जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे अजूनही नसलेली क्रिप्टोग्राफिक बिल ऑफ मटेरियल्स
बँकिंगमधील प्रत्येक पोस्ट-क्वांटम आराखडा अशी एक यादी गृहीत धरतो, जी अस्तित्वातच नाही. योजना लिहून झाल्या आहेत, सुकाणू समित्या भेटतात, गुणपत्रिका पिवळ्या पट्ट्यात आहेत. या सगळ्याखाली एक गृहीतक दडलेले आहे — की कोणीतरी, कुठेतरी, बँक जिथे जिथे क्रिप्टोग्राफिक क्रिया करते त्या प्रत्येक ठिकाणाची यादी देऊ शकतो: कोणता अल्गोरिदम, कोणती कळ लांबी, कोणती लायब्ररी, कोणते प्रमाणपत्र, आणि त्याची मुदत कधी संपते. जवळपास कोणतीही संस्था हे करू शकत नाही. NCSC चा पहिला टप्पा स्थलांतराचा टप्पा नाही: तो शोध व नोंदणीचा टप्पा आहे, मुदत २०२८, आणि नेमका त्याचाच खर्च कोणी मांडलेला नाही.
कार्यकारी सारांश
- क्रम असा आहे: आधी शोध व नोंदणी, मग लवचिकता, मग स्थलांतर. NCSC चे मार्गदर्शन शोध व नोंदणीचा निश्चित टप्पा २०२८ ला, सर्वोच्च प्राधान्याचे स्थलांतर २०३१ ला आणि पूर्तता २०३५ पर्यंत ठेवते. मोजणी पूर्ण होण्याआधी स्थलांतर सुरू करणारी संस्था जी यंत्रणा तिला योगायोगाने माहीत आहे तेवढीच स्थलांतरित करेल.
- तुमच्याकडे असलेली नोंदवही आजच्या प्रश्नाचे उत्तर देत नाही. DORA चे Article 8 वित्तीय संस्थांना ICT मालमत्तांची ओळख, वर्गीकरण व दस्तऐवजीकरण आणि त्यांच्या परस्परावलंबित्वांची मांडणी करण्यास सांगते. ते एकही क्रिप्टोग्राफिक गुणधर्म मागत नाही, त्यामुळे Article 8 चे पालन करणारी नोंदवही पूर्ण असूनही क्रिप्टो-लवचिकतेच्या नियोजनासाठी निरुपयोगी ठरू शकते.
- मानक आधीच अस्तित्वात आहे. क्रिप्टोग्राफिक मालमत्ता — कळ आकार, मोड व कर्व्हसह अल्गोरिदम; कळा; प्रमाणपत्रे; प्रोटोकॉल — CycloneDX मध्ये मांडता येतात, आणि CycloneDX ECMA-424 म्हणून प्रकाशित आहे. हा स्कीमाचा प्रश्न आहे, खरेदीचा नाही.
- सर्वात कठीण चतुर्थांश स्कॅन करणे तुमच्या हातात नाही. हार्डवेअर सुरक्षा मॉड्यूल, पेमेंट उपकरणे, विक्रेत्याने अंतर्भूत केलेल्या लायब्ररी आणि SaaS पुरवठादार — यांच्यावर स्कॅनर रोखून मोजणी होत नाही. यादीचा तो भाग करारातील प्रमाणनातून उभा राहतो, आणि आराखडा तयार होण्याआधी तो करारकलम अस्तित्वात असावा लागतो.
ज्या मुदतीचा खर्च कोणी मांडला नाही
प्रकाशित स्थलांतर वेळापत्रके काळजीपूर्वक वाचली, तर क्रम स्पष्ट आहे. National Cyber Security Centre च्या आराखड्यात शोध व नोंदणी — कोणत्या यंत्रणा आणि सेवा क्रिप्टोग्राफीवर अवलंबून आहेत याचे संपूर्ण चित्र — २०२८ ला ठेवली आहे, सर्वोच्च प्राधान्याचे स्थलांतराचे काम २०३१ ला, आणि सर्व यंत्रणा, सेवा व उत्पादनांमधील पूर्तता २०३५ ला. NIST चा संक्रमण अहवाल, IR 8547, सुसंगत मार्गावर चालतो: RSA आणि ECC सह क्वांटम-असुरक्षित सार्वजनिक-कळ अल्गोरिदम २०३० नंतर परावृत्त आणि २०३५ नंतर अमान्य ठरतात.
