Doctrina de Aislamiento del Plano de Control Poscuantico

Executive Strategic Framing

El riesgo estructural es el desfase de gobernanza entre el retiro de algoritmos criptograficos y la preparacion de aplicacion en el plano de control. La doctrina es necesaria ahora porque los programas de migracion se estan iniciando como adquisicion tecnologica y no como programas de gobernanza de transicion de estado. El punto ciego organizacional es tratar la adopcion poscuantica como reemplazo de endpoint en lugar de rediseno institucional de emision de confianza y resistencia a downgrade.

Mapeo institucional de dominio:

Superficie institucional primaria: Post-Quantum Infrastructure.
Lineas de capacidad: Hybrid handshake compatibility planning, certificate and key lifecycle redesign, downgrade resistance validation.

Envolvente de supuestos:

Topico interpretado como aislamiento del plano de control empresarial poscuantico y gobernanza de ciclo de vida.
Enfasis de audiencia inferido como Mixed (CTO, CISO y liderazgo de ingenieria orientado al Board).
Contexto restringido a nube hibrida con servicios de identidad on-prem bajo limites de personal y presupuesto.

Formal Problem Definition

Definicion del sistema y de las restricciones de gobernanza de migracion:

S: grafo empresarial de servicios criptograficos, incluyendo PKI, terminacion mTLS, rutas KMS/HSM y distribucion de politicas.
A: adversario adaptativo con capacidad de downgrade de protocolo, potencial de foothold en supply chain e inventario de ciphertext recolectado.
T: frontera entre dominio aprobado de politica criptografica y todas las superficies externas/legadas de negociacion.
H: horizonte de 5 a 15 anos, incluyendo algoritmos hibridos intermedios.
R: restricciones regulatorias y contractuales que exigen evidencia de transicion criptografica, trazabilidad de custodia de claves y registros deterministas de rollback.

Modelo operativo de exposicion:

E = f\left(\alpha \cdot A_{cap},\; \beta \cdot L_{det},\; \mu \cdot B_{rad},\; \tau \cdot D_{crypto}\right)

donde L_det es latencia de deteccion, B_rad es radio de impacto y D_crypto es tasa de decaimiento criptografico de primitivas desplegadas. Decision de gobernanza: los controles deben minimizar L_det y B_rad antes de completar la migracion total de algoritmos.

Structural Architecture Model

Modelo institucional por capas:

L0: Hardware / Entropy. Calidad de raiz de hardware, auditorias de entropia, particionamiento HSM.
L1: Cryptographic Primitives. Perfiles de primitivas clasicas y poscuanticas hibridas con fijacion de version.
L2: Protocol Logic. Restricciones de negociacion, maquina de estados de rechazo de downgrade, vinculacion de transcript.
L3: Identity Boundary. Aplicacion de perfil de certificado, restricciones de procedencia de clave, particionamiento de autoridad emisora.
L4: Control Plane. Distribucion firmada de politicas, canales atestados de rollout, proceso determinista de excepciones.
L5: Observability & Governance. Telemetria de postura criptografica, registro de excepciones, metricas de aseguramiento para Board.

Dinamica de transicion:

S_{t+1} = T\left(S_t,\; I_t,\; A_t\right)

donde I_t es entrada controlada de migracion y A_t es influencia adversaria. Decision de gobernanza: permitir I_t solo cuando los invariantes de capa pasan validacion firmada.

Adversarial Persistence Model

Evolucion de largo horizonte:

Crecimiento de capacidad C(t): la capacidad de explotacion adversaria se acumula con la comoditizacion de herramientas.
Decaimiento criptografico D(t): el margen efectivo de seguridad de primitivas desplegadas disminuye con el tiempo.
Deriva operativa O(t): excepciones de politica y rutas temporales de compatibilidad persisten mas alla de las ventanas previstas.

Condicion de umbral de riesgo:

C(t) + O(t) > M(t)

donde M(t) es capacidad institucional de mitigacion. Decision de gobernanza: si la probabilidad de violacion del umbral excede la tolerancia de politica, congelar nuevas integraciones legadas y acelerar el aislamiento del plano de control.

Failure Modes Under Enterprise Constraints

Nube multirregional: propagacion asincrona de politicas crea postura criptografica mixta y rutas de negociacion reproducibles.
Hibrido on-prem: appliances legados de TLS y PKI preservan compatibilidad de downgrade sin limite.
Frontera de compliance: la generacion de evidencia suele retrasar el estado criptografico real, invalidando atestaciones.
Envolvente presupuestaria: el gasto de migracion prioriza reemplazo de endpoint en vez de rediseno de ciclo de vida de identidad.
Acoplamiento organizacional y efecto silo: equipos de plataforma optimizan disponibilidad mientras seguridad optimiza artefactos de compliance, creando conflicto no resuelto en el plano de control.

