後量子密碼學（PQC）已不再是先觀察之後再說的議題，2026年應成為企業走向行動的一年。監管機關、稽核單位與董事會會追問企業做了哪些準備；若提不出進展，企業可能在治理與客戶信任上失分。
PQC不宜視為單純演算法替換，更接近跨部門、跨系統、跨供應鏈的工程。身分驗證、公開金鑰基礎建設（PKI）、應用系統、API、雲端連線、資料加密、程式碼簽章與合作連結，建立在密碼學之上。企業無須等所有系統與供應鏈就緒，應先建立可執行起點。
第一步是建立初步密碼系統清冊，盤點密碼技術用在哪些系統、由誰負責、保護哪些資料，以及哪些系統具長期機密保護需求。第二步是識別相依性，記錄雲端供應商、SaaS平台、第三方服務與合作夥伴網路，確認哪些環節需要混合式方案，哪些供應商會影響時程。第三步是挑選一到二個可控試辦點，例如內部PKI、傳輸層安全性（TLS）、簽章或程式碼簽章，驗證效能、互通性與流程。
後量子密碼遷移可採雙軌並行。第一軌聚焦資料、身分與關鍵應用，應標準化密碼服務，並將金鑰保管與簽章流程納入受控、可治理的信任架構。若已使用硬體安全模組（HSM）保護高敏感金鑰、PKI、TLS或程式碼簽章，可作為導入量子安全與混合式密碼技術的起點。第二軌聚焦資料傳輸與可控連線，適合由資料中心、跨據點、雲端與合作夥伴連線先行，及早保護敏感流量，降低先蒐集後解密（HNDL）風險。
密碼盤點不能停在清單本身。企業導入PQC，目的在於找出高風險資料、暴露的信任路徑、長期保密需求與需聯繫的供應商，並導向優先順序、架構評估、供應商溝通與受控測試。90天內，企業可建立持續更新的密碼系統視圖，掌握敏感系統、脆弱路徑與關鍵供應商，讓PQC遷移成為持續風險管理機制。
對董事會、稽核單位與管理層而言，關鍵在於證據。企業應把證據收集納入計畫，前90天至少能展示範圍定義、責任人、初步清冊、互通性清單、試辦點與可稽核佐證。越早啟動，越能降低風險，並逐步擴大到更多系統與供應鏈。
＜本文作者：Wayne Hui現為Thales應用與資料安全大中華區及韓國業務副總裁＞