لقد رأيت فرقًا تقضي أيامًا في مطاردة نفس المشكلة عبر ثلاث مجموعات. يقوم أحد المهندسين بفحص التطبيق. واحد يتحقق البوابة. واحد يتحقق من وحدة التحكم السحابية. هذه ليست مشكلة تقنية فقط. هذا هو حرق الرواتب. سأقوم بعد ذلك بقطع الأدوات المكررة. تشتري بعض الشركات أداة واحدة للفحص، وواحدة للتحكم الرئيسي، وواحدة لإعداد التقارير، وواحدة أخرى للمساعدة في التدقيق. المكدس يبدو آمنا. تبدو الميزانية منتفخة. إذا سمح لي تخطيط PQC بدمج بعض هذا العمل في مسار واحد، فإنني أقوم بالحفظ بسرعة. مثال عملي: - يتم استبدال أداة أمنية واحدة بتكلفة 18 ألف دولار سنويًا بتقارير مدمجة - تنخفض مراجعة خارجية واحدة بتكلفة 25 ألف دولار بعد اكتمال خريطة التشفير - تتقلص مجموعة واحدة من ساعات التصحيح الطارئة بتكلفة 15 ألف دولار بعد الترقيات المخطط لها - تنخفض كتلة إعداد تدقيق يدوي واحدة بقيمة 20 ألف دولار عندما يكون مسار الأدلة موجودًا بالفعل، أي 78 ألف دولار حتى قبل أن أتطرق إلى الباقي. أود أيضًا ربط عمل PQC بدورات التحديث العادية. هذا هو الجزء الذي تفتقده العديد من الفرق. أنا لا أمزق وأستبدل كل نظام مرة واحدة. أقوم بتنسيق العمل الجاهز لـ PQC مع تجديدات الشهادات وإصدارات التطبيقات وتحديثات جدار الحماية وتجديدات الموردين. وهذا يقلل من الاضطراب ويحافظ على الإنفاق داخل العمل الذي لديه ميزانية بالفعل. على سبيل المثال، قد تخطط شركة تجارة إلكترونية مكونة من 400 شخص بالفعل لتحديثات الأجهزة، وتغييرات السحابة، وتحديثات بوابة الدفع. إذا أضفت خطوات PQC إلى تلك الخطط، فإنني أتجنب موجة ثانية من العمالة. يمكن أن يعني ذلك عددًا أقل من الإصلاحات بعد ساعات العمل وعددًا أقل من مكالمات المقاولين. أود أيضًا أن ألقي نظرة على الإعداد للتدقيق. عمل التدقيق يأكل ساعات. إنه يأكل التركيز أيضًا. عندما تتناثر الأدلة، تقوم الفرق بإعادة بنائها في كل دورة. عندما يتم توثيق الضوابط في وقت مبكر، يمكن لنفس الدليل أن يدعم العديد من المراجعات. يعجبني هذا الجزء لأنه يدفع مضاعفًا: ضغط أقل، واضطراب أقل. قد يقضي فريق مالي متوسط ​​الحجم أمثله: - 120 ساعة في جمع أدلة العملات المشفرة - 60 ساعة في متابعة البائعين - 40 ساعة في اجتماعات المراجعة الداخلية - 30 ساعة في تتبع الإصلاحات إذا قمت بتقليص جزء من هذا العبء، فإن المدخرات تتزايد بسرعة. سأبقي الخطة واضحة. - العثور على الأنظمة - ترتيب الأنظمة الخطرة - تحديث الأنظمة المرتبطة بتدفق الأموال - إزالة العمل المكرر - تتبع الإثبات مرة واحدة، وليس عدة مرات هذا هو نوع الخطة التي يمكنني الدفاع عنها في اجتماع الميزانية. أنا لست بحاجة إلى الضجيج. أحتاج إلى خط واضح من عمل PQC لخفض الإنفاق. إذا تمكنت من تقليل استخدام المقاولين، وتقليص ساعات التدقيق، وتقليل إعادة العمل، والتوقف عن شراء الأدوات التي تحل نفس المشكلة مرتين، فإن مبلغ 120 ألف دولار سنويًا لن يبدو وكأنه مبلغ مبالغ فيه. يبدو الأمر وكأنه نتيجة للميزانية تأتي من التخطيط الأفضل. هذه هي الطريقة التي أبيع بها PQC داخل الشركة. ليس كمسرحية خوف. كوسيلة أنظف لإنفاق الأموال، وتقليل الاحتكاك، وتسهيل تمويل الخطوة الأمنية التالية.

