Beyaz Saray'ın kuantum tehdidine karşı yayımladığı yeni kararname, federal kurumlar için 2030 yılına kadar siber güvenlikte zorunlu bir dönüşüm başlatıyor.
Ne oldu?
22 Haziran 2026 tarihinde, Amerika Birleşik Devletleri (ABD) Başkanı Trump, "Ulusun Gelişmiş Kriptografik Saldırılara Karşı Güvence Altına Alınması" başlıklı 14412 sayılı yeni bir Başkanlık Kararnamesi imzaladı. Bu kararnameyle, federal kurumların en kritik sistemlerini kuantum sonrası şifrelemeye (PQC) geçirmesi için son tarih 31 Aralık 2030 olarak belirlendi. Kuantum sonrası kimlik doğrulama (dijital imzalar ve sertifikalar) için ise son tarih 31 Aralık 2031 olarak açıklandı. Ayrıca federal yüklenicilerin de 2030 yılı sonuna kadar kuantum sonrası Federal Bilgi İşlem Standartları'na (FIPS) uyması zorunlu kılındı.
Neden önemli?
Bu kararname, kuantum bilgisayarların mevcut şifreleme yöntemlerini (RSA ve Elips Eğrisi Kriptografisi gibi) kırabileceği "Q-Day" (Kuantum Günü) tehdidine karşı küresel bir seferberliğin başladığını gösteriyor. Google ve Oratomic gibi kuruluşların son araştırmaları, güçlü kuantum bilgisayarların beklenenden daha erken hayatımıza girebileceğini ortaya koydu; bu durum Cloudflare gibi teknoloji liderlerinin kendi kuantum güvenliği hedeflerini 2029'a çekmesine yol açtı. Beyaz Saray'ın 2031 hedefini koyması, devlet düzeyinde de bu tehdidin çok yakın bir gelecekte gerçeğe dönüşebileceği yönündeki endişeleri teyit ediyor.
Kuantum sonrası şifrelemeye geçişin iki kritik ayağı bulunuyor: veri şifreleme ve kimlik doğrulama. Saldırganların şimdiden şifreli verileri toplayıp ileride kuantum bilgisayarlarla çözmeyi amaçladığı "şimdi topla, sonra çöz" (harvest-now-decrypt-later) taktiği nedeniyle, özellikle uzun ömürlü ve hassas verilerin bugünden kuantum sonrası algoritmalara taşınması hayati önem taşıyor. Öte yandan, kimlik doğrulama tarafında PQC algoritmalarının veri boyutunun büyük olması ve küresel ekosistem entegrasyonu gerektirmesi, sürecin teknik zorluğunu katlayarak artırıyor. Bu durum, siber güvenlik politikalarında sadece şifreleme standartlarını değiştirmeyi değil, aynı zamanda şifreleme altyapılarında esnekliği (kripto-çeviklik) zorunlu kılıyor.
Kim veya ne etkileniyor?
Bu düzenleme doğrudan ABD federal kurumlarını, kritik devlet altyapılarını yöneten birimleri ve bu kurumlara hizmet sunan özel siber güvenlik ile teknoloji yüklenicilerini etkiliyor. Özellikle ABD Hükümeti tarafından "Yüksek Değerli Varlıklar" (HVAs) olarak sınıflandırılan ve ulusal güvenlik, dış ilişkiler veya finansal sistemler için kritik önem taşıyan tüm sistemler bu zorunlu göç takviminin odağında yer alıyor. Ancak devlet düzeyindeki bu baskı, teknoloji tedarik zincirleri aracılığıyla küresel pazardaki tüm yazılım ve donanım üreticilerini kuantum sonrası şifreleme standartlarını benimsemeye zorlayacak bir domino etkisi yaratıyor.
Ne yapılmalı?
Kuruluşlar kuantum sonrası döneme hazırlanmak için 2030 yılını beklememeli ve internet trafiğini bugünden korumaya başlamalıdır. İlk adım olarak, açık internet üzerinden geçen ve saldırganların ele geçirme riski en yüksek olan dış trafiğin kuantum sonrası tünelleme yöntemleriyle güvenceye alınması öneriliyor. Ayrıca teknoloji satın alma süreçlerinde tedarikçilerden ekstra ücret talep edilmeksizin varsayılan olarak "kuantum sonrası şifreleme" ve "kripto-çeviklik" (crypto-agility) desteği talep edilmelidir. Karmaşık şifreleme envanterleri çıkarmakla zaman kaybetmek yerine, organizasyon genelinde "kuantum etki analizi" yapılarak en hassas ve dışa açık sistemlerin dönüşümüne acilen başlanmalıdır.