Qué significa PQC para una PYME argentina

Empezar por lo que usás

Para una PYME, preparar PQC puede ser inicialmente un trabajo de coordinación. Hosting, correo, sistemas de gestión, VPN y servicios de firma suelen depender de distintos responsables. Saber quién puede cambiar cada componente es más útil que acumular nombres de algoritmos.

La guía conjunta de CISA, NSA y NIST de agosto de 2023 propone preparar una hoja de ruta, identificar dependencias criptográficas y conversar con proveedores. El ejercicio que sigue adapta esa orientación a una empresa pequeña; no es un requisito regulatorio argentino ni un plan universal.

Un ejemplo concreto

Imaginá una distribuidora de Córdoba con un sitio web, un ERP contratado y una VPN de soporte. El sitio puede terminar HTTPS en un CDN; el ERP puede tener otra infraestructura; la VPN puede estar a cargo de un técnico externo. Un resultado sobre el dominio público no describe automáticamente los otros dos sistemas.

La distribuidora empieza con una tabla de cinco columnas: servicio, responsable, proveedor, información involucrada y próxima consulta. No necesita inventariar cada biblioteca el primer día. Necesita evitar que sistemas importantes queden sin dueño.

Un primer trabajo de una semana

1. Reuní contratos y contactos de los servicios principales.
2. Identificá qué información debe seguir siendo confidencial por muchos años.
3. Preguntá qué versiones están soportadas y qué actualizaciones están pendientes.
4. Solicitá al proveedor su estado de preparación post-cuántica, con alcance y documentación.
5. Registrá dudas abiertas y una fecha para volver a revisarlas.

No hace falta resolver todo en esa semana. El resultado esperado es una lista verificable de dependencias, no una etiqueta verde para toda la empresa. Si faltan datos, escribí “pendiente de confirmar” en lugar de interpretar el silencio como seguridad o inseguridad.

Cómo conectar una observación pública

El dominio puede ser una primera puerta de entrada porque permite observar aspectos externos de TLS. Esa evidencia sirve para iniciar una conversación concreta con el hosting o CDN. No revela por sí sola el estado de backups, bases de datos, correos ni redes privadas.

Hecho: una empresa puede depender de varios proveedores criptográficos. Inferencia: asignar responsables reduce la incertidumbre operativa. Hipótesis: una actualización futura podría resolver parte de la transición; debe confirmarse. Limitación: estas recomendaciones no constituyen una auditoría ni prueban cumplimiento normativo.

Qué recordar

Empezá por servicios y responsables. Priorizá datos y dependencias. Pedí evidencia con versión y fecha. Conservá la diferencia entre “observado”, “informado por el proveedor” y “no verificado”.

Qué NO significa esto

No significa que debas reemplazar todo el equipamiento, contratar una consultoría extensa o comprar una computadora cuántica. Tampoco autoriza a declarar que una empresa está preparada solo porque una conexión de su web negocia un intercambio híbrido.