量子安全网络采购标准互操作性和保证金风险

介绍

网络在长期存在的基础设施中承载身份、管理、交易、软件更新和机密数据。能够破解广泛使用的公钥密码学的量子计算机尚未达到所需的规模，而且时机仍然不确定。组织仍然需要采取行动，因为可以捕获敏感流量以供以后解密，并且网络资产包含数千个无法同时更改的客户端、服务器、网关、设备、证书、库和嵌入式设备。

NIST 于 2024 年 8 月发布了针对 ML-KEM 的 FIPS 203、针对 ML-DSA 的 FIPS 204 和针对 SLH-DSA 的 FIPS 205 [1-4]。其过渡指南将 2035 年确定为从 NIST 标准中删除量子脆弱算法的终点，高风险系统将提前行动 ^[5]。英国国家网络安全中心建议在 2028 年之前进行发现和初步规划，在 2031 年之前进行最高优先级的网络部署，并在 2035 年之前完成 ^[6]。欧盟路线图要求成员国在 2026 年底之前开始过渡，并不迟于 2030 年解决高风险用例 [7,8]。

协议工程正变得更加具体。 IETF 出版物定义了混合方案、TLS 1.3 中的混合密钥交换、工程指南以及 SSH 的后量子或传统混合方法的术语 [12-15,33]。 NIST 的网络部署计划将互操作性和基准测试视为专用工作流 [16,24]。这些发展使产品路线图更容易测试。它们还揭示了算法演示与客户可以部署、操作和支持的网络产品之间的差异。

本文是为评估量子安全网络目标的企业买家、私募股权投资者、网络安全平台和投资委员会撰写的。它重点关注支持商业价值的证据：协议一致性、多供应商互操作性、性能、安装基础覆盖范围、客户接受度、贡献边际、依赖性控制和集成准备情况。技术验证、法律分析和安全保证需要合格的专家和特定于交易的证据。

1 将获取论文定义为网络部署决策

获取论文应确定目标实现的网络决策。客户可能需要量子安全远程访问、数据中心传输、站点到站点连接、设备管理、服务到服务加密、证书颁发或代码签名连续性。每个用例都有不同的协议路径、安装基础、性能范围、采购所有者和验收测试。在一种环境中成功的目标可能在另一种环境中失败。

论文应命名受控产品边界。网关可以终止新的加密，而内部系统保持不变。客户端库可以保护应用程序会话，同时暴露设备管理流量。安全访问产品可能依赖于操作系统客户端、浏览器、身份提供商和云存在点。设备可能依赖于目标不拥有的加速器支持和固件。在分配战略价值之前，应勤勉地绘制这些界限。

董事会应批准一项可测试的声明：目标可以在已证实的安装基础上以可衡量的贡献将定义的客户义务转换为可互操作且可接受的网络结果。该声明应确定协议版本、客户群体、产品版本、第三方依赖性和变更路径。广泛声称产品是量子安全的，为承保提供了不够的精确度。

客户的决策也决定了经济模型。软件升级可以保护现有的经常性收入。新的网关可以创造设备收入和维护费用。托管网络服务可以通过持续的交付成本创造持续的收入。迁移评估可能会导致项目无法采用耐用产品。获取价值应遵循客户购买和保留的结果。

2 将标准进展转化为客户级需求

官方标准和迁移日期是需求信号。他们不创建客户订单。商业尽职调查应将每个重要客户与其数据生命周期风险、适用权限、产品财产、采购周期、网络更新时间表和指定项目所有者联系起来。记录应显示客户是否已批准发现、实验室测试、生产试点、车队部署或持续运营。

网络需求通常遵循安装基础事件。客户可以等待支持的操作系统版本、兼容的网络设备、经过验证的加密模块、批准的证书链或供应商维护窗口。目标公司可能拥有强大的技术能力，但收入却会下滑，因为另一家供应商控制着关键的依赖性。因此，买方应将管道日期与外部发布日期和客户变更日历进行协调。

