量子電腦還沒來，文化資料可能已經先被偷走：原住民族資料庫要不要開始「後量子」盤點？

後量子密碼常被講成一場很遠的未來戰爭：等到真正能破解現行公開金鑰密碼的大型量子電腦出現，再把 RSA 或橢圓曲線換掉就好。這個想法最大的問題，是忽略「資料的壽命」和「系統更換的速度」不同。某些資料只需要保密幾分鐘，某些資料卻可能需要保密十年、三十年甚至跨世代。語料、族譜、祭儀影像、傳統領域座標、健康紀錄、祖先遺骨與敏感地景資訊，都可能屬於後一類。

NIST 在 2024 年正式核准 FIPS 203、204、205 三項後量子密碼標準。FIPS 203 的 ML-KEM 用於金鑰封裝，FIPS 204 的 ML-DSA 與 FIPS 205 的 SLH-DSA 用於數位簽章。這不是宣布量子電腦已經能破解所有現行系統，而是標準制定者認為遷移需要多年準備，組織不能等風險成真才開始盤點。NIST 後量子密碼計畫與 NCCoE 遷移專案都把 cryptographic inventory、互通性、效能與風險管理放在核心位置。

對一般企業來說，後量子遷移已經很難；對文化資料庫更麻煩，因為資料的價值不是只用「機密／公開」二分。原住民族文化資料可能有多層權限：有些可公開教育，有些只能社群成員使用，有些只在特定季節或儀式脈絡中可觀看，有些只允許特定家族或知識持有人接觸，還有些即使研究者曾經合法取得，也不代表可以永久複製、轉交或拿去訓練 AI。

因此，後量子安全不能被簡化成「把資料庫加密演算法升級」。第一步其實是盤點。哪些系統使用 RSA、ECC、TLS、VPN、數位簽章、備份加密或憑證？哪些資料的保密期限超過目前系統預期壽命？哪些備份被存放在雲端、研究機構、博物館、學校、外包硬碟或個人電腦？如果連資料在哪裡都不知道，就談不上後量子遷移。

NIST 近年的 crypto agility 工作尤其重要。Crypto agility 指的是組織能在不中斷核心服務的情況下替換或調整密碼演算法。這個概念揭示了真正的風險：許多系統不是「知道算法名字就能換」，而是演算法被寫死在舊軟體、硬體模組、憑證流程、廠商 API 與長期保存格式裡。對數位典藏而言，一套十年前建置的系統可能還在用，同時又連接新雲端服務；如果密碼依賴沒有文件化，遷移時就可能發現整套架構不能直接升級。

但原住民族資料治理還要再往前一步。Global Indigenous Data Alliance 的 CARE Principles 強調 Collective Benefit、Authority to Control、Responsibility 與 Ethics。這四項原則和後量子遷移其實高度相關。技術團隊可以回答「資料怎麼加密」，CARE 要追問的是「誰有權決定加密、誰能解密、誰能授權第三方、資料處理是否對社群有集體利益」。如果資料本身的治理權不清楚，換成再強的密碼也可能只是把錯誤的權力關係保護得更牢。

Local Contexts 的 Traditional Knowledge Labels 則提供另一個實務方向：資料系統不只存內容，也可以存「使用條件」。例如某份影像可公開觀看但不可商用、某組聲音只能在社群授權後研究、某個地名資料必須附帶來源與文化脈絡。這些 metadata 與權限條件若能和存取控制、加密金鑰與審計紀錄結合，文化治理就不再只是寫在同意書裡，而能進入資料基礎設施。

這裡也要避免一個誤解：後量子密碼不是資料主權本身。即使所有檔案都用 ML-KEM 或後量子簽章保護，如果研究機構仍可以未經社群同意複製資料、把資料放進模型訓練、永久保存或轉交商業合作夥伴，資料主權問題依然存在。密碼學能降低未授權讀取與竄改，但不能替代治理規則。相反地，好的資料主權設計也需要安全技術，否則再好的授權原則可能被一個外洩帳號或過期 VPN 破壞。

