7 октября 2026 года Европол опубликовал свой доклад « Собирайте урожай сейчас, расшифровывайте позже». Его центральная предпосылка вызывает тревогу именно потому, что речь идёт не об атаке, которая должна увенчаться успехом сегодня: противник может собрать зашифрованную информацию сейчас, сохранить её и попытаться прочитать позже, если появятся достаточно мощные квантовые компьютеры.

Для профессиональных групп безопасности это не повод объявлять камеры, сигнализацию или системы контроля доступа «взломанными». Криптографически значимых квантовых компьютеров пока не существует, и дата их появления остается неопределенной. Но вмешательство Европола меняет важную часть дискуссии. Шифрование больше не является исключительно проблемой ИТ-инфраструктуры в рамках сетевого сеанса. Это также вопрос о том, должны ли данные, созданные системой безопасности в 2026 году, оставаться конфиденциальными в 2031, 2036 годах или позже.

Это различие имеет значение. Обычный видеоролик, перезаписанный через несколько дней, имеет иной профиль воздействия, чем видеоматериалы, сохраненные в качестве доказательств, записи о перемещениях VIP-персон, история доступа, экспортированная с конфиденциального объекта, или файл расследования, содержащий данные об участниках, планы помещений и хронологию инцидентов. Ценность этих материалов для обеспечения безопасности может постепенно снижаться; а шифрование, защищающее их, может оставаться эффективным.

Сигнал Европола от октября: готовьтесь, прежде чем угроза полностью созреет

Доклад был подготовлен Европолом совместно с Мадридским университетом Карлоса III (UC3M) через его Консультативную группу по исследованиям и разработкам. В нем рассматривается техническая осуществимость и уголовные последствия сбора зашифрованных данных для их последующего расшифрования, а также типы данных и заинтересованные стороны, наиболее подверженные риску. В связанном с этим пресс-релизе от 7 октября Европол призвал к принятию срочных мер в отношении рисков, связанных с квантовыми технологиями, которые затрагивают конфиденциальную информацию и криптовалюты.

Для директора по безопасности объектов, интегратора или руководителя отдела соответствия нормативным требованиям важно не «заменить все конечные точки». Более практично следующее: определить, какая информация имеет длительный срок действия конфиденциальной информации, куда она перемещается и могут ли системы, обрабатывающие её, изменить свою криптографию без полной перестройки системы.

Такая формулировка соответствует направлению, уже заданному стандартизирующими организациями и государственными органами. В августе 2024 года NIST выпустил первые три окончательных стандарта постквантовой криптографии и заявил, что они готовы к немедленному использованию, одновременно призывая администраторов начать переход, поскольку полная интеграция требует времени. В июне 2025 года государства-члены ЕС приняли скоординированную дорожную карту, предусматривающую начало перехода к концу 2026 года, при этом сценарии использования с высоким риском должны быть перенесены как можно скорее, но не позднее конца 2030 года.

Данные о безопасности не все одинаковы — и в этом вся суть

Профессиональная безопасность предполагает сочетание мимолетных оперативных телеметрических данных и долговременных конфиденциальных записей. Одинаковый подход к обеим категориям не имеет смысла ни с точки зрения безопасности, ни с точки зрения бюджета. Принцип «собирай данные сейчас, расшифровывай позже» наиболее актуален в тех случаях, когда захваченные данные могут оставаться полезными для противника еще долго после их первоначальной передачи или архивирования.

Данные с длительным сроком хранения заслуживают иного подхода к анализу

Примеры включают видеозаписи расследований и связанные с ними экспортированные данные; биометрические шаблоны; идентификационные данные сотрудников, подрядчиков и посетителей; историю использования пропусков за длительный период; графики охраны высокопоставленных лиц; планировки объектов; процедуры реагирования на тревожные сигналы; отчеты об инцидентах в критической инфраструктуре; а также доказательства, передаваемые юридическим, страховым или государственным органам. Во многих средах конфиденциальность этих записей может превышать ожидаемый срок службы камеры, контроллера или версии программного обеспечения, которые их создали.

Это не означает, что для каждого сохраненного видеофайла необходимы одинаковые технические средства контроля. Это означает, что политика хранения не должна обсуждаться только с точки зрения объема хранилища, необходимости предоставления доказательств и минимизации конфиденциальности. Она также должна включать горизонт конфиденциальности: если этот файл будет раскрыт через несколько лет, причинит ли это все еще вред?

