2026-11-04 00:42:39 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

寰球密码简报（2026年乙本第32期）丨新加坡发布量子安全迁移咨询建议，明确迁移时间表并启动资助计划

原创

唐梦晨
唐梦晨

苏州信息安全法学所

2026年11月2日 17:37
江苏

去阅读

2026年10月14日，新加坡网络安全局（CSA）发布《面向组织的量子安全迁移咨询建议》（Advisory on Quantum-Safe Migration for Organisations，以下简称《建议》），将量子安全迁移指导扩展至其他面临量子风险的组织：相关组织应在2027年底前制定量子安全迁移计划，并力争在2035年底前完成迁移。同日，CSA宣布设立“量子安全启动资助计划”（Quantum-Safe Kickstarter Grant），为组织试点量子安全解决方案提供资金支持。两项举措在2026年新加坡国际网络安全周（SICW 2026）上宣布。本期简报围绕《建议》的主要内容，梳理新加坡量子安全迁移时间安排、各组织目前可采取的措施以及配套资助安排。

认识量子威胁和迁移要求

量子计算机的进步可能最终动摇当今广泛使用的加密方法。目前的加密体系建立在极难求解的数学问题之上，传统计算机在现实条件下几乎无法完成此类运算。量子计算机借助专用算法，能够以指数级速度求解这类特定问题，从而威胁RSA、椭圆曲线数字签名算法（ECDSA）和数字签名算法（DSA）等主流算法。专家估计，具备破解能力的“密码学相关量子计算机”（CRQC）可能在5至10年内出现，虽确切时间仍不确定，但技术突破可能使其早于预期到来。更为紧迫的是“先窃取、后解密”（HNDL）的攻击模式：攻击者今日窃取加密数据，留待量子计算机成熟后再行解密。这意味着必须长期保密的敏感信息，如商业秘密、医疗记录、法律文件等，在当下面临的现实风险不取决于量子计算机何时到来，而取决于数据还需要保密多久。

量子安全迁移因此成为一项复杂的系统工程，因为密码技术应用于多种系统之中，往往涉及多家技术供应商，组织需要时间来识别密码依赖、评估风险、测试方案并在不中断运营的前提下实施变更。对于关键基础设施和遗留系统而言，技术变更的管理必须格外谨慎，这也是各国普遍为迁移预留较长过渡期的原因。

明确迁移时间表与适用范围

新加坡采取风险导向、分级推进的路径，并选择提前布局。2026年10月13日，新加坡发布《2026年网络安全战略》，将人工智能与量子准备列为国家优先事项；此前，CSA已于2026年6月率先向关键信息基础设施（CII）所有者发布迁移指南（Guidelines to Sector Leads and CIIOs for Adoption of Quantum-safe Requirements and Migration Plan Outline，以下简称《指南》），10月14日再将相关要求扩展至其他组织，避免等到量子威胁迫在眉睫时才仓促应对。

CSA设立的目标与国际共识一致。就关键信息基础设施而言，6月发布的《指南》已设定关键里程碑，要求组织于2031年底之前完成迁移；新发布的《建议》则鼓励其他面临量子网络安全风险的组织于2027年底前建立迁移计划，并力争在2035年底前完成迁移。2035年看似遥远，但迁移是一项长期工程，组织提前形成计划方能占据主动。

本次发布的《建议》适用对象覆盖依赖数字系统、数据或通信开展运营的组织，具体包括两类：一是持有须长期保密的敏感信息的组织；二是提供通信、数字交易等重要服务、必须维护信息完整性与保密性的组织。虽然并非所有组织和系统都会面临同等程度的量子威胁，但所有组织都应了解此类威胁，并在决定是否采取行动之前评估自身面临的风险。需注意，CII所有者需要继续遵循6月发布的专门《指南》。

