{"id":14798,"date":"2026-08-05T01:50:37","date_gmt":"2026-08-05T08:50:37","guid":{"rendered":"https:\/\/omnitrust.com\/blog\/marco-de-extensiones-de-pki-mm-y-avance-de-preparacion-para-pqc\/"},"modified":"2026-09-21T01:53:19","modified_gmt":"2026-09-21T08:53:19","slug":"marco-de-extensiones-de-pki-mm-y-avance-de-preparacion-para-pqc","status":"publish","type":"post","link":"https:\/\/omnitrust.com\/es\/blog\/marco-de-extensiones-de-pki-mm-y-avance-de-preparacion-para-pqc\/","title":{"rendered":"Marco de extensiones de PKI MM y avance de preparaci\u00f3n para PQC"},"content":{"rendered":" \n

Resumen:<\/strong> PKI Maturity Model 2.0.0 introduce un marco de extensiones. Por tanto, un perfil de riesgo o contexto sectorial puede a\u00f1adir \u00e9nfasis sin bifurcar el modelo. La primera extensi\u00f3n, Preparaci\u00f3n para PQC, est\u00e1 publicada y claramente marcada como en desarrollo.<\/p> \n\r\n

\u00a0<\/div>\r\n\r\n
\n

Una organizaci\u00f3n puede alcanzar el nivel m\u00e1ximo de madurez en todos los requisitos actuales y aun as\u00ed mantener un riesgo criptogr\u00e1fico significativo. Sin embargo, las bases vulnerables a la computaci\u00f3n cu\u00e1ntica no aparecen en la puntuaci\u00f3n.<\/p> \n<\/div>\r\n\r\n

\u00a0<\/div>\r\n \n

Todo modelo de madurez se enfrenta a la misma presi\u00f3n. Alguien necesita que diga m\u00e1s sobre su sector, su regulador o su riesgo particular. Entonces el modelo crece hasta dejar de encajar con nadie. O bien se bifurca de forma privada y deja de ser comparable.<\/p> \n \n

PKI Maturity Model<\/a> 2.0.0 toma una tercera v\u00eda. Define un marco para capas opcionales. Estas a\u00f1aden \u00e9nfasis o criterios adicionales sin modificar la definici\u00f3n central.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

C\u00f3mo funciona una extensi\u00f3n<\/h2> \n \n

Una extensi\u00f3n sigue la misma jerarqu\u00eda que el propio modelo: m\u00f3dulos, despu\u00e9s categor\u00edas y despu\u00e9s requisitos. Por consiguiente, puede leerla cualquiera que ya conozca el modelo.<\/p> \n \n

Puede hacer tres cosas. Puede a\u00f1adir criterios de madurez espec\u00edficos de la extensi\u00f3n a categor\u00edas existentes. Puede aplicar capas de ponderaci\u00f3n a requisitos o categor\u00edas existentes. Y puede definir su propia puntuaci\u00f3n e informes sin dejar de producir el informe est\u00e1ndar.<\/p> \n \n

Conviene explicar el concepto de puntuaci\u00f3n de forma sencilla. Una extensi\u00f3n introduce una se\u00f1al de madurez adicional denominada Relevancia. Tambi\u00e9n ajusta la importancia mediante Capas. Despu\u00e9s, su madurez de referencia se combina con esa se\u00f1al, ponderada seg\u00fan el \u00e9nfasis de la extensi\u00f3n.<\/p> \n \n

\n \n \n \n \n \n \n \n \n
Principio de dise\u00f1o<\/th> \nQu\u00e9 garantiza<\/th> \n<\/tr> \n<\/thead> \n
No destructivo<\/td> \nLas extensiones nunca modifican la definici\u00f3n del modelo base<\/td> \n<\/tr> \n
Componible<\/td> \nPueden coexistir varias extensiones, cada una puntuada de forma independiente frente a la misma l\u00ednea base<\/td> \n<\/tr> \n
Puntuaci\u00f3n coherente<\/td> \nLa puntuaci\u00f3n funciona de la misma manera en una evaluaci\u00f3n completa basada en requisitos y en una autoevaluaci\u00f3n basada en categor\u00edas<\/td> \n<\/tr> \n
Con la estructura del modelo<\/td> \nLas extensiones utilizan la misma jerarqu\u00eda de m\u00f3dulos, categor\u00edas y requisitos<\/td> \n<\/tr> \n<\/tbody> \n<\/table> \n
Los cuatro principios de dise\u00f1o del marco de extensiones.<\/figcaption> \n<\/figure> \n \n

No destructivo es el principio que hace seguro todo lo dem\u00e1s. Una extensi\u00f3n no puede alterar el n\u00facleo. Por tanto, habilitar una nunca invalida una evaluaci\u00f3n de referencia. Y puede eliminarse de nuevo sin recalcular nada.<\/p> \n \n

Tambi\u00e9n existe un contrato legible por m\u00e1quinas. El marco publica un JSON Schema para las definiciones de extensiones. Por tanto, las herramientas pueden validar una extensi\u00f3n en lugar de confiar ciegamente en ella.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

La extensi\u00f3n Preparaci\u00f3n para PQC<\/h2> \n \n

La primera extensi\u00f3n publicada aborda la transici\u00f3n hacia la seguridad poscu\u00e1ntica. Su argumento es el del recuadro anterior. La amenaza cu\u00e1ntica cambia lo que significa la madurez, porque un programa puede obtener una buena puntuaci\u00f3n mientras se apoya en bases vulnerables.<\/p> \n \n

