Las entidades financieras que ofrecen activos digitales deben prepararse para la computación cuántica, que puede hacer saltar toda la seguridad ‘cripto’. En España hay seis entidades financieras que ofrecen criptoactivos y que cuentan con la licencia europea MiCA: BBVA, Cecabank, Openbank, Renta 4, CaixaBank y Kutxabank.
La seguridad ha sido el talón de Aquiles de los mercados de activos digitales. Las criptos se enfrentan a un peligro incipiente: la computación cuántica. Esta supone una amenaza para la seguridad de la información digital si los nuevos ordenadores rompen los sistemas actuales de cifrado. Las plataformas de intercambio de criptos ya se están preparando para este riesgo, pero hay un actor importante que también debe tomar cartas en el asunto: la banca.
Crypto Finance (compañía de Deutsche Börse especializada en infraestructura para activos digitales) alerta a las entidades de Europa de que deben incorporar este riesgo a su planificación tecnológica. «Las instituciones más expuestas [al riesgo cuántico] son aquellas que han avanzado más rápidamente en la digitalización de sus servicios financieros sin haber incorporado la seguridad poscuántica en su hoja de ruta tecnológica. En España, esto incluye a las entidades que han ampliado significativamente su actividad en el ámbito de los activos digitales, así como a los proveedores de servicios de criptoactivos que operan bajo el marco regulatorio de MiCA», explica Mike Schwitalla, director de cumplimiento de Crypto Finance.
Seis entidades financieras de origen español ofrecen servicios de criptoactivos: BBVA, Cecabank, Openbank, Renta 4, CaixaBank y Kutxabank.
Por el momento, no puede considerarse que ninguna entidad esté preparada para el riesgo de la computación cuántica, ya que la amenaza aún no es una realidad operativa, según subrayan desde Crypto Finance. Aunque sí hay instituciones que han iniciado ese proceso de preparación: «Diversos bancos, reguladores y organismos internacionales -entre ellos el Banco Central Europeo (BCE), el Banco de Pagos Internacionales (BIS) y la Reserva Federal de Estados Unidos- están trabajando activamente en el desarrollo de marcos de referencia para facilitar la transición hacia la criptografía poscuántica«, detalla Schwitalla. En el ámbito privado, añade, las entidades financieras más avanzadas, especialmente en el norte de Europa y Estados Unidos, están incorporando esta preparación como una disciplina permanente de gestión del riesgo y no como un proyecto puntual de transformación tecnológica. En España, añade el experto, el nivel de preparación todavía es incipiente, «lo que convierte la anticipación en una auténtica ventaja competitiva«.
El riesgo cuántico es una amenaza de largo plazo pero, al mismo tiempo, un peligro próximo «y esa incertidumbre es lo que dificulta su gestión», sostiene Schwitalla.
Sin embargo, sí existe un riesgo inminente: la estrategia conocida como harvest now, decrypt later (capturar ahora, descifrar después). Esta estrategia consiste en recopilar hoy los datos cifrados (como registros de clientes, transacciones o credenciales de autenticación) y almacenarlos hasta disponer de la capacidad cuántica para almacenarlos. Es un riesgo que ya puede poner en peligro a miles de entidades y agudiza la necesidad de actuar ya.
Medidas
El primer paso que deben dar los bancos es identificar dónde se encuentra la criptografía dentro de sus sistemas: qué procesos dependen de firmas digitales, qué datos requieren protección a largo plazo y qué proveedores tecnológicos forman parte de esa cadena.
«A partir de ese análisis, las acciones deberían centrarse en tres áreas principales», opina Schwitalla. Primero, adoptar un marco de agilidad criptográfica que permita actualizar los mecanismos de seguridad sin tener que reconstruir toda la infraestructura. Segundo, revisar los contratos y dependencias con proveedores tecnológicos para garantizar que también están incorporando estándares de criptografía poscuántica: Y, por último, iniciar procesos de evaluación, corroboración y preparar la integración de los algoritmos poscuánticos ya estandarizados.
«El error más habitual es esperar a que el riesgo se vuelva urgente. Sustituir la criptografía en una institución financiera implica múltiples proveedores, sistemas heredados y distintos niveles de gobernanza, por lo que no es un proceso que pueda completarse de la noche a la mañana», matizan desde Crypto Finance.