可采取的行动建议

CSA为组织的量子安全迁移更新了两项关键资源：《量子准备指数》（QRI）和《量子安全迁移手册》。QRI是一款自评估工具，可帮助组织定期评估其在五个关键领域的准备情况，识别能力差距，并确定后续步骤的优先级；《量子安全迁移手册》为组织的迁移规划提供切实可行的分步指导。《建议》从六个方面提出切实且低风险的举措，均摘自《量子安全迁移手册》，组织可结合自身需求和风险状况调整使用。

第一，摸清风险底数，识别最重要的系统。组织无需一次性审计全部资产，可以从暴露面最大的部分入手：一是必须长期保密的敏感数据，例如商业秘密、医疗记录、法律文件；二是面向互联网的系统，包括网站、云托管服务、通过公共网络通信的VPN和电子邮件系统；三是更新困难的使用寿命较长的设备，如楼宇管理系统、工业控制系统和制造设备。

第二，明确责任归属。组织应指定对量子安全迁移负责和问责的人员；规模较大的组织可采用RACI（负责、问责、咨询、知情）模型，在高级管理层、网络安全团队、IT与技术战略团队和业务部门之间分配职责。

第三，识别、评估并测试量子安全解决方案。针对优先系统，确定哪些量子安全算法可以替代当前使用的易受攻击算法。由于部分量子安全算法密钥尺寸较大、计算需求较高，可能对系统性能造成影响，因此在全面部署前应先进行测试，确认影响可接受后再行推广。

第四，与供应商和合作伙伴充分沟通。组织的准备情况取决于其供应商的准备情况，所以组织应重点询问其下列事项：产品是否支持量子安全密码技术；供应商的量子安全升级路线图是什么；其迁移时间表是否与本组织一致；迁移由供应商全程负责还是需组织参与部分环节；以及是否产生额外费用。在续签合同或采购新软件与服务时，应优先选择正在为量子安全转型积极做准备的供应商。

第五，在组织内部建立共识。管理层需要理解量子威胁，才能批准迁移所需的时间、预算和资源。对内宣贯应从业务风险切入，包括监管义务、客户信任、数据泄露后果和竞争劣势；同时确保负责IT和迁移的团队对该威胁和迁移内容有基本了解。

第六，建设长期灵活性，即密码敏捷性。量子安全算法标准仍在演进，组织选择并构建系统时应确保能够以最小干扰替换算法，避免采用使用硬编码加密、没有升级路径的产品。规模较大的组织可考虑部署集中化、自动化的密码管理平台，并制定清晰的治理政策，规范密码机制的选择、更新与淘汰方式。

推出专项资助支持迁移试点

为帮助组织将迁移计划转化为实际行动，CSA在同日推出“量子安全启动资助计划”，提供限时的种子资金支持。该资助面向所有组织开放，优先考虑关键基础设施所有者；资助期限为2026年11月1日至2027年10月31日，每个获批试点期限最长可达六个月。组织可以自行开展试点项目，也可以与合适的解决方案提供商合作。优先考虑解决常见迁移挑战的用例，包括应用或系统的端到端迁移、密码资产发现与清点以及运营技术（OT）、遗留系统和基础设施密集型系统的迁移。试点参与者须提交经验总结与实际成效报告；CSA就申请项目的申请资格、范围、契合度和战略价值进行评估，保留优先考虑对新加坡网络安全生态系统有显著影响项目的权利。

小结

总体来看，10月14日发布的《建议》和6月发布的《指南》相衔接，设立了双轨时间表：CII在2031年底前完成迁移，其他面临量子风险的组织争取在2035年底前完成迁移，并以种子资金引导组织尽早开展试点实践。这一系列安排与国际通行的量子安全迁移时间表保持一致，标志着新加坡量子安全迁移政策框架的基本成形，后续进展值得持续关注。

编译：唐梦晨

审核：原浩朱莉欣方婷

完

作者编译观点仅代表个人

不代表密码法治实践创新基地

为方便排版，已略去脚注

如需转载或咨询，请联系谢老师

13771998064（微信）

报告预售