Hindi Mo Mali-migrate ang Hindi Mo Maibibilang: Ang Cryptographic Bill of Materials na Wala Pa rin sa Mga Bangko

TL;DR. Nauuna ang 2028 discovery deadline ng NCSC sa anumang migration deadline. Hindi ito kayang tugunan ng mga bangko: walang cryptography sa DORA asset register.

Mga Pangunahing Punto

Ang Deadline na Hindi Pinresyuhan Ninuman. Basahing mabuti ang mga inilathalang migration timeline at malinaw ang pagkakasunod.
Itinatala ng DORA Register Mo ang Lahat Maliban sa Cryptography. Narito ang bahaging ikinagugulat ng mga tao.
Ano ang Talagang Nilalaman ng CBOM. Ang Cryptography Bill of Materials ay pormal na imbentaryo ng mga cryptographic asset sa isang sistema — ang mga algorithm, key, certificate at protocol, at ang kanilang ugnayan sa mga software component na gumagamit…
Apat na Problema ang Discovery, Hindi Isa. Ang pagturing sa discovery bilang iisang workstream ang pinakakaraniwang paraan ng pagbagsak ng mga programang ito.

Umaasa ang bawat post-quantum roadmap sa pagbabangko sa isang imbentaryong wala naman. Naisulat na ang mga plano, nagpupulong ang mga steering committee, amber ang mga scorecard. Sa ilalim ng lahat ng iyon ay nakalatag ang palagay na may isang tao, sa isang lugar, na kayang maglabas ng listahan ng bawat pook kung saan nagsasagawa ang bangko ng cryptographic na operasyon — aling algorithm, aling key length, aling library, aling certificate, kailan mag-e-expire. Halos walang institusyong kaya. Hindi migration milestone ang unang milestone ng NCSC: discovery milestone ito, takdang 2028, at ito ang hindi pinresyuhan ninuman.

Buod para sa Pamunuan

Discovery, saka agility, saka migration ang pagkakasunod. Nagtatakda ang gabay ng NCSC ng tiyak na discovery milestone sa 2028, ng pinakamataas ang prayoridad na migration sa 2031 at ng pagkumpleto pagsapit ng 2035. Ang institusyong nagsisimulang mag-migrate bago pa nito naibilang ang lahat ay mai-migrate lamang ang mga sistemang nagkataong alam nito.

Hindi sinasagot ng register na hawak mo ang tanong na kinakaharap mo ngayon. Iniaatas ng DORA Article 8 sa mga financial entity na kilalanin, iklasipika at idokumento ang mga ICT asset at imapa ang kanilang mga interdependency. Hindi ito humihingi ng kahit isang cryptographic na katangian, kaya maaaring kumpleto ang isang register na sumusunod sa Article 8 at wala pa ring silbi sa pagpaplano ng crypto-agility.

Umiiral na ang standard. Ang mga cryptographic asset — mga algorithm na may key size, mode at curve; mga key; mga certificate; mga protocol — ay kinakatawan sa CycloneDX, na inilathala bilang ECMA-424. Tanong ito sa schema, hindi tanong sa procurement.

Hindi sa iyo ang pag-scan sa pinakamahirap na kapat. Hindi mabibilang ang mga hardware security module, payment appliance, vendor-embedded library at SaaS provider sa pamamagitan ng pagtutok ng scanner sa mga ito. Itinatayo ang bahaging iyon ng imbentaryo mula sa kontraktwal na attestation, at kailangang umiral muna ang clause bago ang roadmap.

Ang Deadline na Hindi Pinresyuhan Ninuman

Basahing mabuti ang mga inilathalang migration timeline at malinaw ang pagkakasunod. Inilalagay ng roadmap ng National Cyber Security Centre ang discovery — buong larawan kung aling mga sistema at serbisyo ang umaasa sa cryptography — sa 2028, ang pinakamataas ang prayoridad na gawaing migration sa 2031, at ang pagkumpleto sa lahat ng sistema, serbisyo at produkto sa 2035. Sa magkatugmang landas tumatakbo ang transition report ng NIST, ang IR 8547: deprecated ang mga quantum-vulnerable na public-key algorithm kabilang ang RSA at ECC pagkatapos ng 2030 at ipinagbabawal pagkatapos ng 2035.

Nakintal sa karamihan ng mga programa sa pagbabangko ang 2035 bilang ang petsa. Iyon ang maling dulo ng iskedyul na pagsisimulan ng pagpaplano.