证据层次应该从利息转向现金。参加会议、索取信息和无偿示威表明了人们的认识。资助的实验室测试表明愿意评估。签署的部署订单确定了范围和商业承诺。生产验收、发票、收款、续订建立更有力的证据。目标应提供保留此序列的队列数据。

长期数据和关键通信可以加速需求。受监管和国家安全客户还可以施加更深入的资格、采购和保证。尽职调查模型应该抓住早期的需求和较慢的收入途径。管理层应通过合同、采购订单、验收记录、发票、收款和授权客户参考来支持每项材料需求索赔。

3 构建网络密码和协议清单

可部署的计划从需要保护的流程开始。库存应涵盖外部和内部 TLS、SSH 管理、VPN 和 IPsec 隧道、证书和身份服务、软件签名、设备注册、路由控制通道、API、服务网格、负载均衡器、代理、无线基础设施和供应商管理的链接。它应该识别每个材料路径的客户端、服务器、中间件、设备、库、固件和加密模块版本。

仅资产数量是不够的。买方需要一个链接业务服务、数据敏感性、端点所有权、协议协商、证书链、网络路径、延迟要求、设备生命周期、供应商和补救所有者的流程图。该记录应标识目标是否控制两个端点、仅控制一个网关或两者都不控制。它还应该确定加密流量在何处被检查、加速、记录或终止。

CISA 和 NIST 将自动化发现描述为有用的，同时认识到覆盖范围的限制 [10,11,16,24]。勤奋应该测试具有已知基本事实的代表性环境。目标应该找到易受攻击的算法和协议配置，将它们与资产和流程进行协调，并生成可操作的变更寄存器。假阴性可能会导致曝光。误报可能会造成成本高昂且不必要的项目。

维护的输出是版本化的决策寄存器。它说明了当前的协议和算法、目标模式、所需的产品版本、依赖性、测试证据、性能阈值、回滚路线、所有者和更改窗口。能够保持该寄存器最新的目标比产生静态扫描的目标具有更强的商业地位。

4 证明跨客户堆栈的互操作性

互操作性是核心采集测试。实验室端点对可以完成混合握手，而生产路径由于代理拒绝消息大小、设备缺乏所需的扩展、证书链超出限制、数据包碎片改变行为或客户端静默协商较弱模式而失败。勤奋应该重现客户经营的路径。

测试矩阵应指定协议、RFC 或草案版本、算法组合、客户端、服务器、库、操作系统、设备、云服务、证书颁发机构、硬件加速器和配置。它应该测试协商成功、降级行为、身份验证、会话恢复、故障模式、可观察性和回滚。买方应将供应商自己的实现与演示中包含的第三方组件区分开来。

混合模式需要特别的精度。 IETF 术语区分了组合的传统机制和后量子机制，协议出版物定义了特定的组合[12-15,33]。目标应确定确切的结构、编码、标识符和支持的版本。专有组合可以解决客户问题，但也可能产生锁定、返工或标准风险。

强有力的证据包括可重复的自动化测试、独立实施、客户代表网络、缺陷历史、回归覆盖率和生产验收。基于营销声明的兼容性表的价值有限。收购方应该只重视目标能够跨版本维护并在合同服务级别内提供支持的广度。

5 衡量绩效和运营契合度

后量子和混合机制可以改变密钥、密文和签名大小以及计算、内存和带宽要求。商业效果取决于协议、实现、硬件、会话模式和网络路径。中值实验室基准无法在受限设备、高延迟链路、数据包丢失、大型证书链或高连接率方面建立客户体验。

应勤勉地测试代表性负载下的握手延迟、吞吐量、CPU、内存、连接速率、数据包大小、碎片、重传、功率和故障转移。它应该将初始握手成本与稳态流量和会话恢复分开。结果应确定测试硬件、软件、编译器、配置、协议版本和统计分布。容量规划应将这些结果转化为设备、云实例和支持义务。

运营配合包括监控和事件响应。客户需要了解协商的算法和模式、发生回退的位置、哪些证书或密钥即将过期以及更新是否改变了性能。日志必须提供证据而不暴露秘密。支持团队需要针对互操作性故障、紧急回滚和客户沟通的操作手册。