Code-Level Architectural Illustration

// Enforce cryptographic transition invariants before policy publication.
type CryptoProfile = "classical" | "hybrid" | "pq-only";

interface PolicyBundle {
  serviceId: string;
  region: string;
  profile: CryptoProfile;
  minProtocolVersion: string;
  allowLegacyFallback: boolean;
  keyRotationDays: number;
  signerSetVersion: number;
}

interface GovernanceContext {
  approvedFallbackExpiryEpoch: number;
  requiredSignerSetVersion: number;
  maxRotationDays: number;
  nowEpoch: number;
}

export function validateBundle(b: PolicyBundle, g: GovernanceContext): string[] {
  const violations: string[] = [];

  if (b.profile === "pq-only" && b.allowLegacyFallback) {
    violations.push("PQ_ONLY_CANNOT_ALLOW_LEGACY_FALLBACK");
  }

  if (b.allowLegacyFallback && g.nowEpoch > g.approvedFallbackExpiryEpoch) {
    violations.push("LEGACY_FALLBACK_WINDOW_EXPIRED");
  }

  if (b.signerSetVersion < g.requiredSignerSetVersion) {
    violations.push("OUTDATED_SIGNER_SET");
  }

  if (b.keyRotationDays > g.maxRotationDays) {
    violations.push("KEY_ROTATION_INTERVAL_TOO_LONG");
  }

  if (b.minProtocolVersion !== "TLS1.3") {
    violations.push("MIN_PROTOCOL_NOT_ENFORCED");
  }

  return violations;
}

Este punto de aplicacion vincula la politica de migracion a invariantes explicitos y convierte despliegues no conformes en eventos deterministas de rechazo del plano de control.

Economic & Governance Implications

La exposicion de capital aumenta cuando la duracion de operacion hibrida es no acotada, porque cada ruta adicional de excepcion expande la carga de aseguramiento y la superficie de auditoria. La responsabilidad operativa se concentra en autoridades de emision de identidad y canales de distribucion de politica, no en compute de endpoint.

El riesgo de lock-in aparece cuando las herramientas de migracion son especificas de proveedor y no exportan historial de politicas firmadas. La deuda de migracion se acumula cuando fallbacks temporales permanecen en produccion sin gobernanza de expiracion. La fragilidad del plano de control aumenta cuando rutas de cambio de emergencia eluden flujos firmados de aprobacion.

Modelo de costo:

Cost = f\left(N_{sys},\; D_{dep},\; A_{crypto}\right)

donde N_sys es tamano del sistema, D_dep es profundidad de dependencias y A_crypto es area de superficie criptografica. Decision de gobernanza: priorizar reducciones en la varianza de A_crypto antes de expandir el conteo de endpoints PQ.

STIGNING Doctrine Prescription

Aplicar un invariante de plano de control no eludible: ningun servicio publica politica criptografica sin aprobacion firmada multiparte.
Exigir campos explicitos de expiracion de fallback y rechazo automatico tras expiracion; prohibir modos de compatibilidad indefinidos.
Particionar autoridades emisoras por entorno y clase de aseguramiento; impedir conjuntos de firma compartidos entre niveles de criticidad.
Exigir telemetria determinista de postura criptografica en L5, incluyendo divergencia regional y contadores de intentos de downgrade.
Definir envolventes de upgrade con compuertas reversibles: la transicion de hybrid a pq-only debe incluir restricciones de rollback que preserven integridad de politica.
Implementar pruebas trimestrales de estres de ciclo de vida de claves, incluyendo rotacion forzada de firmantes y perdida simulada de particion HSM.
Vincular compras a contratos de agilidad criptografica que requieran logs de politicas exportables y garantias de actualizacion algoritmica.

Board-Level Synthesis

Si la doctrina se ignora, el riesgo estrategico se manifiesta como extension silenciosa de criptografia legada bajo estado nominal de migracion. Las consecuencias de gobernanza incluyen incapacidad para demostrar integridad de transicion, mayor frecuencia de observaciones supervisoras y aumento de probabilidad de disputas contractuales tras futuros avisos criptograficos. Las implicaciones de asignacion de capital son directas: posponer el rediseno del plano de control se convierte en sobrecarga recurrente de aseguramiento y gasto de remediacion de emergencia.

5-15 Year Strategic Horizon

Prioridad inmediata: establecer invariantes firmados de plano de control y gobernanza de expiracion de fallback.
Ruta de migracion a 3 anos: completar compatibilidad de handshake hibrido con rechazo determinista de downgrade y telemetria de nivel probatorio.
Inevitable a 10 anos: retirar anchors de confianza solo clasicos y consolidar emision con agilidad criptografica.
Inevitable estructural con visibilidad diferida: instituciones que posterguen el aislamiento del plano de control sufriran deuda compuesta de migracion y menor maniobrabilidad operativa.

Conclusion

La migracion poscuantica es una transicion de gobernanza en identidad, distribucion de politicas e integridad del plano de control, no un reemplazo estrecho de algoritmos. La resiliencia institucional depende de invariantes explicitos, ventanas acotadas de compatibilidad y senales medibles de aseguramiento vinculadas a gobernanza ejecutiva. La doctrina define una envolvente aplicable de upgrade que preserva continuidad operativa mientras reduce la ventaja adversaria de largo horizonte.

STIGNING Enterprise Doctrine Series
Institutional Engineering Under Adversarial Conditions