Dalawang petsa ang higit na mahalaga. Ang una ay 2028, dahil discovery ang input sa lahat ng nasa ibaba ng agos — hindi mo maisa-scope, mapepresyuhan o maisusunod-sunod ang isang migration laban sa hindi kilalang denominador. Ang ikalawa ay 2030, dahil hindi malambot na salita ang "deprecated" sa isang regulated na institusyon: ito ang puntong ang patuloy na pag-asa sa isang algorithm ay nagiging desisyong may kailangang pumirma.

Wala pang tatlumpung buwan mula ngayon hanggang 2028. Isa, marahil dalawa, iyang budget cycle para magtayo ng kakayahang hindi pa sinisimulan ng karamihan sa mga institusyon.

Itinatala ng DORA Register Mo ang Lahat Maliban sa Cryptography

Narito ang bahaging ikinagugulat ng mga tao. Nagpapanatili na ang karamihan sa malalaking bangkong Europeo ng detalyado at regular na nirerepasong imbentaryo ng mga ICT asset, dahil iniaatas ito sa kanila ng DORA.

Iniaatas ng Article 8 ng Regulation (EU) 2022/2554 sa mga financial entity na kilalanin, iklasipika at maayos na idokumento ang lahat ng ICT-supported na business function, ang impormasyon at mga ICT asset na sumusuporta rito, at ang kanilang mga papel at dependensiya kaugnay ng ICT risk — at na imapa ang configuration ng mga asset na iyon at ang mga ugnayan sa pagitan nila, na patuloy na nirerepaso.

Seryosong imbentaryo iyon. Mali rin ang hugis nito para sa problemang ito.

Talahanayan 1: Ang register na hawak mo, at ang register na kailangan ng milestone ng 2028

Tanong	ICT asset register (DORA Article 8)	Cryptographic inventory (CBOM)
Ano ang asset na ito at sino ang may-ari nito?	Oo — ito ang ubod ng register	Hindi ito ang layunin nito
Gaano ito kritikal, at ano ang inaasahan nito?	Oo — klasipikasyon at interdependency mapping	Minana mula sa asset register
Aling mga algorithm ang ginagamit nito, at saan?	Hindi	Oo — bawat component, kasama ang key size, mode at curve
Aling library ang nag-iimplementa ng mga ito, sa aling bersyon?	Bahagya, sa pamamagitan ng SBOM kung mayroon	Oo, bilang tahasang relasyon
Aling mga certificate ang ipinapakita nito, kailan mag-e-expire?	Bihira, at karaniwang nasa hiwalay na PKI tool	Oo
Saan nakatira ang mga key, at paano protektado ang mga ito?	Hindi	Oo — kasama kung nasa daan ang isang HSM
Quantum-vulnerable ba ang asset na ito?	Hindi mahihinuha	Direktang nasasagot

Ang huling hilera ang buong argumento. Maaaring lubos na sumusunod ang isang institusyon sa Article 8, makapasa sa examination nito, at hindi pa rin masagot ang "ilan sa mga sistema natin ang masisira sa 2030" nang hindi nag-uumpisa ng discovery project mula sa wala.

Hindi ito puna sa DORA. Isinulat ang Article 8 para sagutin ang mga tanong sa resilience at concentration, at mahusay nitong sinasagot ang mga iyon. Hindi lamang ito isinulat para sagutin ang tanong sa cryptographic agility, at kailangang pagdugtungin ang dalawang register sa halip na patakbuhin ang mga ito bilang magkahiwalay na spreadsheet na pag-aari ng magkahiwalay na koponan.

Ano ang Talagang Nilalaman ng CBOM

Ang Cryptography Bill of Materials ay pormal na imbentaryo ng mga cryptographic asset sa isang sistema — ang mga algorithm, key, certificate at protocol, at ang kanilang ugnayan sa mga software component na gumagamit sa kanila.

Ang mahalagang estruktural na punto ay hindi ito bagong file format. Iniambag ang suporta sa cryptographic asset sa CycloneDX, ang bill-of-materials specification na sinusuportahan ng OWASP, na inilathala bilang standard ng Ecma International, ang ECMA-424. Kaya ang CBOM ay isang CycloneDX document na punô ang mga cryptography field. Naba-validate ito sa parehong schema, dumadaan sa parehong pipeline, at napupunta sa parehong artefact registry ng mga SBOM na ginagawa na ng isang institusyon para sa layuning supply-chain.

Mas mahalaga iyon kaysa sa dating nito. Ang pagkakaiba ng standard na umaandar at standard na natitigil ay karaniwang kung nangangailangan ito ng bagong plumbing. Hindi nito kailangan.

