隨著後量子密碼（PQC）逐漸進入企業治理議程，科技製造業面對的核心課題，已由量子電腦何時成熟，轉向產品能否持續取得客戶信任、符合市場准入條件，並在既有研發週期內完成必要調整。
合勤投資控股資安長游政卿表示，企業資源畢竟有限，資安長若要推動PQC，必須先回答董事會最關心的問題，包括哪些產品會受到影響、客戶是否已提出要求、法規何時形成門檻，以及投入資源能否支援營收與企業存續。
合勤的產品行銷全球，尤其歐洲市場的營收占比相當高，歐洲法規因而直接牽動產品設計、認證與銷售。游政卿指出，企業推動資安工作的主要驅力，通常來自監理要求、客戶需求與特定法規。對缺乏單一主管機關直接督促的科技製造業而言，若只以量子威脅或技術演算法來鼓吹PQC，恐怕不易取得董事會支持；但若能連結產品生命週期、採購門檻、第三方認證與市場准入，管理階層便能判斷最低必要投入。
他將董事會要求形容為「找出法規地板」。企業無須一開始就追求所有技術能力都達到最高規格，而是應先確認跨越門檻所需條件，再依產品重要性、資料保密年限、客戶要求與可替代性配置資源。PQC因而成為產品信任治理的一部分，目的在於讓企業證明已掌握密碼使用現況、建立遷移計畫，並可在演算法或標準改變時持續調整。
產品信任連結市場准入
游政卿表示，PQC風險主要可分為兩類。第一類是先竊取後解密（HNDL），攻擊者先蒐集加密資料，待量子運算能力成熟後再解密，影響程度取決於資料是否需要長期保密。第二類是公鑰密碼失效後造成身分冒用與交易偽造，攻擊者可能偽造憑證或裝置身分，進一步操控產品通訊與服務流程。對網通設備製造商而言，第二類會直接衝擊設備信任、韌體更新、遠端管理與客戶營運安全。
因此，應先區分對稱式密碼與非對稱式密碼。游政卿指出，對稱式密碼若採用足夠長度的金鑰，例如進一步提高至AES-256，仍可保有相對充足的安全餘裕；RSA、橢圓曲線密碼（ECC）及傳統金鑰交換機制，則須納入PQC遷移評估。真正困難之處，往往是老舊應用只能支援特定演算法，或嵌入式設備受限於處理器效能、記憶體與儲存空間，無法直接置換密碼模組。
合勤已自行建立密碼資產盤點平台，透過網路掃描、設備檢測及必要的白箱或黑箱分析，辨識系統與產品使用的密碼協定、演算法、憑證及簽章。游政卿說明，曾在特定場域辨識出超過1,300項設備，進一步篩選後，真正需要優先處理者約36項。這項結果讓PQC由抽象風險轉化為可管理範圍，也使董事會能看到資源需求、責任歸屬與處置順序。
合勤投資控股資安長游政卿表示，企業推動PQC應連結產品安全、客戶信任與市場准入，先盤點密碼資產並依風險排序，建立可更新、可替換的密碼敏捷能力與治理力。
盤點成果還須建立密碼學物料清單（CBOM），並為每項資產指定業務或產品負責人。負責人須確認系統存在價值、產品銷售區域、資料敏感度及可接受風險。無法立即汰換的舊系統，可透過網路區隔、白名單與最小化連線權限降低暴露面，並將異常連線視為偵測訊號。此種處置方式可避免企業把所有資產一律列入高成本更新，也能保留必要的營運功能。
密碼敏捷支援持續調整
PQC標準與驗證制度仍在發展，產品宣稱具備PQC就緒能力時，現階段更重要的是說明已完成哪些工作。游政卿認為，企業至少要能提出盤點結果、公開支援規格、演算法選擇、效能數據與遷移路徑，並證明產品具備密碼敏捷性（Crypto Agility），可依政策與標準調整密碼模組，支援更新、替換及防止降級攻擊。
所謂防止降級攻擊，是避免攻擊者取得權限後，將設備韌體或安全協定退回已知有弱點的舊版本。產品設計除須支援安全更新，也要驗證更新來源、維護硬體信任根（Hardware Root of Trust），並確保裝置啟動時不會載入未授權程式碼。這些能力同時對應安全設計（Security by Design）、漏洞管理與產品資安事件應變，可直接納入既有研發流程，避免另外建立彼此脫節的PQC專案。
游政卿指出，歐盟網路韌性法（CRA）要求產品製造商建立漏洞處理、事件通報、更新維護與證據保存能力，也會依產品風險類別採取自我符合性聲明或第三方評鑑。企業若已設置產品資安事件應變小組（PSIRT）、管理軟體物料清單（SBOM）、建立漏洞揭露與修補程序，便已具備部分PQC遷移所需基礎。
這也將改變資安長與研發團隊的溝通方式。PQC不能只停留於IT部門的基礎設施更新，還要回到產品架構、韌體、API、憑證、金鑰交換及供應鏈元件。對外採購的設備若無法自行深入檢測，可要求供應商提供PQC準備聲明、支援演算法與遷移計畫；企業自行控制的系統則應完成盤點與風險處置，避免把責任全部交給供應商。
游政卿強調，企業無須預測具備破解能力的量子電腦會在何時出現，真正可以管理的是組織能否在期限內完成遷移。高科技製造業若能先將產品安全、法規遵循與PQC準備整合，既可降低重複投資，也能在客戶開始詢問密碼遷移能力時提供具體證據。當產品品質、成本與交付能力逐漸接近，能否持續證明產品可信、更新可控與風險可管理，將成為企業進入國際市場的重要競爭條件。