Criptografia Pós-Quântica: O Roadmap do CISO para a Transição Criptográfica

Por que os CISOs precisam se preparar para a criptografia pós-quântica agora?

Para os CISOs, a incerteza sobre o cronograma quântico não é um motivo para esperar. É um motivo para se preparar.

Um computador quântico suficientemente potente poderá, um dia, quebrar grande parte da criptografia de chave pública utilizada para proteger comunicações, autenticar identidades e verificar assinaturas digitais. Por isso, as organizações estão se preparando para adotar a criptografia pós-quântica (PQC), uma nova geração de algoritmos projetados para resistir a ataques quânticos.

Passei mais de trinta anos na segurança corporativa e vivenciei alguns momentos de prazos críticos. O Bug do Milênio (Y2K) tinha uma data fixa e, ainda assim, exigiu anos de trabalho de inventário. Em 2007, quando a Estônia sofreu ataques cibernéticos contínuos, o que mais me marcou foi o quanto dependíamos de sistemas que ninguém havia mapeado por completo. O cenário quântico combina esses dois desafios: a dependência é mais profunda do que a do Y2K e não há uma data marcada no calendário.

A pergunta que realmente importa para um CISO é: quanto tempo a sua organização levará para encontrar, substituir, testar e validar a criptografia da qual o seu negócio depende? Para a maioria das empresas, a resposta é anos.

Três motivos pelos quais a migração para PQC não pode esperar

1. Dados sensíveis precisam permanecer confidenciais por décadas. Prontuários médicos, dados governamentais e de defesa, propriedade intelectual, arquivos financeiros e jurídicos, além de dados de identidade, costumam ter requisitos de confidencialidade de 10, 25 ou até 50 anos. Se essa proteção depender de criptografia de chave pública que um computador quântico futuro possa quebrar, ela terá uma data de validade que você não controla.

2. A criptografia está em toda parte, e a migração é lenta. Ela está incorporada em aplicações, bibliotecas, sistemas operacionais, appliances de rede, HSMs, smart cards, dispositivos de IoT e OT, certificados, protocolos como TLS, SSH e IPsec, produtos de fornecedores e backups arquivados. Grande parte dela é invisível, está hard-coded ou pertence a terceiros. A descontinuação do SHA-1 e do TLS 1.0 levou quase uma década cada no setor; a PQC afeta uma área muito maior.

A infraestrutura de acesso privilegiado também faz parte desse desafio. Chaves SSH, conexões privilegiadas e os sistemas usados para controlar o acesso precisam ser incluídos nessa conta. As organizações devem incluir sua infraestrutura de gerenciamento de acesso privilegiado (PAM) no inventário criptográfico desde o início.

3. "Harvest now, decrypt later" (coletar agora, descriptografar depois) é um risco real e atual. Um invasor que esteja gravando o tráfego criptografado hoje poderá descriptografá-lo no futuro se a troca de chaves depender de criptografia de chave pública vulnerável a um computador quântico suficientemente potente. O risco varia conforme o protocolo e a troca de chaves utilizados, mas a exposição da confidencialidade começa hoje.

Nestor Cagnoli, Gerente de Segura™nça e Inovação na Segura™™, destaca por que isso é fundamental para organizações que protegem informações confidenciais de longo prazo:

"Embora as comunicações interceptadas possam não ter um valor estratégico imediato, informações de inteligência de alto valor político, financeiro ou corporativo mantêm sua sensibilidade por muito tempo. Dados criptografados coletados hoje podem ser descriptografados retroativamente assim que as capacidades quânticas amadurecerem."

Como a computação quântica ameaça as assinaturas digitais e a confiança

Um segundo risco importante é o comprometimento futuro da confiança digital. As assinaturas digitais sustentam certificados, integridade de software, autenticação e comunicações confiáveis.

Um computador quântico suficientemente potente pode quebrar a segurança matemática de algoritmos de assinatura clássicos amplamente utilizados, como RSA, ECDSA e EdDSA. Dependendo do esquema e do ataque, isso pode permitir que cibercriminosos recuperem chaves de assinatura, falsifiquem assinaturas válidas ou se passem por entidades confiáveis.

Diferente dos ataques de harvest now, decrypt later, que geram exposição de confidencialidade a partir de comunicações interceptadas hoje, a falsificação de assinaturas viabilizada por computação quântica se torna viável na prática apenas quando essas capacidades quânticas de fato existirem.

No entanto, autoridades certificadoras (CAs) de longa duração, infraestruturas de code-signing, âncoras de confiança em firmware e sistemas de identidade podem levar anos para serem substituídos. Por isso, as organizações precisam se preparar tanto para os riscos de confidencialidade quanto de autenticidade, entendendo que eles possuem níveis de urgência e prioridades de migração distintos.