Talahanayan 2: Mga asset class ng CBOM at ang tanong sa migration na sinasagot ng bawat isa

Asset class	Ang naitatala	Ang tanong na sinasagot nito
Algorithm	Primitive, key size, mode, curve, padding, at ang function na isinasagawa nito	Alin sa mga operasyon natin ang quantum-vulnerable, at sa anong lakas ng parameter?
Key	Uri, laki, format, estado, at kung saan nakalagak ang material	Aling mga key ang protektado ng HSM at alin ang nakaupo sa memorya ng application?
Certificate	Subject, issuer, signature algorithm, validity window	Ano ang mag-e-expire bago ang migration window, at ano ang pinirmahan gamit ang deprecated na algorithm?
Protocol	Protocol at bersyon, kasama ang mga cipher suite na inaalok	Ano ang aktwal na napagkakasunduan sa wire, sa halip na ang inaangkin ng configuration file?
Related component	Ang library, bersyon at lokasyon ng code na nag-iimplementa ng nasa itaas	Kung papalitan ang library na ito, ano pa ang lilipat kasama nito?

Ang huling hilera ang nagpapalit ng imbentaryo tungong plano. Sinasabi sa iyo ng listahan ng mga algorithm ang laki ng problema. Sinasabi sa iyo ng listahan ng mga algorithm na kadugtong ng mga component na nag-iimplementa sa kanila ang hugis ng trabaho — at doon aktwal na itinatayo ang isang migration sequence.

Apat na Problema ang Discovery, Hindi Isa

Ang pagturing sa discovery bilang iisang workstream ang pinakakaraniwang paraan ng pagbagsak ng mga programang ito. Apat itong magkakaibang problema na may apat na magkakaibang tool, apat na magkakaibang may-ari, at magkakaibang-magkakaiba ang antas ng kumpiyansa.

1. Source code — ang hinihingi ng code. Natutuklasan ng static analysis sa sarili mong mga repository ang mga cryptographic na tawag, hard-coded na parameter at ang mga library na ginagamit. May bukas na tooling: tinutuklas ng proyektong CBOMkit at ng SonarQube plugin nito ang mga cryptographic asset sa source at naglalabas ng CycloneDX. Pinakamataas ang kumpiyansa, pinakamakitid ang saklaw — code lamang na isinulat mo at binubuo mo pa ang nakikita nito.

2. Mga binary at container — ang aktwal na naipapadala. Nawawala sa source analysis ang lahat ng hinihila bilang compiled dependency o nakaluto sa base image. Naisasara ng container at filesystem scanning ang bahagi ng puwang na iyon. Asahang hindi magkakasundo ang dalawang tanaw; ang hindi pagkakasundo mismo ay isang natuklasan.

3. Ang network — ang tunay na napagkakasunduan. Intensyon ang configuration, hindi obserbasyon. Ang pasibong pagmamasid sa live na TLS negotiation sa buong estate ang tanging paraan para malaman na ang serbisyong nagdodokumento ng TLS 1.3 ay tumatanggap pa rin ng mas luma sa isang panloob na counterparty na hindi kailanman nag-upgrade. Sa isang payments estate, madalas na iyon ang counterparty na mahalaga.

4. Ang vendor at hardware estate — ang hindi mo talaga ma-scan. Mga hardware security module, payment terminal, network appliance, mainframe subsystem, at bawat SaaS provider sa kadena. Walang scanner na nakararating dito. Ibinibilang ang kapat na ito sa pamamagitan ng pagtatanong, sa ilalim ng kontrata, at doon nagtitipon ang tunay na exposure ng wholesale banking, dahil hindi katimbang ang dami ng vendor-supplied na mga sistemang nagsasagawa ng clearing at settlement.

Ang ikaapat ang dapat simulan ngayon, dahil ito ang may pinakamahabang lead time at hindi ito gawaing engineering. Gawain ito sa procurement: ang pagpasok ng clause sa cryptographic disclosure at crypto-agility sa kontrata, at sa renewal template, upang pagsapit ng 2028 ay dumating ang sagot bilang obligasyon ng supplier sa halip na bilang pabor. Bawat quarter na wala ang clause na iyon sa template ay isang quarter ng mga renewal na kailangang buksang muli pagdating ng araw.