बहुतांश बँकिंग कार्यक्रमांनी २०३५ हीच तारीख मनात रुजवली आहे. वेळापत्रकाचे नियोजन करण्यासाठी हे चुकीचे टोक आहे.
दोन तारखा याहून खूप जास्त महत्त्वाच्या आहेत. पहिली २०२८, कारण शोध व नोंदणी हीच पुढच्या प्रत्येक गोष्टीची निविष्ट आहे — अज्ञात छेदाच्या विरोधात तुम्ही स्थलांतराची व्याप्ती, खर्च किंवा क्रम ठरवू शकत नाही. दुसरी २०३०, कारण नियमन केलेल्या संस्थेत "परावृत्त" हा मवाळ शब्द नाही: तो असा बिंदू आहे जिथे एखाद्या अल्गोरिदमवर अवलंबून राहणे हा कोणालातरी सही करावी लागणारा निर्णय बनतो.
आजपासून २०२८ पर्यंत तीस महिन्यांहूनही कमी अवधी आहे. बहुतांश संस्थांनी अजून सुरूही न केलेली क्षमता उभी करण्यासाठी हे एक, फार तर दोन अर्थसंकल्पीय चक्र आहे.
तुमची DORA नोंदवही क्रिप्टोग्राफी वगळता सर्व काही नोंदवते
इथेच लोकांना धक्का बसतो. बहुतेक मोठ्या युरोपीय बँका ICT मालमत्तांची तपशीलवार, नियमित पुनरावलोकन होणारी यादी आधीच ठेवतात, कारण DORA त्यांना तसे बंधन घालते.
Regulation (EU) 2022/2554 चे Article 8 वित्तीय संस्थांना ICT-आधारित सर्व व्यावसायिक कार्ये, त्यांना आधार देणारी माहिती व ICT मालमत्ता, आणि ICT जोखमीच्या संदर्भात त्यांच्या भूमिका व अवलंबित्वे ओळखणे, वर्गीकृत करणे आणि पुरेसे दस्तऐवजीकरण करणे बंधनकारक करते — तसेच त्या मालमत्तांची संरचना आणि त्यांच्यातील दुवे मांडून ते सतत पुनरावलोकनाखाली ठेवणेही.
ही गंभीर यादी आहे. या समस्येसाठी तिचा आकार मात्र चुकीचा आहे.
तक्ता १: तुमच्याकडे असलेली नोंदवही, आणि २०२८ च्या टप्प्याला हवी असलेली नोंदवही
| प्रश्न | ICT मालमत्ता नोंदवही (DORA Article 8) | क्रिप्टोग्राफिक यादी (CBOM) |
|---|---|---|
| ही मालमत्ता काय आहे आणि तिचा मालक कोण? | होय — हाच नोंदवहीचा गाभा आहे | तिचा हेतू हा नाही |
| ती किती निकडीची आहे, आणि ती कशावर अवलंबून आहे? | होय — वर्गीकरण व परस्परावलंबित्व मांडणी | मालमत्ता नोंदवहीकडून वारशाने मिळते |
| ती कोणते अल्गोरिदम वापरते, आणि कुठे? | नाही | होय — प्रत्येक घटकानुसार, कळ आकार, मोड व कर्व्हसह |
| ते कोणती लायब्ररी, कोणत्या आवृत्तीत अंमलात आणते? | अंशतः, SBOM असल्यास त्याद्वारे | होय, स्पष्ट नात्याच्या स्वरूपात |
| ती कोणती प्रमाणपत्रे सादर करते, आणि त्यांची मुदत कधी संपते? | क्वचित, आणि सहसा वेगळ्या PKI साधनात | होय |
| कळा कुठे राहतात, आणि त्यांचे संरक्षण कसे होते? | नाही | होय — मार्गात HSM आहे की नाही यासह |
| ही मालमत्ता क्वांटम-असुरक्षित आहे का? | काढता येत नाही | थेट उत्तर मिळते |
शेवटची ओळ हाच संपूर्ण युक्तिवाद आहे. एखादी संस्था Article 8 चे पूर्ण पालन करू शकते, तपासणी उत्तीर्ण होऊ शकते, आणि तरीही "२०३० मध्ये आपल्या किती यंत्रणा कोलमडतील" या प्रश्नाचे उत्तर शून्यापासून शोध प्रकल्प उभारल्याशिवाय देऊ शकत नाही.
