Doctrina de Gobernanza de Identidad de Máquina Post-Cuántica

Executive Strategic Framing

La dependencia institucional de infraestructura de clave pública clásica crea fragilidad estratégica latente: la exposición de confidencialidad puede diferirse y monetizarse más tarde, mientras el compromiso de identidad puede operacionalizarse de inmediato. Esta doctrina es necesaria ahora porque los ciclos de vida de identidad de máquina empresarial aún asumen estacionariedad criptográfica, mientras los programas adversarios de recolección ya asumen capacidad futura de descifrado.

Envolvente de supuestos acotados: la institución opera en multi-cloud e híbrido on-prem, tiene obligaciones reguladas de retención de datos, no puede duplicar el personal de plataforma y debe completar el primer tramo de migración dentro de una ventana de transición post-cuántica de 36 meses.

Superficie institucional primaria: Post-Quantum Infrastructure. Líneas de capacidad dentro del alcance: planificación de compatibilidad de handshake híbrido, rediseño del ciclo de vida de certificados y claves, validación de resistencia a downgrade.

Formal Problem Definition

Se define el sistema S como emisión, distribución, atestación y revocación de identidad de máquina empresarial en canales servicio-a-servicio y de plano de control. Se define el adversario A como actor con capacidad estatal y motivación financiera, con capacidad de captura de tráfico de largo plazo, intercepción activa selectiva y alcance sobre la cadena de suministro de software.

Se define el límite de confianza T como el límite entre material de identidad anclado en hardware y dominios mutables de software/red. Se define el horizonte temporal H como 10 años con checkpoints obligatorios de control cada dos trimestres. Se define la restricción regulatoria R como mandatos jurisdiccionales de transición criptográfica, obligaciones de retención y ventanas de reporte de incidentes.

El modelo de exposición es:

E = f\left(A_{cap}, L_d, B_r, \delta_c\right)

Donde A_cap es capacidad adversaria, L_d es latencia de detección, B_r es radio de impacto y \delta_c es tasa de decaimiento criptográfico de los primitivos desplegados. Implicación de gobernanza: reducir E requiere control simultáneo de los cuatro términos; madurez en un término no compensa colapso en otro.

Structural Architecture Model

Modelo de arquitectura por capas:

L0: Hardware / Entropía. HSM, TPM, origen de clave respaldado por enclave, atestación de salud de entropía.
L1: Primitivos Criptográficos. Suites híbridas de firma y KEM con metadatos de agilidad algorítmica.
L2: Lógica de Protocolo. Política de handshake TLS/QUIC, guardas de downgrade, enlace de transcript.
L3: Límite de Identidad. Autoridad de emisión, identidad de workload, semántica de revocación.
L4: Plano de Control. Distribución de política, flujos de ceremonia de claves, rollback criptográfico de emergencia.
L5: Observabilidad y Gobernanza. Pipelines de evidencia, cumplimiento de política demostrable, reporte al board.

Modelo de transición de estado:

S_{t+1} = T\left(S_t, u_t, a_t\right)

u_t denota entrada operacional autorizada; a_t denota influencia adversaria. Decisión de gobernanza: solo transiciones que preservan invariantes de emisión y verificación son admisibles en producción.

Adversarial Persistence Model

Dinámica de atacante de largo horizonte:

El crecimiento de capacidad C(t) aumenta con aceleración commodity, artefactos de implementación filtrados y tráfico capturado acumulado.
El decaimiento criptográfico D(t) aumenta a medida que se estrechan los intervalos de confianza sobre supuestos clásicos.
La deriva operacional O(t) aumenta cuando persisten rutas de excepción, flags temporales de compatibilidad y dependencias no documentadas.

Condición de ruptura de riesgo:

C(t) + O(t) > M(t)

M(t) es capacidad institucional de mitigación (throughput de ingeniería, cadencia de gobernanza y herramientas de enforcement). Si la desigualdad se mantiene en intervalos sostenidos, los planes de transición pierden credibilidad y el riesgo residual pasa de operacional a estructural.

Failure Modes Under Enterprise Constraints

Bajo realidades de multi-región cloud e híbrido on-prem, los modos de falla dominantes son determinísticos:

El fallback de compatibilidad revierte silenciosamente canales críticos a modo solo clásico bajo presión de incidente regional.
Inventario incompleto de certificados impide secuenciación determinística de revocación durante compromiso de clave.
La segmentación de compliance introduce dominios asíncronos de política, creando desincronización de estado de identidad.
Los techos presupuestarios fuerzan operación paralela de stacks legado e híbridos más allá de ventanas seguras de superposición.
Silos organizacionales separan ownership de PKI del ownership del runtime de servicios, rompiendo accountability de extremo a extremo.

Cada modo de falla amplía el radio de impacto por ambigüedad del plano de control, no solo por debilidad criptográfica.