收购模式应该对硬件更新、云成本、工程支持和客户中断进行定价。维持标价同时使基础设施消耗加倍的产品可能会压缩毛利率。每次转换都需要高级工程师的产品可以在软件倍数内创造服务经济效益。买方应在满足承诺的网络结果所需的资源之后计算贡献。

6 衡量指定资源的实施能力

需求早在变成收入之前就可能超过供给。应根据指定员工、承包商、合作伙伴资源、产品自动化和客户依赖性来构建能力。角色可以包括密码学家、安全架构师、网络和应用工程师、网络平台专家、硬件工程师、PKI 专家、测试工程师、项目领导和保障人员。

尽职调查团队应根据技能、利用率、计费、培训、销售支持、研究、休假和管理来计算可用时间。它应该将每个已签署的项目映射到所需的技能和日历窗口。单个高级架构师可能会成为许多团队的审批瓶颈。合作伙伴网络可能会提供规模，但会降低利润和交付控制。客户工程师可能需要进行代码访问、测试和生产更改。

管理层的能力模型应与工资单、承包商协议、合作伙伴合同、项目计划和时间表相一致。团队应测试在所需地点进行新招聘是否现实，以及安全许可、客户批准或出口限制是否会限制部署。被描述为后量子专家的工作人员应该有与其声称的角色相关的证据证明的工作。

自动化可以提高吞吐量。库存连接器、优先级规则、代码转换、测试工具和报告工作流程可以减少手动工作。买方应衡量其对时间、准确性和接受度的影响。证明节省时间很重要。营销描述并不能确定容量。

7 分析产品和部署的经济性

毛利率应包括兑现网络承诺所需的所有资源。直接成本可能包括设备硬件、加密加速器、云存在点、带宽、第三方许可证、合作伙伴费用、资格实验室、客户工程、技术支持、保修、退货、漏洞响应和未计费的售前测试。销售成本之外的分类并不能消除经济依赖。

中心假设案例假设收入为 USD 64.00 million。网络软件订阅贡献了 USD 31.00 million 的收入和 USD 20.00 million 的贡献。家电和边缘产品贡献了USD 17.00 million和USD 4.00 million。维护和支持贡献USD 10.00 million和USD 3.00 million。迁移和保证服务贡献 USD 6.00 million，直接努力后没有贡献。总直接成本为 USD 37.00 million，在中央管理费用之前留下 USD 27.00 million。这些值是管理假设。

集成较多的案例假设收入为 USD 30.00 million，贡献为 USD 5.00 million，因为定制兼容性工作、硬件变体和高级支持会消耗利润。扩展的网络平台案例假设 USD 138.00 million 的收入和 USD 72.00 million 在可重复协议支持、自动化测试、渠道支持和更大的安装基础转换后的贡献。这两种情况都不是预测。

买方应按产品版本、客户群体和部署阶段检查利润。当未解决的缺陷和支持集中进行时，发布可能会显得有利可图。设备收入可以创造营运资金和保修风险。当服务受到严格限制时，可以加速产品的采用。每个队列应协调订单、交付、验收、发票、收款、直接成本和续订。

8 勤勉的知识产权和依赖性控制

目标的价值可能存在于源代码、检测逻辑、协议实现、测试套件、知识库、网络部署方法、客户配置和专业知识中。买方应确定所有权、发明人转让、承包商条款、专利状态、商业秘密控制和第三方义务。每个组件都应与其支持的收入或交付步骤相关联。

开源软件可以加速开发并提高互操作性。它还可以创建通知、归属、来源披露、专利或再分发义务。买方应获取软件物料清单、许可证扫描、修复日志和发布流程。对加密库的依赖需要版本、维护、验证和漏洞审查。

标准依赖性值得明确处理。 NIST 可以发布修订后的指南或附加算法。 IETF 协议不断发展。硬件安全模块、浏览器、云和网络服务以及网络产品决定了哪些组合可以在生产中运行。目标应该展示一种架构，该架构可以采用已批准的更改，而无需重写每个客户环境。这种能力通常被描述为加密敏捷性[16,17]。