Para empresas que gerenciam grandes volumes de certificados, a descoberta e a gestão do ciclo de vida desses ativos ajudam a criar a visibilidade e a automação necessárias para apoiar essa transição.

Portanto, a pergunta que o conselho de administração deve fazer não é: "Quando os computadores quânticos vão quebrar a criptografia de chave pública?"

A pergunta real é: "Quanto tempo levaremos para descobrir, priorizar, testar, contratar, implantar e validar substitutos criptográficos? E conseguiremos concluir essa migração antes que o avanço quântico coloque nossas proteções atuais em risco?"

O que é criptografia pós-quântica (PQC)?

A criptografia pós-quântica (PQC, do inglês post-quantum cryptography) é uma família de algoritmos resistentes à computação quântica. Eles rodam nos computadores clássicos de hoje, mas são projetados para resistir a ataques tanto de computadores tradicionais quanto quânticos. Trata-se de software e padrões, não de hardware quântico: você não precisa de um computador quântico para implementar a criptografia pós-quântica.

A ameaça é bem específica. O algoritmo de Shor, executado em um computador quântico tolerante a falhas e com capacidade suficiente, resolveria com facilidade os problemas de fatoração e logaritmo discreto que sustentam RSA, Diffie-Hellman e criptografia de curva elíptica (ECDH, ECDSA, EdDSA). Esses algoritmos são a base do estabelecimento de chaves e das assinaturas digitais em praticamente tudo: TLS, SSH, VPNs, PKI, assinatura de código e documentos, autenticação via smart card e credenciais de chave pública no padrão FIDO.

Dois alertas são importantes aqui. Primeiro, o AES-256 não torna uma aplicação segura contra computação quântica por si só. O estabelecimento de chaves, o encapsulamento de chaves (key wrapping), a autenticação e as assinaturas ao seu redor precisam ser avaliados separadamente. Segundo, a migração para PQC tem como foco principal proteger a confidencialidade e a confiança digital por meio do estabelecimento de chaves e assinaturas digitais resistentes a ataques quânticos. É exatamente aí que a PKI e a gestão de identidades entram em jogo.

O que a criptografia pós-quântica não resolve

Algoritmos resistentes a ataques quânticos substituem estruturas matemáticas vulneráveis, mas não corrigem as falhas mais comuns de segurança. A PQC não impede phishing, roubo de credenciais, comprometimento de endpoints, ameaças internas, acessos mal configurados ou falhas de implementação, como canais laterais (side channels) e bugs de código.

Uma sessão TLS perfeitamente segura contra computação quântica ainda entrega dados a um endpoint comprometido. Portanto, a PQC deve fazer parte do seu programa de segurança, e não substituir o que já existe.

Como priorizar o risco quântico nos seus dados

O risco quântico não se distribui de maneira uniforme pelos seus dados. Ele varia de acordo com o local onde a informação está armazenada quando um cibercriminoso consegue acessá-la, como a proteção funciona e qual seria o prejuízo se ela fosse exposta daqui a alguns anos.

Dados em trânsito: o risco de harvest now, decrypt later

Os dados em trânsito representam um dos riscos mais imediatos de confidencialidade no cenário pós-quântico. Protocolos como TLS, SSH, IPsec e tecnologias de VPN costumam depender da criptografia clássica de chave pública, como o Diffie-Hellman de curva elíptica (ECDH), para estabelecer chaves de sessão compartilhadas.

Um invasor que captura comunicações criptografadas e as informações associadas ao estabelecimento de chaves hoje poderá recuperar essas chaves de sessão no futuro, usando um computador quântico com capacidade suficiente. Essa é a base da ameaça de harvest now, decrypt later (coletar agora para descriptografar depois).

Vale destacar que o forward secrecy clássico não elimina esse risco. Embora a troca de chaves efêmeras proteja as sessões passadas contra o comprometimento futuro de chaves privadas de longo prazo, ela não protege, necessariamente, as comunicações gravadas contra a criptoanálise quântica no futuro.

Isso torna o estabelecimento de chaves híbrido ou resistente à computação quântica, quando implementado da forma adequada, uma prioridade inicial para comunicações expostas que transportam dados sensíveis de longa duração.

Dados em repouso: protegendo chaves de criptografia e informações de longa duração

Os dados em repouso costumam ser protegidos por criptografia simétrica, como o AES, que permanece comparativamente resiliente aos ataques quânticos conhecidos, principalmente ao usar AES-256.

No entanto, a arquitetura criptográfica mais ampla ainda pode depender de algoritmos de chave pública vulneráveis a computadores quânticos. Os exemplos incluem o encapsulamento de chaves (key wrapping) baseado em RSA, arquivos criptografados com chave pública, e-mails criptografados, sistemas de backup e distribuição de chaves criptográficas.

As organizações devem avaliar não apenas como os dados armazenados são criptografados, mas também como as chaves de criptografia são geradas, protegidas, trocadas, recuperadas e mantidas.

