ข้อมูลที่องค์กรเข้ารหัสไว้วันนี้ อาจยังต้องรักษาความลับต่อไปอีกหลายปี ทั้งข้อมูลส่วนบุคคล ผลงานวิจัย ทรัพย์สินทางปัญญา และแผนยุทธศาสตร์ คำถามสำคัญจึงอยู่ที่ว่าการป้องกันที่ใช้อยู่จะยังเพียงพอตลอดช่วงเวลาที่ข้อมูลเหล่านั้นมีคุณค่าหรือไม่
ความก้าวหน้าของ Quantum Computing กำลังทำให้ CIO และ CISO ต้องกลับมาทบทวนคำถามนี้ โดยเฉพาะเมื่อระบบสำคัญขององค์กรพึ่งพาการเข้ารหัส การแลกเปลี่ยนกุญแจ และลายมือชื่อดิจิทัลเพื่อสร้างความเชื่อมั่นในการสื่อสารและทำธุรกรรม
การเตรียม Post-Quantum Security จึงควรเริ่มจากการรู้ว่า “ข้อมูลและระบบใดต้องได้รับการปกป้องในระยะยาว?” ควบคู่กับการติดตามว่าเทคโนโลยีควอนตัมพัฒนาไปถึงไหนแล้ว
Q-Day เป็นคำที่ใช้เรียกจุดที่คอมพิวเตอร์ควอนตัมมีความสามารถเพียงพอจะทำลายความมั่นคงปลอดภัยของระบบรหัสลับแบบกุญแจสาธารณะบางประเภทที่ใช้งานอยู่ เช่น RSA และระบบที่อาศัย Elliptic Curve Cryptography ความเสี่ยงจึงขึ้นอยู่กับอัลกอริทึมและรูปแบบการใช้งานของแต่ละระบบ
วันที่แน่นอนยังไม่สามารถระบุได้ แต่ความไม่แน่นอนนี้ต้องนำมาพิจารณาร่วมกับเวลาที่องค์กรต้องใช้ในการปรับเปลี่ยนระบบ ซึ่งอาจเกี่ยวข้องกับแอปพลิเคชัน อุปกรณ์ ผู้ให้บริการ และคู่ค้าจำนวนมาก
อีกเหตุผลที่ต้องเริ่มเตรียมตัวคือความเสี่ยงแบบ Harvest Now, Decrypt Later หรือการเก็บข้อมูลที่เข้ารหัสไว้ในวันนี้ เพื่อรอถอดรหัสเมื่อมีเทคโนโลยีที่ทำได้ในอนาคต ข้อมูลที่ยังต้องเป็นความลับอีกนานจึงอาจมีความเสี่ยงตั้งแต่ก่อน Q-Day หากถูกดักเก็บและได้รับการปกป้องด้วยกลไกที่เสี่ยงต่อการโจมตีด้วยควอนตัม
ลองพิจารณาสถานการณ์สมมติที่องค์กรมีข้อมูลวิจัยซึ่งต้องรักษาความลับอีก 15 ปี และต้องใช้เวลาหลายปีในการปรับระบบที่เกี่ยวข้อง แม้ยังไม่มีคำตอบแน่ชัดว่า Q-Day จะเกิดเมื่อใด องค์กรก็ควรเริ่มประเมินแล้วว่าข้อมูลถูกส่งผ่านช่องทางใด ใช้วิธีป้องกันแบบใด และมีส่วนใดที่ต้องเปลี่ยนก่อน
สำหรับผู้บริหาร การเตรียมความพร้อมสามารถเริ่มได้จากห้าขั้นตอน
- ระบุข้อมูลที่ต้องรักษาความลับระยะยาว กำหนดให้ชัดว่าข้อมูลประเภทใดต้องเป็นความลับนานเพียงใด และหากถูกเปิดเผยในอนาคตจะกระทบองค์กร ลูกค้า หรือประชาชนอย่างไร อายุการรักษาความลับนี้ควรเป็นข้อมูลสำคัญในการจัดลำดับความเร่งด่วน
- สำรวจว่าองค์กรใช้ระบบรหัสลับอยู่ที่ใด จัดทำ Cryptographic Inventory ให้ครอบคลุมระบบสื่อสาร VPN ใบรับรองดิจิทัล ระบบยืนยันตัวตน การลงนามซอฟต์แวร์ และการจัดการกุญแจ พร้อมระบุอัลกอริทึม ผู้รับผิดชอบ และการพึ่งพาผู้ให้บริการ เพื่อให้ทราบขอบเขตการเปลี่ยนผ่านจริง
