Consulta qui le nostre linee guida per l'IA generativa

Transizione Crittografica Post-Quantum

Ciro Di Leva, Massimiliano Pucciarelli

Transizione Crittografica Post-Quantum

Guida pratica giuridica e operativa alla migrazione crittografica nell’era quantistica

Questo libro affronta le principali sfide della transizione alla crittografia post-quantistica: dal censimento degli asset crittografici alla valutazione dei rischi, dalla pianificazione della migrazione all’adeguamento delle infrastrutture e alla gestione delle dipendenze tecnologiche e dei fornitori. Il percorso si sviluppa nel quadro degli indirizzi europei e degli obiettivi temporali del 2026, 2030 e 2035, traducendo le priorità della transizione in scelte organizzative e interventi concreti. Un testo per i responsabili dei sistemi informativi e delle infrastrutture tecnologiche, i responsabili della cybersicurezza e i dirigenti della Pubblica Amministrazione e delle imprese chiamati a governare la transizione.

SCOPRI DI PIÚ

Pagine: 320

ISBN: 9788835196358

Edizione: in preparazione 1a ediz 2026

Codice editore: 720.90

Un computer quantistico sufficientemente potente renderebbe insicuri gli algoritmi asimmetrici su cui si fonda la sicurezza digitale, da RSA alla crittografia su curve ellittiche. Il rischio riguarda già il presente: un avversario può raccogliere oggi traffico cifrato per decifrarlo quando disporrà di un computer quantistico adeguato (Harvest Now, Decrypt Later). Chi gestisce dati che devono restare riservati a lungo è quindi già esposto.
Il volume si rivolge principalmente ai responsabili dei sistemi informativi e delle infrastrutture tecnologiche, ai responsabili della cybersicurezza e ai dirigenti della Pubblica Amministrazione e delle imprese chiamati a governare la transizione alla crittografia post-quantistica. Attraverso un percorso metodologico e operativo, affronta le principali sfide della transizione: dal censimento degli asset crittografici alla valutazione dei rischi, dalla pianificazione della migrazione all’adeguamento delle infrastrutture e alla gestione delle dipendenze tecnologiche e dei fornitori. Il percorso si sviluppa nel quadro degli indirizzi europei e degli obiettivi temporali del 2026, 2030 e 2035, traducendo le priorità della transizione in scelte organizzative e interventi concreti, nel rispetto delle esigenze di sicurezza, continuità operativa e conformità normativa.
Al centro del volume, un caso di studio segue capitolo per capitolo le decisioni dei vertici di un operatore di infrastrutture critiche. Framework originali e strumenti operativi completano un testo pensato per chi deve decidere e agire.

Ciro Di Leva ha quarant’anni di esperienza nell’informatica, tra industria IT, pubblica amministrazione e contesti istituzionali europei. Ha diretto il Sistema Informativo Schengen nazionale nella Polizia di Stato, rappresentando l’Italia presso eu-LISA. Oggi dirige la Divisione Promozione e Sviluppo della Crittografia presso l’Agenzia per la Cybersicurezza Nazionale.

Massimiliano Pucciarelli, coordina il Servizio Identità Digitali e Nodo eIDAS presso AgID e rappresenta l’Agenzia nella commissione UNI/CT 533 di UNINFO per la normazione sull’AI Act. Nella Pubblica Amministrazione dal 1999, ha presieduto la direzione tecnica del primo Cloud Sovrano pubblico (SPC Cloud) e curato lo sviluppo di SPID, Nodo Eidas e la sicurezza delle infrastrutture ICT nazionali, dopo aver iniziato come responsabile del Settore Certificazione chiavi del Centro Tecnico UPA/AIPA.

Elenco delle figure

Elenco delle tabelle

Nota degli autori – Dichiarazione di responsabilità

Vittorio Rizzi, Prefazione

Prefazione degli autori

Il caso di studio: QuantumShield Global Communications S.A.