ही DORA वरची टीका नाही. Article 8 लवचिकता आणि केंद्रीकरणाच्या प्रश्नांची उत्तरे देण्यासाठी लिहिले गेले, आणि ती उत्तरे ते चांगली देते. क्रिप्टो-लवचिकतेच्या प्रश्नाचे उत्तर देण्यासाठी ते लिहिलेच गेले नव्हते, आणि वेगवेगळ्या संघांच्या मालकीच्या स्वतंत्र स्प्रेडशीट म्हणून चालवण्याऐवजी या दोन्ही नोंदवह्या जोडणे आवश्यक आहे.
CBOM मध्ये प्रत्यक्षात काय असते
Cryptography Bill of Materials ही एखाद्या यंत्रणेतील क्रिप्टोग्राफिक मालमत्तांची औपचारिक यादी असते — अल्गोरिदम, कळा, प्रमाणपत्रे आणि प्रोटोकॉल, तसेच त्यांचा वापर करणाऱ्या सॉफ्टवेअर घटकांशी असलेले त्यांचे नाते.
महत्त्वाचा संरचनात्मक मुद्दा असा की हा नवा फाइल फॉरमॅट नाही. क्रिप्टोग्राफिक मालमत्तांचा आधार CycloneDX मध्ये देण्यात आला — OWASP-समर्थित bill-of-materials विनिर्देश, जो Ecma International मानक ECMA-424 म्हणून प्रकाशित आहे. त्यामुळे CBOM म्हणजे क्रिप्टोग्राफी क्षेत्रे भरलेला CycloneDX दस्तऐवज. तो त्याच स्कीमाने पडताळला जातो, त्याच पाइपलाइनमधून जातो, आणि पुरवठा-साखळीसाठी संस्था आधीच तयार करत असलेल्या SBOM ज्या आर्टिफॅक्ट नोंदणीत जातात त्याच नोंदणीत उतरतो.
हे ऐकायला वाटते त्यापेक्षा जास्त महत्त्वाचे आहे. प्रत्यक्षात राबवले जाणारे मानक आणि अडून बसणारे मानक यातील फरक सहसा एकाच गोष्टीवर ठरतो: त्याला नवी जोडणी लागते का. इथे लागत नाही.
तक्ता २: CBOM मालमत्ता वर्ग आणि प्रत्येक वर्ग सोडवणारा स्थलांतराचा प्रश्न
| मालमत्ता वर्ग | काय नोंदवले जाते | तो सोडवणारा प्रश्न |
|---|---|---|
| अल्गोरिदम | प्रिमिटिव्ह, कळ आकार, मोड, कर्व्ह, पॅडिंग, आणि तो बजावत असलेले कार्य | आपल्या कोणत्या क्रिया क्वांटम-असुरक्षित आहेत, आणि कोणत्या पॅरामीटर बळावर? |
| कळ | प्रकार, आकार, स्वरूप, स्थिती, आणि कळ सामग्री कुठे राहते | कोणत्या कळा HSM ने संरक्षित आहेत आणि कोणत्या अॅप्लिकेशन मेमरीत पडून आहेत? |
| प्रमाणपत्र | विषय, जारीकर्ता, स्वाक्षरी अल्गोरिदम, वैधता कालावधी | स्थलांतराच्या खिडकीआधी कशाची मुदत संपते, आणि परावृत्त अल्गोरिदमने काय स्वाक्षरित आहे? |
| प्रोटोकॉल | प्रोटोकॉल व आवृत्ती, तसेच देऊ केलेले सायफर संच | कॉन्फिगरेशन फाइल जे सांगते त्याऐवजी, प्रत्यक्ष तारेवर काय वाटाघाटी होते? |
| संबंधित घटक | वरील गोष्टी अंमलात आणणारी लायब्ररी, आवृत्ती आणि कोडमधील जागा | ही लायब्ररी बदलली, तर तिच्यासोबत आणखी काय हलते? |
शेवटची ओळ हीच यादीचे रूपांतर योजनेत करते. अल्गोरिदमची यादी तुम्हाला समस्येचा आकार सांगते. ते अंमलात आणणाऱ्या घटकांशी जोडलेली अल्गोरिदमची यादी तुम्हाला कामाचा आकार सांगते — आणि स्थलांतराचा क्रम प्रत्यक्षात त्यावरच उभा राहतो.
