Criptografía post-cuántica: por qué la banca debe migrar ya

Hay una amenaza que la banca no puede permitirse ignorar, aunque todavía parezca lejana: el día en que un ordenador cuántico sea capaz de romper la criptografía que hoy protege nuestras comunicaciones y transacciones. La criptografía post-cuántica es la respuesta a ese escenario, y la razón por la que las entidades serias ya han empezado a moverse.

Qué es la criptografía post-cuántica

La criptografía post-cuántica es el conjunto de algoritmos diseñados para resistir ataques tanto de ordenadores clásicos como cuánticos. Los sistemas que usamos hoy, basados en problemas matemáticos que un ordenador cuántico potente podría resolver con rapidez, quedarían comprometidos. Los nuevos algoritmos se apoyan en problemas que siguen siendo difíciles incluso para la computación cuántica.

No se trata de ciencia ficción: organismos de estandarización ya han seleccionado los primeros algoritmos post-cuánticos, y la migración ha dejado de ser un debate teórico para convertirse en un proyecto real.

Por qué migrar ahora y no después

La amenaza de «cosecha ahora, descifra después»

El riesgo más urgente es que un atacante capture hoy datos cifrados para descifrarlos en el futuro, cuando la potencia cuántica lo permita. Para la banca, con datos que deben permanecer confidenciales durante décadas, esta amenaza es real desde ya, no dentro de diez años.

La migración es lenta

Cambiar la criptografía de una organización compleja lleva años: hay que inventariar dónde se usa, priorizar y migrar sin romper nada. Empezar tarde no es una opción, porque el proceso no se puede acelerar a voluntad el día que la amenaza se materialice.

Cómo planificar la transición

Recomiendo empezar por un inventario criptográfico: saber dónde y cómo se usa el cifrado en toda la organización. A partir de ahí, priorizar los sistemas que protegen datos de larga vida y avanzar hacia arquitecturas ágiles que permitan cambiar de algoritmo sin rehacerlo todo. Esta planificación encaja con la gestión del riesgo de ciberseguridad y con las exigencias de resiliencia del reglamento DORA.

Por qué la urgencia es hoy

La razón por la que insisto tanto en empezar hoy es un riesgo que muchos directivos aún no tienen en el radar: la estrategia de «cosechar ahora y descifrar después». Un atacante puede interceptar y almacenar comunicaciones cifradas que hoy son indescifrables, a la espera de que un ordenador cuántico suficientemente potente le permita abrirlas dentro de unos años. Para datos con un ciclo de vida largo —historiales financieros, contratos, información médica— esa amenaza es real desde este mismo momento, aunque el ordenador cuántico todavía no exista.

Esto cambia por completo la urgencia del problema. No se trata de prepararse para un riesgo futuro, sino de proteger hoy información que seguirá siendo sensible cuando la criptografía actual ya no resista. Por eso, cuando una organización me dice que tiene tiempo de sobra, le hago una pregunta sencilla: ¿cuántos de tus datos actuales seguirán importando dentro de diez años? La respuesta casi siempre disuelve la falsa sensación de calma.

Inventario criptográfico: el primer paso real

Antes de migrar nada conviene saber qué tienes. El paso más infravalorado, y a la vez el más útil, es elaborar un inventario criptográfico completo: qué algoritmos, qué longitudes de clave y qué certificados se usan en cada sistema, librería y proveedor. Sin ese mapa, cualquier plan de migración avanza a ciegas. Con él, puedes priorizar por criticidad y abordar primero los sistemas que protegen los datos más sensibles y de vida más larga.

Esta migración no es un proyecto aislado, sino parte de una arquitectura de seguridad más amplia. Encaja de forma natural en una estrategia de Zero Trust en banca y entornos regulados, donde la confianza nunca se presupone y cada capa de protección se refuerza de forma independiente. Pensar la criptografía post-cuántica dentro de ese marco evita tratarla como un parche y la convierte en un pilar más de la resiliencia a largo plazo.

Criptoagilidad: diseñar para el cambio

El objetivo final de la migración no es simplemente sustituir un algoritmo por otro, sino ganar criptoagilidad: la capacidad de cambiar de algoritmo con el menor esfuerzo posible cuando el estándar evolucione. Los algoritmos post-cuánticos siguen madurando, y es probable que en los próximos años haya ajustes. Por eso recomiendo diseñar los sistemas de modo que la criptografía sea una pieza desacoplada y reemplazable, no algo incrustado en la lógica de negocio.

En la práctica, esto significa abstraer las funciones criptográficas detrás de interfaces claras y evitar dependencias rígidas de una librería concreta. Una organización criptoágil podrá adoptar la próxima generación de algoritmos con un esfuerzo razonable, mientras que otra con la criptografía cableada en cada aplicación tendrá que repetir un proyecto costoso cada vez. Invertir hoy en esa flexibilidad es, en mi opinión, tan importante como elegir bien el primer algoritmo de reemplazo.

Conclusión: prepararse antes de la tormenta

La criptografía post-cuántica es un caso de libro de gestión del riesgo a largo plazo: una amenaza poco probable a corto plazo pero de impacto catastrófico, que exige actuar antes de que ocurra. La banca que empiece a migrar ahora llegará preparada; la que espere a ver el problema, llegará tarde a un proceso que no admite prisas.

Preguntas frecuentes sobre la criptografía post-cuántica