客户特定的工作可能会限制重用。合同可以分配可交付成果、禁止使用数据或限制方法的发布。对安全敏感的客户可能需要隔离环境并限制远程支持。收购模式应将可重复使用的平台资产与客户拥有或受限的材料分开。

9 测试每个量子安全声明的边界

量子安全、抗量子和合规等术语可以指不同的证据。图书馆可以实施 ML-KEM。协议栈可以支持定义的混合交换。密码模块可以具有算法或模块验证。网关可能会终​​止受保护的会话，而管理、日志记录、更新或证书工作流程仍然容易受到攻击。目标应说明每项主张的界限。

声明矩阵应标识产品和版本、算法、参数集、协议、RFC 或草案、操作模式、加密模块、验证记录、测试环境和已知限制。 NIST 的加密算法验证程序和加密模块验证程序提供了定义的验证形式[18,19]。买方应核实官方记录中的状态，并避免将待提交的提交视为批准。

营销、合同和产品文件应与工程证据一致。当流量在中介处解密或身份使用易受攻击的签名链时，面向客户的产品提供端到端量子安全的声明可能会产生误导。尽职调查应检查保证、陈述、安全调查问卷、投标答复和销售培训。

不受支持的索赔可能会造成补救、退款、保修、监管和声誉风险。收购协议应确定重大索赔并分配交割前已知缺陷的责任。随着标准和实施的变化，交割后治理应要求对未来索赔进行技术批准。

10 考察客户集中度和采购质量

早期的量子安全网络供应商可能依赖于少数政府、国防、金融服务或技术客户。专注可以提供强有力的参考和严格的验证。它还可能产生更新、预算、安全许可和控制权变更风险。收入分析应显示客户、法人实体、合同、计划、产品、地理位置、总贡献、应收账款和依赖性。

政府奖项需要仔细阅读。框架性的地方并不能保证工作。无限期交付工具可能包含上限而不是承诺收入。研究资助不是客户收入。原型合同可能会在生产之前终止。尽职调查团队应确定资助的任务订单、拨款、选择权、接受和终止权利。

商业客户可能依赖董事会批准的网络计划、供应商路线图和更广泛的基础设施更新。当云提供商、设备制造商或核心软件供应商尚未发布兼容产品时，网络部署项目可能会被延迟。目标的合同应该分配这些依赖关系和变更风险。

控制权变更可能需要客户同意、安全审查、供应商入职或外国投资分析。买方应确定收购后可能失去或受到限制的客户和项目，并将该风险纳入交易条件和评估中。

11 评估联盟供应商和生态系统地位

后量子网络部署跨越了许多产品边界。目标可能依赖云平台、硬件安全模块、证书颁发机构、身份供应商、网络设备、浏览器、操作系统、系统集成商和专业实验室。联盟可以扩大分布和容量。他们还可能使目标暴露于渠道冲突和议价能力较弱的情况。

尽职调查团队应将每种关系分类为推荐、经销商、实施合作伙伴、技术集成、分包商或战略依赖。它应该检查执行的协议、排他性、领土、认证、收入分成、主导所有权、服务责任、支持、数据访问、知识产权和终止。

合作伙伴来源的渠道应与注册的机会和合同保持一致。谅解备忘录不应被视为分配。应验证认证徽章。联合演示应与客户部署分开。目标应确定其解决方案需要哪些合作伙伴产品以及哪些可以替代。

可重复的集成、公认的参考架构、训练有素的合作伙伴、共同赢得客户和明确的支持边界证明了最强大的生态系统地位。买方应测试此次收购是否会加强其地位或导致合作伙伴将目标公司视为竞争对手。

12 量化职业责任和安全风险

库存和网络部署工作可能会影响机密性、可用性、身份验证和软件信任。错过依赖可能会留下风险。切换失败可能会中断关键服务。实施缺陷可能会产生新的漏洞。建议可能会影响监管系统或国家安全系统。这些风险需要进行具体的责任审查。