Se trata de una preocupaci\u00f3n actual, no futura. La estrategia de recopilar ahora y descifrar despu\u00e9s convierte hoy en un riesgo la confidencialidad a largo plazo. Adem\u00e1s, su calendario de migraci\u00f3n no cambia ese hecho.<\/p> \n \n

La extensi\u00f3n a\u00f1ade criterios espec\u00edficos de PQC junto a las categor\u00edas de referencia. Tambi\u00e9n aplica capas de ponderaci\u00f3n a los requisitos m\u00e1s relevantes para la migraci\u00f3n. Su p\u00fablico principal son los operadores de autoridades de certificaci\u00f3n y proveedores de servicios de confianza. Del mismo modo, tambi\u00e9n abarca a arquitectos de PKI empresarial, auditores y consultores.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Qu\u00e9 est\u00e1 terminado y qu\u00e9 no<\/h2> \n \n

La extensi\u00f3n est\u00e1 marcada como en desarrollo, y el grupo de trabajo es espec\u00edfico acerca de d\u00f3nde se encuentra el l\u00edmite. Preferimos repetirlo claramente antes que permitir que una vista previa se interprete como un producto terminado.<\/p> \n \n

\n \n \n \n \n \n \n \n
Alcance<\/th> \nEstado<\/th> \n<\/tr> \n<\/thead> \n
M\u00f3dulo de Gobernanza, categor\u00edas 1 a 4<\/td> \nCompleto: criterios completos de los niveles 1 a 5, orientaci\u00f3n para evaluadores, ejemplos de evidencias y ponderaciones de capas<\/td> \n<\/tr> \n
M\u00f3dulos de Gesti\u00f3n, Operaciones y Recursos<\/td> \nSolo esquema: se han identificado consideraciones cr\u00edticas de PQC, pero todav\u00eda no se han desarrollado los criterios de los niveles 1 a 5<\/td> \n<\/tr> \n
Versi\u00f3n<\/td> \nEn desarrollo; pasar\u00e1 a 1.0.0 cuando todos los m\u00f3dulos est\u00e9n completamente desarrollados y el grupo de trabajo apruebe el contenido<\/td> \n<\/tr> \n<\/tbody> \n<\/table> \n
Estado actual de desarrollo de la extensi\u00f3n Preparaci\u00f3n para PQC.<\/figcaption> \n<\/figure> \n \n

Tambi\u00e9n sigue abierta una cuesti\u00f3n de dise\u00f1o, y es una cuesti\u00f3n real. La ubicaci\u00f3n de las capas tiene dos enfoques candidatos. Uno aplica multiplicadores centrados en la gobernanza a las categor\u00edas de Gobernanza. El otro aplica multiplicadores centrados en capacidades a la agilidad criptogr\u00e1fica y la formaci\u00f3n en PQC. La definici\u00f3n actual sigue el dise\u00f1o centrado en la gobernanza. En concreto, eso es lo que utiliza hoy la herramienta de autoevaluaci\u00f3n. Resolverlo es una decisi\u00f3n del grupo de trabajo.<\/p> \n \n

Tambi\u00e9n se documentan las brechas de cobertura. La cobertura de perfiles es incompleta para organizaciones consumidoras de certificados, proveedores de software y gobernanza criptogr\u00e1fica en la capa de sistemas de IA. Es importante se\u00f1alar que las tres se registran como brechas conocidas para una revisi\u00f3n posterior. Por tanto, quien espere que la extensi\u00f3n responda hoy a esas cuestiones deber\u00eda leer primero las notas de estado.<\/p> \n \n

\n
\n

Una vista previa que identifica sus partes inacabadas es m\u00e1s \u00fatil que una que las oculta.<\/p> \n<\/blockquote> \n<\/figure> \n\r\n

\u00a0<\/div>\r\n \n

D\u00f3nde se encuentran los componentes<\/h2> \n \n

El marco, su documentaci\u00f3n de estructura y puntuaci\u00f3n, y el JSON Schema viven junto al modelo central. Las extensiones publicadas viven en un cat\u00e1logo independiente, por lo que el repositorio central ya no distribuye el contenido de extensiones individuales.<\/p> \n \n

Esa separaci\u00f3n aporta un beneficio pr\u00e1ctico. Una extensi\u00f3n puede evolucionar a su propio ritmo y declarar con qu\u00e9 versiones del modelo es compatible, sin esperar a una nueva versi\u00f3n del n\u00facleo.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Por qu\u00e9 creemos que esta es la forma adecuada<\/h2> \n \n

OmniTrust contribuye al grupo de trabajo de PKI Maturity Model, y las extensiones son la parte de 2.0.0 que nos parece m\u00e1s interesante.<\/p> \n \n

Un \u00fanico modelo no puede servir igual de bien a una autoridad de certificaci\u00f3n, un banco y un fabricante de dispositivos. Pero tres modelos bifurcados no pueden compararse en absoluto. En la pr\u00e1ctica, eso frustra el prop\u00f3sito de medir la madurez. Las capas mantienen una l\u00ednea base comparable y, al mismo tiempo, permiten que cada sector destaque lo que le importa.<\/p> \n \n

El marco es nuevo y la primera extensi\u00f3n est\u00e1 inacabada. Por tanto, este es el momento en que resulta m\u00e1s barato actuar sobre los comentarios. Si eval\u00faa programas de PKI, la cuesti\u00f3n abierta sobre la ubicaci\u00f3n de las capas es un buen punto de partida.<\/p> \n\r\n

\u00a0<\/div>\r\n
\r\n
\u00a0<\/div>\r\n\r\n
\n

Puntos clave<\/h3> \n\r\n\r\n \n