En la carrera global por la transformación digital, existe una premisa que la alta dirección no puede seguir ignorando y es que, ninguna tecnología disruptiva puede ser verdaderamente sostenible si se construye sobre un esquema de seguridad con fecha de caducidad.
Hoy, mientras el sector empresarial e institucional acelera la adopción de inteligencia artificial, computación en la nube y conectividad avanzada, una amenaza silenciosa pero matemáticamente inevitable avanza en el horizonte: el Q-Day. Este término define el momento en que un ordenador cuántico alcance la escala técnica suficiente para romper los algoritmos de encriptación tradicional, como RSA y las curvas elípticas que actualmente protegen el ecosistema digital global, desde transacciones bancarias e identidades electrónicas hasta firmas digitales e infraestructura de defensa.
La ventana de riesgo no empieza en el Q-Day: el peligro de «Cosechar hoy, descifrar después»
Aunque estimaciones regulatorias como las del Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) proyectan la prohibición del uso de RSA hacia 2035, el riesgo operacional no comenzará cuando la computación cuántica esté plenamente desplegada; empezó hace años.
Bajo la estrategia conocida en ciberinteligencia como “Harvest now, decrypt later” (cosechar ahora, descifrar después), actores hostiles con recursos de nivel de Estado están interceptando y almacenando activamente tráfico de datos cifrados en el presente, con el objetivo de descifrarlo en el momento en que dispongan de capacidad cuántica. Bajo este escenario, cualquier información cuya confidencialidad deba perdurar más de cinco años —historias clínicas, secretos industriales, contratos de infraestructura, propiedad intelectual o datos de seguridad nacional— ya se encuentra expuesta si viaja bajo criptografía clásica. Invertir de manera reactiva tras el Q-Day no permitirá recuperar la información que ya ha sido exfiltrada.
El reto no se limita a la privacidad de los datos. La vulneración de las firmas digitales permitiría la suplantación de identidades corporativas ante entidades financieras o la distribución de código malicioso bajo la apariencia de actualizaciones de software legítimas, comprometiendo cadenas de suministro enteras.
El panorama en Colombia y la respuesta técnica
A pesar de que organismos internacionales como el NIST oficializaron en agosto de 2024 los primeros estándares de Criptografía Post-Cuántica (PQC) mediante las normas FIPS 203, 204 y 205, la velocidad de adopción a nivel local sigue siendo preocupantemente lenta. Datos del Observatorio Quantum Safe, iniciativa desarrollada por investigadores de la Universidad de los Andes, revelan que el 57,2% de los servidores analizados en internet en Colombia continúa siendo vulnerable al Q-Day.
Migrar la arquitectura criptográfica de una nación o de una corporación no es un proceso inmediato; transiciones previas como el reemplazo del algoritmo SHA-1 tomaron más de una década a la industria. La complejidad principal radica en que la mayoría de las organizaciones desconoce la totalidad del inventario de algoritmos que operan de fondo en sus sistemas.
La integración como cimiento de resiliencia
Frente a esta realidad, el ecosistema tecnológico debe asumir que la seguridad post-cuántica no es un módulo adicional, sino el cimiento estructural sobre el cual se deben integrar las soluciones del futuro.
Compañías colombianas especializadas en tecnología de misión crítica como NewSat, en alianza con CYTE —firma pionera con tres décadas de trayectoria en el desarrollo de criptografía avanzada y responsable de proteger el 95% de las transferencias interbancarias en el país a través de ACH Colombia—, están impulsando la adopción de la suite Q-Safe. Esta arquitectura permite a las organizaciones realizar la visibilidad e inventario de sus activos criptográficos, implementar cifrado post-cuántico para datos en tránsito y reposo, y asegurar la transferencia de información con terceros.
El camino hacia la resiliencia cuántica no comienza con la adquisición acelerada de software, sino con la auditoría objetiva. Identificar qué algoritmos se utilizan, dónde residen los datos de larga vida útil y trazar una hoja de ruta de migración gradual es la única estrategia que garantizará que la innovación de hoy no se convierta en la vulnerabilidad de mañana.