Mark Medum Bundegaard, Director de Producto en Partisia – Serie de Entrevistas

Mark Medum Bundegaard, Director de Producto en Partisia, es un líder tecnológico y de producto especializado en tecnologías que mejoran la privacidad, arquitectura de blockchain y aprendizaje automático seguro. Lidera la visión y la hoja de ruta del producto de Partisia, trabajando con equipos de ingeniería, diseño y negocio para ofrecer plataformas basadas en computación multipartita segura e infraestructura cuántica segura. Su trayectoria abarca cargos senior en banca, telecomunicaciones, medios y startups, con profunda experiencia en sistemas nativos en la nube, arquitectura distribuida e IA aplicada, además de experiencia gestionando operaciones a gran escala como el festival de música Copenhell de Dinamarca.

Partisia es una empresa de software centrada en criptografía que desarrolla infraestructura para la colaboración de datos que preserva la privacidad. Su plataforma permite a las organizaciones calcular sobre datos cifrados usando computación multipartita segura combinada con orquestación blockchain, lo que permite generar conocimientos sin exponer información sensible. Al soportar computación confidencial, identidad descentralizada y aprendizaje automático centrado en la privacidad, Partisia ayuda a las empresas a desbloquear el valor de los datos mientras mantienen el cumplimiento, la seguridad y la soberanía de los datos en sectores como finanzas, salud e infraestructura digital.

El reciente informe conjunto de Europol enmarca la criptografía post-cuántica (PQC), cifrado diseñado para seguir siendo seguro incluso cuando las computadoras cuánticas puedan romper los estándares actuales, como una transición a largo plazo basada en riesgos en lugar de un intercambio único de algoritmo. Según lo que observa en las instituciones financieras, ¿cuál es la mayor brecha entre reconocer el riesgo cuántico y poder actuar al respecto?

La mayor brecha hoy es la visibilidad. La mayoría de las instituciones financieras aún no tienen un “bill of materials criptográfico” completo — lo que significa un inventario claro de dónde se usa la criptografía, qué algoritmos protegen qué activos y cuánto tiempo esos activos deben permanecer seguros.

Sin esa base, es difícil priorizar la migración. Incluso cuando la visibilidad mejora, reemplazar la criptografía en sistemas regulados y heredados es un proceso lento que implica software, hardware, certificación y cambios operativos. El desafío no es reconocer el riesgo, sino traducir esa conciencia en una hoja de ruta de migración accionable.

El informe señala que muchas organizaciones carecen de un inventario completo de su criptografía, lo que significa que no saben plenamente dónde se utiliza el cifrado en aplicaciones, flujos de datos e infraestructura. ¿Por qué esta visibilidad sigue siendo tan limitada en las grandes instituciones financieras y cuáles son las formas más prácticas de solucionarlo?

Los sistemas modernos están compuestos por muchas piezas interconectadas de software y subsistemas que se desarrollaron de forma independiente, en diferentes momentos y por diferentes actores. A menudo es difícil obtener una visión completa de qué software se está utilizando, sin mencionar qué algoritmos se emplean. Probablemente no exista una solución “única para todos”. 

Sin embargo, las empresas que ya tienen una visión de su software probablemente estén en mejor posición. Lo mismo ocurre con el hardware; la mayoría de los bancos todavía trabajan con claves de cifrado proporcionadas mediante HSMs, lo que crea una cadena de dependencia desde la aplicación hasta el hardware en funcionamiento. Cuando el auge de la nube llegó a la industria financiera, facilitó muchas cosas, pero obtener la cantidad adecuada de visibilidad sobre los servicios se volvió más difícil. Por lo tanto, por ahora muchas instituciones están trabajando, como parte de la migración a los estándares PQC, para crear una visión completa de las claves.

Ha señalado que la preparación para PQC a menudo se estanca debido a problemas de propiedad y gobernanza más que a la elección criptográfica en sí. ¿Cómo convierten las responsabilidades poco claras entre los equipos de seguridad, TI y producto en un riesgo real de seguridad y cumplimiento a largo plazo?

La criptografía se sitúa en la intersección de la seguridad, la infraestructura y el desarrollo de aplicaciones. Cuando la propiedad no está clara, los esfuerzos de migración se estancan — no porque los algoritmos sean desconocidos, sino porque ningún equipo tiene el mandato o la visibilidad para impulsar la transición.

Con el tiempo, esto genera un riesgo sistémico. Los sistemas siguen dependiendo de la criptografía heredada más tiempo del previsto, aumentando la exposición y haciendo que la migración eventual sea más compleja, costosa y disruptiva.

La cripto‑agilidad — la capacidad de intercambiar o actualizar algoritmos criptográficos sin reconstruir sistemas completos — se cita frecuentemente como esencial para la preparación de PQC. ¿Cómo la falta de cripto‑agilidad incrementa el bloqueo, la deuda técnica y los costos de futuras actualizaciones para las instituciones financieras?

La cripto‑agilidad determina si los componentes criptográficos pueden ser reemplazados sin rediseñar sistemas completos. Cuando la criptografía está profundamente integrada en la lógica de la aplicación o la infraestructura, reemplazarla se vuelve costoso y operativamente arriesgado.