لقد رأيت نفس المشكلة عدة مرات: ينتظر الفريق حتى نهاية العملية للتحقق من الجودة، ثم يدفع ثمنها من خلال إعادة العمل، والمرتجعات، والشحنات المتأخرة، والموظفين المجهدين. هذا هو المكان الذي يساعد PQC. بالنسبة لي، PQC ليست فكرة خيالية. إنه فحص جودة بسيط يتم وضعه في النقطة الصحيحة في سير العمل. أستخدمه لحل المشكلات الصغيرة مبكرًا، قبل أن تتطور إلى خسائر أكبر. عندما يقوم الفريق بفحص المنتجات أو خطوات العمل أثناء العملية، تنخفض النفايات. يقضي الأشخاص وقتًا أقل في إصلاح الخطأ نفسه مرارًا وتكرارًا. أركز على شيء واحد أولاً: أين يتسرب المال. تبدو الحالة الشائعة كما يلي: يقوم المصنع بإنهاء دفعة ما، وتعبئتها، وشحنها، ثم يعلم أن جزءًا من الدفعة له حجم خاطئ، أو درز فضفاض، أو ملصق مفقود. يقوم الفريق بعد ذلك بفتح الصناديق وفرز العناصر وإصلاح العيوب وإرسال البدائل. وهذا يعني المزيد من العمالة، والمزيد من استخدام المواد، والمزيد من الضغط على خدمة العملاء، والمزيد من تكاليف الشحن. أفضّل إيقاف تلك السلسلة مبكرًا. نهجي بسيط. أبدأ بتحديد نقطة تفتيش واحدة واضحة في هذه العملية. ليس كثيرا. ليس قليلًا جدًا. إذا كان العمل عبارة عن نسيج، فأنا أتحقق من القماش والخياطة والملصقات قبل التعبئة. إذا كان العمل عبارة عن تجميع، فأنا أتحقق من الأجزاء الرئيسية قبل بدء الخطوة التالية. إذا كان العمل عبارة عن تعبئة وتغليف، فأنا أتحقق من العدد والختم ووضع العلامات قبل الشحن. وهذا مهم لأن الشيكات المبكرة أرخص من الإصلاحات المتأخرة. وأبقي أيضًا قائمة المراجعة قصيرة. يجب أن تجيب القائمة المرجعية الجيدة لجودة الجودة على بعض الأسئلة المباشرة: هل يتطابق العنصر مع العينة؟ هل الحجم صحيح؟ هل هناك عيوب مرئية؟ هل التسمية صحيحة؟ هل الباقة كاملة؟ عندما أجعل القائمة قصيرة، يمكن للعمال استخدامها دون إبطاء الخط. هذا مهم. غالبًا ما يتم تجاهل النموذج الطويل. يتم استخدام نموذج قصير. أحب أن أسجل العيوب بلغة واضحة. ليست "مسألة الجودة". أكتب ما أراه: خدش على السطح، برغي مفقود، طباعة خاطئة، لون طباعة ضعيف، علامة طي ضعيفة على اللوحة الأمامية، وهذا يساعدني على اكتشاف الأنماط بسرعة. عندما يظهر نفس الخلل مرة أخرى، أعلم أن العملية تحتاج إلى إصلاح، وليس مجرد فحص آخر. مثال حقيقي يبقى في ذهني. استمر بائع سلع منزلية صغير عملت معه في الحصول على عوائد على مجموعة من صناديق التخزين. القضية الرئيسية لم تكن الصندوق نفسه. لقد كانت بطاقة التعليمات المفقودة والختم الخارجي الضعيف. بعد أن أضافوا PQC قبل التعبئة النهائية، اكتشف الفريق الخطأ في وقت سابق. انخفض معدل الإرجاع، وتوقف فريق التعبئة عن التعامل مع نفس الشكوى كل أسبوع. هذا النوع من النتائج يبدو عمليًا. لا يعتمد على ميزانية كبيرة. أود أيضًا تعيين مالك واحد لخطوة PQC. إذا كان الجميع مسؤولين، فلا أحد مسؤول. يجب أن يؤكد شخص واحد قائمة التحقق، ويجب أن يقوم شخص واحد بمراجعة ملاحظات العيوب، ويجب على شخص واحد أن يقرر ما الذي يحتاج إلى الإصلاح. وهذا يبقي العملية نظيفة. كما أنه يجعل المتابعة أسهل. قاعدتي بسيطة: لا تستخدم PQC كأداة لإلقاء اللوم. لقد رأيت فرقًا تحول اختبارات الجودة إلى حجج. وهذا يقتل الثقة. أفضّل أسلوب المراجعة الهادئ. الهدف هو العثور على المشكلة وإصلاحها ومنعها من العودة. عندما يشعر العمال بالأمان في الإبلاغ عن المشكلات، تتحسن العملية برمتها. أستخدم PQC لأنه يمنحني التحكم في عملية مزدحمة. أستطيع أن أرى العيوب قبل الشحن. يمكنني تقليل إعادة العمل. يمكنني الحفاظ على تركيز الفريق. يمكنني حماية الهامش دون إضافة خطوات ثقيلة. إذا كان علي أن أشرح ذلك في سطر واحد، فسأقول هذا: يساعدني PQC في التقاط النفايات مبكرًا، لذلك أنفق أقل على إصلاح ما كان ينبغي اكتشافه مبكرًا. ولهذا السبب أبقي الأمر بسيطًا وواضحًا وقريبًا من العمل.

