香港金融管理局7月27日推出《香港銀行業量子準備白皮書》、首個量子準備指數及配套措施。指數以10分為滿分，初始得分只有2.3分，顯示銀行業目前仍處於打基礎階段。金管局把2030年全行業準備就緒定為目標，後續會提供實務指引、培訓及業界交流。
量子運算並非銀行翌日便要更換所有系統，但現有部分公開密鑰加密技術日後可能被高性能量子電腦破解。銀行保存的客戶、交易、身份和合約資料壽命較長，因此即使量子威脅尚未成熟，現在亦要盤點密碼資產、供應商和資料保留期，避免在標準轉換時才發現關鍵系統無法快速更新。
量子準備指數涵蓋四個範疇
首個量子準備指數根據2026年初進行的業界調查制定，評估四個範疇，包括認知、規劃、試驗及實際準備。金管局把指數定位為前瞻基準，用於觀察銀行由理解風險、制定路線圖，到進行技術試驗和實際遷移的進度。
初始得分2.3不等於銀行現有系統已不安全，而是反映後量子轉型尚未成為成熟、全行業一致的工作。金管局亦指出，在轉用後量子密碼期間，銀行仍須持續提升一般網絡韌性、科技成熟度和創新能力，不能把所有保安問題都歸入量子風險。
三成二銀行尚未展開轉型
調查顯示，約68%受訪銀行已建立量子發展認知，或正進入規劃及試驗階段；其餘32%尚未展開轉型。約一半受訪銀行沒有正式後量子密碼規劃，反映不同規模銀行在資源、技術團隊和供應商依賴方面存在落差。
約一半受訪銀行曾在董事會層面討論量子運算，約三分之一已探索或試行相關項目。不過，討論和概念驗證不等於核心支付、身份驗證、數碼證書及數據庫已完成遷移。真正工作包括列出正在使用的密碼算法、評估資料敏感期，以及確定哪些系統最先需要具備密碼敏捷性。
後量子密碼轉型先從資產清單開始
後量子密碼是為抵禦傳統和量子電腦攻擊而設計的新一代算法。銀行不可能一次過更換所有系統，較實際做法是先建立密碼資產清單，找出網站、流動銀行、支付接口、內部通訊、硬件保安模組及第三方雲端服務所使用的算法和證書。
另一個風險是「先收集、後解密」：攻擊者可先截取目前無法破解的加密資料，待量子能力成熟後再嘗試解密。銀行因而要按資料需要保密的年期排序。若一項客戶或交易資料在十年後仍具敏感性，其遷移優先級可能高於短期營運資料。
金管局將與科大及業界制定工具包
金管局表示，將與香港科技大學商學院及業界共同制定後量子密碼工具包，協助銀行辨識轉型優先次序並提升密碼敏捷性。所謂密碼敏捷性，是系統可在不大幅重建的情況下替換算法、金鑰及證書，減少日後標準改變帶來的中斷。
當局亦計劃舉辦系列工作坊，建立銀行的技術能力和準備度，並以負責任方式探索量子技術的潛在用途。FiNETech8由金管局、數碼港、香港金融科技協會及科大商學院合辦，活動聚集逾300名金融和科技業界人士。
銀行客戶暫毋須更換密碼或裝置
今次公布屬行業準備框架，個人及企業銀行客戶暫毋須因白皮書更換網上銀行密碼、保安編碼器或手機。客戶仍應使用官方應用程式、啟用多重認證、核對交易提示，並警惕冒充銀行推銷「量子安全升級」的詐騙訊息。
企業資訊科技和合規團隊可開始向往來銀行、雲端供應商及支付服務商了解後量子密碼路線圖，尤其關注跨境支付、電子簽署、長期合約及高敏感資料。現階段不宜自行採用未經標準化的算法，而應保留系統升級能力及採購紀錄。
金管局以2030年把量子準備指數提升至10分為目標，未來數年可觀察工具包發布、銀行試驗覆蓋、供應商標準及監管要求是否逐步明確。白皮書的直接作用，是把量子風險由遠期科技話題轉化為可量度的銀行治理工作。