Francja: Co naprawdę przewiduje państwowa mapa drogowa w zakresie cyberbezpieczeństwa na lata 2026-2027

Mapa nie jest terytorium. Polski semantyk Alfred Korzybski mówił o logice, a nie o cyberbezpieczeństwie państwowym, ale ta formuła pojawia się w odpowiednim momencie. 7 września ANSSI ogłosiła REACTIV, swoją nową moc do zmuszania ministerstw w przypadku ataku. Komunikat odnosi się do tekstu opublikowanego pięć miesięcy wcześniej, mapy drogowej bezpieczeństwa cyfrowego państwa na lata 2026-2027, której REACTIV chce przyspieszyć wdrożenie. Dokument ten określa dziesięć projektów i około stu terminów. W przedmowie pojawia się również niezwykłe wyznanie o ograniczeniach budżetowych, które obciążyły poprzednią edycję. Mapa, więc. Przyjrzyjmy się terytorium.
Kluczowe punkty tego artykułu:

• ANSSI ogłosiła REACTIV, moc umożliwiającą zmuszanie ministerstw w przypadku ataku, aby przyspieszyć mapę drogową bezpieczeństwa cyfrowego na lata 2026-2027.
• Mapa drogowa na lata 2026-2027, mimo ograniczeń budżetowych, określa terminy wdrożenia środków cyberbezpieczeństwa, niektóre sięgające aż do 2030 roku.

Dokument oficjalny ma osiem stron i określa dziesięć celów, od najbardziej podstawowego (zamknięcie kont ogólnych do 30 czerwca 2026 roku) do najbardziej odległego (wdrożenie kryptografii odpornej na obliczenia kwantowe do 2030 roku). Pomiędzy nimi znajduje się szereg dat.

Na przykład, uwierzytelnienie wieloskładnikowe dla administratorów systemów musi być wdrożone przed 31 grudnia 2026 roku. Dla użytkowników systemów uznawanych za kluczowe, ten sam mechanizm jest oczekiwany do 28 lutego 2027 roku. Dla wszystkich innych systemów państwowych, bez wyjątku, trzeba będzie poczekać do 28 lutego 2028 roku, dwa lata po wyciekach danych, które uzasadniły dokument.

Zatwierdzenie bezpieczeństwa podąża za tym samym harmonogramem, obowiązkowe do końca 2026 roku dla systemów, które realizują kluczowe misje ministerstw, przesunięte na koniec 2028 roku dla pozostałych. A słynne EDR i XDR (oprogramowanie, które wykrywa intruzję, zanim przerodzi się w katastrofę) muszą obejmować stacje robocze i serwery do 31 grudnia 2026 roku, w pierwszej kolejności na najbardziej wrażliwych systemach.

Na papierze, REACTIV daje ANSSI moc zmuszenia ministerstwa do działania w ciągu godziny. Na kalendarzu, ta sama administracja daje sobie czas do 2028 roku na ujednolicenie tak podstawowego środka jak podwójne uwierzytelnienie.

Niemniej jednak, warto zauważyć. Oba teksty nie sprzeciwiają się sobie naprawdę. Opisują po prostu dwie prędkości tego samego domu. Interwencja awaryjna z jednej strony, dostosowanie norm z drugiej. Tylko że sama mapa drogowa ostrzega, że uwzględnia ograniczenia budżetowe, które wpłynęły na wdrożenie poprzedniej. Innymi słowy, edycja 2025-2026 nie dotrzymała swojego harmonogramu z powodu braku środków, a ta umacnia niektóre terminy bez żadnych nowych danych budżetowych towarzyszących dokumentowi. Ciała inspekcyjne są mobilizowane do kontrolowania wdrożenia ministerialnych map drogowych, precyzuje tekst. Kontrolowanie niczego nie finansuje.

Szukając kryptowaluty w ośmiu stronach dokumentu, to szybkie ćwiczenie. Słowo to nie pojawia się nigdzie, ani Bitcoin, ani aktywa kryptograficzne, ani portfel. Jedyną kryptografią, o której mowa, jest ta, która chroni komunikację państwową, z całym rozdziałem poświęconym przejściu po kwantowym.

Tekst opisuje czarno na białym tę technikę, nigdy jej nie nazywając: Niektóre ataki polegają na przechwytywaniu już teraz informacji trwale wrażliwych [...] aby odszyfrować je, gdy możliwości będą dostępne. Eksperci ds. bezpieczeństwa nazywają to harvest now, decrypt later, przechwycić dziś, aby odszyfrować później. Kalendarz przewiduje inwentaryzację danych wrażliwych do końca 2026 roku, zidentyfikowanie elementów technicznych do końca 2027 roku, a następnie pełne wdrożenie planowane na 2030 rok. Kalendarz, który przypomina, niemal słowo w słowo, ten, którego G7 żądało na początku września od przemysłu kryptograficznego. Tylko że Bitcoin ma już technicznego kandydata na stole, BIP-360, podczas gdy państwo francuskie jest wciąż na etapie inwentaryzacji. Obliczenia kwantowe zagrażają obu światom w ten sam sposób. Jeden ma plan wykonania. Drugi ma plan inwentaryzacji.

Porównanie ma swoje ograniczenia, zaczynając od rzeczywistej mocy obliczeniowej dostępnej dzisiaj. Najlepszy znany procesor kwantowy, Willow w Google, ma 105 fizycznych kubitów, ale jego rekordowa demonstracja dotyczy tylko jednego kubitu logicznego, jednostki, która naprawdę ma znaczenie w obliczeniach. W obliczu tego, tracker ecdsa.fail ocenia na 813 liczbę kubitów logicznych potrzebnych do złamania klucza Bitcoin. Zagrożenie postkwantowe nie jest więc niczym natychmiastowym. Ale państwo, które daje sobie czas do 2028 roku na ujednolicenie podwójnego uwierzytelnienia w swoich własnych systemach, ustala również, nie mówiąc tego, tempo, w jakim zamierza dotrzymać swoich obietnic. REACTIV daje pełne uprawnienia do pilnych działań. Mapa drogowa, z kolei, głosuje za cierpliwością.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.