Le istituzioni finanziarie stanno affrontando un cambiamento profondo nella gestione della sicurezza digitale, legato all’evoluzione del calcolo quantistico e alle sue implicazioni sulla crittografia.
Nel corso del convegno Quantum Shift: the future starts now, organizzato dall’Osservatorio Quantum Computing & Communication del Politecnico di Milano, Jaime Gómez García, Global Head per il Quantum Threat Program di Santander, ha offerto un’analisi precisa delle minacce e delle transizioni richieste per proteggere infrastrutture e dati in un contesto in cui i progressi tecnologici impongono di ripensare meccanismi consolidati.
Il suo intervento introduce una prospettiva che va oltre la ricerca scientifica: la sicurezza quantistica non è più un tema futuribile o confinato ai laboratori, ma un fattore concreto di rischio e gestione per banche, intermediari, assicurazioni, operatori di pagamento e organismi sovranazionali.
Indice degli argomenti
Una sfida per la finanza globale: dal rischio teorico alla minaccia strutturale
Gómez García chiarisce fin dall’inizio che la questione non riguarda un’ipotetica capacità dei computer quantistici di “rompere tutto” nel presente. Il tema centrale è un altro: la sicurezza dei dati deve essere pensata su scale temporali lunghe, perché informazioni raccolte oggi possono essere compromesse in futuro. La vulnerabilità non è immediata, ma “a orologeria”.
Il relatore introduce uno dei concetti cardine del dibattito internazionale: Harvest-Now-Decrypt-Later (HNDL, letteralmente: raccogliere ora, decriptare dopo). La pratica consiste nel catturare oggi grandi quantità di informazioni cifrate, nella consapevolezza che saranno decifrabili quando i computer quantistici raggiungeranno capacità critiche. Le organizzazioni criminali, osserva, «non hanno bisogno di violare la crittografia ora; gli basta conservare i dati finché la tecnologia non sarà abbastanza potente».
Questa logica svela una vulnerabilità che non riguarda solo i dati futuri, ma anche la storia dei dati. L’intervento segnala che molte informazioni archiviate oggi — transazioni bancarie, scambi tra istituzioni, dati sanitari o fiscali — restano attraenti anche dopo anni o decenni. La protezione deve quindi anticipare il rischio, non inseguirlo.
Dalla crittografia tradizionale alla quantum safety: un cambio di paradigma
Gómez García affronta una seconda forma di minaccia collegata all’avvento del calcolo quantistico: la possibilità di manipolare identità e certificati digitali. Il relatore introduce l’espressione “trust-now-forge-later”, definita come uno scenario in cui un aggressore potrebbe registrare certificati o firme digitali oggi e, grazie alla potenza futura dei computer quantistici, riuscire a falsificarli.
È un passaggio importante, perché non riguarda solo la decifrazione di messaggi, ma l’intera infrastruttura della fiducia digitale. Identità, controlli di autenticità, scambi di chiavi e certificazioni di transazioni sono elementi che sostengono la sicurezza dell’economia digitale. La possibilità futura di comprometterli mette alla prova la struttura stessa del sistema finanziario.
Gómez García richiama anche un riferimento matematico tecnico, il teorema di Mosca, che definisce in modo formale le condizioni in cui la crittografia classica diventa vulnerabile ai computer quantistici. Il punto centrale non è la complessità del teorema, ma ciò che implica: esiste un limite di sicurezza oltre il quale le protezioni attuali non basta più.
Il ruolo delle istituzioni europee: dal Forum di Europol al coordinamento tra banche
L’intervento sottolinea la crescente attenzione delle istituzioni sovranazionali. Gómez García cita la creazione del Quantum Safe Financial Forum istituito da Europol, un’iniziativa nata per aiutare il settore finanziario europeo a coordinare risposte, strategie e competenze. L’obiettivo non è solo tecnico, ma strategico: costruire una visione comune su come gestire la transizione verso crittografie resistenti ai computer quantistici.