शोध व नोंदणी ही एक नव्हे, चार समस्या आहेत
शोध व नोंदणीला एकच कार्यप्रवाह मानणे हा हे कार्यक्रम अपयशी ठरण्याचा सर्वात सामान्य मार्ग आहे. या चार वेगळ्या समस्या आहेत — चार वेगळी साधने, चार वेगळे मालक, आणि आत्मविश्वासाच्या पातळ्याही खूप वेगळ्या.
१. सोर्स कोड — कोड काय मागतो. तुमच्या स्वतःच्या रिपॉझिटरींवरील स्थिर विश्लेषण क्रिप्टोग्राफिक कॉल, हार्ड-कोड केलेले पॅरामीटर आणि वापरलेल्या लायब्ररी शोधून काढते. मुक्त साधने उपलब्ध आहेत: CBOMkit प्रकल्प आणि त्याचे SonarQube प्लगइन सोर्समधील क्रिप्टोग्राफिक मालमत्ता ओळखतात आणि CycloneDX तयार करतात. सर्वाधिक विश्वास, सर्वात अरुंद व्याप्ती — तुम्ही लिहिलेला आणि अजूनही बिल्ड होणारा कोडच त्याला दिसतो.
२. बायनरी आणि कंटेनर — प्रत्यक्षात काय पाठवले जाते. संकलित अवलंबित्व म्हणून आत आलेले किंवा बेस इमेजमध्ये भाजून बसलेले सर्व काही सोर्स विश्लेषणाच्या नजरेतून सुटते. कंटेनर आणि फाइलसिस्टम स्कॅनिंग ती तफावत काही प्रमाणात भरून काढते. दोन्ही दृश्ये एकमेकांशी जुळणार नाहीत हे गृहीत धरा; ते न जुळणे हेच स्वतःच एक निष्कर्ष आहे.
३. नेटवर्क — प्रत्यक्षात काय वाटाघाटी होते. कॉन्फिगरेशन ही इच्छा आहे, निरीक्षण नाही. संपूर्ण संपदेवर प्रत्यक्ष TLS वाटाघाटीचे निष्क्रिय निरीक्षण हाच एकमेव मार्ग आहे ज्यातून हे कळते की TLS 1.3 चे दस्तऐवजीकरण करणारी सेवा कधीही श्रेणीवर्धित न झालेल्या अंतर्गत प्रतिपक्षासोबत अजूनही त्याहून जुने काहीतरी स्वीकारते. पेमेंट संपदेत, नेमका तोच प्रतिपक्ष अनेकदा सर्वाधिक महत्त्वाचा असतो.
४. विक्रेता व हार्डवेअर संपदा — जिचे स्कॅनिंग तुम्ही करूच शकत नाही. हार्डवेअर सुरक्षा मॉड्यूल, पेमेंट टर्मिनल, नेटवर्क उपकरणे, मेनफ्रेम उपप्रणाली, आणि साखळीतील प्रत्येक SaaS पुरवठादार. यांच्यापर्यंत कोणताही स्कॅनर पोहोचत नाही. या चतुर्थांशाची मोजणी करारांतर्गत विचारून होते, आणि होलसेल बँकिंगचा खरा धोका इथेच एकवटतो, कारण क्लिअरिंग व सेटलमेंट करणाऱ्या यंत्रणा प्रमाणाबाहेर विक्रेत्यांकडून पुरवल्या जातात.
