此文乃__PQC治理深度解析系列至于全治理之范式（谁主事，理事会如何运作，问责高管所需），当自始而论。系列概览此系列之文，取材于吾将刊行之书。量子待备.

引言

吾治理概览述领PQC之程者。董事会治理章程释导导演之监之。估费文述其资之方。此文述其行之实。

在我之十二万务析，吾尝言要旨非在事数之多寡，而在诸事相系之密。此系者何？曰：供商与内闱之系，基构与应用之系，法规与时程之系，旧制之限与现代安防之系也。善治此系，乃使PQC迁转异于众组织所尝为之事。

诸规划之范式，多简PQC之施行为二层：一曰基设（由中枢统御），一曰应用（分派于诸司）。此模于真实之业，不过存三十息耳。行观大业之实技疆域，必见十二殊异之施行域，各具其主属，权柄结构，变革管理之习，技术堆栈，风险之貌，及迁徙之限。若PMO原拟二层，而得见十二，首岁必疲于扑救，此皆本应入原范围者。

十二行刑之域

此列诸域皆用公钥密码。每域须迁PQC。且每域行规各异。(此非详尽之列，惟示例耳)

域一：中枢IT之基构

公钥基础设施与证书权威层级，硬件安全模块密钥管理，网络加密（TLS终止，VPN网关，负载均衡器），身份与访问管理平台，共享密码学库。

孰主之？CISO、CIO抑或CTO，视乎组织模式.威权 责任高管可主此务。 变速： 中等（企业变革管理适用，无需外部协商）。 迁移限制： 供应商周期，尤以HSMs（6-18月）及FIPS 140-3验证（12-24月）为甚。

此乃唯一域，程序得直接掌其决断。亦为众域所依之基：应用未待CA层级支持，不可用PQC证书；未待HSM升级，不可用PQC密钥管理。基设迁徙，须早为筹划，兼虑下游之倚赖。

域二：企业应用

中央统管之ERP、CRM、HRIS、電郵、協作平台，及財務報告。此等者，用於多個營運部門，影響遍及全企業。

孰掌之：中央IT運作。權柄：變更需企業變更諮詢委員會（CAB）核准。變更之速：迟缓（影响甚巨，干系人众，回归测试周期绵长）。迁徙之限：供应商升级之道（SAP、Oracle、Microsoft发布之序）及扰乱业务枢要之程之风险。

域三：LOB所主之应用

各业部专属之应用，由业部IT团队所管理：交易平台、理赔处理、供应链管理、客户门户。每业部各有其应用组合、发布日程、测试环境，及竞争之优先次序。

孰掌之权：业部CIO、BCIO或工程之长。权柄所在：中枢之制立标准与时限；业务部门决其达于所限之能。更速变量（视LOB发布节奏而定，或周度部署，或季度发布）。迁徙之限组织之摩擦。业务部门之优先事项鲜少与质量保证项目之时间表相合。中央项目需 steering committee 之权柄，以责成业务部门。

领域四：云之基础架构

此组织之云产（AWS, Azure, GCP）。共担责任之模，分密码拥有权：云供者主其下平台加密，依其时序迁徙。汝主应用层配置、密钥管理之策，及任何客户管理之加密钥。

孰掌之：分属云供者与汝之云工之队。權限：汝主己之配置；供應者主其配置。變速：速疾適於汝之配置（基礎設施即代碼，持續整合/持續交付管道），然平台級後量子加密支持，全憑供應者發布時程。遷移限制：尔之迁徙，半系于云商之PQC迁徙。若尔之供者未尝于其托管负载均衡器中支持混合TLS，则尔虽自备已备，亦不可迁徙彼等端点。

域五：SaaS应用

應用如服務：Salesforce、Workday、ServiceNow、Slack、DocuSign、專業行業SaaS。汝對加密實施無有掌控。汝但消費供應商所予。

孰主之？软件即服务之供方。威权唯契约是依。更速悉听其便。迁移之限：尔之治理之道，惟合同所载之柄耳，见于供应商治理之文：准备问卷、合同修订、替代规划。若为SaaS之商，尔无合同之权柄，则监察与风险承当，惟此二者而已。

域六：影之IT

商部自IT治外所取之应用与云务。营销之队析理之台。研习之众协合之器。区域之署地储之务。用之众或未识此务用密码。CISO或未识此务之存.

孰掌之： 谁得之，常不使 IT 知。 权限： 未发现前，无。 变速： 难测。 迁移之限： 不可迁移不可见者。发见或为首次有人图绘此等服务。既识，则治理之应，视风险分类而定：纳于正式IT之产，易以管理之替，或容风险而设补偿之控。

域七：企业OT

建築管理系統（BMS）、物理出入管制（證卡讀取器、輪轉門）、監控電視及視頻監控、電梯控制、暖通空調、消防抑制、照明自動化。此諸系統皆連接於企業網絡。其用加密協議以進行管理與控制。由設施部門、企業安全部門或建築運營部門管理。首席信息安全官之團隊從未觸及之。

孰主之？設施管理或企業服務。權限：首席信息安全官或無權限管理此等系統。變更速度：極緩（安全關鍵系統、專業供應商、長期採購週期）。遷移限制： 管理此等系统之众，未尝闻PQC之名，亦不向PQC之治理结构中任何人报备。立权明识，乃一切技术之事之先决也。

域八：工业OT

監控與數據採集系統、可編程邏輯控制器、分佈式控制系統（DCS）用於工業、能源、石油天然氣、公共事業、交通運輸、水處理之間。廠區經理為廠區技術變更之最終權威。中央IT通常具有有限或無物理訪問權限.

何者掌控之：廠區運營、工程或廠區經理。權威： 工廠之長有最終決斷權。中央IT可請求；不可強制。變更速度： 以月或年計，受安全規範、運營窗口（停機、轉換）及監管批准所約束。遷移之限： 設備壽命十五至二十五載，固定功能之密碼學不可更新，安全至關之變更管理禁止未測試之修改於運行之系統。

吾於 十二萬任務之文詳述過工業控制網絡之問題。。此等器具，多不复迁于PQC。其策在补控：设密钥门于OT/IT之界，分网域，明载风险之受。

域九：远域与野地之务

油井、变电站、泵站、偏远制造地、零售店网络、蜂窝塔基建设、现场办公室。各处自有其地之IT与OT环境。场主掌其地之事权。中央IT或需遣人飞往其地触其器。部分地之网络连接有限或断续，致发现与迁移之事皆添纷扰。

孰主之： 站长。 权限： 地方。中央之务须逐站协商。 变更速率： 受限于物理之入，地方之员，及运作之历（炼油厂不可于生产之巅因加密升级而停工）。 迁移之限： 规模（一器或千站），及物流（一地之访，即费时与调度之务）。

域十：物联之域

传感器、嵌入式控制器、车队遥测、医疗器具、智能电表、工业物联网网关。固定功能之密码实现，常不可由固件更新。或由数队管理，视器类与部署而定。

孰主之？异乎工技、舟车之治、营务、生物医技，亦无定指。威权零落。更速众器无更新之制。迁徙之限物理之器。具硬接RSA实现、含64KB闪存者，不能行ML-KEM。唯更易之道，可迁之途也。大规模更易（器数百万计），乃数载之物流，非IT之工也.

域十一：区域地理之IT

跨国公司中，区域IT团队自主权甚重。亚太区所用之供应商、平台及治理结构，或异于欧陆北美。不同之监管环境，各有所施：多拉在欧盟，CNSA 2.0于美利坚国防供应链而言，大师特瑞姆新加坡之境，澳州之ASD/ACSC导引。总部适用之移民策，或非区域办之良方，盖区域办有自之IT团队，有自之供应商关系，有自之规制时序也。

谁主之？区域 CIO 或 IT 之长。威权因组织模式之异（集权与分权，或两者相兼）而不同。更易速： 变易，常缓于总署，盖因区队之众寡，资用不逮也。迁徙之限： 法度殊异（算法或时序或异），供者协约之语言隔阂，及跨时区统迁之繁费。

域十二：厂商管理之基础设

管理安全服务（管理之安全运营中心、管理之安全信息与事件管理平台），管理网络之运作，外包数据中心，管理托管，管理公钥基础设施。厂商操持基础设，然汝之数据流经其上。厂商之密码实现，护汝之数据，汝或无见其所用之算法，亦无闻其迁转之时机.

孰主其事： 供方。 权限： 合同所定，依供方治理条款所述之权柄而定。 变更速率： 供方自裁。 迁移限制：与SaaS（领域五）无异，然增其繁复，盖供应商所营之基础设，乃尔内部系统赖以存续与安固之根本，致替代之事益难.

诸域之间何所异

十二域各殊，其异有五，以决PQC之程与各域相接之方.

所有权 决定此程序与何者交涉。域一至三，乃内IT之领导。域四至五及十二，乃外之供应商。域七至九，乃设施、厂房运作或场管理。域六，所有权或待发现而后立。

权柄 决定程序或可径行或须协商。其责者有权于域一（中央基础），于他域则权有限。至于事务应用（域三），则由导引委员会设治理之制。至于厂区操作（域八），程序或需经外部之治理结构，此结构全非CISO所辖。

变速 之期，或日（云基配置变更经CI/CD），或岁（工控安全要务之变）。波次之计，必虑此异。以域八之制同域四之制，因其风险相似而并置波次，则波速当随其最缓之域。

显见 之范围，自盈（域一，其中枢团队操弄系统）至虚（域六，其中程不知系统之有，直至发现寻之乃知）。成本估算文中所述之发现阶段，必当显明涵盖十二域，非独域一至三而已。

迁转之可行性 自全迁（多属域一至五）至偏迁辅以补偿之控（域七至八），乃至唯以更替为道（域十部分设备），终归于纯纳风险（旧式物联网设备，非于合理时日可更替者）。

域间相倚之理

巨企之PQC计划，凡十二万务，成倚之势，序定其成于五年抑或十二年.

纵倚之态

域一（中枢基础）乃诸域所依之基。二、三、四域之应用，未待域一之CA层级（域一）支持PQC证书，不可用之。然“基础必先”之说，非尽然也。非域一之能，皆需成而后他域之事可始。CA层级须备，应用始求PQC证书，然VPN网关迁移可与应用TLS之事并行。HSM升级须成，而后应用可直接操钥者可迁，然应用通过抽象层以API管钥者，API支持PQC即可行，不论其下硬件更易是否已毕。

于细处定其依，乃知其并行几何。常法（毕治域一，乃始域二三）使应用之师闲废者，岁十二至二十四月。细法（察应用群之于域一何能所求，及其所资备至，即始其工）可复时六至十二月。

横依

支付部之应用A，以数字签名之讯，致财库部之应用B。若A先迁用PQC签名，而B未及验之，则整合遂破。此横倚之关系，存乎互易密码资料之诸应用间：签署之API呼、加密之讯列、凭证书认证之服务联接。于大企业中，此等配对密码倚赖，动辄数千。其跨域而存（如域三之LOB应用，倚域五SaaS平台之签名式），故一域迁移次序，必制另一域次序。

外部依存

供应商交付日期（HSM固件、CA PQC支持、云平台PQC发布、SaaS供应商更新）乃硬性节点。若供应商迟滞，则其下游之每项内部任务皆随之推移。项目管理办公室须预先模拟连锁延误，并持守供应商治理文章中所载之替代应急之策。

伪对仗之陷

效法万物之性，其理固当，然无详察其脉络，则实为祸。若效法而忽其上下相因，则事必重为；忽其左右相资，则合必败绩；若超乎组织之能，使并作之事众于中枢工程之所能持，以审察之严与试验之周，则迁徙之质必劣，而生新患之隙矣。

PMO之职，在求最大之安全并行：依依赖之图与组织之能，所能并作之极也。吾所经之程，高峰迁徙之际，制于中央工程之队，其审安全之能，及共享测试之基设之有否。

总务之司，涉十二域

项目办公室之职，不随域模型而变：其管理依存之图，追踪进度，揭示阻碍，确保一致。其范围则剧变矣。

设一PMO，分两层（基构与应用），则需协调之长，主基构事，兼领业务应用之众。若设十二域，则需协调之广，遍及IT、OT、设施、厂务运营、区域IT、云、SaaS及供应商管理之务。非每域皆需专司协调之长。PMO可依类聚域：

一IT协同之群，统摄域一至域三（中央基设、企业应用、业务应用）。一云与SaaS协同之群，统摄域四至域五。一OT与现场协同之群，统摄域七至域十（企业OT、工业OT、远程站点、物联网）。域十一之各主要地域，各设一区域协同之主。域六（影子IT）与域十二（供应商管理之基设），分别通过发现流程与供应商联络职能处理之。

大企业迁转之际：需六至十名PO管理全时员工，按领域群组而设。中型企业：每员覆盖面较广，需四至六名PO管理全时员工。

执行单元

敏捷交付之“迁转小组”模式，于领域二至三（企业及业务部门应用）颇合用，此中团队撰码、试运行、更迭部署。然非诸领域皆宜。

于领域一、二、三：之众。众首由业部引者、应用匠师、质验者及共通安卫之介。众模可行，盖工以软件为枢，众皆循开发之序。

域四（云）之事。云工坊执迁，若以构设为文。Pod之用渐微，惟事于制器、更策、验之。所限者，云供之PQC支持之期也。

域第七第八（企业工业OT）： 执行单元乃专司OT迁移之队，囊括控制工程师、安全专士及供应商现场工程师，兼有密码工程之辅。此队依厂区安全规程而动，非循IT变更管理。舱首为控制工程师或厂区运营经理，非软件匠。执行之时，在维护之隙与预定停机，非冲刺之期。

域九（远地/野外）者：施为地各不同，常需亲临其地。施为之制，乃部署之众，携标准迁移之包，历试各处，方移次地。规模为患：公用事业有三千次站，需或大之野队，或长之期程。

域五与域十二（软件即服务及供应商管理） 内无执事之器，盖无内务可施。所谓“迁徙”，实乃监察厂商之备，以厂商治理框架御契约之谊。执事之单元，乃厂商联络之职，非迁徙之舱也.

至若域十（物联网）：之执行，乃设备更替之事，如采购与物流之程。大宗购入具PQC之能之更替设备，现场部署之众，及多年更替之历。其执行之模，似车船管理，非软件迁徙之比。

跨域之波次规划

波次规划，随十二域而益繁，然其准则一也：依存之备足，HNDL之曝露、之繁复、及之组织能力。其要变者，乃波须计诸域运作于根本迥异之时刻也。

波之零（月之零至十二月）： 处理最高灵敏度外部渠道之缓解。在外部TLS终端部署混合密钥交换。始谋域一之架构规划及供应商采购。于全部十二域（非仅域一至三）发起新发现。确立对域七至八（企业及工业OT）之治理权柄，或需新设汇报关系.

第一波（十二至二十四月）： 域一基设迁转。域四云配置更新，其供者已支持PQC。首度评估域七八之OT（可迁转者何，需补偿控制者何，需长久风险接纳者何）。

第二波（十八月至三十月）： 初试于域二域三之应用。择愿协之部门，应简明之应用，以启其端。自是初验，乃撰组织迁转之策。

第三波（二十四月至四十二月）： 诸域二至三，广迁诸用。域十一，区域IT协调（务使各域迁计合乎企业之纲，而容地方律令）。域六，影IT之弊，自发现得而治之。

第四波（三十六月至六十月）： 复杂旧式应用（三级四级）。企业OT迁移于域七可行处行之。工业OT试点迁移于域八计划维护时隙行之。物联网设备替换计划于域十始行.

第五波（四十八至八十四月）： 大工业之OT（域八），远地部署（域九），续物联网之更迭（域十）。此诸域，时日绵长。第五波或远超IT迁转之期，而节目之治，必虑及此：PMO虽IT迁转既毕，犹司OT/IoT之务。

第六波（六十至九十六月）： 整理而废之。除诸域中唯古典之密码道途。废无用之混合模式。验全境于目标之态。记不可迁之系统（若某物联网、旧有之工控）之残余风险，且置补偿之控。

后波之期延宕（五波历岁，六波或达八载），实因工控与物联之迁，不可强纳于IT之序。若饰非，则所制之程，虽达IT之期，而工控之约，默然弃之矣。

中枢密码工程之众，供五务于诸域之执单元，共所取焉。

PQC库及参考实现 乃经验证之PQC密码库，裹NIST核准算法。执行单元不可自择PQC库。一标准既减测试之劳，复保安全之恒。

架构范式与迁移模版。各域常见情境之记载：Java应用程序如何自经典TLS迁移至混合TLS（域2-3）、如何于AWS ALB配置混合TLS（域4）、如何于OT网络段前部署加密网关（域7-8）。域特制模板可加速执行，减省每系统工程之劳。

測試框架。 共享测试之基，用于互操作性、性能及安全性之测试。测试之框架，须覆域间互操作（域三之LOB应用，经域四之云负载均衡器，与域五之SaaS平台相谈）。

安全评审，并予核准。 审核架构并验证每项迁移皆合乎安全之标准。安全联络之模式（通行于执行单元间）适用于软件中心之域。至于操作技术之域，安全审核需具操作技术之专长。

知识库与经验之教训。 迁徙之经验，持续更新之库也。第三波当避第二波之过。第八域之OT团队，当受第七域企业OT之训。

治理与执行之关联

顶点之文 所陈治理之模，于此执行之模，有四点相接。

导行之会，定其域域与期期。遍及十二域。导引委员会须有来自运营与设施（七至九域）之代表，非独IT与安全之领袖。若导引委员会仅主理一至三域，则所成之计划将迁IT而忽四十之加密资产。

政務處將治理之決轉化為運作之協 跨域群集。当导引委员会批准某特定域之范围变更或风险接纳决策时，项目管理办公室遂将其转化为日程调整、资源重新配置及执行单元之更新指派。

关键绩效指标之级联将执行数据与董事会监督相接。 而 董事会层级之关键绩效指标 当报迁移之进，宜以域聚为纲，非以单集为计。若KRI显"六五迁矣"，而域之一至三已至九成，域之七至十仅十成，则惑矣。董事会须明察其事之成于何域，及其制于何构。

事之升，道自上；则之降，准自下。 执行单元，将领域特有之阻隔，上达于项目办公室。项目办公室，又将跨领域之依存，上达于当责之长。当责之长，又将资源冲突或风险接纳之决断，上达于导引委员会。标准则逆流而行。链条之中，无人可于密码之标准，作无备之变通，无论其领域为何。

实用之始基

于探查之际，遍历十二域。 大多数探查之事，皆聚焦于域一至域三（中心IT）。宜明示拓展其范围，及于云（域四）、SaaS（域五）、隐IT（域六）、企业OT（域七）、工业OT（域八）、远地所（域九）、物联（域十）、区域IT（域十一）及厂商管理之服务（域十二）。各域需有专属探查之法。网络扫描适于域一至域四。厂商问卷适于域五及域十二。物理检视或需于域七至域十。

先绘依存之图，方筑波之策.宜投三至六周，以明垂直之依：何域一之能，各应用群所求；以察横陈之依：何应用互易密钥于域间；兼究外求之依：何商之献，须至而后内工可始。

谋迁之先，当立治权于OT及诸设。 PQC之议政会，或无司设治、工廠運作、場地管事之权。若议政会之约不载此职，则当修之，俟第一波始。不然，则域七至九所受迁图，非所司者出，必为众弃。

为各域设计适切之执行单元。为软件中心域设迁移舱。为工业域设专业OT团队。为偏远站点设部署团队。为SaaS及托管服务设供应商联络。为物联网设设备更替之物流。一执行模式岂能合十二域之需。

依域规划波次时序，非依历法。 IT之域（一至五），可于三至五年内迁转。OT与IoT之域（七至十），或需七至十年，甚或更久。其程规划须容此二时序，然不得以OT时序之长，为迟滞IT时序之由。

进度当以域群为报，非以单数。 董事会KRIs、指导委员会仪表盘及项目状态报告，宜显领域级迁移之进。总数之陈，隐实情焉：或领域顺遂，或结构所限。

PQC迁移之执行之难，非止一域。乃同时理十二（或更多）之域，各域有异权，异能，异速，异制，皆因依存之图相连，一域之迟，遂波及他域。自始即谋此复杂之PMO，必能成事。中途方觉此难之PMO，则耗其时于改计划，而非迁系统也。

此框架量子安全迁移涵括八阶段之全法。量子就绪乃全备就绪之策也。

量子之利与量子之险 - 已处之

吾司 - 量子应用——助官署、巨室、投者，预量子之技，谋其利避其害。吾辈献要言于会，解量子之算、测、通之惑；为邦国、为巨室，谋策略以取先机；化方略为实事。助君消量子之患，行加密之存、加密之捷、PQC之迁，及广设御量子之策。察供者之实，试价值之效，协标准与政令，训人力，助采办，终督其实于众务。致吾若欲助之。

与吾语 联络应用量子