對原鄉公所、文化館、學校與研究中心而言，最實際的第一步不是購買「量子安全盒子」，而是建立資料分級清單。可以把資料分成公開、受限、敏感、極敏感四層，並為每一層回答：保存多久？誰能存取？是否可下載？是否可跨機構交換？是否可進 AI 系統？撤回權怎麼執行？如果資料外洩，社群與管理單位如何得知？只有先把這些治理問題寫清楚，後續密碼遷移才知道優先順序。

第二步是建立密碼依賴盤點。不要只問資料庫是否「有加密」，而要問傳輸、備份、憑證、電子簽章、API、遠端登入與裝置更新各自使用什麼。尤其是長期保存資料，即使今天沒有公開，也可能被外部攻擊者複製保存，等待未來破解。對需要長期保密的文化資料，這種「現在被取得、未來才解密」的風險值得提早考慮。

第三步是縮小資料暴露面。後量子遷移最容易被忽略的策略其實不是更強加密，而是少收、少傳、少複製。某些敏感祭儀影片是否真的需要上雲？精確墓地座標能否只保留在離線系統？研究合作是否可以提供降低解析度、去識別或經社群同意的衍生資料，而不是原始檔？如果一份資料根本不該離開社群控制範圍，最好的量子安全策略可能就是不要讓它進入高暴露的雲端流程。

第四步是供應商契約。許多公部門與文化機構實際上不控制底層密碼，而是使用雲端、SaaS、外包系統與第三方備份。採購文件如果沒有要求 cryptographic inventory、PQC migration roadmap、資料可攜性、離線備份、刪除證明與撤回機制，未來想遷移時就可能被廠商綁住。後量子安全因此不是純 IT 問題，而是採購與契約治理。

第五步是可撤回。文化資料的授權不是永遠固定。社群可能因政策、知識持有人意見、儀式規範或世代協商而改變分享範圍。系統如果只能「上傳後永久存在」，就不符合文化資料治理需求。加密金鑰管理、權限設計與備份生命週期應該支援撤回、降權與刪除，而不是只追求資料永久保存。

雙向知識在這裡不是把傳統知識拿來「教密碼學」，而是讓兩種治理邏輯互相修正。資安工程師強調最小權限、金鑰輪替、威脅模型與可稽核性；原住民族資料治理強調關係、集體權利、脈絡、責任與倫理。前者能讓文化規則變成真正可執行的技術控制，後者則提醒資安團隊：安全不只是防外部駭客，還包括防止制度內部合法但不正當的使用。

因此，原住民族資料庫是否需要開始後量子盤點，答案不是因為「量子電腦明天就會來」，而是因為長期文化資料不應等到最後一刻才知道自己依賴哪些脆弱技術。真正成熟的做法，是同時建立資料分級、密碼盤點、供應商契約、社群授權與撤回機制，再依風險逐步導入後量子標準。這樣做的價值不只是在未來抵抗量子攻擊，更是在今天就把資料主權從口號變成可被稽核、可被執行、也可被社群真正控制的基礎設施。

後量子盤點也應納入「資料衍生物」。很多文化資料即使原始檔被限制存取，仍可能衍生逐字稿、翻譯、向量索引、縮圖、備份、模型 embedding、搜尋快取與分析報表。這些衍生物往往比原始檔更容易被忽略，卻可能同樣暴露敏感資訊。若只替主資料庫換上新密碼，而搜尋服務、備份桶或 AI 向量資料庫仍使用舊加密或過寬權限，風險依然存在。因此，密碼盤點應以「資料生命週期」為單位，而不是只列伺服器名稱。

此外，文化資料的安全不能只用外部攻擊威脅模型。內部帳號過度授權、研究計畫結束後未撤權、合作單位保留副本、雲端管理員權限、離職人員帳號與測試環境，都可能造成未授權使用。後量子遷移正好是一個重新整理權限與資料最小化的機會：把不再需要的副本刪掉、把長期敏感資料移到更低暴露環境、把授權期限與社群同意寫進存取政策。這樣，即使量子威脅最後比預期晚到，這次盤點仍然能立即改善今天的資料治理。