चौथ्यापासूनच आता सुरुवात करावी, कारण तिचा पूर्वकाळ सर्वात मोठा आहे आणि ते अभियांत्रिकीचे काम नाही. ते खरेदीचे काम आहे: क्रिप्टोग्राफिक प्रकटीकरण आणि क्रिप्टो-लवचिकतेचे कलम करारात, आणि नूतनीकरणाच्या साच्यात घालणे — जेणेकरून २०२८ पर्यंत उत्तर उपकाराऐवजी पुरवठादाराचे बंधन म्हणून येईल. ते कलम साच्यात नसलेली प्रत्येक तिमाही म्हणजे पुढे पुन्हा उघडावी लागणारी नूतनीकरणांची एक तिमाही.
याला प्रकल्प न मानता नियंत्रण बनवणे
बँका यादी करणे टाळतील, असे अपयश मला अपेक्षित नाही. मला अपेक्षित अपयश असे: त्या ती एकवेळचे काम म्हणून नेमून देतील, २०२८ मध्ये बचाव करता येईल असे छायाचित्र सादर करतील, आणि मग ते झिजू देतील — कारण ते देखभाल होणारे नियंत्रण म्हणून उभे न करता पोस्ट-क्वांटम प्रकल्पाचा वितरणीय भाग म्हणून निधी दिलेले असेल.
क्रिप्टोग्राफिक यादी मालमत्ता नोंदवहीपेक्षा वेगाने झिजते. प्रमाणपत्रे फिरतात. अवलंबित्व स्वयंचलनामुळे लायब्ररींच्या आवृत्त्या पुढे सरकतात. बेस इमेज बदलते आणि संपूर्ण सेवेला मुकाट्याने वेगळा TLS स्टॅक मिळतो. २०२८ मध्ये घेतलेले छायाचित्र २०२९ पर्यंत लक्षणीयरीत्या चुकीचे ठरेल — आणि नेमके तेव्हाच २०३१ चे प्राधान्यक्रमाचे काम त्यावर अवलंबून असेल.
तीन वचनबद्धता हे टाळतात.
ती सर्वेक्षणातून नव्हे, पाइपलाइनमध्ये तयार करा. CBOM हा बिल्डमधून, SBOM सोबतच तयार व्हावा, आणि प्रकाशनाशी जोडलेला आवृत्तीबद्ध आर्टिफॅक्ट म्हणून साठवला जावा. अॅप्लिकेशन मालकांना प्रश्नावली ईमेल करून जमवलेली यादी पोहोचतानाच जुनी झालेली असते आणि तिची तुलनाही करता येत नाही.
तिची तुलना करा, आणि फरकावर सूचना द्या. मौल्यवान संकेत यादी नाही; यादीतील बदल आहे. नवे क्रिप्टोग्राफिक अवलंबित्व घेतलेली सेवा, आखूड झालेले प्रमाणपत्र, आधी नसलेल्या जागी उगवलेला अल्गोरिदम — नियंत्रण लावण्यायोग्य घटना याच आहेत. SBOM साठवण्यापेक्षा SBOM ची तुलना अधिक उपयुक्त ठरते, ते याच तर्काने.
तुम्ही आधीच ठेवत असलेल्या नोंदवहीशी ती जोडा. CBOM "कोणती क्रिप्टोग्राफी" याचे उत्तर देते; Article 8 नोंदवही "किती निकडीची, कोणाची, आणि तिच्यावर काय अवलंबून आहे" याचे उत्तर देते. दोन्हीपैकी एकही स्वतःहून प्राधान्यक्रम ठरवत नाही. जोडल्यावर त्या एकच अर्थपूर्ण क्रमवारी तयार करतात: त्यांच्यावर उभ्या असलेल्या व्यावसायिक कार्याच्या निकडीनुसार लावलेल्या क्वांटम-असुरक्षित क्रिया. हीच जोडणी शोध व नोंदणी कार्यक्रमाचा खरा वितरणीय भाग आहे, आणि योजनेत तिचा तसा स्पष्ट उल्लेख करणे योग्य ठरते.
