你願意花多少力氣保護你的資料？這個問題，正逐漸成為台灣企業領導者不得不回答的資安考題。原因是，未來的量子電腦可能在幾個小時內，破解現行加密要花上萬年才解得開的密碼。這代表，企業必須趕在那天到來前把加密升級，完成「後量子密碼（Post-Quantum Cryptography，PQC）遷移」。而願不願意投入這場不算輕鬆的準備，取決於企業有多重視手上的資料。
過去，PQC 遷移的期限多訂在 2035 年，但這一年來 Google、微軟與美國政府接連把相關時程一路往前挪，數位發展部與金管會也相繼發布遷移指引。當外部的時程不斷加速，多數台灣企業卻還停在最前面那一關：連盤點都還沒盤完。
長期在第一線協助企業處理資料安全的 NetApp 台灣技術總監許宏俊，被問到台灣企業目前普遍走到哪一步，他的答案很保守：「大家都應該還在盤點。」而在他的觀察中，光是盤點這一關，就足以耗掉企業大部分的時間。
時程一路提前，PQC 從研究題變成「有期限的功課」
量子威脅過去像是一則遙遠的預言，如今卻在短短數月內，變成有明確期限的行動指令。今年 3 月起，Google、微軟接連喊出 2029 年完成產品線的抗量子部署，美國總統川普也簽署行政命令，把聯邦系統的遷移期限一路壓到 2030、2031 年。
台灣同步跟進：數位發展部去年發布全產業適用的《後量子密碼遷移指引》，金管會也在今年 6 月要求金融業分階段遷移、2035 年完成。原本被視為還很遙遠的量子威脅，正肉眼可見地逼近。
對許宏俊來說，這樣的加速並不意外。他表示，NetApp 大約兩年前就開始談 PQC，「也大概知道說這個會是接下來的一個風險」。在他看來，近年科技巨頭投入大量資源在 AI 運算，間接地讓整個 Q-Day（量子電腦強到足以破解現行加密的那一天）的時間表提前。
值得注意的是，量子威脅的風險，並不是等到量子電腦真正問世那天才開始累積。許宏俊點出一種現正發生的攻擊手法：駭客會先竊取企業資料，就算現在無法解密，也會先把資料留著，在未來後量子技術成熟時破解。換句話說，「並不是到量子電腦真出現才有風險」。
隨著今年的指引把準備工作與時程都寫得更明確，PQC 對受法規約束的金融、政府單位而言，也已從一個可以再觀望的前瞻議題，變成有期限、會被稽核的功課。
卡在起跑線：為什麼大家都還在盤點？
如果 PQC 遷移是一場長跑，多數台灣企業連第一步都還沒踏穩，而卡住他們的盤點，遠比想像中難纏。難處首先在於工具的破碎。
許宏俊解釋，PQC 牽動的不是單一設備，而是整個 IT 架構，伺服器、儲存、網路各有各的管理工具，「它比較難去做一個整體的 inventory（盤點清單）」。企業就算想盤點，也很難用一套工具把散落在不同系統的加密資產一次看清楚。更關鍵的是，市面上還缺乏夠成熟的盤點工具。許宏俊觀察，目前多數做法「比較多是簡單掃描」，而企業真正需要的，是一套能跨不同領域、盤點完還能導向下一步行動的工具。這一塊，「這個產業還有一點點進步的空間」。
但比工具更難解的，還有組織問題。許宏俊分享，在一個已經走得比較前面的金融業案例中，最先卡關的不是技術，而是跨部門或權責的問題。企業內部，前端服務、網路、基礎架構各有人負責，「你要怎麼把這些全部串接起來，然後要有一個人去主導這一個專案」，光是釐清這件事，先期就得花上大量時間討論。
在這些看得見的障礙之前，還橫著一道更前端的關卡：不少企業根本還沒意識到自己的資料值得為此動起來。許宏俊觀察，有些企業對風險的感受還很模糊，「還沒想到風險的大小到哪裡」，但是他認為，一旦讓這些企業理解到現有的加密可能被輕易破解、需要升級到更高的強度，態度往往就會改變。
該從哪裡開始？先想清楚，你願意為資料付出多少
面對這場大工程，企業該如何起步？許宏俊給出的路徑並不複雜：先盤點，再依盤點結果設計要在哪些節點加密，接著找協力廠商重新規劃資料流程，最後才進入實際遷移。遷移不會是打掉重建，而是漸進式的替換，讓現有服務照常運行，再逐步把裡面的元件替換成符合 PQC 原則的版本。過程中往往需要先建一個小型的測試環境（POC，概念驗證）試跑，確認沒問題，才會放心把架構正式切換過去。
也正因如此，他認為企業最容易犯的錯，是低估時間。PQC 遷移牽動的環節眾多，一旦把整件事想得太簡單，就會誤判後面要花多少時間。「它（PQC 遷移）不是只有把加密的方法換掉這麼簡單。」他直言，有些企業評估自己兩個月就能調整完，但事實上可能不是這樣。這也解釋了，為什麼各國政府會趕在量子電腦真正商用之前，就急著把遷移期限往前訂。
在許宏俊看來，真正決定一家企業該不該動、要投入多少的，其實是一個更根本的問題：你的資料，對你有多重要？「假設他覺得我的資料就算被拿走也沒關係，那他可能真的不是 PQC 的訴求；但假設他認為資料是不允許外洩的商業機密，那他的思維就會不一樣。」這種對風險評估的落差，或許才是 PQC 遷移最容易被忽略、也最根本的盲點。
在整個遷移拼圖裡，NetApp 專注的是資料儲存。許宏俊形容，儲存是 PQC「最底層的地方」，不過他也不諱言 NetApp 能做的有其邊界，盤點工具、專案主導，都得靠企業自己與顧問，「我們其實只是整個框架裡的一部分」。這某種程度上也點出了 PQC 遷移的難處：它沒有單一解方，得靠企業自己把每一塊拼起來。
官方指引到位、時間表逼近，但台灣企業的 PQC 遷移，多數仍停在起跑線。只是，當駭客早已用「先偷後解」的方式把資料留待未來破解，時間就不站在觀望者這一邊。對還在猶豫的企業來說，真正該問的或許不是量子電腦什麼時候來，而是自己還剩多少時間準備。
【推薦閱讀】
＊首圖來源：《TechOrange》拍攝。