数据室应包括客户保证、赔偿、责任上限、服务信用、专业服务义务、安全时间表、事件条款、保险、索赔和险情。买方应确定超出保险或目标公司控制范围的承诺。当标准、产品和威胁模型不断发展时，系统量子安全的广泛保证可能很难得到支持。

目标自身的安全应满足其工作的敏感性。尽职调查应检查安全开发、访问控制、代码签名、秘密管理、存储库、特权管理、端点保护、供应商访问、漏洞管理、事件响应和恢复。客户网络加密和协议清单可以揭示高价值的架构，值得强有力的保护。

风险分配应遵循服务边界。目标可以保证定义的方法、人员和商定的可交付成果。客户和产品供应商对其系统、决策和提供的信息保留责任。买方应对未解决的风险定价，并在有证据支持的情况下要求补救或特定赔偿。

13 保护人才知识和技术权威

稀缺的专业知识可以成为主要资产。买方应确定谁可以设计架构、批准索赔、解决故障、维护工具、满足客户和培训其他人。组织结构图和职位名称提供的证据有限。项目记录、代码历史、设计决策、客户信赖和同行评审揭示了实际权威。

关键人员分析应将每个关键能力映射到至少两个人、文档和继任路线。当一个人拥有客户关系、技术指导和最终批准时，创始人的依赖性就很重要。承包商可以创造连续性和知识产权风险。安全许可和国籍限制可能会限制项目或国家之间的转移。

保留应涉及角色、决策权、薪酬、研究时间、客户连续性和集成设计。大买家可能会因为审批缓慢或纯粹以销售为主导的运营模式而失去专业人员。交割后计划应保留技术审查和安全开发，同时整合财务、法律、销售和支持控制。

知识转移应该是可观察的。配对项目领导、审查文档、重复交付和事件演习提供了比培训计划更有力的证据。盈利应避免接受低质量工作或推迟必要投资的激励。

14 围绕网络证据状态建立估值

估值应遵循目标公司的证据状态。协议能力目标有专家、代码和实验室演示。可互操作的产品目标具有可重复的多供应商测试和合格的版本。生产网络平台已接受部署、支持操作和可观察的贡献。规模化的平台拥有多元化的客户、可重复的渠道交付、经常性的产品经济性和可控的支持。

完全假设的概率加权图将 USD 85 million、USD 280 million、USD 620 million 和 USD 1,100 million 的企业价值分配给这四个州。相关概率为 20%、35%、30% 和 15%。加权值为USD 17 million、USD 98 million、USD 186 million和USD 165 million，总共产生USD 466 million。这些管理假设演示了该方法，但并未对指定公司进行估值。

买方应交叉检查安装基础转换、产品毛利率、支持强度、现金转换、依赖性控制和所需投资。来自定制网络集成的收入不应获得软件倍数。家电收入需要营运资金和保修分析。部件总和模型可以将订阅、硬件、维护和项目组件分开。

不利情况应包括标准采用速度较慢、协议更改、客户更改窗口延迟、性能缺陷、硬件短缺、合作伙伴依赖、验证失败、安全事件和支持成本。当生产证据或经济控制取决于目标公司无法指导的客户和供应商行为时，价值就会下降。

15 围绕网络部署证据的结构考虑

交易结构可以弥合战略市场时机和供应商特定证据之间的不确定性。前期考虑应反映自有资产、保留能力、合同工作和交割时经验证的经济效益。递延考虑可以遵循生产验收、合格的经常性收入、总贡献、关键人员的收集和保留。

盈利应使用卖方可以影响且买方可以验证的措施。预订可以奖励价格低廉或超出容量的合同。收入可以奖励低利润的分包。 EBITDA 可能会受到买家分配的影响。平衡机制可以将公认的网络接受里程碑、经常性软件或托管服务收入、客户保留和商定中央收费之前的贡献结合起来。

保留或托管可以解决特定赔偿、知识产权缺陷、客户同意或验证索赔问题。如果买方改变约定的运营模式，反向条件可能会保护卖方。盈利期间的治理应定义投资、招聘、定价、项目验收和报告。