कार्यचालन पुस्तिका
- २०२८ चा टप्पा अहवाल नव्हे, क्षमता म्हणून मांडा. वितरणीय भाग म्हणजे स्वतःची पुनर्निर्मिती करणारी, देखभाल होणारी, यंत्र-वाचनीय यादी — पर्यवेक्षकासाठी एकदाच तयार केलेला दस्तऐवज नव्हे.
- आतापासून बिल्डमधून CBOM तयार करा, आधी नव्या सेवांवर. संपूर्ण संपदा एका फटक्यात हाताळण्याचा प्रयत्न करू नका. या वर्षी उभारल्या जाणाऱ्या किंवा लक्षणीय बदलल्या जाणाऱ्या प्रत्येक गोष्टीसाठी ती पाइपलाइनमध्ये जोडा, म्हणजे व्याप्ती मोहीम राबवण्याऐवजी आपोआप साचत जाईल.
- या तिमाहीतच नूतनीकरणाच्या साच्यात करारकलम घाला. क्रिप्टोग्राफिक प्रकटीकरण आणि क्रिप्टो-लवचिकतेची वचनबद्धता. यादीतील सर्वात मोठा पूर्वकाळ याचाच आहे आणि तो कोणत्याही साधन-निवडीवर अवलंबून नाही.
- नेटवर्क निरीक्षण आधी पेमेंट व सेटलमेंट मार्गांवर चालवा. कॉन्फिगरेशन आणि वास्तव यांच्यातील तफावत तिथेच सर्वाधिक नुकसान करते आणि जुने प्रतिपक्ष तिथेच एकवटलेले असतात.
- CBOM ला Article 8 नोंदवहीशी जोडा आणि त्या जोडणीवर क्रमवारी लावा. क्रमवार यादी प्रकाशित करा. अभियांत्रिकी यादीचे रूपांतर क्रम आणि पैशाबद्दलच्या संचालक-मंडळ चर्चेत करणारी हीच कलाकृती आहे.
- प्रत्येक पुनर्निर्मितीची तुलना करा आणि नव्या क्वांटम-असुरक्षित अवलंबित्वांवर सूचना द्या. तुलनेविना यादी म्हणजे संग्रहालय.
२०३१ चा टप्पा सहज गाठणाऱ्या संस्था ML-KEM बद्दल सर्वात प्रगत दृष्टिकोन बाळगणाऱ्या नसतील. त्या अशा असतील ज्या कोणत्याही सकाळी, कोणताही प्रकल्प न नेमता, आपली क्रिप्टोग्राफी प्रत्यक्षात कुठे आहे या प्रश्नाचे उत्तर देऊ शकतील.
वारंवार विचारले जाणारे प्रश्न
CBOM ही SBOM पेक्षा वेगळी गोष्ट आहे का?
तो एकाच प्रकारचा दस्तऐवज आहे, फक्त वेगळी क्षेत्रे भरलेली. क्रिप्टोग्राफिक मालमत्तांचा आधार CycloneDX मध्ये अपस्ट्रीम करण्यात आला, आणि CycloneDX ECMA-424 म्हणून प्रकाशित आहे, त्यामुळे CBOM त्याच स्कीमाने पडताळला जातो आणि SBOM प्रमाणेच त्याच साधनसाखळीतून जातो. ज्या संस्था आधीच SBOM तयार करतात, त्या स्वतःला वाटते त्यापेक्षा याच्या खूप जवळ आहेत.
DORA क्रिप्टोग्राफिक यादी बंधनकारक करते का?
त्या शब्दांत नाही. Regulation (EU) 2022/2554 चे Article 8 ICT मालमत्तांची ओळख, वर्गीकरण व दस्तऐवजीकरण आणि त्यांची संरचना व परस्परावलंबित्वांची मांडणी बंधनकारक करते. ज्या गुणधर्मांची नोंद ते सक्तीचे करते, त्यात क्रिप्टोग्राफिक गुणधर्म नाहीत — म्हणूनच Article 8 चे पालन करणारी नोंदवही विस्तारल्याशिवाय क्वांटम-असुरक्षिततेच्या प्रश्नाचे उत्तर देऊ शकत नाही.
