Top Level｜部署PQC加密新法 抗量子攻擊 港企提供「驗身」服務 助機構定對策
原文刊於信報財經新聞「CEO AI⎹ EJ Tech——前沿新知」
隨着量子運算發展，過去被視為足夠安全的數據加密方式，亦正面臨新的安全挑戰。本地科企高皆（Top Level）多年來參與政府及商業機構的加密項目，總經理陳增鴻接受本報專訪，討論企業要如何部署「後量子加密」（PQC）技術。
所謂PQC，是指可抵抗未來量子電腦攻擊的密碼技術。現時企業常用的RSA、ECC等加密手段，其安全性多建基於傳統電腦難以在合理時間內完成運算，但當量子運算能力提升，破解時間便有可能大幅縮短。
高皆：量子爆發無特定年份
陳增鴻指出，業界近年常提及2029年、2030年或2035年等明確數字，容易令人誤以為量子攻擊會在特定的年份全面爆發，但他解釋有關說法其實屬於預測指標，主要用來提醒企業提高警覺、啟動規劃，並非到某一天便會突然迎來「世界末日」。
他認為企業準備PQC可分為3個階段：一是盤點現有資產，建立完整清單；二是審視網絡及傳輸層，例如VPN、TLS；三是判斷資料數據的安全風險及優先次序，並按照其價值作分類、遷移與加密。高皆最近推出TSED平台，目的正是協助機構進行此類準備工作，透過掃描公司系統製作一份加密環境「驗身報告」，將現有資產加密情況視覺化，以便研究和劃分可能過時或不符合要求的項目。
新舊加密模式混合更務實
不過陳增鴻很清楚，大型企業及歷史較長的組織，內部往往存在「歷史包袱」，單是盤點資產數據保存期限、加密方式，已經需要頗長時間，再算上後續的風險評估、申請預算、測試及部署等程序，整個過程往往是以年計算。
同時，安全級別較高的PQC方案不代表適合所有情景，因為它們往往要求更高成本，而且更大的密鑰、更重的運算負擔，亦有可能拖慢系統速度。企業須在安全、效能、兼容性及成本之間取平衡。對於當下即將展開的新項目或新系統，陳增鴻建議不妨直接朝全面PQC方向設計；至於那些涉及「歷史包袱」的舊項目，因為難以一步轉換，較實際的做法是以傳統演算法配合PQC演算法，逐步遷移有需要長期保存的數據。
恐損供應鏈 中小企勿鬆懈
中小企或許會以為，自己沒有多少重要數據，未必成為量子黑客目標，陳增鴻就此特別提醒，「香港本身是一個國際城市，每個人做生意環環相扣。」大型企業與中小企業務互相連結，任何一方弱點都可能影響整條供應鏈。
況且，儘管香港本地目前未有相關法規或時間表，但不少中小企跟海外機構有業務往來，當對方訂明加密及資訊安全標準，本地供應商自然需要跟從相關要求。最後，被問到政府能如何支持港企應對PQC問題，陳增鴻建議推出類似數碼轉型資助的PQC專項基金，這樣即使資源匱乏的中小企，也能夠做到最低程度的安全措施。
採訪、撰文：郭文德
支持EJ Tech
如欲投稿、報料，發布新聞稿或採訪通知，按這裏聯絡我們。
