DSI, protégez vos données du risque quantique !

Les données sont dérobées aujourd’hui pour être déchiffrées demain.
La NSA américaine a officiellement lancé une alerte en 2021. Des acteurs malveillants, tels que les services de renseignement étrangers ou des cybercriminels organisés collectent dès aujourd’hui des flux de données chiffrées. Leur objectif ? En disposer pour les déchiffrer plus tard, dès que la puissance quantique sera disponible. Concrètement, les communications confidentielles de 2022, les contrats de 2023, les données de santé échangées en 2024 sont peut-être déjà dans les archives d’un adversaire, en attente d’être lus. La question n’est donc plus de savoir quand l’ordinateur quantique deviendra une menace. Il faut savoir comment protéger du risque quantique les données qui doivent rester confidentielles dans dix ans.

Informatique quantique : quelle définition ?

L’informatique quantique est une technologie de calcul qui exploite les lois de la physique quantique. Elle peut ainsi effectuer des opérations bien plus puissantes que les ordinateurs classiques. Cette technologie repose sur des qubits. Ceux-ci peuvent représenter simultanément 0 et 1, là où un bit classique ne peut être que l’un ou l’autre. Le résultat ? L’informatique quantique permet de résoudre en quelques instants des problèmes qui prendraient des millions d’années à une machine conventionnelle.

Un chiffrement fragile à moyen terme

Toutes les protections numériques actuelles, des connexions bancaires aux VPN en passant par les signatures électroniques ou l’authentification des collaborateurs, reposent sur des problèmes mathématiques que le quantique résoudra facilement demain. Certains experts estiment que ce demain pourrait survenir dès la fin de la décennie. L’organisation sectorielle FS-ISAC fixe la fenêtre critique à 2030-2032. Plusieurs acteurs majeurs ont déjà lancé leurs programmes de migration. Ainsi, JPMorgan a fourni une preuve de concept en conditions réelles démontrant la faisabilité d’un réseau sécurisé par distribution quantique de clés(1) . Wells Fargo dispose d’un laboratoire dédié depuis plusieurs années. Si les banques américaines, parmi les mieux dotées au monde, sont encore dans les phases d’initiation, on peut légitimement se dire que les autres organisations restent à la traîne.

Le risque quantique, un risque qui engage personnellement le DSI

L’importance du risque commence à toucher les consciences au plus haut niveau des Etats. Les contractants de la Défense américaine sont déjà soumis à des exigences PQC (Post Quantum Cryptography, cryptographie post-quantum) dans les appels d’offres fédéraux. Pour les prestataires du Secteur Public et de la Défense en Europe, c’est la prochaine étape prévisible. L’ANSSI (Agence nationale de la sécurité des systèmes d’information) recommande d’agir « sans attendre », et des réglementations européennes apparaissent. La directive NIS2, en vigueur depuis octobre 2024, et le règlement DORA (secteur financier, janvier 2025) imposent une gestion explicite des risques liés à la cryptographie (2) . Ce que cela signifie, concrètement ? Dans 5 ans, un ordinateur quantique brise les protections d’une entreprise. Il s’avère qu’elle avait connaissance du risque mais n’avait pris aucune mesure. La responsabilité du DSI, voire du dirigeant, pourrait alors être engagée pour négligence caractérisée. Les enjeux sont tels qu’ils méritent d’être portés en COMEX.

Un chantier à commencer aujourd’hui, pour créer les avantages de demain

Pour une grande organisation, migrer l’ensemble de ses protections cryptographiques prend entre 8 et 15 ans selon une étude publiée en 2025 dans la revue MDPI Computers (3) . Les chantiers sont en effet nombreux : inventaire de tous les composants chiffrés, priorisation par sensibilité des données, déploiement progressif de nouveaux algorithmes, renégociation des contrats fournisseurs. Et ils sont d’autant plus complexes que les avancées révèlent souvent des surprises. Ainsi, le NIST (National Institute of Standards and Technology) souligne, dans les retours terrains de son projet de migration post-quantique, que les organisations participant aux pilotes ont systématiquement découvert bien plus de composants vulnérables que prévu en début d’inventaire.
Les organisations qui commencent tôt peuvent mieux prioriser et distribuer la migration sur leurs cycles normaux de renouvellement technologique. Celles qui attendent affronteront une mise en conformité d’urgence — comme les entreprises qui ont attendu les dernières semaines avant l’échéance de la RGPD, avec des coûts significativement plus élevés. Plusieurs DSI ayant lancé l’inventaire cryptographique témoignent d’un bénéfice immédiat : découverte de certificats expirés jamais renouvelés, d’algorithmes obsolètes encore actifs dans des applications critiques. La migration post-quantique est donc aussi une mise à niveau générale de la sécurité — avec des gains indépendants de la menace quantique.
Les plus grands acteurs ne s’y sont pas trompé et ont lancé des actions concrètes. Ainsi, Chrome a activé par défaut le chiffrement post-quantique hybride pour l’ensemble de ses utilisateurs côté navigateur. Cela constitue une première étape majeure, même si la protection complète dépend aussi de la mise à jour des serveurs. Google s’est fixé 2029 comme horizon pour migrer l’ensemble de ses services vers la cryptographie post-quantique.

L’histoire de la cybersécurité est jalonnée de risques reconnus trop tard. SolarWinds, Kaseya, MOVEit et bien d’autres nous montrent que la chaîne cryptographique est aussi solide que le maillon le plus faible l’est. Le risque quantique est différent : sa préparation prend plus de temps que son horizon d’occurrence prévisible. C’est précisément pour cette raison qu’il faut agir maintenant contre le risque quantique.

Vous souhaitez en savoir plus ? Contactez Stéphane Yeou, auteur de ce texte.

 

Sources

(1) Communiqué conjoint JPMorgan / Toshiba / Ciena, 17 fév. 2022; publications NIST (csrc.nist.gov)

(2) Notes ANSSI

(3) Guide FS-ISAC « The Timeline for Post Quantum Cryptographic Migration » (septembre 2025)