後量子密碼學（PQC）正由標準議題走向企業治理工程，金融業因資料集中、監管要求嚴格，已成為最早建立遷移方法的產業。臺灣網路認證（TWCA）協理連子清表示，企業面對量子威脅時，焦點不能只停留在憑證機構（CA）或公開金鑰基礎建設（PKI），更應把所有使用密碼學的服務、系統、通訊協定、簽章機制與硬體載具納入盤點。
PQC遷移牽動整體數位信任基礎，若只處理憑證單一環節，仍可能在生態系銜接、法規白名單、瀏覽器支援與硬體認證上遭遇瓶頸。
連子清指出，量子電腦與後量子密碼學常被混為一談，但兩者屬於不同層次。量子電腦涉及新的運算架構，後量子密碼學則是在現有電腦上更換密碼演算法，使既有系統能抵抗未來量子電腦足以破解RSA與橢圓曲線密碼學（ECC）的威脅。企業真正要面對的時間壓力，來自「先竊取後解密」風險。若資料保存期間長於企業完成遷移所需時間，且早於具備密碼破解能力的量子電腦出現，現階段被攔截的機敏資料便可能在未來遭到解密。
密碼資產盤點 決定遷移優先順序
量子威脅對IT基礎架構的衝擊主要涵蓋通訊、加密、簽章、憑證與硬體等五個防護面向。連子清表示，通訊與加密屬於抵禦外部攔截的第一層防線，也是企業現階段最容易先行改善的項目。以通訊層來看，企業可先檢視傳輸層安全協定（TLS）1.3的支援情況，以及是否具備混合式後量子金鑰交換能力；在對稱式加密方面，則可評估將加密強度提升至AES 256。這些工作不代表已完成PQC遷移，卻能先降低資料在傳輸與交換過程中被攔截後長期暴露的風險。
當防護面向進入簽章、憑證與硬體層級，升級難度會明顯提高。憑證受制於作業系統、瀏覽器、根憑證政策與國際信任鏈，即使憑證機構已可準備抗量子演算法與憑證格式，若主要瀏覽器與平台尚未開放正式部署路徑，網站TLS憑證仍無法單方面完成轉換。硬體安全模組（HSM）、IC卡與其他金鑰載具若用於高機敏性應用，也必須檢視美國聯邦資訊處理標準（FIPS）140之3等驗證要求。連子清提醒，近期採購重點不只在於設備是否宣稱支援PQC，更要確認密碼模組邊界、更新能力與合規文件，避免未來標準接軌時再次汰換。
面對龐雜的升級需求與不對等的技術成熟度，企業需要以密碼資產盤點作為決策基礎。連子清建議，企業管理者應全面掌握內部使用密碼學的服務、系統、資料流程、憑證、金鑰與硬體載具，並導入優先遷移順序矩陣。量子風險可觀察資料保存時間、資料敏感度與系統對外暴露程度；遷移時間成本則取決於解決方案可用性、轉換所需資源，以及對供應鏈、監理規範與上游系統的依賴程度。通訊加密與部分金鑰交換機制可列為近期優先改善工作；核心硬體汰換、網站TLS憑證全面轉換、金融交易憑證或跨機構樞紐系統，則需納入中長期規劃。
過渡防護先落地 憑證生態系待成熟
在全面遷移至抗量子密碼標準之前，過渡時期的防護機制將成為企業維持營運韌性的必要手段。連子清說明，現階段可採行的做法包含巢狀加密與雙軌憑證。巢狀加密是以多層次方式保護資料，例如在既有數位簽章外層再加入對稱式加密，或在特定應用場景中額外導入後量子金鑰封裝機制（ML-KEM）。由於量子運算對非對稱式密碼的衝擊最為直接，外層加密可為既有簽章與憑證提供額外緩衝，降低資料遭攔截後立即暴露核心內容的風險。
在憑證發放機制方面，連子清表示，憑證過渡方案常見討論包含複合憑證（Composite Certificates）與雙軌憑證。複合憑證嘗試將傳統演算法與抗量子演算法放入同一張憑證，在過渡期間同時支援既有信任鏈與新演算法。不過，連子清認為，這種做法在相容性、驗證邏輯與責任判讀上仍有不確定性，若日後標準或瀏覽器採用路線調整，可能還要再次修改。因此，TWCA較傾向雙軌憑證架構，獨立核發傳統憑證與抗量子憑證，讓企業端依照系統能力與應用情境選擇部署路徑。
臺灣網路認證公司策略發展部協理連子清表示，企業應及早盤點內部通訊協定與憑證管理機制，並評估導入巢狀加密與雙軌憑證等過渡防護架構，確保未來平順轉移至新型安全標準。
導入抗量子演算法也會帶來通訊效能挑戰。PQC的金鑰、簽章與憑證鏈資料量通常會比現有演算法更大，實際增加幅度取決於演算法、參數集、憑證鏈設計與瀏覽器採用方式。若沿用傳統X.509架構直接導入後量子簽章，TLS交握期間的憑證鏈資料量將明顯增加，進而影響網頁載入延遲與網路傳輸效率。以Chrome為例，已提出雜湊樹憑證（MTC）路線，希望降低後量子簽章對網際網路規模化部署造成的負擔。
連子清也強調，PQC將迫使企業重新建立密碼敏捷性（Crypto Agility）。不像RSA與ECC等現行公開金鑰演算法已歷經長時間市場驗證，新問世的抗量子演算法雖通過標準制定程序，未來仍可能因安全研究、效能需求或標準演進而調整。企業在設計IT系統與採購硬體時，必須確保密碼模組具備可抽換能力，避免將演算法寫死在難以更新的唯讀記憶體、晶片或封閉式韌體內。
密碼學遷移也是牽動產業鏈的治理工程，金融體系中的核心結算、徵信、交易所與跨行交換等樞紐單位，必須先建立傳輸標準與基礎設施，下游金融機構、證券商與資訊服務供應商才有明確規範可循。主管機關若能訂定階段性時程，將有助於樞紐單位、受監理機構與供應商同步展開盤點、測試、法規檢視與系統升級。