शोध व नोंदणी स्थलांतराच्या इतक्या आधी का संपायला हवी?
कारण तीच प्राधान्यक्रमाची निविष्ट आहे. NCSC मार्गदर्शन शोध व नोंदणी २०२८ ला आणि सर्वोच्च प्राधान्याचे स्थलांतर २०३१ ला ठेवते, नेमके यासाठी की संपदेची क्रमवारी लावून कामाचा क्रम ठरवण्यासाठी एक निश्चित अवधी मिळावा. दोन्ही एकत्र दाबल्यास, सर्वात महत्त्वाचे जे आहे त्याऐवजी सर्वात चांगले समजलेले जे आहे तेच स्थलांतरित होते.
विक्रेत्याच्या हार्डवेअर आणि SaaS मधील क्रिप्टोग्राफीची यादी कशी करायची?
तुम्ही ती स्कॅन करत नाही; तुम्ही प्रकटीकरणाची मागणी करता. हार्डवेअर सुरक्षा मॉड्यूल, पेमेंट उपकरणे आणि सेवा पुरवठादार करारातील क्रिप्टोग्राफिक प्रकटीकरण व क्रिप्टो-लवचिकतेच्या बंधनाखाली आणले पाहिजेत. हे अभियांत्रिकी श्रमांऐवजी नूतनीकरण चक्रांवर अवलंबून असल्याने, संपूर्ण कार्यक्रमातील सर्वात मोठा पूर्वकाळ याचाच आहे आणि याचीच सुरुवात आधी व्हावी.
सुरुवात करण्याआधी साधने परिपक्व होण्याची वाट पाहावी का?
नाही, आणि साधनांचा युक्तिवाद सहसा अर्थसंकल्पाच्या युक्तिवादाचा पर्याय असतो. मुक्त अंमलबजावण्या आधीच सोर्समधून आणि कंटेनर इमेजमधून CycloneDX क्रिप्टोग्राफिक याद्या तयार करतात, आणि विनिर्देश हे मंजूर मानक आहे. २०२८ च्या टप्प्यावरील मर्यादा व्याप्ती आणि करारांची पोहोच ही आहे, साधनांची उपलब्धता नाही.
संदर्भ
- European Parliament and Council of the European Union, 2022. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). ब्रुसेल्स: Official Journal of the European Union. येथे उपलब्ध: European Parliament and Council of the European Union, 2022..
- National Cyber Security Centre, 2025. Timelines for migration to post-quantum cryptography. लंडन: NCSC. येथे उपलब्ध: National Cyber Security Centre, 2025..
- National Institute of Standards and Technology, 2024. NIST IR 8547 (Initial Public Draft), Transition to Post-Quantum Cryptography Standards. गेदर्सबर्ग: U.S. Department of Commerce. येथे उपलब्ध: National Institute of Standards and Technology, 2024..
- National Institute of Standards and Technology, 2024. FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard. गेदर्सबर्ग: U.S. Department of Commerce. येथे उपलब्ध: National Institute of Standards and Technology, 2024..
- OWASP Foundation, 2026. CycloneDX Bill of Materials Specification (ECMA-424). वेकफील्ड: OWASP Foundation. येथे उपलब्ध: OWASP Foundation, 2026..
- OWASP CycloneDX, 2026. Cryptography Bill of Materials (CBOM). वेकफील्ड: OWASP Foundation. येथे उपलब्ध: OWASP CycloneDX, 2026..
- IBM Research, 2026. CBOM: Cryptography Bill of Materials. आर्मोंक: IBM. येथे उपलब्ध: IBM Research, 2026..
शेवटचे पुनरावलोकन .