وأظل أرى نفس المشكلة. يعرف الفريق أن التغيير قادم، ولكن يتم دفع عمل التشفير جانبًا. ثم تظهر التكلفة في عمليات التدقيق، ومكالمات البائعين، وإعادة العمل، والاختبار، والإصلاحات السريعة. وهنا تتسرب الميزانيات. يساعدني PQC، أو التشفير ما بعد الكمي، في خفض هذه التكلفة. أنا لا أتعامل معها مثل كلمة طنانة. أنا أعاملها كأداة للتخطيط. عندما أقوم بتعيين الأنظمة في وقت مبكر، يمكنني غالبًا العثور على ما يقرب من 120 ألف دولار سنويًا في عمليات إعادة العمل التي تم تجنبها، وتحميل الدعم، والمراجعات المتكررة. أنا لا أقصد المدخرات السحرية. أعني جهدًا مكررًا أقل ومهامًا أقل في اللحظة الأخيرة. ما أركز عليه بسيط: - أقوم بتخطيط كل نظام يستخدم التشفير - أقوم بتجميعها حسب مخاطر الأعمال - أتحقق من دعم البائع قبل بدء أي تغيير - أقوم بنقل الأنظمة الأكثر عرضة للخطر أولاً - أقوم باختبار منطقة صغيرة واحدة قبل طرحها على نطاق أوسع. هذا النهج يوفر المال لأنه يمنع الفرق من القيام بنفس العمل مرتين. مثال حقيقي يتبادر إلى الذهن. كانت لدى شركة برمجيات متوسطة الحجم تحدثت معها إعدادات TLS قديمة عبر أدوات العملاء وروابط الشركاء والخدمات الداخلية. استمرت ثلاثة فرق في حل نفس المشكلة بطرق مختلفة. وبعد أن قاموا ببناء خطة PQC واحدة، أصبح تتبع العمل أسهل. لقد قاموا بقطع البائع ذهابًا وإيابًا، وتقليل الترقيع المتسرع، وإزالة الكثير من العمل المتكرر. قدر فريقهم المالي الوفورات بما يقرب من 120 ألف دولار سنويًا، معظمها من ساعات عمل الموظفين وتكاليف الدعم. أنا أحب PQC لسبب آخر أيضًا. إنه يمنحني طريقة واضحة للتحدث مع القيادة. أستطيع أن أوضح ما يحتاج إلى التغيير، وما يمكن أن ينتظر، وأين تقع التكلفة اليوم. وهذا يجعل محادثات الميزانية أقل فوضوية. كما أنه يمنع الفريق من ملاحقة نفس المشكلة عبر العديد من الأنظمة. عندما أساعد فريقًا على البدء، أبقي النطاق عمليًا. أبدأ بثلاثة أشياء: - الأصول - المالكون - ملاحظات البائع ثم أقوم بربط الخطة بالأنظمة التي تستخدمها الشركة بالفعل. أحتفظ بنتائج الاختبار في مكان واحد. أبقي الطرح صغيرًا بما يكفي للمراجعة دون تخمين. هذه العادة توفر أموالاً أكثر مما يتوقع الناس. لا أرى PQC كوعد بتحقيق مكاسب سريعة. أرى أنها وسيلة لتقليل الهدر وتقليل إعادة العمل وحماية البيانات دون تحويل المشروع إلى تدافع. بالنسبة للفرق التي تريد أمانًا آمنًا كميًا مع ضوضاء أقل، فمن هنا تبدأ القيمة الحقيقية.

