Квантна миграција почиње пописом — Сингапур тражи план до 2027.

Агенција за сајбер безбедност Сингапура (CSA) је 14. октобра 2026. објавила временски оквир квантно безбедне миграције: организацијама ван критичне информационе инфраструктуре које су изложене квантном ризику препоручила је план до краја 2027. и завршетак преласка до 2035, док је за системе критичне информационе инфраструктуре навела циљ 2031. године. То су сингапурске смернице и не стварају обавезу организацијама у Србији.

CSA је истог 14. октобра 2026. уз смернице представила и програм пробних пројеката; Lianhe Zaobao наводи да сингапурска подршка може да покрије до 70 одсто трошкова пројекта. За организације у Србији непосредан посао су именовање одговорне особе, попис криптографије и утврђивање шта добављачи заиста могу да ажурирају. Те припреме не захтевају куповину новог решења.

Који системи долазе први на ред

Саветодавно упутство CSA издваја дуговечне поверљиве податке, системе доступне преко интернета и опрему коју је тешко ажурирати, а међу рањивим алгоритмима наводи RSA, ECDSA и DSA. Организација која чува медицинске записе, правне списе или пословне тајне мора да узме у обзир колико дуго ти подаци остају осетљиви. Садржај који неко пресретне и сачува сада могао би постати читљив касније, ако његова заштита зависи од механизама које будући квантни рачунар може да савлада.

Ризик није исти за сваку примену јавног кључа. RSA може да се користи у различите сврхе, укључујући потписивање и заштиту размене, док је ECDSA алгоритам дигиталног потписа. Зато у попису није довољно уписати само назив алгоритма: треба знати да ли учествује у заштити поверљивости размене, потврђивању идентитета сервиса или провери потписаног документа. Та разлика одређује шта би напад могао да угрози и којим редом има смисла испробати замену.

Интернет сајт, VPN, електронска пошта и услуга у облаку зависе од сертификата, протокола и библиотека које често одржавају различити тимови или спољни провајдери. Код уређаја са дугим радним веком прелазак може да зависи и од тога да ли произвођач предвиђа ажурирање. Почетна процена зато повезује осетљивост података, изложеност система и стварну могућност измене, уместо да свим применама криптографије додели исти приоритет.

Попис који открива шта треба мењати

За организацију у Србији користан је једноставан радни регистар, чак и ако је прва верзија непотпуна. Сваки унос треба да повеже услугу, податке које она штити и место на ком се користи криптографија. Следећа поља су практичан образац за припрему плана:

• Услуга и власник: назив система, тим који га одржава и особа која може да одобри измену.
• Подаци и трајање заштите: шта мора да остане поверљиво или проверљиво и колико дуго после данашње размене или потписивања.
• Алгоритам и улога: где се користе RSA или ECDSA, да ли је реч о сертификату, дигиталном потпису или успостављању заштићене везе, те ко управља кључевима.
• Зависности: протокол, библиотека, уређај, услуга у облаку и добављач чија је измена потребна за прелазак.
• Начин замене: да ли је ажурирање могуће, ко га испоручује, како се проверава компатибилност и када услуга може да поднесе промену.

Попис не мора да почне од сваког уређаја и сваке апликације. Први круг могу да чине дуговечни осетљиви подаци, услуге које комуницирају преко јавних мрежа и системи код којих је ажурирање споро. Ако тим не зна који алгоритам користи купљени производ, то поље треба означити као непознато и доделити особу која ће прибавити одговор. Тако се види да ли организација контролише део система који треба мењати или зависи од туђег плана развоја.

Власник плана и питања за добављаче

Плану је потребан власник који може да споји налазе више тимова и одреди приоритете. Администратор сертификата може да зна где се налази кључ, али власник пословне услуге зна какве би последице имао прекид рада и колико дуго подаци остају осетљиви. Заједничка одлука треба да обухвати редослед измена, расположиви термин за тест и одговорност ако промена затражи нову опрему или измену уговора.

Питања добављачу треба везати за конкретну верзију производа и функцију коју организација користи: које квантно безбедне алгоритме подржава, које тек планира, ко спроводи надоградњу и да ли се мењају протоколи или интеграције на страни купца. Треба затражити рок испоруке, начин повратка на претходно стање и евентуалне додатне трошкове. Општа изјава да производ „подржава постквантну криптографију” не говори да ли ће заштитити баш потписе, сертификате или размену података од којих зависи дата услуга.

Одговори добављача затим одређују обим пробног увођења. Проба на изабраном систему треба да покаже да ли нови механизам ради са постојећим клијентима и партнерима, колико траје обрада и да ли већи кључеви или потписи ремете рад услуге. Ако је замена условљена верзијом коју добављач тек развија, та зависност остаје у плану као конкретан ризик и основ за следећи разговор о набавци. Таква мапа зависности показује шта може да се тестира одмах, а шта мора да сачека испоруку добављача.

Прочитајте и:

• Playwright или Cypress: бржи CI није једини трошак миграције
• Cloudflare постаје јавни CA — квантно отпорни сертификати стижу 2027.
• Сајбер-инцидент у Србији: пријава тражи и индикаторе компромитације