Las instituciones que construyan agilidad ahora podrán transitar de forma incremental. Las que no lo hagan pueden enfrentar migraciones a gran escala y disruptivas más adelante, particularmente a medida que evolucionen los estándares y las expectativas regulatorias.

Desde su punto de vista en Partisia, operando en la capa criptográfica e infraestructura de sistemas regulados, ¿qué tipos de plataformas heredadas o patrones arquitectónicos resultan más difíciles de preparar para PQC y por qué?

Los sistemas altamente regulados suelen ser los más difíciles de actualizar. Esto es intencional — estos sistemas están diseñados para estabilidad y garantía, no para cambios rápidos.

Transicionarlos a PQC requiere más que actualizar algoritmos. Implica actualizaciones de software, soporte de hardware, recertificación y validación operativa. Estas limitaciones hacen que la planificación temprana sea esencial, ya que los plazos de migración se miden en años, no en meses.

Una recomendación central del informe es que las organizaciones evalúen cuánto tiempo diferentes activos de datos deben permanecer seguros — por ejemplo, si los datos financieros o personales sensibles deben mantenerse confidenciales durante años o décadas. ¿Cómo deberían las instituciones evaluar de manera realista la “vida útil” criptográfica al planificar la migración a PQC?

Las instituciones deben evaluar cuánto tiempo datos específicos deben permanecer confidenciales y cuáles serían las consecuencias si se expusieran en el futuro.

Algunos datos, como registros de transacciones o información financiera personal, pueden necesitar protección durante décadas. Esto los vuelve vulnerables a escenarios de “cosechar ahora, descifrar después”, donde los datos cifrados se recopilan hoy y se descifran una vez que las capacidades cuánticas maduren. Comprender estas líneas de tiempo es esencial para priorizar la migración.

Muchos equipos asumen que el trabajo de PQC comienza solo cuando los estándares finales están completamente definidos, sin embargo el informe sugiere que la preparación debe iniciarse antes. En los próximos 12–24 meses, ¿qué acciones concretas deberían priorizar los equipos de seguridad y arquitectura incluso antes de que comiencen las migraciones a gran escala?

El paso más importante es establecer un inventario completo del uso de la criptografía — comprender dónde se utiliza la criptografía, cómo se implementa y de qué sistemas depende.

Esta visibilidad permite a las instituciones identificar sistemas de alto riesgo y comenzar a diseñar arquitecturas cripto‑ágiles que soporten transiciones de algoritmos futuros sin interrupciones a gran escala.

Aún persiste la creencia de que retrasar la planificación de PQC ahorra dinero hasta que las amenazas cuánticas se vuelvan más inmediatas. Según lo que observa en la práctica, ¿cómo el aplazamiento realmente incrementa los costos futuros, la complejidad operativa y la exposición al riesgo?

Buena pregunta. Retrasar la preparación no elimina el trabajo de migración — lo comprime en un período más corto. Los sistemas desplegados hoy pueden permanecer en operación durante décadas, lo que significa que las decisiones tomadas ahora determinan la exposición al riesgo futuro.

La preparación temprana permite a las instituciones incorporar la cripto‑agilidad en los ciclos de actualización normales. Esperar demasiado tiempo puede requerir migraciones costosas y urgentes bajo presión regulatoria o de amenazas.

Ha trabajado con sistemas nativos en la nube, infraestructura blockchain y tecnologías que preservan la privacidad, como la computación multipartita segura, que permite procesar datos sin revelarlos. ¿Cómo difiere la planificación de PQC en estos entornos distribuidos o centrados en la privacidad comparado con los sistemas financieros tradicionales centralizados?

A nivel fundamental, el desafío es el mismo: identificar dónde se usa la criptografía y garantizar que pueda ser reemplazada de forma segura. Ya sea que un sistema sea centralizado o distribuido, su seguridad depende en última instancia de la solidez y el ciclo de vida de sus primitivas criptográficas.

La principal diferencia es la visibilidad arquitectónica. Los sistemas distribuidos y basados en criptografía a menudo tienen límites más claros sobre el uso y la verificación de claves, lo que puede facilitar la identificación de dependencias. Pero la tarea central — obtener visibilidad, planificar la migración y asegurar la cripto‑agilidad — sigue siendo la misma en ambos entornos.

De cara al futuro, ¿espera que la preparación para PQC se convierta en un estándar de cumplimiento regulatorio, o que evolucione en un diferenciador competitivo y basado en la confianza para las instituciones financieras — y qué señales tempranas deberían observar los inversores y líderes tecnológicos?

A corto plazo, es probable que PQC emerja como parte de las expectativas de seguridad y regulatorias en evolución, más que como un requisito de cumplimiento independiente.

Con el tiempo, las instituciones que demuestren una fuerte resiliencia criptográfica y protección de datos a largo plazo tendrán una ventaja de confianza. Los inversores y reguladores están cada vez más atentos al riesgo de infraestructura, y la preparación criptográfica se está convirtiendo en parte de esa conversación más amplia sobre resiliencia.

Gracias por la excelente entrevista, los lectores que deseen obtener más información deberían visitar Partisia.