澳洲通訊局建議企業以密碼物料清單推動後量子密碼學轉型

核心要點：先建「密碼物料清單」再推動後量子密碼學（PQC）轉型

澳洲通訊局（ASD）在今年七月發佈的指引，明確指出企業在面對即將到來的量子電腦威脅時，首要任務是建立初步的密碼物料清單（CBOM），並以此為基礎持續補齊資訊，才能進行風險評估與轉型優先順序的安排。

背景與影響：LATICE 架構與盤點挑戰

ASD 把 PQC 轉型流程整理為 LATICE 五階段：

• Locate（盤點）：找出所有仍使用傳統非對稱式密碼學的系統，並記錄演算法、金鑰長度、保護資料類型。
• Assess（評估）：分析每項密碼學相依關係的風險，包含負責單位、供應商及生命週期限制。
• Triage（排定優先順序）：根據風險與業務重要性排序，決定先行替換的目標。
• Implement（執行）：部署符合 PQC 標準的演算法與金鑰管理機制。
• Communicate & Educate（溝通與教育）：確保全員了解變更原因與操作流程。

實務上，傳統非對稱式密碼學可能散落於自行開發的應用程式、OT（Operational Technology）設備、硬體晶片、供應商平台、雲端服務、通訊協定、密碼函式庫乃至編譯後的二進位檔。單一工具難以完整掃描整個 IT 環境，故 ASD 建議企業 將 CBOM 與既有的軟體物料清單（SBOM）、軟體供應鏈管理系統、自動化資產探索與漏洞管理工具、組態管理資料、公開金鑰基礎建設（PKI）與金鑰管理系統等資訊整合，逐步補齊密碼學資產的全貌。

值得注意的是，ASD 強調 不必等到 CBOM 完整 才開始後續作業。企業可先建立「初步」清單，隨著盤點進度持續更新，避免等到後期才一次性完成大規模掃描，從而拖延 PQC 轉型的節奏。

未來展望與讀者啟示

隨著量子電腦研發加速，傳統 RSA、ECC 等非對稱式演算法的安全性將面臨根本挑戰。企業若能依照 LATICE 流程，從 密碼物料清單 入手，快速掌握自身密碼學相依關係，便能在風險評估與資源分配上取得先機。未來，政府與產業協會或將推出更多自動化工具，協助企業自動化生成 CBOM，進一步縮短轉型時間。

對於資訊安全主管而言，現在正是啟動 PQC 準備工作 的最佳時機：先盤點、先評估、先溝通，讓組織在量子時代到來前，已具備完整的防護藍圖。