随着量子计算技术的飞速发展，其强大的计算能力对传统密码学构成了前所未有的挑战。未来的大规模、容错量子计算机能够高效解决当前非对称公钥密码学（PKC）所依赖的复杂数学难题，从而轻易破解现有网络加密体系。为了应对这一潜在威胁，后量子密码学（PQC）应运而生。
PQC基于量子计算机难以高效解决的数学问题构建新的密码体系，成为抵御量子计算攻击的关键防线。
来源：Timelines for migration to post-quantum cryptography
英国国家网络安全中心（NCSC）于3月20日发布的《Timelines for migration to post-quantum cryptography》指南，为各组织在接下来数年安全迁移到后量子密码学提供了清晰的路线图和关键时间节点，旨在帮助技术决策者、风险负责人以及关键基础设施运营者等，有条不紊地规划和实施这一复杂而必要的技术变革。
从2028年的初步探索，到2031年的实质性推进，再到2035年的全面落地，每一个时间节点都承载着组织在技术变革浪潮中稳健前行的期望与决心。
这份指南认识到，不同行业在密码学成熟度上的差异，使得迁移之路各有侧重。对于大型组织、关键基础设施运营者以及拥有定制IT系统的公司而言，迁移不仅是技术的更新换代，更是对组织整体网络安全韧性的一次全方位重塑；
中小型企业（SMEs）通常主要使用商品IT，如标准浏览器、操作系统和移动设备。对于他们来说，PQC迁移将更为直接，而且随着供应商对服务的更新，迁移过程也应无缝进行。如果使用的是定制或专用软件，则需要确定和部署与PQC兼容的更新或替换；这应遵循与大型组织相同的时间表。
来源：Timelines for migration to post-quantum cryptography
在迁移规划的初期，组织需明确目标，这不仅是应对量子计算威胁的防御之举，更是提升组织网络安全韧性的战略契机。
全面的发现与评估工作至关重要，它要求组织对现有系统进行深入的盘点，涵盖关键服务、数据保护方式、系统管理方式等多方面，为后续的迁移计划奠定坚实基础。
而迁移策略的选择则需根据系统依赖的技术类型灵活制定，无论是原地迁移、重新平台化，还是退役服务、运行至寿终正寝甚至容忍风险，每一种策略都需经过深思熟虑，以确保迁移过程的平稳与高效。
制定迁移计划时，组织需综合考虑优先服务、硬件依赖、供应链状况以及遗留系统风险等众多因素，将迁移步骤细化至技术调研、采购、测试等各个环节，并充分考量业务连续性，以应对迁移过程中可能出现的各类挑战。
对于企业私有PKI的迁移，更是复杂艰巨的任务，涉及创建新的PQC信任根、为网络实体颁发新证书，以及多种可能的迁移模型选择，每一种选择都需权衡利弊，以实现最佳的迁移效果。
执行迁移计划的过程中，测试和验证始终是核心环节。
随着供应商计划的调整以及PQC生态系统逐渐成熟，组织需不断优化迁移计划，确保每一步都精准落地。而对于不同行业的PQC迁移，指南也给出了针对性的建议。全球性行业如银行、金融服务和电信等，需在早期聚焦迁移，与全球同行业伙伴紧密对齐，充分利用互联网面向服务和通用协议的优势。
而对于工业控制系统（ICS），其网络中OT和IT区域的PQC迁移需求则更为复杂，远程登录、无线连接的场外OT设备和传感器的安全性问题不容忽视，工业物联网设备在迁移规划中的特殊挑战也需提前应对。
PQC技术的成熟度是迁移成功的关键因素之一。
NIST于2024年标准化的PQC算法为迁移提供了基础，而后续通过NIST验证测试的供应商实现情况则为组织提供了更多选择。
硬件和软件的支持也在逐步完善，2025年预期出现的FIPS 140-3验证的密码模块、基于LMS和XMSS的固件安全启动解决方案，以及主流互联网浏览器对PQC的支持，都为迁移提供了有力保障。
然而，协议标准化的挑战依然存在，TLS等互联网协议中PQC标准化的进展和预期时间表仍需密切关注，WebPKI和ICS协议在整合PQC时面临的特殊难题，更是需要行业共同努力攻克的难关。
来源：Timelines for migration to post-quantum cryptography
在PQC迁移的总体时间框架下，2035年完成迁移的目标日期已经明确。NCSC推荐的活动时间线为组织提供了清晰的指引，从2028年的发现与评估、初步计划制定，到2031年的高优先级迁移活动执行，再到2035年的全面迁移完成，每一步都至关重要。
组织的下一步行动也同样关键，通过发布PQC迁移意向声明，向供应商明确传达需求，推动市场提供更多PQC安全产品；积极参与NCSC即将启动的咨询公司试点认证计划，确保英国具备支持组织迁移的专业技能；以及通过行业协会或监管论坛分享迁移经验和良好实践，促进知识共享和行业整体迁移进程，都是组织在迁移道路上不可或缺的行动。
总之，这份指南为组织在后量子密码学迁移的道路上提供了全面、详实的指导。它不仅涵盖了迁移的各个阶段和关键环节，还充分考虑了不同行业的特点和需求，为组织在量子计算时代的网络安全防护提供了坚实的保障。