Paggawa Rito Bilang Kontrol sa Halip na Proyekto

Hindi ang paglaktaw ng mga bangko sa imbentaryo ang failure mode na pupustahan ko. Ito ay ang pag-uutos nila nito bilang minsanang gawain, ang paghahatid ng maipagtatanggol na snapshot sa 2028, at ang pagpapabaya rito — dahil pinondohan ito bilang deliverable ng isang post-quantum project sa halip na itinayo bilang minementeng kontrol.

Mas mabilis mabulok ang cryptographic inventory kaysa sa asset register. Umiikot ang mga certificate. Itinutulak pataas ang mga library ng dependency automation. Nagbabago ang isang base image at tahimik na nagkakaroon ang buong serbisyo ng ibang TLS stack. Ang snapshot na kinuha noong 2028 ay materyal nang mali pagsapit ng 2029, na siya mismong panahong umaasa rito ang gawaing prioritisation ng 2031.

Tatlong pangako ang pumipigil doon.

Ilabas ito sa pipeline, hindi sa survey. Dapat ilabas ng build ang CBOM, kasabay ng SBOM, at itago bilang versioned na artefact laban sa release. Ang imbentaryong binuo sa pamamagitan ng pag-e-email ng questionnaire sa mga may-ari ng application ay luma na pagdating pa lamang at hindi mai-diff.

I-diff ito, at mag-alerto sa diff. Hindi ang imbentaryo ang mahalagang senyas; ito ay ang pagbabago sa imbentaryo. Isang serbisyong nagkaroon ng bagong cryptographic dependency, isang certificate na umikli, isang algorithm na lumitaw kung saan wala ito dati — iyon ang mga pangyayaring nagkakahalaga ng isang kontrol. Ito rin ang katwirang nagpapaging mas kapaki-pakinabang sa SBOM diffing kaysa sa SBOM archiving.

Idugtong ito sa register na hawak mo na. Sinasagot ng CBOM ang "aling cryptography"; sinasagot ng Article 8 register ang "gaano kritikal, kanino, at ano ang umaasa rito". Hindi prioritisation ang alinman sa mga ito nang mag-isa. Pinagdugtong, naglalabas ang mga ito ng tanging ranggong mahalaga: mga quantum-vulnerable na operasyong isinunod-sunod ayon sa criticality ng business function na nakapatong sa mga ito. Ang dugtong na iyon ang aktwal na deliverable ng isang discovery programme, at karapat-dapat itong pangalanang gayon sa plano.

Ang Playbook sa Pagpapatakbo

I-reframe ang milestone ng 2028 bilang kakayahan, hindi ulat. Ang deliverable ay isang minementeng, machine-readable na imbentaryong muling bumubuo sa sarili, hindi isang dokumentong ginawa nang minsan para sa isang supervisor.
Maglabas ng CBOM mula sa build ngayon, sa mga bagong serbisyo muna. Huwag subuking gawin ang buong estate sa isang hakbang. Ikabit ito sa pipeline para sa anumang itinatayo o materyal na binabago ngayong taon, upang naiipon ang coverage sa halip na mangailangan ng kampanya.
Ilagay ang kontraktwal na clause sa renewal template ngayong quarter. Cryptographic disclosure at pangakong crypto-agility. Ito ang may pinakamahabang lead time sa lahat ng nasa listahan at hindi ito nakasalalay sa anumang desisyon sa tooling.
Patakbuhin muna ang network observation laban sa mga daan ng pagbabayad at settlement. Doon pinakamalaki ang pinsalang idinudulot ng puwang sa pagitan ng configuration at realidad, at doon nagtitipon ang mga legacy na counterparty.
Idugtong ang CBOM sa Article 8 register at mag-ranggo sa dugtong. Ilathala ang niranggong listahan. Ito ang artefact na nagpapalit sa isang imbentaryong pang-engineering tungong usapan sa board tungkol sa pagkakasunod-sunod at pera.
I-diff ang bawat muling paglikha at mag-alerto sa mga bagong quantum-vulnerable na dependensiya. Archive ang imbentaryong walang diff.

Hindi ang mga institusyong may pinakamaunlad na pagtanaw sa ML-KEM ang komportableng aabot sa 2031. Sila ang mga kayang sagutin, sa anumang umaga at nang hindi nag-uutos ng proyekto, ang tanong kung nasaan talaga ang kanilang cryptography.

Mga Madalas Itanong

Iba ba ang CBOM sa SBOM?
Iisang uri ng dokumento ito na may ibang punông field. Na-upstream ang suporta sa cryptographic asset patungong CycloneDX, na inilathala bilang ECMA-424, kaya naba-validate ang CBOM sa parehong schema at dumadaan sa parehong tooling ng isang SBOM. Mas malapit dito ang mga institusyong gumagawa na ng SBOM kaysa sa karaniwan nilang inaakala.

