Migración poscuántica: una ficha de inventario para empezar por los sistemas correctos

Actualización editorial: 23 de octubre de 2026. Antes de comprar una solución anunciada como «poscuántica», una organización necesita identificar qué protege, dónde se usa criptografía y quién puede modificarla. Un inventario útil debe permitir tomar decisiones, no limitarse a enumerar servidores.

Qué problema resuelven los estándares

La documentación de migración del NIST distingue el establecimiento de claves de las firmas digitales: FIPS 203 especifica ML-KEM, mientras FIPS 204 y 205 corresponden a esquemas de firma. Esa diferencia importa porque una solución para intercambiar claves no reemplaza automáticamente la función de autenticar una firma.

Una ficha mínima por aplicación

La siguiente plantilla es una propuesta editorial para ordenar la revisión con el equipo técnico y sus proveedores:

• Servicio y responsable: nombre de la aplicación, área que la utiliza y persona encargada de mantenerla.
• Información protegida: datos tratados y tiempo durante el que necesitan confidencialidad o autenticidad.
• Dependencias: bibliotecas, certificados, equipos y servicios externos que intervienen en el flujo.
• Soporte disponible: versión instalada, fecha de fin de soporte y evidencia del plan del proveedor.
• Prueba y recuperación: entorno donde se validaría el cambio, criterio de aceptación y procedimiento para revertir una falla.

Cómo usar la ficha para priorizar

Imagine dos aplicaciones: un portal público con información efímera y un archivo que conserva documentos confidenciales durante años. El ejemplo no determina cuál debe migrar primero; obliga a comparar exposición, duración de la protección y dificultad de actualización. Una herramienta sin soporte puede requerir sustituirse antes de que sea posible cambiar sus algoritmos.

Conviene registrar también lo desconocido. Escribir «pendiente de confirmar con el proveedor» resulta más útil que completar un algoritmo por intuición. Cada dato necesita una evidencia y una fecha de revisión.

Qué preguntar antes de aceptar una propuesta comercial

Solicite el estándar y la función concreta que se implementan, las versiones compatibles, los resultados de pruebas y las limitaciones conocidas. Pida separar el costo de licencias del trabajo de integración y mantenimiento. El objetivo de esta ficha es preparar una evaluación técnica; llenarla no certifica seguridad ni significa que una migración esté terminada.