  • La dimensione di governance: QSG incontra il quadro normativo 25

Crittografia classica: simmetrica e asimmetrica

  • Breve storia della crittografia
  • Crittografia simmetrica
  • Crittografia asimmetrica
  • Funzioni hash crittografiche
  • La generazione di numeri casuali
  • La firma digitale e la PKI
  • Fondamenti matematici: perché certi problemi erano sicuri e perché non lo sono più
  • Impieghi settoriali e vulnerabilità quantistica

Quantum Information Science

  • Prima la conclusione: cosa fa la fisica quantistica alla crittografia
  • Quanta fisica quantistica serve per capire Shor
  • Limiti delle previsioni sul CRQC: incertezza e razionale della pianificazione
  • Fatti consolidati, scenari plausibili e valutazioni degli autori
  • Implicazioni operative: cosa cambia per il soggetto attuatore
  • Quantum Key Distribution: una possibilità complementare

La minaccia quantistica alla crittografia

  • La vulnerabilità della crittografia classica
  • L’algoritmo di Shor
  • L’algoritmo di Grover
  • La minaccia HNDL
  • Valutazione dell’orizzonte temporale
  • Cosa succede se la minaccia si concretizza

Gli standard NIST PQC 2024: cosa sono e come funzionano

  • Il processo di selezione NIST
  • Perché occorrono nuovi algoritmi: il problema dei reticoli
  • ML-KEM (FIPS 203): lo scambio sicuro delle chiavi
  • ML-DSA (FIPS 204): le firme digitali sui reticoli
  • SLH-DSA (FIPS 205): il meccanismo di fallback hashbased
  • La transizione ibrida: non tutto in una volta
  • FN-DSA (FIPS 206, in preparazione): firme compatte
  • Guida alla scelta: quale algoritmo per quale contesto
  • Standard internazionale o sovranità digitale?
  • Il caso Snowden: quando uno standard nasconde una backdoor
  • Sintesi operativa: tre cose da ricordare

La transizione post-quantum: aspetti operativi

  • L’inventario crittografico
  • Il Cryptography Bill of Materials (CBOM)
  • Migrazione della PKI post-quantum
  • Adeguamento degli HSM
  • Software e applicazioni: adeguamento crittografico
  • Sistemi di identità e autenticazione
  • Firma digitale e conservazione documentale
  • Dati archiviati e cifratura a riposo
  • Reti e apparati di sicurezza
  • Cloud e servizi esterni
  • I failure mode reali della migrazione
  • Crypto-agility: progettare sistemi che sopravvivono agli algoritmi
  • Dall’implementazione alla fiducia: validazione, certificazione e trust minimization
  • Testing: verifica di non-violazione e prestazionale
  • Roadmap europea e governance della transizione
  • Priorità e difficoltà degli interventi: due classifiche che non coincidono

Il ruolo dello Stato membro: governance, strutture e adempimenti per i soggetti attuatori

  • Il quadro normativo europeo: sintesi
  • Le raccomandazioni della Commissione europea (2024)
  • La Roadmap coordinata NIS CG (versione 1.1, giugno 2025)
  • La classificazione del rischio quantistico
  • Il contributo del G7 Cyber Expert Group (gennaio 2026)
  • Il limite strutturale della soft law: raccomandazioni, frammentazione e rischio sistemico
  • I modelli di governance degli Stati membri: quadro comparativo
  • L’iniziativa americana: contesto e confronto
  • Elementi di riferimento per la governance PQC nazionale: una prospettiva proposta dagli autori
  • Possibili assetti istituzionali e implicazioni per la governance
  • Possibili funzioni di riferimento nella governance PQC nazionale
  • Il piano operativo nazionale
  • I principali deliverable attesi dal soggetto attuatore nel framework proposto
  • Executive Roadmap: un framework di riferimento proposto dagli autori
  • Il ciclo bidirezionale Stato-soggetto attuatore: perché la governance PQC non può essere monodirezionale

Framework per la Transizione Post-Quantum

  • La natura pluriennale della transizione: implicazioni organizzative e di governance
  • Un flusso operativo in sette fasi (Fase 0-6)
  • Fase 0 – Mandato e consapevolezza organizzativa
  • Fase 1 – Discovery: dove si nasconde la crittografia
  • Fase 2 – Crypto Inventory: il Cryptography Bill of Materials
  • Fase 3 – Analisi del rischio: il tempo come variabile principale
  • Fase 4 – Prioritizzazione: costruire un indice quantificato
  • Fase 5 – Impact Analysis: valutare la complessità prima di eseguire
  • Fase 6 – Esecuzione: la strategia ibrida come via maestra
  • Sintesi: dalla protezione dei sistemi alla protezione dei dati nel tempo

