Mark Medum Bundegaard, Chief Product Officer i Partisia – Intervjuserie

Mark Medum Bundegaard, Chief Product Officer i Partisia, er en teknologisk og produktleder som spesialiserer seg på personvernforbedrende teknologier, blokkjedearkitektur og sikker maskinlæring. Han leder Partisia sin produktvisjon og veikart, og jobber på tvers av ingeniør-, design- og forretningsteam for å levere plattformer bygget på sikker flerpartisk beregning og kvante‑sikker infrastruktur. Bakgrunnen hans spenner over seniorroller i bank, telekom, media og oppstartsbedrifter, med dyp ekspertise innen sky‑native systemer, distribuert arkitektur og anvendt AI, samt erfaring med å lede storskalige operasjoner som Danmarks Copenhell musikkfestival.

Partisia er et kryptografi‑fokusert programvareselskap som utvikler infrastruktur for personvern‑bevarende datakollaborasjon. Plattformen gjør det mulig for organisasjoner å beregne på kryptert data ved bruk av sikker flerpartisk beregning kombinert med blokkjedekortrering, slik at innsikt kan genereres uten å eksponere sensitiv informasjon. Ved å støtte konfidensiell databehandling, desentralisert identitet og personvern‑første maskinlæring, hjelper Partisia bedrifter med å låse opp dataverdi samtidig som de opprettholder samsvar, sikkerhet og datasuverenitet på tvers av bransjer inkludert finans, helsevesen og digital infrastruktur.

Den nylige fellesrapporten fra Europol rammer post‑kvantekryptografi (PQC) — kryptering designet for å forbli sikker selv når kvantedatamaskiner kan bryte dagens standarder — som en langsiktig, risikobasert overgang snarere enn et engangssalg av algoritme. Fra det du ser på tvers av finansinstitusjoner, hvor er det største gapet mellom å gjenkjenne kvante‑risiko og faktisk kunne handle på den?

Det største gapet i dag er synlighet. De fleste finansinstitusjoner har ennå ikke en komplett “kryptografisk materialliste” — det vil si et tydelig inventar over hvor kryptografi brukes, hvilke algoritmer som beskytter hvilke eiendeler, og hvor lenge disse eiendelene må forbli sikre.

Uten dette grunnlaget er det vanskelig å prioritere migrering. Selv når synligheten forbedres, er utskifting av kryptografi i regulerte, eldre systemer en langsom prosess som involverer programvare, maskinvare, sertifisering og operasjonelle endringer. Utfordringen er ikke å gjenkjenne risikoen, men å omsette denne bevisstheten til en handlingsbar migrasjonsplan.

Rapporten påpeker at mange organisasjoner mangler et komplett inventar over sin kryptografi, noe som betyr at de ikke fullt ut vet hvor kryptering brukes på tvers av applikasjoner, datastrømmer og infrastruktur. Hvorfor er denne synligheten fortsatt så begrenset i store finansinstitusjoner, og hva er de mest praktiske måtene å fikse det på?

Moderne systemer består av mange sammenkoblede programvarekomponenter og delsystemer som ble utviklet uavhengig, på ulike tidspunkter og av ulike aktører. Det er ofte vanskelig å få en komplett oversikt over hvilken programvare som brukes, for ikke å nevne hvilke algoritmer som benyttes. Det finnes sannsynligvis ingen “én løsning som passer alle”. 

Imidlertid har selskaper som allerede har en oversikt over sin programvare sannsynligvis en fordel. Det samme gjelder maskinvare; de fleste banker bruker fortsatt krypteringsnøkler som leveres gjennom bruk av HSM-er, noe som skaper en avhengighetskjede fra applikasjonen helt til den kjørende maskinvaren. Da sky‑boomen kom over finansindustrien, gjorde den mange ting enklere, men å ha riktig mengde synlighet i tjenester ble vanskeligere. Så for nå jobber mange institusjoner, som en del av overgangen til PQC‑standarder, med å skape en full oversikt over nøkler.

Du har påpekt at PQC‑beredskap ofte stopper opp på grunn av eierskaps‑ og styringsspørsmål snarere enn selve kryptografivalget. Hvordan gjør uklare ansvarsområder mellom sikkerhet, IT og produktteam dette til en reell langsiktig sikkerhets‑ og samsvarsrisiko?

Kryptografi befinner seg i skjæringspunktet mellom sikkerhet, infrastruktur og applikasjonsutvikling. Når eierskapet er uklart, stopper migrasjonsarbeidet — ikke fordi algoritmene er ukjente, men fordi ingen enkeltteam har mandatet eller synligheten til å drive overgangen.

Over tid skaper dette systemisk risiko. Systemer forblir avhengige av eldre kryptografi lenger enn tiltenkt, noe som øker eksponeringen og gjør den endelige migrasjonen mer kompleks, kostbar og forstyrrende.

Krypto‑agilitet — evnen til å bytte eller oppgradere kryptografiske algoritmer uten å bygge om hele systemer — blir ofte nevnt som essensiell for PQC‑beredskap. Hvordan øker mangel på krypto‑agilitet innlåsing, teknisk gjeld og fremtidige oppgraderingskostnader for finansinstitusjoner?

Krypto‑agilitet avgjør om kryptografiske komponenter kan erstattes uten å redesigne hele systemer. Der kryptografi er dypt integrert i applikasjonslogikk eller infrastruktur, blir utskiftingen dyr og operasjonelt risikabel.

