La cryptographie post-quantique paraît réservée aux États et aux grands groupes. Pourtant, les PME utilisent chaque jour de la cryptographie asymétrique dans les certificats TLS, VPN, signatures, mises à jour logicielles, sauvegardes chiffrées et échanges avec leurs partenaires. La transition touchera donc aussi leurs fournisseurs et leurs achats futurs.
L’ANSSI estime que cette migration durera plus d’une dizaine d’années et recommande aux organisations publiques et privées de commencer par inventorier leurs usages. Le bon premier projet n’est pas de remplacer tous les algorithmes, mais de découvrir où ils sont utilisés et quelles données doivent rester confidentielles longtemps.
Comprendre le risque sans annoncer l’apocalypse
Un ordinateur quantique suffisamment puissant pourrait fragiliser certains mécanismes à clé publique utilisés aujourd’hui. Il ne rendrait pas instantanément tous les chiffrements inutiles : les impacts dépendent des algorithmes, des paramètres et des usages. La transition doit rester fondée sur les recommandations des autorités et les produits évalués.
Le scénario « collecter maintenant, déchiffrer plus tard » concerne particulièrement les informations interceptées aujourd’hui dont la confidentialité doit durer de nombreuses années.
Définir le périmètre de l’inventaire
- certificats des sites, API et équipements ;
- VPN, accès distants, Wi-Fi d’entreprise et interconnexions ;
- signature électronique et horodatage ;
- messagerie chiffrée et échanges partenaires ;
- mises à jour signées et chaîne de développement ;
- sauvegardes, archives et supports chiffrés ;
- matériels industriels, objets connectés et équipements à longue durée de vie.
Ajoutez les services externalisés. L’absence de serveur dans les locaux ne signifie pas l’absence de dépendance cryptographique.
Recueillir les informations utiles
Pour chaque usage, notez le propriétaire, la finalité, le produit, la version, les algorithmes lorsqu’ils sont connus, le fournisseur, la date de renouvellement et la durée de confidentialité des données. Classez aussi la facilité de modification : configuration, mise à jour, remplacement matériel ou dépendance contractuelle.
Prioriser les cas critiques
Placez en tête les données sensibles à longue durée de vie, les systèmes exposés, les équipements qui seront encore utilisés après 2030 et les composants impossibles à mettre à jour. Les certificats renouvelés automatiquement et les services managés évolutifs seront souvent plus faciles à traiter.
Questionner les fournisseurs dès maintenant
- Le produit dispose-t-il d’une feuille de route post-quantique ?
- Les algorithmes peuvent-ils être remplacés sans changer tout l’équipement ?
- Une approche hybride est-elle prévue selon les recommandations applicables ?
- Quelles versions seront maintenues et jusqu’à quand ?
- Comment les certificats, clés et sauvegardes seront-ils migrés ?
Demandez des réponses datées et évitez les promesses vagues de « compatibilité quantique ». La qualification et la disponibilité des produits évoluent ; les achats doivent suivre les référentiels officiels.
Intégrer la transition au cycle normal
Ajoutez un critère de crypto-agilité dans les appels d’offres et renouvellements. Une architecture crypto-agile permet de remplacer un mécanisme sans reconstruire tout le service. Cette capacité vaut déjà pour les vulnérabilités classiques, pas seulement pour le quantique.
Profitez des changements de VPN, PKI, signature ou équipements pour exiger une feuille de route. Anticiper coûte généralement moins que remplacer dans l’urgence un matériel encore amorti.
Ce qu’une PME peut faire cette année
- Nommer un responsable de l’inventaire.
- Recenser les cinq usages cryptographiques les plus critiques.
- Identifier les données devant rester confidentielles plus de dix ans.
- Interroger les fournisseurs stratégiques.
- Ajouter la crypto-agilité aux prochains achats.
- Revoir l’inventaire une fois par an.
La transition post-quantique n’exige pas de prédire la date d’un ordinateur quantique opérationnel. Elle exige de connaître ses dépendances et de ne pas acheter aujourd’hui un blocage que l’on découvrira trop tard.
Conserver l’inventaire dans le temps
Rattachez chaque élément à un équipement, une application et un contrat plutôt qu’à un tableur isolé. Lorsqu’un système est remplacé, fermez la ligne et ajoutez la nouvelle dépendance. Conservez les décisions, notamment lorsqu’un risque est accepté temporairement. Cet historique permettra de distinguer un oubli d’un choix documenté et d’orienter les budgets vers les usages réellement critiques.
Article informatif. Les outils, règles et pratiques peuvent évoluer : vérifiez les sources officielles et adaptez les recommandations aux risques de votre organisation.