Для команд, ответственных за видеонаблюдение, вопрос выходит за рамки самих камер. Он охватывает сервер управления видео, шифрование архивов, рабочие станции операторов, мобильные приложения для просмотра, облачное хранилище, экспортированные клипы и удаленную поддержку, используемую для обслуживания системы. Безопасный подход не имеет смысла, если связанные с ними записи, учетные данные или трафик управления не обрабатываются с использованием того же подхода, что и при полном жизненном цикле системы.

Скрытая зависимость: криптография с открытым ключом в контексте физической безопасности

Подключенные системы физической безопасности чаще, чем это следует из их внешнего вида, используют криптографию. Веб-консоль может использовать TLS. Канал удаленного обслуживания может использовать VPN или SSH. Облачный сервис может зависеть от сертификатов и обмена открытыми ключами. Подлинность прошивки, обновления программного обеспечения и идентификация устройства могут зависеть от цифровых подписей.

Именно поэтому простой маркировки товара, такой как «зашифровано», уже недостаточно для оформления закупки. Покупателям необходимо понимать, где используется шифрование, и, что особенно важно, есть ли у поставщика надежный способ замены уязвимых алгоритмов и сертификатов с течением времени.

Эта проблема касается камер, управляемых из облака, серверов контроля доступа, платформ управления посетителями, домофонов, каналов связи для мониторинга тревожных сигналов и приложений для супервизоров. Она также актуальна для подключенного полевого оборудования, работающего через сотовые каналы связи. Например, GPS-трекер может создавать конфиденциальную историю местоположения, при этом устройство, портал, учетная запись пользователя и канал связи являются частью картины конфиденциальности.

Устаревшая инфраструктура усложняет задачу. Устройства физической безопасности часто устанавливаются на длительный срок; они могут использовать встроенное программное обеспечение, проприетарные протоколы, иметь ограниченную вычислительную мощность или подключаться к облачным сервисам, контролируемым поставщиком. Поэтому миграция, которая в рамках традиционных ИТ-систем относительно проста, может превратиться в многолетнюю программу, включающую инвентаризацию оборудования, плановое техническое обслуживание, поддержку встроенного программного обеспечения и договорные обязательства.

От контрольного списка кибербезопасности до принятия решений по проектированию системы безопасности

В 2023 году CISA, NSA и NIST совместно призвали организации, особенно операторов критической инфраструктуры, начать планирование готовности к квантовым атакам. Их первые шаги включали создание криптографического реестра, взаимодействие с поставщиками и оценку зависимости цепочки поставок от криптографии, уязвимой для квантовых атак. Эти меры напрямую применимы к профессиональной инфраструктуре безопасности.

Начните с прозрачности, а не со списка покупок, "безопасных для квантовых систем"

Полезным первым шагом будет добавление небольшого количества вопросов к существующему обзору активов и поставщиков:

• Какие системы передают, обрабатывают или хранят информацию, касающуюся безопасности, которая должна оставаться конфиденциальной в течение многих лет?
• Где в этих системах используются TLS, VPN, SSH, сертификаты, обмен открытыми ключами или цифровые подписи?
• Какие элементы находятся в локальной собственности и управляются локально, а какие зависят от облачных сервисов или услуг поддержки сторонних организаций?
• Может ли поставщик обновлять криптографические компоненты с помощью поддерживаемых процессов обновления встроенного ПО, программного обеспечения и управления сертификатами?
• Каков заявленный поставщиком план действий после перехода на квантовые технологии, в том числе для уже внедренных, а не только вновь проданных продуктов?

Это инвентаризация, предшествующая закупке. Для правильного ответа отделу безопасности может потребоваться помощь коллег из ИТ-отдела, сетевого отдела, отдела по защите персональных данных, отдела закупок и юридического отдела. Такое сотрудничество является преимуществом: одна и та же система может одновременно быть инструментом оперативной безопасности, обработчиком персональных данных, сетевой конечной точкой и источником потенциальных юридических доказательств.

Криптогибкость — это практический критерий закупок

NIST определяет криптогибкость как способность заменять или адаптировать криптографические алгоритмы в протоколах, программном обеспечении, оборудовании и инфраструктуре без нарушения работы. Для профессиональной безопасности это полезнее, чем требовать расплывчатого заявления о «квантово-доказательной» защите.

Система, способная к гибкой работе с криптографическими данными, должна иметь поддерживаемое программное обеспечение, документированные пути обновления, поддержку управляемых сертификатов, четкое описание криптографических зависимостей и архитектуру, способную к развитию. Она не должна требовать замены оборудования на всем предприятии только потому, что необходимо изменить механизм сертификатов или алгоритм обмена ключами. Системы подтверждения, в частности, нуждаются в тщательно контролируемых обновлениях, которые сохраняют доступность, возможность аудита и соответствие требованиям цепочки хранения.

Это также актуально при оценке охранной сигнализации . Панели, коммуникаторы, каналы мониторинга и каналы доступа установщиков могут иметь различные возможности обновления. Один современный облачный портал не делает автоматически всю операционную цепочку гибкой.

TLS 1.3 — это своевременная и конкретная контрольная точка

Хотя переход на постквантовую криптографию займет время, некоторые текущие вопросы гигиены уже ясны. Национальный центр кибербезопасности Великобритании заявляет, что TLS 1.3 является текущей версией TLS и единственной версией, которая, как ожидается, будет поддерживать постквантовую криптографию. Он рекомендует отключить TLS 1.0 и 1.1 и планировать миграцию с TLS 1.2 на TLS 1.3 там, где это необходимо.

Для взаимосвязанных систем безопасности это предоставляет командам наглядную точку обзора: веб-интерфейсы администрирования, панели мониторинга VMS, API, порталы управления облаком и службы удаленного обслуживания должны быть проверены на соответствие протоколу TLS. Это не означает, что TLS 1.3 сам по себе решает проблему квантовых вычислений. Это разумный индикатор того, поддерживается ли среда с учетом будущих криптографических изменений.

Аналогичный дисциплинированный подход применим и к программам создания разрешенного оборудования для противодействия слежке . Технические проверки и физический контроль могут выявить несанкционированные устройства или передачи, но долгосрочная защита также зависит от того, как хранятся, передаются и доступны легитимные данные безопасности. Физическая и цифровая уязвимость не должны рассматриваться как отдельные области.

Какие выводы не следует делать из обсуждения квантовой механики

Во-первых, квантовые вычисления не сделали сегодняшние архивы видеонаблюдения доступными для чтения за одну ночь. Национальный институт стандартов и технологий (NIST) прямо заявляет, что криптографически значимых квантовых компьютеров пока не существует. Надлежащим ответом является планомерное снижение рисков, а не покупки, основанные на страхе.

Во-вторых, постквантовая криптография — это не то же самое, что квантовая криптография. Под постквантовой криптографией подразумеваются новые криптографические алгоритмы, разработанные для работы на обычных системах и противостояния будущим квантовым атакам; развертывание экзотического квантового оборудования на каждом объекте не является обязательным условием.

Во-третьих, руководителям служб безопасности не следует заменять проверенные оперативные средства контроля модными терминами. Управление доступом, установка обновлений, поддерживаемое программное обеспечение, безопасный удаленный доступ, надежные правила хранения данных и четкие процедуры реагирования на инциденты остаются крайне важными. Готовность к контролю качества добавляет этим дисциплинам долгосрочный аспект, а не заменяет их.

Решение 2026 года касается возможности выбора

Октябрьский доклад Европола лучше всего воспринимать как призыв к сохранению существующих вариантов. Системы, приобретенные и установленные сегодня, могут по-прежнему собирать конфиденциальную информацию, хотя требования к криптографии существенно изменились. Организации, которые знают свои зависимости, классифицируют данные по сроку действия конфиденциальности и получают от поставщиков значимые обязательства, смогут методично осуществить миграцию. Те, кто не может определить, где хранится их криптографическая информация, могут столкнуться с поспешными и дорогостоящими решениями в будущем.

Прежде чем заменять оборудование, необходимо определить, какие системы безопасности передают или хранят конфиденциальные данные, как долго эти данные должны оставаться конфиденциальными и может ли каждый поставщик обеспечить поддержку будущей миграции криптографических технологий. В эпоху принципа «собираем данные сейчас, расшифровываем позже» это становится ключевой частью ответственного проектирования физической безопасности.

Источники

• Европол — Собирайте урожай сейчас, расшифровывайте позже (7 октября 2026 г.)
• Европол — Первые действия по борьбе с квантовыми угрозами (7 октября 2026 г.)
• NIST — Первые окончательно утвержденные стандарты контроля качества продукции (13 августа 2024 г.)
• Европейская комиссия — Политика и дорожная карта в области постквантовой криптографии
• CISA, NSA и NIST — Руководство по планированию готовности к квантовым технологиям
• Национальное управление кибербезопасности Великобритании — Использование TLS для защиты данных