وأظل أرى نفس النمط. تسمع الفرق عن التشفير ما بعد الكمي، ثم تضعه في الاعتبار. يبدو الخطر بعيدًا. يبدو العمل ثقيلاً. المكدس الحالي لا يزال قيد التشغيل. وجهة نظري مختلفة. يبدأ المردود عندما أتعامل مع PQC كمهمة تخطيط، وليست مهمة ذعر. أرى ثلاث نقاط ألم مرارًا وتكرارًا: - البيانات التي يجب أن تظل آمنة لسنوات - الأنظمة التي تعتمد على تبادل المفاتيح القديمة أو مسارات الشهادات - أدوات البائع التي تدعم جزءًا واحدًا من التغيير، ثم تترك فجوات في مكان آخر. إذا انتظرت طويلاً، فلن أواجه تحديث التشفير فحسب. أواجه أيضًا اختبارات سريعة، وضغطًا أكبر للتعاقد، والمزيد من إعادة العمل عبر الفرق. ما يهمني بسيط: حماية البيانات طويلة الأمد، والحفاظ على استقرار الخدمة، والتحرك بخطوات صغيرة تناسب الأعمال. الخطوة 1: أقوم بتعيين البيانات التي تحتاج إلى حماية طويلة، أبدأ بالبيانات التي لا تزال مهمة لفترة طويلة بعد جمعها. يمكن أن يشمل ذلك: - السجلات الصحية - ملفات القروض - المستندات الضريبية - سجلات الهوية - كود المصدر - عقود العملاء قد تقوم مجموعة الرعاية الصحية بتخزين ملفات المرضى لسنوات عديدة. يجوز للبنك الاحتفاظ بمستندات القرض لفترة طويلة. قد تقوم شركة برمجيات بحماية التعليمات البرمجية التي لا تزال ذات قيمة بعد إصدارها. في كل حالة، يمكن أن تؤدي حماية المفاتيح الضعيفة إلى حدوث مشكلة لاحقًا، حتى لو كان النظام يبدو جيدًا الآن. أسأل سؤالاً بسيطًا: إذا قام شخص ما بالتقاط حركة المرور أو مجموعة الملفات هذه الآن، فهل سيظل الأمر مهمًا لاحقًا؟ يساعدني هذا السؤال في فرز الأنظمة التي تحتاج إلى الاهتمام أولاً. الخطوة 2: أتحقق من مكان استخدام تشفير المفتاح العام. يصبح عمل PQC أسهل عندما أعرف مكان وجود التشفير الحالي. ألقي نظرة على: - اتصالات TLS - شبكات VPN - توقيع التعليمات البرمجية - أمان البريد الإلكتروني - سلاسل الشهادات - إعداد الجهاز - التخزين الآمن - أدوات نقل الملفات، كما أتحقق من منتجات الطرف الثالث. تنسى العديد من الفرق أن المخاطر موجودة في حزمة البائعين أيضًا. أحد الأمثلة الحقيقية التي أستخدمها كثيرًا هو فريق الدفع الذي لديه تطبيق ويب نظيف ومكتب خلفي فوضوي. قد تبدو الواجهة الأمامية حديثة، بينما لا تزال وحدة تحكم المشرف تستخدم إعدادات الشهادة القديمة من نظام أساسي قديم. هذا المزيج يمكن أن يبطئ أي تغيير. لا أحاول إصلاح كل شيء دفعة واحدة. أقوم بإدراج الأنظمة، وتجميعها حسب المخاطر، وترتيبها حسب القيمة التجارية. الخطوة 3: أختبر الدعم المختلط قبل التحرك الكامل. أحب الدعم المختلط لأنه يمنحني مساحة للتعلم. يتيح الإعداد المختلط للفريق استخدام الخوارزميات الحالية وخيارات PQC الآمنة معًا. وهذا يمكن أن يقلل من خطر التحول الصعب. كما أنه يمنح المهندسين مكانًا لاختبار الأداء وحجم المصافحة ودعم الجهاز ومعالجة الشهادات. أنا أهتم بثلاث نقاط اختبار: - هل لا يزال الاتصال يعمل عبر أنواع عملائنا الرئيسية - هل يؤثر التشفير المضاف على زمن الوصول أو حجم الحمولة - هل لا تزال سجلاتنا وأدوات المراقبة والبوابات لدينا تقرأ حركة المرور كما هو متوقع؟ لقد رأيت فرقًا تركز فقط على قوة التشفير وتفتقد التأثير اليومي. ثم يتم تحميل تطبيق الهاتف المحمول بشكل أبطأ، أو يفشل جهاز قديم أثناء تسجيل الدخول. يمكن أن تؤدي المشكلات الصغيرة مثل هذه إلى إنشاء دعم أكبر لاحقًا. الخطوة 4: أدخل البائعين في الخطة مبكرًا. هذا الجزء مهم أكثر مما تعتقد العديد من الفرق. إذا لمس البائع الهوية أو التخزين أو النقل أو التوقيع، فإنني أطرح أسئلة مباشرة: - ما هي خوارزميات PQC التي تدعمها - ما هي الأجزاء النشطة الآن - ما هي الأجزاء التي لا تزال على خريطة الطريق - كيف تتعامل مع الأوضاع المختلطة - ما هو دليل الاختبار الذي يمكنك مشاركته - ما هي التغييرات التي سنحتاجها من جانبنا أريد إجابات واضحة، وليس وعودًا واسعة النطاق. أقوم أيضًا بمقارنة البائعين من حيث سرعة التحديث. لا يزال من الممكن للأداة التي تبدو جيدة على الورق أن تبطئ المشروع بأكمله إذا كان مسار الترقية ضعيفًا. الخطوة 5: أقوم بتشغيل برنامج تجريبي واحد يعكس الاستخدام الحقيقي ولا أختار إعدادًا معمليًا يخفي الأجزاء الصلبة. اخترت قضية تبدو وكأنها عمل حقيقي. على سبيل المثال: - تدفق تسجيل دخول العميل - مسار آمن لنقل الملفات - واجهة برمجة تطبيقات الدفع - خدمة توقيع داخلية يجب أن يتضمن هذا الإصدار التجريبي أنماط حركة المرور الحقيقية، وأنواع الأجهزة الحقيقية، وقيود الدعم الحقيقية. إذا نجح الطيار في اختبار مربع أنيق فقط، فأنا لا أثق في النتيجة. يمنحني الطيار الجيد بيانات يمكنني استخدامها: - تأثير حجم الشهادة - سرعة المصافحة - توافق الجهاز - معدلات الخطأ - تذاكر الدعم - جهد الإدارة، تساعدني هذه البيانات في تحديد ما يجب توسيعه بعد ذلك. كيف تبدو المكافأة بالنسبة لي؟ قيمة PQC ليست ضجيجًا. إنها السيطرة. عندما أبدأ مبكرًا، أحصل على مساحة أكبر للتخطيط. يمكنني نشر العمل عبر الإصدارات. يمكنني تجنب الضغط المفاجئ من عمليات التدقيق أو الشركاء أو تغييرات النظام الأساسي. يمكنني أيضًا أن أظهر للعملاء أنني آخذ الحماية طويلة الأمد على محمل الجد. لقد وجدت أن هذا النهج يعمل بشكل أفضل: - قم بإدراج البيانات التي يجب أن تستمر - ابحث عن مكان وجود التشفير - اختبار الدعم المختلط - اسحب البائعين إلى العملية - قم بتشغيل برنامج تجريبي واحد مع حركة مرور حقيقية - قم بالتوسيع فقط بعد أن تبدو النتائج مستقرة، هذا هو المسار الذي أثق به. وجهة نظري بسيطة. PQC ليس مجرد مشروع أمني. إنه مشروع رعاية الأعمال. فهو يحمي الثقة، ويقلل من الاضطرابات المستقبلية، ويمنح الفريق مسارًا أنظف للمضي قدمًا. وهذا هو المكان الذي يبدأ فيه المكافأة بالنسبة لي. اتصل بنا على mingxing: 1733143923@qq.com/WhatsApp 13968708081.

NIST، أغسطس 2024، إرشادات ترحيل التشفير ما بعد الكم لبيئات المؤسسات IETF، يوليو 2023، استراتيجيات تبادل المفاتيح الهجينة لعمليات نشر التشفير الانتقالية ETSI، مارس 2024، الطرق العملية لجرد أصول التشفير وتحديد أولويات المخاطر IBM Security، يناير 2025، بناء حالة عمل للاستثمار الأمني الجاهز الكمي Gartner، يونيو 2024، تقليل إعادة العمل الأمني من خلال رؤية وتخطيط أفضل للعملات المشفرة Microsoft، نوفمبر 2023، إدارة الشهادات وتحديث TLS والبنية التحتية الجاهزة للكم