Institusjoner som bygger agilitet nå vil kunne overføre trinnvis. De som ikke gjør det, kan møte storskalige, forstyrrende migrasjoner senere, spesielt etter hvert som standarder og regulatoriske forventninger utvikler seg.

Fra ditt ståsted i Partisia, som opererer på kryptografisk- og infrastrukturlaget i regulerte systemer, hvilke typer eldre plattformer eller arkitekturmønstre viser seg å være vanskeligst å forberede for PQC, og hvorfor?

Sterkt regulerte systemer er ofte de vanskeligste å oppdatere. Dette er bevisst — disse systemene er designet for stabilitet og sikkerhet, ikke rask endring.

Overgangen til PQC krever mer enn å oppdatere algoritmer. Det innebærer programvareoppdateringer, maskinvarestøtte, resertifisering og operasjonell validering. Disse begrensningene gjør tidlig planlegging avgjørende, da migrasjonstidslinjer måles i år, ikke måneder.

En kjerneanbefaling i rapporten er at organisasjoner vurderer hvor lenge ulike data‑eiendeler må forbli sikre — for eksempel om sensitiv finansiell eller personlig data må holde seg konfidensiell i år eller tiår. Hvordan bør institusjoner realistisk evaluere kryptografisk “hylle‑levetid” når de planlegger PQC‑migrasjon?

Institusjoner må vurdere hvor lenge spesifikke data må forbli konfidensielle og hvilke konsekvenser det vil ha dersom de blir eksponert i fremtiden.

Noen data, som transaksjonsregistre eller personlig finansiell informasjon, kan trenge beskyttelse i tiår. Dette gjør dem sårbare for “høst nå, dekrypter senere”‑scenarioer, hvor kryptert data samles i dag og dekrypteres når kvantekapasiteter modnes. Å forstå disse tidslinjene er avgjørende for å prioritere migrasjon.

Mange team antar at PQC‑arbeid starter først når endelige standarder er fullt fastsatt, men rapporten antyder at forberedelser må skje tidligere. I løpet av de neste 12–24 månedene, hvilke konkrete tiltak bør sikkerhets‑ og arkitekturteam prioritere selv før storskalige migrasjoner starter?

Det viktigste steget er å etablere et komplett inventar over kryptografisk bruk — forstå hvor kryptografi brukes, hvordan den er implementert, og hvilke systemer som er avhengige av den.

Denne synligheten gjør det mulig for institusjoner å identifisere høyrisikosystemer og begynne å designe krypto‑agile arkitekturer som støtter fremtidige algoritmeoverganger uten storskalig forstyrrelse.

Det er fortsatt en oppfatning om at utsatt PQC‑planlegging sparer penger til kvante‑trusler blir mer umiddelbare. Basert på det du ser i praksis, hvordan øker utsettelse faktisk fremtidige kostnader, operasjonell kompleksitet og risikoeksponering?

Godt spørsmål. Å utsette forberedelser eliminerer ikke migrasjonsarbeidet — det komprimerer det til en kortere tidsramme. Systemer som er tatt i bruk i dag kan være i drift i tiår, noe som betyr at beslutninger tatt nå bestemmer fremtidig risikoeksponering.

Tidlig forberedelse gjør det mulig for institusjoner å innlemme krypto‑agilitet i vanlige oppgraderingssykluser. Å vente for lenge kan kreve kostbare, hastige migrasjoner under regulatorisk eller trusselpress.

Du har jobbet med sky‑native systemer, blokkjedinfrastruktur og personvern‑bevarende teknologier som sikker flerpartisk beregning, som gjør det mulig å behandle data uten å avsløre dem. Hvordan skiller PQC‑planlegging seg i disse distribuerte eller personvern‑fokuserte miljøene sammenlignet med tradisjonelle sentraliserte finanssystemer?

På et grunnleggende nivå er utfordringen den samme: å identifisere hvor kryptografi brukes og sikre at den kan erstattes trygt. Enten et system er sentralisert eller distribuert, avhenger sikkerheten i siste instans av styrken og livssyklusen til de kryptografiske primitive.

Den viktigste forskjellen er arkitektonisk synlighet. Distribuerte og kryptografi‑drevne systemer har ofte tydeligere grenser rundt nøkkelbruk og verifisering, noe som kan gjøre avhengigheter enklere å identifisere. Men hovedoppgaven — å oppnå synlighet, planlegge migrasjon og sikre kryptografisk agilitet — forblir den samme i begge miljøer.

Ser vi fremover, forventer du at PQC‑beredskap vil bli en regulatorisk samsvarsstandard, eller kan den utvikle seg til en konkurranse‑ og tillitsbasert differensieringsfaktor for finansinstitusjoner — og hvilke tidlige signaler bør investorer og teknologiledere følge med på?

På kort sikt vil PQC sannsynligvis dukke opp som en del av utviklende sikkerhets‑ og regulatoriske forventninger, snarere enn et frittstående samsvarskrav.

Over tid vil institusjoner som viser sterk kryptografisk motstandskraft og langsiktig databeskyttelse ha en tillitsfordel. Investorer og regulatorer er i økende grad oppmerksomme på infrastruktur‑risiko, og kryptografisk beredskap blir en del av den bredere motstandskraft‑diskusjonen.

Takk for det flotte intervjuet, lesere som ønsker å lære mer bør besøke Partisia.