买方应避免为相同的期望支付两次费用。高战略溢价和完全基于成就的收益可以复制价值。估值桥梁应显示在交割时支付了哪些证据以及哪些未来结果释放了额外的考虑因素。

16 围绕产品和客户连续性规划整合

集成应保护产品发布、客户变更窗口、安全开发、支持响应和工程权威。前一百天应该保护存储库、签名系统、构建管道、实验室、设备库存、漏洞处理、客户访问和合作伙伴关系。财务部门应协调产品收入、递延收入、库存、保修、应收账款和直接支持成本。

买方应将每个实时客户部署映射到产品版本、网络路径、计划变更、负责工程师、合作伙伴依赖性、验收标准和回滚。关键版本需要指定的连续性计划。在进行技术和合同审查之前，商业团队应避免扩大索赔范围或将产品捆绑到新的报价中。

平台集成可能会产生技术风险。移动遥测或客户配置可能需要同意。在发布期间更换身份、票务、开发或监控系统可能会削弱证据和响应。整合设备或云基础设施可以改变延迟、数据位置和支持义务。该顺序应遵循客户和安全约束。

结束后指标应按队列保持可见：合格的端点、经过测试的组合、生产验收、缺陷、支持时间、订阅续订、设备退货、捐款和现金收取。当合并后的业务通过稳定的服务和改进的单位经济效益支持更受接受的网络部署时，集成就会创造价值。

17 使用九十天的尽职调查计划

第一到三十天应该建立证据范围。该团队绘制产品、服务、客户、合同、收入、人员、工具、知识产权、依赖性、验证、负债和安全控制的地图。它选择有代表性的客户文件并定义技术测试。财务部门负责调节收入、积压订单、应收账款和员工成本。

第三十一天到六十天应该测试操作声明。技术评审员运行受控库存和互操作性测试。商业审查员采访授权的客户和合作伙伴参考资料。运营部门将已签署的工作与指定容量进行协调。法律审查员分析合同、知识产权、开源义务、数据和控制权变更条款。安全审查员检查目标自身的控制。

第六十一天到九十天应该将调查结果转化为交易决策。该团队构建核心案例和不利案例，确定补救措施，为保留风险定价，定义条件，起草考虑机制并最终确定整合计划。投资委员会收到一张证据图，将每个重要假设与来源和所有者联系起来。

该程序可以根据交易大小和访问进行压缩或扩展。顺序很重要。技术承诺、商业需求、交付能力和现金经济性应该一起进行测试。一个工作流程中的发现应该更新其他工作流程。

18 建立成交后价值创造大门

第一道门保护现有业务。关键人员保留，客户承诺得到满足，访问受到控制，现金报告得到核对。第二道门通过维护的网络加密和协议清单、标准项目架构、资源规划和贡献报告来提高证据质量。第三道门通过可重复使用的工具、经过培训的合作伙伴和可重复的测试来提高吞吐量。

第四道门建立了循环经济。合适的功能可以转移到软件订阅、管理库存、证书生命周期、持续发现、保证或支持中。产品必须提供持续的客户价值，并且不应仅仅因为项目更新而被描述为重复出现的产品。第五道门通过合格的联盟和邻近客户扩大分销。

资本应该跟着大门走。当董事会了解技术目标和客户路径时，研究和产品投资可以先于收入。招聘应遵循合格的积压工作和现实的入职期限。相邻能力的获取应等到第一个目标的交付和集成控制稳定之后。

价值创造应与收集到的现金保持联系。董事会可以按群体跟踪合同、验收、发票、收款、直接成本、贡献和再投资。这种纪律可以防止标准驱动的市场叙事掩盖执行力薄弱的情况。

结论

量子安全网络收购处于加密标准、协议工程和安装基础经济学的结合点。最终的算法和先进的协议规范创建了一个可信的产品市场。收购价值取决于目标是否可以跨真实客户网络运行、保持兼容性并在受控支持成本内提供可接受的性能。

