Raccolgono adesso, decifrano poi: paura vera o catena di vendita?
C'è una frase che da qualche anno gira nelle presentazioni sulla sicurezza, e ha il pregio raro di essere insieme vera e molto vendibile: "harvest now, decrypt later". Raccogli adesso, decifra poi. L'idea è semplice. Un avversario intercetta oggi i tuoi dati cifrati, non può leggerli, ma li conserva. Quando arriverà un computer quantistico abbastanza potente, li decifrerà retroattivamente.
Nel 2026 il tema è esploso, complice la scadenza NIST per l'adozione degli algoritmi resistenti ai quanti. Ed è il momento perfetto per fare una cosa poco di moda: distinguere il rischio reale dal rumore commerciale.
La minaccia è reale (questo va detto)
Cominciamo dall'onestà. "Harvest now, decrypt later" non è fantascienza. Gli attori statali raccolgono e archiviano dati cifrati oggi, scommettendo sul domani. E per certe categorie di dati la scommessa è razionale: una cartella clinica, un segreto di Stato, un'identità, restano sensibili per decenni. Se il tuo orizzonte di riservatezza è il 2045, ciò che intercettano nel 2026 conta davvero.
Su questo i numeri girati sono allarmanti: stime parlano di quasi tutti i dati sanitari e governativi classificati a rischio di decifrazione retroattiva. Cifre da prendere con cautela, ma il principio regge: la durata del segreto è la variabile chiave.
Dove finisce la scienza e inizia il marketing
Detto questo, attenzione a chi suona la sirena. La stessa scadenza che spinge alla prudenza è anche un'occasione d'oro per chi vende migrazioni, audit, "quantum-readiness" e consulenze a peso d'oro. Quando l'urgenza viene martellata da chi incassa risolvendola, una parte di quell'urgenza è un funnel di vendita travestito da allerta nazionale.
La domanda giusta non è "quanto è grave", è "quanto è grave per i miei dati, e quanto a lungo devono restare segreti". La risposta cambia tutto, e raramente coincide con quella del fornitore.
La realtà operativa, peraltro, è meno epica del panico: la transizione globale procede a rilento, le organizzazioni inciampano nell'implementazione, e nessuno ha ancora il computer quantistico che giustifica la corsa. Prepararsi è saggio. Farsi prendere dal panico calendarizzato da un vendor è un'altra cosa.
Perché conta per te
Per chi gestisce dati a lunga vita: fai l'inventario. Cosa cifri, con cosa, e per quanti anni deve restare segreto. La migrazione post-quantum ha senso lì, dove l'orizzonte è lungo, non ovunque per principio.
Per chi compra sicurezza: diffida del "devi farlo subito o sei spacciato". La crittografia resistente ai quanti è una buona idea, da pianificare con calma, non una tassa sul panico.
Il bello della crittografia è che costringe a pensare in decenni. Il brutto è che, in mezzo a quei decenni, c'è sempre qualcuno pronto a vendere oggi la paura di un domani che non è ancora arrivato. Raccogli adesso, decifra poi, vale anche per chi raccoglie i tuoi soldi.