Qué es crypto-agility

Poder cambiar sin perder el control

Crypto-agility, o agilidad criptográfica, es la capacidad de sustituir y adaptar algoritmos criptográficos preservando la seguridad y la operación. NIST la aborda como un problema que incluye protocolos, aplicaciones, software, hardware e infraestructura.

No se reduce a tener un menú con muchos algoritmos. Un sistema puede ofrecer opciones y, sin embargo, ser difícil de actualizar si no conocemos sus dependencias, no tenemos pruebas o nadie puede autorizar el cambio. Más opciones también pueden introducir complejidad y configuraciones débiles.

Un ejemplo concreto

Una empresa necesita actualizar la biblioteca criptográfica de una integración. El desarrollador puede cambiar la versión, pero el proveedor remoto exige un formato antiguo y el sistema no tiene pruebas automatizadas. Técnicamente existe un camino de actualización; operativamente todavía es frágil.

La empresa mejora su agilidad cuando documenta el requisito remoto, crea una prueba de compatibilidad, identifica quién mantiene la integración y prepara una forma de volver a una configuración segura si el cambio falla. El objetivo es poder repetir ese proceso cuando aparezca otra necesidad.

Cuatro capacidades que podés revisar

1. Visibilidad: saber dónde se utiliza criptografía y para qué función.
2. Control: conocer quién modifica bibliotecas, certificados, protocolos y dispositivos.
3. Validación: disponer de pruebas representativas de clientes, errores y rendimiento.
4. Operación: tener despliegue gradual, observación y reversión segura.

No todas las dependencias permiten el mismo grado de control. En un servicio contratado, parte de la agilidad consiste en conocer la política de soporte del proveedor y evitar que un componente quede sin actualizaciones.

Una pregunta para la próxima compra

Además de preguntar si un producto soporta PQC, preguntá cómo recibirá cambios criptográficos durante su vida útil. Solicitá documentación sobre versiones, compatibilidad y mantenimiento. Un equipo que va a permanecer muchos años en operación necesita una respuesta más precisa que una promesa de marketing.

Hecho: NIST define la agilidad como capacidad de adaptación preservando seguridad y operación. Inferencia: documentación y pruebas son inversiones útiles incluso antes de cambiar algoritmos. Hipótesis: una arquitectura más modular podría facilitar transiciones futuras; hay que probarlo en contexto. Limitación: no existe un único ajuste que vuelva ágil a toda una organización.

Qué recordar

La agilidad se demuestra al ejecutar cambios controlados. Un inventario sin responsables o una biblioteca actualizada sin pruebas dejan parte del problema sin resolver.

Qué NO significa esto

No significa habilitar todo algoritmo disponible ni aceptar una degradación silenciosa a una opción insegura. La flexibilidad necesita una política que determine qué opciones están permitidas.

Continuá con preguntas para proveedores.