买家应该从网络路径开始。它应该识别端点、中间件、证书链、产品版本、硬件边界、更改窗口和所有者。目标应展示其支持的精确算法和协议组合、重现多供应商互操作性、测量性能并展示客户如何从实验室认证转向生产验收。

商业证据应该遵循同样的路径。客户群体应协调资格、订单、部署、验收、发票、收集和续订。产品利润应包括设备、云成本、合作伙伴费用、客户工程、保修和支持。声明应保持在经过验证的技术和验证范围内。只有当证据从能力转向可互操作的产品、公认的生产平台和规模化的经常性经济时，估值才会上涨。

交易结构可以将价格与这些结果联系起来。前期考虑应反映拥有的技术、安装的客户、接受的产品和当前的贡献。递延价值可以遵循安装基础转换、经常性收入质量、生产验收、支持利润和关键工程能力的保留。严格的流程使买方能够将有价值的网络平台与有前途的协议实现或集成度高的服务业务区分开来。

附录 A. 网络协议和互操作性尽职调查领域

库存登记册应记录业务服务、应用程序、所有者、环境、数据敏感性、生命周期、算法、密钥大小、证书、协议、库、硬件模块、供应商、检测源、置信度、暴露、目标状态、依赖性、修复所有者、预算、截止日期、测试要求和验收状态。每条记录都应链接到源证据并保留更改历史记录。

买方应检查源代码、二进制文件、运行时流量、证书、密钥、设备、云和网络服务、运营技术和第三方产品的覆盖范围。它应该记录已知的盲点以及关闭它们所需的手动工作。维护的库存比一次性扫描更有价值。

附录 B. 假设的财务模型

中心案例假设网络软件订阅收入为 USD 31.00 million，设备和边缘产品收入为 USD 17.00 million，维护和支持收入为 USD 10.00 million，迁移和保证服务收入为 USD 6.00 million。直接产品、交付和支持成本总计为 USD 37.00 million，贡献总计为 USD 27.00 million（扣除中央管理费用）。

集成较多的情况假设收入为 USD 30.00 million，贡献为 USD 5.00 million。规模化平台案例假设收入为 USD 138.00 million，贡献为 USD 72.00 million。真正的模型应该增加销售能力、研究、产品开发、中央工程、税收、营运资本、资本支出、融资和收购整合。

附录 C. 客户证据文件

每个材料客户文件应包括法人实体、项目所有者、适用义务、预算来源、采购路线、合同、工作说明书、工单、变更控制、验收标准、项目计划、依赖性登记册、交付团队、技术证据、发票、收款、支持承诺、更新路径和授权参考记录。

该文件应区分客户提供的信息、目标分析、接受的可交付成果和管理期望。敏感的库存和架构应保留在受控房间内，并具有基于角色的访问和审计跟踪。

附录 D. 投资委员会问题

委员会应询问客户是否资助了网络部署工作，库存输出是否足够完整以支持决策，生产网络部署是否已被接受，合同工作是否符合指定的交付能力，贡献是否包括所有专业成本，是否拥有知识产权，索赔是否与验证证据相符，以及关键人员是否会留下来。

它应该识别目标控制之外的依赖关系。这些可以包括标准、云和硬件产品、客户工程、安全审批、协议成熟度和采购。交易应根据这些依赖性来分配价格、资金和时间。

附录 E. 交易证据层次结构

证据层次结构从政策和标准开始，它们确立了外部方向。客户战略和预算确立了组织级别的意图。签署的合同根据其条款确定承诺范围。生产验收确定交货。发票和收款建立商业转换。更新、扩展和稳定的贡献建立了可重复性。