Code-Level Architectural Illustration

El objetivo de control es resistencia a downgrade fail-closed con verificaciones explícitas de invariantes en la admisión de handshake.

package pqpolicy

import "errors"

type HandshakeMeta struct {
	ChannelClass        string
	NegotiatedSig       string
	NegotiatedKEM       string
	PeerPQAttested      bool
	DowngradeSignalSeen bool
}

var ErrPolicyViolation = errors.New("pq policy violation")

// Invariant: mission-critical channels never admit non-hybrid cryptographic state.
func EnforceInvariant(m HandshakeMeta) error {
	if m.ChannelClass != "mission_critical" {
		return nil
	}
	if m.DowngradeSignalSeen {
		return ErrPolicyViolation
	}
	if m.NegotiatedSig == "" || m.NegotiatedKEM == "" {
		return ErrPolicyViolation
	}
	if !m.PeerPQAttested {
		return ErrPolicyViolation
	}
	return nil
}

Implicación de ingeniería: la evaluación de política debe ejecutarse inline en la admisión de conexión, no como auditoría asíncrona; de lo contrario, L_d crece más rápido que la capacidad de contención.

Economic & Governance Implications

La exposición de capital está dominada por pasivo diferido de confidencialidad y primas de migración de emergencia. La responsabilidad operativa se concentra en operación dual-stack prolongada y eventos tardíos de revocación. El riesgo de lock-in crece cuando la agilidad criptográfica se abstrae en el proveedor sin artefactos exportables de política. La deuda de migración se compone cuando el inventario de certificados y claves está incompleto en fechas de checkpoint del board. La fragilidad del plano de control emerge cuando aprobación de gobernanza y mecánica de despliegue están desconectadas.

Modelo de costo:

Cost = f\left(N_s, D_d, A_c\right)

N_s es tamaño del sistema, D_d es profundidad de dependencias y A_c es área de superficie criptográfica. Relevancia para el board: programas de compresión de costos que reducen controles de migración tienden a aumentar el costo total vía pasivo ajustado por brecha.

STIGNING Doctrine Prescription

Controles obligatorios:

Definir una matriz de admisibilidad criptográfica por clase de canal, versionada y firmada, con rechazo automático de suites no admisibles.
Construir inventario completo de identidades de máquina con ownership, ruta de emisión, dependencia de runtime y metadatos de prioridad de revocación.
Imponer ceremonias de ciclo de vida de claves con doble autorización para rotaciones raíz e intermedias, con artefactos inmutables de auditoría.
Implementar detección determinística de downgrade en rutas de handshake y bloquear admisión ante cualquier señal de downgrade en canales mission-critical.
Establecer pruebas trimestrales de capacidad de mitigación donde compromiso simulado requiera revocación y reemisión demostrables dentro de tiempo de recuperación acotado.
Aislar la distribución de política del plano de control de los pipelines de despliegue de aplicaciones usando anclas de confianza separadas y procedimientos break-glass.
Exigir contratos de agilidad criptográfica con proveedores, incluyendo formatos exportables de política/estado y garantías de lead time para deprecación.

Umbrales de assurance:

100% de cobertura de inventario para identidades de máquina en producción.
0 excepciones toleradas de modo solo clásico en canales mission-critical.
Objetivo medido de recuperación revocación-a-reemisión por debajo de ventanas regulatorias de incidente.

Board-Level Synthesis

Si esta doctrina se ignora, el riesgo se cristaliza como eventos de pérdida diferida: datos capturados pasan a ser descifrables en momentos estratégicos, mientras el compromiso de identidad habilita disrupción operacional inmediata. Las consecuencias de gobernanza incluyen incapacidad de atestar progreso de transición criptográfica, accountability débil entre equipos en silo y narrativas de incidente no defendibles ante reguladores. Consecuencia de asignación de capital: diferir parece eficiente en el año corriente, pero transfiere pasivos mayores a periodos futuros con opcionalidad reducida.

5-15 Year Strategic Horizon

Prioridad inmediata: establecer completitud de inventario, controles fail-closed de downgrade y gobernanza de política firmada.

Ruta de migración a 3 años: mover todos los canales mission-critical a admisibilidad híbrida con ejercicios determinísticos de revocación y observabilidad con grado de evidencia.

Inevitabilidad a 10 años: retirar anclas de confianza solo clásicas de todos los límites de servicio regulados y de alto impacto.

Inevitabilidad estructural con visibilidad diferida: instituciones que preserven atajos de compatibilidad acumularán deuda de transición oculta hasta que la migración forzada ocurra bajo condiciones de incidente.

Conclusion

La migración post-cuántica es un problema de gobernanza e integridad del plano de control antes de ser un problema de selección de primitivas. La institución debe gobernar transiciones de estado de identidad como operaciones determinísticas, auditables y adversary-aware a través de toda la pila de infraestructura. Una envolvente de grado doctrinal convierte la migración de trabajo programático discrecional en política institucional ejecutable con assurance medible.

STIGNING Enterprise Doctrine Series
Institutional Engineering Under Adversarial Conditions