Crypto Agility, Governance e Conformità Normativa

  • Crypto Agility per sistemi nuovi e sistemi legacy: un approccio differenziato
  • Crypto Agility: progettare per l’obsolescenza programmata
  • Governance della transizione
  • Il quadro normativo internazionale
  • Supply Chain crittografica: il rischio nascosto
  • Verso un modello di maturità organizzativa PQC

Implementazione Tecnica: Algoritmi, Librerie e Protocolli

  • Gli algoritmi standardizzati dal NIST: una tassonomia operativa
  • Il panorama delle librerie: stato dell’arte
  • Migrazione TLS: una delle principali quick win
  • Migrazione PKI: il problema più complesso
  • S/MIME e la posta elettronica cifrata
  • IoT e dispositivi a lunga vita: il problema irrisolto
  • Testing e validazione delle implementazioni PQC
  • Il costo reale della transizione: un modello di stima

Le Fasi della Transizione PQC per Soggetto Attuatore

  • I sei soggetti attuatori
  • Fase 0 – Mandato e consapevolezza: chi agisce e come
  • Fase 1 – Discovery: chi agisce e come
  • Fase 2 – Crypto Inventory (CBOM): chi agisce e come
  • Fase 3 – Risk Assessment: chi agisce e come
  • Fase 4 – Prioritizzazione: chi agisce e come
  • Fase 5 – Impact Analysis: chi agisce e come
  • Fase 6 – Esecuzione e Monitoring: chi agisce e come
  • Sintesi: matrice completa delle responsabilità per fase

Il ciclo di retroazione: metriche, dashboard e bidirezionalità soggetto attuatore-autorità nazionale competente (ANC)

  • Il problema della governabilità senza metriche
  • Le tre metriche condivise
  • La dashboard del soggetto attuatore
  • La dashboard dell’ANC
  • Il ciclo bidirezionale: architettura completa
  • Il PQFI come deliverable della Fase 3, il QPI della Fase 4, il QRI della Fase 6

Gli strumenti per l’inventario crittografico: il framework ECIF

  • I cinque componenti e i loro domini di analisi
  • Il flusso dati end-to-end verso il CBOM
  • Il modello CycloneDX CBOM
  • La tassonomia del rischio quantistico: RQ1-RQ4 e QRS
  • Integrazione con il ciclo DevSecOps
  • Strumento 1 – Static Code Analyzer (SCA)
  • Architettura interna e principio di funzionamento
  • Strumento 2 – Windows Runtime Scanner (Win-Scan)
  • Strumento 3 – Unix/Linux & macOS Runtime Scanner (Unix-Scan)
  • Strumento 4 – TLS/PKI PQ-Aware Scanner (CIF-TLS)
  • Strumento 5 – CIF Web Application (CIF-Web)
  • Architettura tecnica e API REST
  • Dal CBOM al piano di migrazione
  • Dal CBOM alla classificazione delle priorità
  • I piani operativi settoriali del PAG QSG
  • Il monitoraggio continuo con ECIF
  • Limiti strutturali dell’inventario crittografico
  • L’integrazione con il framework NIS2 e la rendicontazione

L’economia della transizione post-quantum

  • La struttura dei costi: CAPEX e OPEX
  • Il costo della non-migrazione
  • Il business case per il board
  • Il modello di staffing
  • Il procurement PQC-ready come leva economica
  • CAPEX vs OPEX: come strutturare il budget pluriennale
  • Tre scenari: early mover, follower, laggard

Crittografia post-quantum e sovranità digitale europea

  • La dimensione geopolitica della transizione crittografica
  • Il debito tecnico crittografico come problema economico
  • La dipendenza vendor come vulnerabilità strategica
  • L’asimmetria del rischio: chi paga il prezzo della nonmigrazione
  • La sovranità crittografica come componente della sovranità digitale europea

Conclusioni operative

  • Cosa fare lunedì mattina
  • I dieci errori da evitare
  • Il messaggio ai decisori

Acronimi e Abbreviazioni

Glossario

Note bibliografiche

Il volume continua online

Contributi: Vittorio Rizzi

Collana: Informatica

Argomenti: Applicazioni professionali - Certificazione informatica

Livello: Testi advanced per professional

Potrebbero interessarti anche