每个级别都回答不同的问题。收购溢价应与目标已达到并能够维持的水平挂钩。未来的水平可以通过里程碑、收益和分阶段投资来解决。

官方政策和标准证据；针对特定目标的商业结论需要单独验证。

交易尽职调查的拟议分类。

建议买家对代表性环境进行测试。

管理层假设 USD 百万；不包括中央间接税融资和整合。

管理层假设 USD 百万；这些情况并非预测。

管理层假设 USD 百万；该计算并非估值结论。

拟议的交易框架；法律和税务条款需要合格的建议。

来源

1. 国家标准与技术研究所。后量子密码学项目。 2026 年。 阅读主要来源
2. 国家标准与技术研究所。 FIPS 203 基于模块格的密钥封装机制标准。 2024 年。 阅读主要来源
3. 国家标准与技术研究所。 FIPS 204 基于模块格的数字签名标准。 2024 年。 阅读主要来源
4. 国家标准与技术研究所。 FIPS 205 基于无状态哈希的数字签名标准。 2024 年。 阅读主要来源
5. 国家标准与技术研究所。 NIST IR 8547 向后量子密码学标准的过渡。 2024 年。 阅读主要来源
6. 英国国家网络安全中心。迁移到后量子密码学的时间表。 2025 年 3 月 20 日。 阅读主要来源
7. 欧盟委员会。后量子密码学。 2026 年。 阅读主要来源
8. NIS合作组。向后量子密码学过渡的协调实施路线图。 2025 年。 阅读主要来源
9. 美国管理和预算办公室。 M-23-02 迁移到后量子密码学。 2022 年 11 月 18 日。 阅读主要来源
10. 美国总统执行办公室。关于后量子密码学的报告。 2024 年 7 月。 阅读主要来源
11. 网络安全和基础设施安全局。迁移到自动化后量子密码学发现和库存工具的策略。 2024 年 8 月 15 日。 阅读主要来源
12. 互联网工程任务组。 RFC 9794 后量子传统混合方案的术语。 2025 年。 阅读主要来源
13. 互联网工程任务组。 RFC 9954 TLS 1.3 中的混合密钥交换。 2026 年 7 月。 阅读主要来源
14. 互联网工程任务组。 RFC 9958 工程师的后量子密码学。 2026 年。 阅读主要来源
15. 互联网工程任务组。 RFC 10024 TLS 1.3 的后量子传统混合密钥协商机制。 2026 年 8 月。 阅读主要来源
16. 国家网络安全卓越中心。迁移到后量子密码学。 2026 年。 阅读主要来源
17. 国家标准与技术研究所。实现加密敏捷性的注意事项。 2026 年。 阅读主要来源
18. 国家标准与技术研究所。密码算法验证程序。 2026 年。 阅读主要来源
19. 国家标准与技术研究所。加密模块验证程序。 2026 年。 阅读主要来源
20. 国家安全局。后量子网络安全资源。 2026 年。 阅读主要来源
21. 国家安全局。商业国家安全算法套件 2.0 网络安全咨询。 2022 年。 阅读主要来源
22. 国家安全系统委员会。 CNSS 政策 15 使用公共标准实现安全信息共享。 2025 年 3 月 4 日。 阅读主要来源
23. 网络安全和基础设施安全局。量子准备迁移到后量子密码学。 2023 年 8 月。 阅读主要来源
24. 国家网络安全卓越中心。 NIST SP 1800-38B 迁移到后量子密码学量子准备密码学发现。 2023 年。 阅读主要来源
25. 欧盟委员会。关于向后量子密码学过渡的协调实施路线图的建议。 2024 年 4 月 11 日。 阅读主要来源
26. 欧盟网络安全局。后量子密码学集成研究。 2022 年。 阅读主要来源
27. 欧盟网络安全局。密码学主题。 2026 年。 阅读主要来源
28. 云安全联盟。量子安全安全工作组。 2026 年。 阅读主要来源
29. 支付卡行业安全标准委员会。信息补充加密密钥块。 2019. 阅读主要来源
30. 国际标准化组织。 ISO IEC 27001 信息安全管理系统。 2022 年。 阅读主要来源
31. 英国国家网络安全中心。供应链安全指南。 2026 年。 阅读主要来源
32. 英国国家网络安全中心。安全系统开发原则。 2026 年。 阅读主要来源
33. 互联网工程任务组。 RFC 10042 使用 ML-KEM 进行 SSH 的后量子传统混合密钥交换。 2026 年 8 月。 阅读主要来源