La cooperazione, osserva, è essenziale. La sicurezza delle infrastrutture finanziarie è interconnessa: una vulnerabilità in un nodo può generare effetti a catena. Il relatore fa riferimento a iniziative congiunte tra enti regolatori, banche, organismi di controllo e gruppi di ricerca europei. Le istituzioni finanziarie non possono procedere in ordine sparso, perché la complessità del problema richiede un allineamento tra tecnologie, policy e gestione operativa.
Cosa significa prepararsi alla transizione post-quantistica
Uno dei passaggi centrali del keynote riguarda la necessità di avviare migrating strategies verso la crittografia post-quantistica. Gómez García ricorda che gli standard globali non sono più un’idea: il NIST ha già avviato la definizione di algoritmi resistenti al quantum. Questa fase rende inevitabile il passaggio verso soluzioni compatibili con scenari di attacco futuri.
Il relatore invita a considerare quanto sia difficile migrare sistemi così complessi come quelli bancari, dove convivono applicazioni nuove e legacy, infrastrutture stratificate e un volume significativo di dati critici. Non si tratta di sostituire un algoritmo, ma di ripensare architetture, protocolli di rete, sistemi di autenticazione e modalità di scambio delle chiavi.
Un altro elemento sottolineato riguarda la tempistica. Anche se la piena capacità dei computer quantistici non è disponibile oggi, la migrazione richiede anni e deve iniziare prima che la minaccia diventi attuale. Gómez García sintetizza questo punto con una considerazione essenziale: «quando la tecnologia arriverà, sarà troppo tardi per iniziare la transizione».
Implicazioni per l’operatività delle banche
L’intervento mette in luce come il settore finanziario non stia affrontando un problema puramente teorico. Anche se non esiste ancora un computer quantistico in grado di rompere la crittografia attuale, la pianificazione deve avvenire ora. Il relatore descrive un futuro in cui processi quotidiani come la firma digitale, l’autenticazione dei clienti, la trasmissione di dati sensibili e la certificazione delle transazioni dovranno essere adattati per evitare vulnerabilità.
Gómez García non presenta la questione in termini allarmistici, ma come una trasformazione strutturale che richiederà anni di lavoro coordinato. Per questo insiste sulla necessità di evitare un approccio isolato: la quantum safety non può essere trattata come un mero aggiornamento tecnologico, ma come un percorso di adattamento del settore.
Perché il quantum computing richiede un nuovo concetto di rischio
Guardando il settore da una prospettiva giornalistica, emerge un punto centrale: la quantum safety cambia la natura del rischio. Il cyber risk tradizionale si basa su minacce attuali, mentre la sicurezza post-quantistica impone di proteggere dati che verranno messi a rischio in futuro. È un cambiamento radicale nella gestione della sicurezza: non si tratta di proteggere solo ciò che avviene oggi, ma anche ciò che è stato registrato negli anni passati e che potrebbe essere compromesso tra dieci o quindici anni.
Per le banche e per le infrastrutture finanziarie significa attribuire un valore diverso alla conservazione dei dati. La prospettiva introdotta da Gómez García suggerisce che la sicurezza del futuro si gioca sulla capacità di anticipare gli scenari, individuare i punti più vulnerabili e riprogettare i sistemi senza attendere la comparsa di un attacco reale.
Verso una nuova fase della sicurezza digitale europea
L’intervento di Gómez García si inserisce in un momento in cui la sicurezza quantistica diventa uno dei temi centrali nel dibattito europeo. Il settore finanziario, essendo tra i più regolati e interconnessi, rappresenta uno dei primi campi in cui la transizione deve essere pianificata. Le iniziative istituzionali, la collaborazione tra attori pubblici e privati e gli standard emergenti mostrano che il processo è già iniziato.
Il tema della quantum safety non descrive un rischio imminente, ma una trasformazione profonda nella progettazione dei sistemi crittografici e nella gestione del rischio informatico.
Come sottolinea Gómez García, la domanda non è se la tecnologia quantistica metterà alla prova la sicurezza tradizionale, ma quando sarà necessario aver completato la migrazione verso sistemi post-quantistici per assicurare la continuità e l’integrità dei servizi finanziari.