हा लेख क्रॉस-पोस्ट करा
Medium साठी स्वरूपित कॉपी करा
# जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/](https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/) २०२८ ची NCSC शोध व नोंदणीची मुदत कोणत्याही स्थलांतर मुदतीच्या आधी येते. बँका ती पूर्ण करू शकत नाहीत, कारण DORA मालमत्ता नोंदवही क्रिप्टोग्राफी नोंदवत नाही. Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/
Mastodon साठी स्वरूपित कॉपी करा
जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau २०२८ ची NCSC शोध व नोंदणीची मुदत कोणत्याही स्थलांतर मुदतीच्या आधी येते. बँका ती पूर्ण करू शकत नाहीत, कारण DORA मालमत्ता नोंदवही क्रिप्टोग्राफी नोंदवत नाही. https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/
LinkedIn साठी स्वरूपित कॉपी करा
जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau २०२८ ची NCSC शोध व नोंदणीची मुदत कोणत्याही स्थलांतर मुदतीच्या आधी येते. बँका ती पूर्ण करू शकत नाहीत, कारण DORA मालमत्ता नोंदवही क्रिप्टोग्राफी नोंदवत नाही. येथे मुख्य धोरणात्मक मुद्दे आहेत: - ज्या मुदतीचा खर्च कोणी मांडला नाही. प्रकाशित स्थलांतर वेळापत्रके काळजीपूर्वक वाचली, तर क्रम स्पष्ट आहे. - तुमची DORA नोंदवही क्रिप्टोग्राफी वगळता सर्व काही नोंदवते. इथेच लोकांना धक्का बसतो. - CBOM मध्ये प्रत्यक्षात काय असते. Cryptography Bill of Materials ही एखाद्या यंत्रणेतील क्रिप्टोग्राफिक मालमत्तांची औपचारिक यादी असते — अल्गोरिदम, कळा, प्रमाणपत्रे आणि प्रोटोकॉल, तसेच त्यांचा वापर करणाऱ्या सॉफ्टवेअर घटकांशी असलेले त्यांचे नाते. - शोध व नोंदणी ही एक नव्हे, चार समस्या आहेत. शोध व नोंदणीला एकच कार्यप्रवाह मानणे हा हे कार्यक्रम अपयशी ठरण्याचा सर्वात सामान्य मार्ग आहे. या लेखात मांडलेल्या आव्हानांसाठी तुमच्या संस्थेचा दृष्टिकोन काय आहे? → https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/ #CryptographicBillOfMaterials #Cbom #Cyclonedx #Ecma424 #क्रिप्टोग्राफिकयादी Sebastien Rousseau | CC-BY-4.0
हा लेख उद्धृत करा
जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau
२०२८ ची NCSC शोध व नोंदणीची मुदत कोणत्याही स्थलांतर मुदतीच्या आधी येते. बँका ती पूर्ण करू शकत नाहीत, कारण DORA मालमत्ता नोंदवही क्रिप्टोग्राफी नोंदवत नाही.
BibTeX
@online{rousseau2026ज,
author = {Rousseau, Sebastien},
title = {{जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/ ER -
Vancouver
Rousseau S. जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau. sebastienrousseau.com. 2026 Jul 28. Available from: https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/
Chicago
Rousseau, Sebastien. "जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau." sebastienrousseau.com. July 28, 2026. https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/.
APA
Rousseau, S. (2026, July 28). जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/
हा लेख पुनःप्रकाशित करा
जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau
२०२८ ची NCSC शोध व नोंदणीची मुदत कोणत्याही स्थलांतर मुदतीच्या आधी येते. बँका ती पूर्ण करू शकत नाहीत, कारण DORA मालमत्ता नोंदवही क्रिप्टोग्राफी नोंदवत नाही.
हा लेख यानुसार परवानाकृत आहे Creative Commons Attribution 4.0 International. पुनःप्रकाशनासाठी कॅनॉनिकल URL ला श्रेय देणे आवश्यक आहे.
जे मोजता येत नाही ते स्थलांतरित करता येत नाही: बँकांकडे नसलेली CBOM — Sebastien Rousseau २०२८ ची NCSC शोध व नोंदणीची मुदत कोणत्याही स्थलांतर मुदतीच्या आधी येते. बँका ती पूर्ण करू शकत नाहीत, कारण DORA मालमत्ता नोंदवही क्रिप्टोग्राफी नोंदवत नाही. Originally published at https://sebastienrousseau.com/mr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/ by Sebastien Rousseau. Licensed under CC-BY-4.0.