Исходная точка большинства организаций
Типичный криптографический ландшафт: электронная подпись на рабочих местах, СКЗИ в защищённых соединениях, криптопровайдеры в приложениях, сертификаты в системах документооборота, встроенная криптография в устройствах. Часть решений сертифицирована ФСБ России, часть — наследие лет давности. Владельца единой картины обычно нет. Отсюда первый вывод: миграция начинается не с покупки «постквантового продукта», а с наведения порядка в том, что уже есть.
План из шести этапов
| Этап | Содержание | Выход |
|---|---|---|
| 1. Инвентаризация | Все криптосредства, алгоритмы, ключи, владельцы | Криптографическая карта |
| 2. Оценка | Криптоагильность каждого узла, срок жизни данных | Матрица приоритетов |
| 3. Роадмап | Порядок миграции по критичности | Утверждённый план |
| 4. Подготовка | Требования криптоагильности в закупках и договорах | Новые системы готовы к смене алгоритмов |
| 5. Пилоты | Гибридные схемы на тестовых контурах | Опыт, метрики совместимости |
| 6. Замена | Поэтапный перевод систем по мере выхода стандартов и СКЗИ | Постквантовая защита |
Этапы 1–5 не ждут выхода ГОСТ PQC — их можно и нужно выполнять уже в 2026–2027 годах. Этап 6 активируется публикацией стандартов и сертификацией средств.
Этап 1–2: карта и приоритеты
Инвентаризацию ведите по трём срезам: приложения и сервисы, средства защиты (СКЗИ, VPN, подпись), устройства со встроенной криптографией. Для каждого пункта фиксируйте алгоритм, место использования, владельца, срок жизни защищаемых данных и криптоагильность — как меняется алгоритм: конфигурацией, обновлением библиотеки или переписыванием.
Приоритизация — два критерия. Срок жизни данных: архивы персональных данных и документы с длительной юридической значимостью первыми. Критичность процесса: подпись и ключевые обмены важнее сессионного шифрования с короткими ключами. Всё, что живёт недолго и не критично, — последний эшелон.
Этап 3–4: роадмап и закупочная дисциплина
Роадмап фиксирует порядок волн миграции и критерии готовности. Параллельно меняется закупочная дисциплина: в требованиях к новому ПО и средствам защиты появляется пункт о криптоагильности — поддержке смены алгоритмов через обновления, совместимости с гибридными схемами, готовности вендора к приходу постквантовых стандартов. Это дешевле всего стоит сегодня и дороже всего — потом.
Этап 5: пилоты гибридных схем
Гибридная схема совмещает классический и постквантовый алгоритмы: пока стоек хотя бы один, защищённость сохраняется. Пилотируйте на изолированных контурах: тестовый VPN, служебная подпись некритичных документов. Что проверять: совместимость с действующими ГОСТ-средствами, производительность, поведение при сбоях одного из компонентов. Подробности — в разборе гибридной криптографии.
Этап 6: замена по волнам
Когда российские стандарты выйдут и появятся сертифицированные реализации, миграция идёт волнами по роадмапу: архивы и подпись — первыми, сессионная криптография — за ними, встроенные устройства — по циклам их обновления. Сертифицированные СКЗИ меняются в порядке, установленном для защищаемых систем; для значимых объектов КИИ это связано с их режимом защиты — рамка описана в курсе на 2028 год.
Риски проекта миграции
- Ожидание «полного перехода одним днём». Миграция по определению растянута; пилоты и этапность — не слабость, а метод.
- Забытые встроенные системы. Устройства со зашитой криптографией живут годами и выпадают из радара инвентаризации; ищите их отдельной строкой.
- Потеря совместимости. Новые алгоритмы несовместимы со старыми клиентами — переходные периоды требуют двойных схем, для этого и нужны гибриды.
- Миграция без владельца. Криптография разрознена по системам; без назначенного владельца программы миграция рассыпается на локальные инициативы.
Критерии готовности к 2027 году
- [ ] Криптографическая карта существует и обновляется.
- [ ] Криптоагильность оценена для критичных систем.
- [ ] Роадмап миграции утверждён, владелец назначен.
- [ ] Требования криптоагильности включены в закупки.
- [ ] Пилот гибридной схемы проведён или запланирован.
- [ ] Мониторинг публикаций ГОСТ PQC закреплён за исполнителем.
Запустить миграцию с внешней экспертизой — заявка: НЬЮ-ССТ проводит криптографическую инвентаризацию и ведёт программы миграции.