- จัดลำดับตามความเสี่ยงและความยากในการเปลี่ยน ระบบที่เกี่ยวข้องกับข้อมูลอ่อนไหวระยะยาว ระบบที่มีอายุใช้งานยาว หรืออุปกรณ์ที่อัปเดตได้ยาก ควรได้รับการประเมินตั้งแต่ต้น นอกจากนี้ ต้องพิจารณาความน่าเชื่อถือของลายมือชื่อดิจิทัลและการอัปเดตซอฟต์แวร์ด้วย เพราะผลกระทบจากควอนตัมครอบคลุมมากกว่าความลับของข้อมูล
- ตรวจสอบแผนของผู้ให้บริการและทดสอบก่อนใช้งาน ขอรายละเอียดว่าผลิตภัณฑ์รองรับมาตรฐานใด ต้องอัปเกรดส่วนไหน และมีข้อจำกัดด้านการทำงานร่วมกับระบบเดิมอย่างไร การทดสอบควรครอบคลุมประสิทธิภาพ ความเข้ากันได้ และผลต่อบริการสำคัญ เพื่อให้การเปลี่ยนผ่านไม่สร้างความเสี่ยงใหม่
- สร้าง Crypto-Agility และแผนดำเนินงานที่มีเจ้าของ องค์กรควรพัฒนาความสามารถในการเปลี่ยนอัลกอริทึม กุญแจ และองค์ประกอบด้านรหัสลับอย่างเป็นระบบ พร้อมกำหนดผู้รับผิดชอบ งบประมาณ และจุดตรวจสอบความคืบหน้า ความยืดหยุ่นนี้จะช่วยรองรับทั้งการเปลี่ยนผ่านสู่ PQC และการปรับมาตรการในอนาคต
ปัจจุบันมีมาตรฐานสำหรับเริ่มดำเนินงานแล้ว โดย NIST เผยแพร่มาตรฐาน PQC ชุดแรกสามฉบับในปี 2024 ได้แก่ ML-KEM สำหรับการจัดตั้งกุญแจร่วม และ ML-DSA กับ SLH-DSA สำหรับลายมือชื่อดิจิทัล เทคโนโลยีเหล่านี้ออกแบบให้ใช้งานบนระบบคอมพิวเตอร์ทั่วไปได้ การนำไปใช้ต้องพิจารณาความพร้อมของผลิตภัณฑ์และระบบที่เกี่ยวข้อง
ในด้านการวางแผน NCSC ของสหราชอาณาจักรเสนอกรอบเวลาสำรวจและจัดทำแผนภายในปี 2028 ย้ายระบบที่มีความสำคัญสูงภายในปี 2031 และดำเนินการเปลี่ยนผ่านให้เสร็จภายในปี 2035 กรอบนี้เป็นแนวทางสำหรับบริบทสหราชอาณาจักร และเป็นตัวอย่างที่สะท้อนว่าการเตรียมพร้อมต้องดำเนินการเป็นระยะ ไม่ใช่การคาดการณ์วันเกิด Q-Day หรือเส้นตายร่วมของทุกประเทศ
สำหรับ CIO และ CISO จุดเริ่มต้นที่ทำได้วันนี้คือการมอบหมายเจ้าของแผน สำรวจข้อมูลและระบบสำคัญ และนำความพร้อมด้าน PQC เข้าไปอยู่ในแผนจัดซื้อและรอบอัปเกรดเทคโนโลยี การตัดสินใจเหล่านี้ช่วยให้องค์กรทยอยลดความเสี่ยงได้ตามลำดับความสำคัญ พร้อมบริหารต้นทุนและความต่อเนื่องของบริการ
CDIC 2026 ชวนผู้นำ Cybersecurity ร่วมเตรียมองค์กรสำหรับโลก Post-Quantum ภายใต้ธีม Cyber Dominance in the Age of Agentic AI ซึ่งครอบคลุมการเตรียมความพร้อมรับมือ Q-Day ควบคู่กับ AI Sovereignty และ AI Governance เพื่อเชื่อมความเปลี่ยนแปลงทางเทคโนโลยีเข้ากับการบริหารความเสี่ยงขององค์กร
ร่วมแลกเปลี่ยนมุมมองและเตรียมความพร้อมไปด้วยกันในงาน The 25th Cyber Defense Initiative Conference — CDIC 2026 วันที่ 25–26 พฤศจิกายน 2569 ณ Grand Hall, BITEC บางนา กรุงเทพฯ