Nag-aatas ba ang DORA ng cryptographic inventory?
Hindi sa gayong pananalita. Iniaatas ng Article 8 ng Regulation (EU) 2022/2554 ang pagkilala, klasipikasyon at pagdodokumento ng mga ICT asset at ang pagmamapa ng kanilang configuration at interdependency. Wala sa mga katangiang iniaatas nitong itala ang mga cryptographic na katangian, kaya hindi masasagot ng isang register na sumusunod sa Article 8 ang tanong sa quantum vulnerability nang hindi ito pinalalawak.

Bakit kailangang matapos ang discovery nang gayon kalayo bago ang migration?
Dahil ito ang input sa prioritisation. Itinatakda ng gabay ng NCSC ang discovery sa 2028 at ang pinakamataas ang prayoridad na migration sa 2031 nang tiyakang may itinakdang agwat kung saan iraranggo ang estate at isusunod-sunod ang trabaho. Ang pagpiga sa dalawa ay nangangahulugang mai-migrate ang pinakanauunawaan sa halip na ang pinakamahalaga.

Paano natin iimbentaryo ang cryptography sa loob ng vendor hardware at SaaS?
Hindi mo ito ini-scan; hinihingi mo ang disclosure. Dapat saklawin ang mga hardware security module, payment appliance at service provider ng kontraktwal na obligasyon sa cryptographic disclosure at crypto-agility. Dahil nakasalalay ito sa mga renewal cycle sa halip na sa pagsisikap sa engineering, ito ang may pinakamahabang lead time sa buong programa at dapat itong maunang simulan.

Dapat ba tayong maghintay na mag-mature ang tooling bago magsimula?
Hindi, at karaniwang panakip ang argumento sa tooling para sa argumento sa badyet. Naglalabas na ang mga bukas na implementasyon ng CycloneDX cryptographic inventory mula sa source at mula sa mga container image, at ratipikadong standard na ang espesipikasyon. Ang hadlang sa milestone ng 2028 ay coverage at kontraktwal na abot, hindi ang pagkakaroon ng tool.

Mga Sanggunian

European Parliament and Council of the European Union, 2022. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). Brussels: Official Journal of the European Union. Makukuha sa: European Parliament and Council of the European Union, 2022..
National Cyber Security Centre, 2025. Timelines for migration to post-quantum cryptography. London: NCSC. Makukuha sa: National Cyber Security Centre, 2025..
National Institute of Standards and Technology, 2024. NIST IR 8547 (Initial Public Draft), Transition to Post-Quantum Cryptography Standards. Gaithersburg: U.S. Department of Commerce. Makukuha sa: National Institute of Standards and Technology, 2024..
National Institute of Standards and Technology, 2024. FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard. Gaithersburg: U.S. Department of Commerce. Makukuha sa: National Institute of Standards and Technology, 2024..
OWASP Foundation, 2026. CycloneDX Bill of Materials Specification (ECMA-424). Wakefield: OWASP Foundation. Makukuha sa: OWASP Foundation, 2026..
OWASP CycloneDX, 2026. Cryptography Bill of Materials (CBOM). Wakefield: OWASP Foundation. Makukuha sa: OWASP CycloneDX, 2026..
IBM Research, 2026. CBOM: Cryptography Bill of Materials. Armonk: IBM. Makukuha sa: IBM Research, 2026..

Huling sinuri 2026-08-05.

Muling i-publish ang artikulong ito

Hindi Mo Mali-migrate ang Hindi Mo Maibibilang: Ang Cryptographic Bill of Materials na Wala Pa rin sa Mga Bangko — Sebastien Rousseau

Nauuna ang 2028 discovery deadline ng NCSC sa anumang migration deadline. Hindi ito kayang tugunan ng mga bangko: walang cryptography sa DORA asset register.

Ang artikulong ito ay nakapailalim sa lisensya ng Creative Commons Attribution 4.0 International. Kailangan ng pagkilala sa canonical URL para sa muling pag-publish.

Hindi Mo Mali-migrate ang Hindi Mo Maibibilang: Ang Cryptographic Bill of Materials na Wala Pa rin sa Mga Bangko — Sebastien Rousseau

Nauuna ang 2028 discovery deadline ng NCSC sa anumang migration deadline. Hindi ito kayang tugunan ng mga bangko: walang cryptography sa DORA asset register.

Originally published at https://sebastienrousseau.com/fil/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER