是文乃PQC治理深度剖析系列之一。欲悉治理全模（谁主事、理事会如何运作、问责高管需何），当先览系列概览此系列之内容，乃取材于吾将刊行之书。量子待备.
某CISO，吾与之共事者，尝述其PQC（Post-Quantum Cryptography，后量子密码学）之案首次败亡之时。彼曾耗三月，构一商案。彼有法度之境，有HNDL之警喻，其竞逐之位也。彼持光洁之简，步入司库之室。司库问一语：此将费吾几何？
彼不能对。非以其无备也。盖应之资未尝有也。吾所事之诸组织，未尝别计其密钥之构。彼藏于开物之费、构架之费、营运之费、及商贾之约，而无“密钥”一栏可指。司计者复诘曰：今吾辈密钥之费几何？彼亦不能对。
CFO未言否。CFO曰：“待有数目，复来。”彼不能出数目。节目滞六月之久。
Tim Williams，PQC顾问，识此动态之理。 于近岁之工论文中言：密码之基设，患于三重幽晦（费、资、险），是故CISO与CFO皆不能构成本计之基，以应资配之需。其论甚确。此域未有足夽数据于既成迁转，以建可靠之自上而下成本模。未竟探查之先，若有人告以自信之全计数字，实乃臆断耳。
然CISO之辈，岂可久候至成本之模完美乎？律令之期，已定无疑。预算之请，须速呈之。此文将释如何建一成本之模，令CFO首肯，其详明足以取信，其坦诚于未定足以度首季之审.
吾前已述之。如何将PQC视为预算之机者，以量子待机为支点，资成未及之安全改进。是文述其政略：九项利益之篓（监管合规、资产探查、密码学债务清理、加密敏捷、供应链治理、数据治理、人才吸引、利益相关者信心、及人工智能安全协同），使PQC投资之商案独立于Q日之预测。论辩之构架，关系甚重。决CFO视PQC为成本中心抑或投资之关键。会CFO之议前，宜读此文。
是文论也，述其机要：预算之请，宜置何数，如何渐次用之，何项应入，及应答后续之问。
CISO者，于PQC预算之议，其大谬者一，乃单陈一数；次谬者，曰“吾不知，当先探查。”
CFOs不期于一事之始，未尝为者，其期年之计也，必求其精。然则其思虑之序，在于量度之域、所据之实、未可知之变。彼常与不精之估量相周旋：M&A之估值，R&D 之管道，市井之预测。其所不能为者，乃数字之位而空缺，或单点之估计显然谬误也。
得效之法，乃三域之模。每项费类，须呈低估（乐观之设，诸事顺遂）、中估（据可比之程，实事之设）、高估（保守之设，计后文所述之费陷）。随探得实数，域渐窄，示财长以何设致差。
此框架有三善。一显汝知其不定，非隐之也；二予CFO规划之界，非单数之限，彼知其误也；三创自然之机，于各阶段门精估：盖“发现使吾等范围自千万至千八百万，因今知证书之数与申请之繁分布矣。”
本文余下部分列示各项成本类别及大致区间。汝之数目，视组织规模、IT资产之繁复、法规环境及既有基础工作（资产清查、证书管理、供应商治理）之程度而定。
有费不因所探之果而异。今可估之，首拨经费中可列之，立时始之。CISO呈此与探查经费并陈，则CFO知此程已思虑周全，非徒求金以明范围而已。
吾所陈之PQC迁程者，其类如此。十二万任务之分析，自始需专任之领导。治理概览述其结构：有司责之执行、有司之府、有司之会。其费可预知，非因探求之故，实因尔之组织之巨细与治理之模，非尔之密码之产。
一专职PQC项目总监（或同等资历之高阶雇员/合同工）：年入25万至40万美元，适用于大型企业，含福利及管理费用。此职非CISO兼职PQC之位。若项目办公室仅一人，于周五于SOC升级间隙分心处理PQC，则非真项目办公室也。
程序办公厅支持（首年需增派2-4名全时等值人员以助规划、汇报及协调，迁转期间增至3-8名）：首年需400K-1.2M资金。指导委员会及董事会汇报架构（仪表盘、关键绩效指标开发）。，治理文件）：初始成本五十万至一百五十万美元。外部咨询（架构评审，法规合规指导，密码工程咨询）：首年成本二百万至五百万美元。
，董事会需先获量子威胁简报方可批准此令（内容与格式详见于，董事会治理篇）。者，当明PQC迁转于其职事之谓也。PQC算法之性及其运作为要，悉其技之全栈，吾已述之矣。 须备量子之需。
事于板及要员之简报撰述与呈递者，计价二万至五万。专精密码工程之训导于核心之众（外授之课、认证或精研之研习会），计价五万至十五万。泛于安卫之众及开者之觉识之计，计价三万至十万。此工可并诸事而始，不可迟滞。
未布探查之器，当先告诸要供，曰：将行PQC迁易。此非契约之商讨（其时稍后，如供者治理文所述），乃初传之讯：吾辈将始PQC之谋。须明尔等之密术实施与迁易之途。请择一接洽之人。
或有机构设供应商大会或网络研讨会以规模为之。亦有机构向其一级供应商发结构化问卷。无论何种方式，皆需成本：活动筹备或问卷开发（计费1万至3万美元），内部协调以识别并分级供应商名单（计费2万至5万美元），及后续管理（首六个月计费3万至8万美元）。此数虽微，然为供应商时间线之始，至为关键，盖供应商交付周期常为项目中最长之依赖也。
首年之规治、觉知与供商交涉，于首探器未布之前：巨型企业需百万元至二百五十万元，中型企业需二十五万元至七十万元。此费可估，信而有征，盖因依汝之组织结构，非囿于密码之产，故也.
探求者，乃估量后事之需，所出之数据也。其自身之费，可据理而估，盖范围有界：遍察机构之IT与OT资产，辨析公钥密码之每一实例，依算法、密钥之大小、协议、证书之生命周期、所属之业务部门，分类之，而生成一密码物料清单（CBOM）。 足以谋迁徒之策.
大抵诸司于品质控制之议，始觉无周全之IT资产清册。密码探查之器，需有物以勘之。若此基不立，筑之乃首费，亦品控诸案中常被轻估之项也。
吾所知有一组织，购得价值十五万美元之密码破解之器，既部署之，复觉无资产清单以供其扫描。遂耗资二十万美元，方建资产清单，而后密码破解之工乃得始。又有者，耗资五十万美元，行手工业、采访谈之法，以立密码清单（吾尝著文于，论此法之不效）)然发现其果不完整，不可用也。
若尔组织有成熟周全之IT资产清册：此项预算为零。若无（而多数无之）：大企业五百万元至二千万元，中企业一百万至五百万元。
商业密码发现与清单平台，于大企业而言，其许可与部署之费，自十万至五十万不等。密码清单之商，吾所察之，其能、其覆、其熟，各不相同。或扫描网络之流以察密码之制；或析应用之码；或与证书管理之台相融。然无有能尽备者。
部署之费，常使人意外。于严苛变更管理之生产环境，部署新网络扫描之器或基于代理之发现平台，需经测试、安全审查、变更批准及分阶段推广。吾所合作之诸组织，有要求全然生产等价之沙箱环境以测试发现之器，方许其生产部署。此沙箱之设与维，已耗资二十万至五十万美元。
器用之预算（十万元至五十万元），部署之劳（十万元至三十万元，为大企业计，含沙盒之备设与测试），及整合之工，以纳其果于中枢之CBOM（五万元至十五万元）。
器工司扫描。人司析类、核验、手探之工于自动化器所不及之系统（如工控环境、嵌入式系统、无网之旧应用、倚厂商而得密码之服务）。
大企业之探查阶段，常需五至十五人（内员与承包商杂糅），历时六至十二月。其队有探查魁首，密码专家可解扫描之果、辨风险之级；应用分析师则将密码之用映于商系统；若组织有作业技术，复有OT专家；并一商贾联络之任。者，司一级供应商评估之事。
大企业：六至十二月之发现阶段，需人力成本十五万至三十万美元。中企业：三十万至一百万。
探求非独在己。需于供方掌管之系统，得有密码之明察，此谓制行备查之问卷，及于一级供方，更行详尽之评估。若既有之约不包密码披露之权，则须改约，其费自当出（此节详述于供方治理之文）。
勘验之际，评估供应商之费，计五十万至二百万元。一级供应商合同之修订，法律费用计一百万至五百万。
大企业勘验阶段之预算（不包括前勘验之治理与认知之费，已述于前），通常落五十万至一百五十万之间。中企业则计五十万至一百五十万。
此数较诸多数CISO所期者高。发现之事几为众所低估，吾未尝见一项目，其初之发现预算实属过厚。
此乃“首当行发现之事”之CFO策略所败。CFO需一方向之总额，纵使不精。汝当予之，并明示假设，以待精炼。
二点为据，以限其估
白宫量子后密码报告 预计政府整体PQC迁移费用将达71亿美元，计2025至2035年，服务人口约3.35亿。此计约21美元人均。若应用于贵组织（以客户数或员工数作规模基准），此为自上而下的合理性检验。某金融机构服务200万客户，金融服务复杂性系数1.5倍，推算费用范围50至6500万美元。此乃粗略基准，非预算，然可为财务总监提供参照框架。
IT之预算比例法，乃为其次之准绳。大凡基础建设之变迁，历史所载，其时IT预算之耗，常占其总额之八至十五。设一组织，其IT预算达一亿美元，行五年之PQC迁移，则每年需耗八百至一千五百万，总计四千万至七千五百万。此二准绳，于复杂程度相仿之组织，往往相差不过倍数，此法可助财务总监得方向之概。
示CFO以表，列三境之设，明其假说。今举巨企之例（员工逾万，应用二百余，IT预算逾兆）：
| 类 | 乐观 | 预期 | 保守 |
|---|---|---|---|
| 元年：治制、觉知、商贾交涉 | $1.0M | $1.5M | $2.5M |
| 岁在甲乙：初探 | $2.0M | $3.5M | $5.0M |
| 岁在乙丙至戊：基设迁转（公钥基、密钥基、络道） | $3.0M | $6.0M | $12.0M |
| 岁在乙丙至己：应用迁转 | $5.0M | $十二兆 | $二十五兆 |
| 二年至六载：测试与验证 | $一兆五 | $四兆 | $十兆 |
| 一年至六载：厂商协调与合同修订 | $五兆 | $一兆五 | $三兆 |
| 二年至七载：混合运营之开销 | $一兆 | $3.0M | $6.0M |
| 岁一至六：事管 | $2.0M | $3.5M | $5.0M |
| 岁一至三：训习 | $0.3M | $0.5M | $1.0M |
| 总计 | $16.3M | $35.5M | $69.5M |
| 占IT预算之比（五年期） | 3.3% | 7.1% | 13.9% |
致此区间之假设： 乐观之境，假设该组织有成熟之资产清册，云原生化之架构，抽象化之密码调用，OT影响有限，且一级供应商协同。保守之境，假设资产可见性差，遗留系统庞大且内嵌密码，OT暴露严重，供应商依赖需变通或替代。预期之境，假设典型大型企业，新旧系统并存。
告财务总监曰：“范围之广，盖因未竟探查之故。探查既毕，当知吾辈处此谱之何位。首年之求（计3.5-7.5百万，涵盖治理、认知、供应商交涉及探查）乃投资以缩此范围者也。探查既成，吾当复归，携精审之估，呈分阶段迁徙之策，以俟董事会之核准。”
有三者，使总会计师不能视此区间为臆测。
其一，此区间系于特定之假设，总会计师可审之。“乐观者，谓吾有成熟之资财簿册。果乎？”总会计师可询于首席信息官。若其答曰“非也”，则乐观之境渐失可信，而总会计师之心锚遂移向预期或保守之端。
次者，IT预算比例之交叉核验，可独立验证。若预期情景代表五年IT预算之七成，而CFO知同等级之基础架构转型（ERP、云、零信任）耗资八至十二成，则此数通过基本合理性之测试。
三者，汝求一年之限，非全计也。岁初之预算，明而可辩。他年之估，乃区间，待关口而精。CFO今批三五百万至七五百万，非三千五百万也。
既得发现之终，则具组织数据以建详估。下文之类，备译发现之出为分阶段迁预算之构。吾于120,000 Tasks analysis中已述此各类之全任务分类法；今但论其费之影响。
公钥基础设施重建：新CA层级支持混合与PQC证书签发，跨领域证书轮换，CRL与OCSP基础设施更新以适应更大PQC签名。HSM升级或替换：支持PQC的固件，通过FIPS 140-3验证的模块（仅验证过程需12-24月，每模块提交费用50K-200K美元），密钥仪式与配置。网络加密：TLS配置更新，VPN网关固件，负载均衡器证书管理。身份与访问管理平台更新。
此多为资本支出项.
此乃成本之最巨、最易变者。应用代码之变以助PQC算法与混合模式，自现代微服务之抽象加密调用计五十万，至旧系统之嵌入式加密逻辑计五十万以上。十二万任务之文将应用分四等复杂。每等应用数乘以每应用成本之范围，即为此类之可据估量。
范围之级递为首要之患：组织将PQC（Post Quantum Cryptography，后量子密码学）界定为“算法迁移”者，中途方觉算法迁移仅占总额之10-20%。其余乃应用程序重构、集成变更、数据格式更新及回归工作之务。
迁移之产业，通盘测试之。性能测试（PQC算法生钥签更巨，迟滞与吞吐受测）。每迁移之系统，皆行回归测试。需时，FIPS 140-3模块验之。混合与PQC独用之配置，行渗透测试。
吾曾与一组织共事，其发觉测试竟耗其迁转之预算四成，初估仅一成五。预算测试之耗，当在应用迁转之费二成五至四成间，非止一成至一成五也。
契约修订，供应商迁转追踪，升级行政管理，及对不协之Tier 1供应商之潜在替代评估。详察之。供应商治理文章以备详述之需。
并行运行经典与后量子密码术，以历数年之过渡期。ML-KEM 之公钥，较之古典者，约大三百七十倍。此影响 TLS 握手之效，证书之储，HSM 密钥之位，及网络之带宽。持二加密之栈，有持续之运营之费（监测、人员、事故之应答），此费鲜见于初估之数。
若尔组织有作业技术或物联网之器，此乃别类之费，其制有异：器寿绵长，固件更新之能有限，安全攸关之变易管理，及于供应商之倚赖，或超乎合理迁移之期。吾于十二万务之文详述作业技术之弊。。为预算计，视OT与IoT为独立迁移之工作流，当有其自成本估算，产于探查之际，非为IT迁移成本之百分比。
六种模式恒常使PQC预算超乎初估。将此意识融入预算陈述，示CFO君，汝思虑已越乎乐观之境。
发现之陷. 诸组织预算购发现之器（百至二百万金），乃知实为举事（二至五百万金）。资产清查之基、沙盒之备、手动探查自动化器所不及之系、及商贾评估之工，皆首器部署后显其目不能及之费.
范围之级. 范围量子密码算法者，中途知迁移算法仅占全成本十之二至二成。其余八至九成，乃应用重构、供应商协调、测试、再认证、组织变革管理及混合运营之开销。吾之企业迁移时序分析示，规划之优劣可易数载之期。
供应商时序失配汝迁转之期与供应商之期鲜有相符。若关键供应商不能依汝之期交付，汝或待之（延展节目），或制变通之法（费更巨且或需更替）。预算供应商之应急款目
混合运营之税 数年并行二套密码栈，其持续运营之费，贯穿全程，初估鲜有之。
重做倍数。 吾所经手之PQC项目，无有不需重修其成阶段。据吾所察，发见后之迁移估计，将耗项目终身之1.5-2倍。呈此于CFO，宜视作经管之预备，非为不测之悬而。
预算结构之困。 君之构制PQC之预算（独立之资本支出、运营支出之吸收、分摊于各业务单元），乃决其项目得资与否。吾于治理概览中述其三模，及其失态。所荐之模：环护之项目预算，含资本支出与运营支出，经董事会核准。
CFOs司职于资本支出与营运支出。若汝之预算请求未能明晰区分二者，则必返修重拟。
资本支出：HSM硬件。PKI基础设施重建。应用代码之变改（资本之发展）。网络加密硬件。密码学探索工具（若购置）。集成与测试之基础设施。
营运支出： 事務所之員配置。外部諮問。基於雲端之發現與監控器。混合運作之開銷。訓練。供應商評估與合約修訂之法律費用。證書生命週期管理.
粗略分之：六十至七十百分為資本支出，三十至四十百分為營運支出，於主動遷移階段；轉變為二十百分為資本支出，八十百分為營運支出，於穩定狀態混合運作時期。
以年现金流量之状，呈预算于项目规划之期（大企业之期，常为五至七年）。财务总监须见岁岁之支出状，非巨额之数。若财务总监求净现值，则用组织之标准折现率。
CFO之问，可预也。为每问备具体之答，习之，并携佐证之数据。
“首年之费几何？” 事前之费（治理、认知、供商参与）加之探查预算。大企业之计：三五百万至七百五十万。此乃汝最可辩护之数，盖每项皆有其特定范围与成果。当先示此数，非总数也。
“其总额几何？” 示以三境之表。释其本末。引至IT预算之比照。须明言曰：“吾示汝区间，盖无组织成全PQC迁转。探查将收此区间。吾返后，当具精估以俟董事会之允。”CFO闻“吾未悉总额”则以为患。闻“吾有结构区间，具明本末，且定迁转之程”则以为能。
“若待二载，将何如？” 此乃尔之利器。 法规之期 已定： FIPS 140-2 废弃。 将于二零二六年九月，CNSA 2.0 采购之门将于二零二七年一月开启，欧盟目标于二零三零年前完成高风险系统迁移。两年之延误非徒移支向前，实增总体之费，盖因同工须于较狭之窗内成之，而其机宜减焉。且延 立即收获，稍后解密 之风险于每一额外之月。
“若竟不为之，其风险何在？” 违规监管 (DORA, CNSA 2.0, 拟议 NIS2 修正案)。潜在信用评级影响 ( 摩迪氏已明确将量子计算与信用评估相系)。网络保险覆盖空隙 (Lloyd's LMA5567 条款下战时除外条款或适用于国家量子攻击)。客户、伙伴及监管者渐要求 PQC 准备声明时，竞争劣势显现。
“吾辈岂不能坐待商家处置耶？” 非也。吾尝论公钥加密之备为何非独商家之责。IBM察得，六十二分之行政者皆坐待商家。此等商家于尔之密码资产无见，亦无优先尔之日程之志。
“何以变故如此之高？” 盖寰宇之中，未有一组织能竟全PQC之迁。每程辄显未计之费。宜呈底估，并陈实然之区，议设门限之资，依阶限之审，较实估之异，且允调余算于每限。若CFO明此预备乃经意而善驭，必纳之。若CFO于中途察得预算基于乐天之想，则必拒矣。
“Q-Day竟不至，吾辈所获何物？” 此乃CISO预算文章中所言之利禄之所在也 各得其所。PQC 迁移促使全面资产探查，改善证书生命周期管理，革除旧式协议，并强化供应商治理。CFO 正资助 PQC 迁移，借此实现一套组织本应多年前便完成的安全改进。纵使密码学相关量子计算机需二十年方至，组织亦能从基础工作即刻获益。
撮合此为CFO所熟识之格式，自他多年资本计划而来
一页之要略监管之驱（何期？何果？）。程序之方（先治而后迁，分阶而审）。首年之求（具体条目）。全程之域（三境设想）。治制之机（孰主？）。负责任之长吏何谓进益之度，其衡之如何？板级关键结果指标).
详尽之预算. 五至七年之现金流量，分列资本支出与营业支出，预备金另列一行（不混入其他类别）。首年须详尽列明具体项目。二至七年应示类别级估算，并明示范围，每阶段评审后范围渐窄.
风险之章节。 迟滞之代价分析。违规之果。六困之费及其制，乃由程式之构以缓之。CISO预算之文所析之利，改作投效，不系Q日之期。
治制之构。 谁为责成之长。舵组如何运作。关卡评审之程若何。进益如何度之并报于董事会。
成本之问，诚然有答：尔今未悉其全，他人亦然。所知者，始事之费（治理、觉知、厂商交涉）耳，显见之费（探查）耳，及同规模同繁杂之组织，相类方案所费（锚定参照）耳。列此三端于结构之范围，明示其假设，请初年之资，且许于既定之关隘，精炼其估。
探求将收束其域。每迁之阶，复收束之。及至二载，汝将得己之实据，以推余费。三载之际，司计官将信汝之估，止诘其术，始询其程。
其PQC迁化之纲，备有次第之术。入门深入详述其全过程。量子准备则涵盖全局。
促其进行。成本之计，贵在力行，非待时也。
吾司 -量子应用——助政府、企业、投资者备量子之利弊。吾等供精简之董事会及投资者简报；破量子计算、感知、通信之迷；制国家与企业之策以取优势；化蓝图为实践。吾等助君减量子之险，行加密库存、加密敏捷实施、后量子加密迁移及广域量子威胁防御。吾等主供应商审慎、价值验证试点、标准与政策协调、员工培训及采购支持，继而督其于组织内实施。致吾若欲助之。
此內容由慣性聚合(RSS閱讀器)自動聚合整理，僅供閱讀參考。 原文來自 — 版權歸原作者所有。