Quando apropriado, a migração para uma proteção de chaves resistente à computação quântica pode envolver o novo encapsulamento (rewrapping) das chaves de criptografia de dados existentes ou a nova criptografia das informações armazenadas. A abordagem correta depende da arquitetura subjacente e se o material das chaves já foi exposto.

Fundamentalmente, reencapsular ou criptografar os dados novamente hoje não protege retroativamente cópias que um invasor já tenha capturado junto com o material vulnerável de proteção de chaves.

Como priorizar os dados para a migração para PQC

Algumas informações não podem ser alteradas de forma significativa após uma exposição. Dados biométricos, informações genéticas, prontuários médicos históricos e certos atributos de identidade mantêm sua sensibilidade por toda a vida de uma pessoa, o que torna a confidencialidade de longo prazo particularmente importante. Por outro lado, senhas, chaves de API, tokens, certificados e endereços IP podem ser rotacionados ou reemitidos.

No entanto, a imutabilidade por si só não define o risco quântico. Uma data de nascimento é imutável, mas muitas vezes não é confidencial. Um banco de dados de senhas roubado pode permitir um comprometimento amplo, dependendo de como as senhas estão armazenadas, de quais contas elas desbloqueiam e de quais outras defesas existem. A rotação também tem limites. Ela reduz a utilidade futura de uma credencial capturada, mas não anula informações que já foram expostas ou ações que já foram realizadas usando essa credencial. Uma senha, chave SSH ou segredo de serviço que nunca passa por rotação pode continuar vulnerável por anos, gerando um risco persistente de segurança.

Um modelo mais eficiente pontua cada conjunto de dados ou caso de uso com base em seis fatores:

A migração para PQC não terá a mesma urgência para todas as organizações. Como explica Nestor Cagnoli, Gerente de Segura™nça e Inovação na Segura™™:

"A prioridade depende dos perfis de risco da empresa e da sensibilidade dos ativos. Para organizações cujo valor principal reside em dados proprietários, a migração para PQC deve estar entre as principais iniciativas estratégicas, ao lado da governança de inteligência artificial."

Dados que não podem ser alterados não são, automaticamente, a maior prioridade. O foco deve estar nas informações sensíveis que precisam permanecer confidenciais por anos, que podem ser capturadas por um invasor e que não podem ser protegidas retroativamente depois de expostas. Registros de saúde, genéticos, biométricos e de identidade costumam se encaixar nesse perfil. Já os segredos rotacionáveis, com políticas de rotação realmente aplicadas na prática, geralmente não entram nessa categoria.

A Fase 2 do roadmap abaixo transforma esses fatores em uma matriz de risco.

Padrões de criptografia pós-quântica do NIST que os CISOs devem conhecer

Três padrões de criptografia pós-quântica do NIST já estão finalizados e disponíveis para implementação imediata. O NIST publicou o FIPS 203, 204 e 205 em agosto de 2024, após um processo público de oito anos. O FN-DSA está em desenvolvimento como FIPS 206, enquanto o HQC foi selecionado para padronização futura como um mecanismo adicional de encapsulamento de chaves. 

Os CISOs não precisam dominar a matemática por trás desses métodos, mas precisam saber qual algoritmo executa cada função.

ML-KEM vs. ML-DSA vs. SLH-DSA: Qual é a diferença?

• O ML-KEM é um mecanismo de encapsulamento de chaves (key-encapsulation mechanism) pós-quântico que permite às partes estabelecerem um material de chave secreta compartilhado. Esse material é usado para derivar chaves de criptografia simétrica para proteger as comunicações. O ML-KEM não criptografa diretamente os dados da aplicação. Ele é disponibilizado em três conjuntos de parâmetros: ML-KEM-512, ML-KEM-768 e ML-KEM-1024. O ML-KEM-768 é amplamente utilizado em implementações híbridas de TLS, enquanto determinados perfis de segurança governamentais exigem o ML-KEM-1024. Selecione o conjunto de parâmetros de acordo com os requisitos aplicáveis, a interoperabilidade e o risco.
  
• O ML-DSA protege a autenticidade e a integridade. Ele fornece comprovação de quem assinou determinado item e garante que ele não foi alterado. Foi projetado para assinaturas digitais de uso geral e deve suportar muitos casos de uso comuns.
  
• O SLH-DSA também realiza assinaturas, mas depende exclusivamente de funções hash, o que oferece diversidade em relação aos esquemas baseados em reticulados (lattices). Suas assinaturas são muito maiores e mais lentas para serem geradas. Portanto, a sua adequação para uma autoridade certificadora ou para firmware depende do suporte da PKI e do dispositivo, do desempenho e das políticas adotadas. Ele não faz parte do CNSA 2.0, por exemplo.

A criptografia pós-quântica híbrida combina algoritmos clássicos e resistentes a computadores quânticos durante a migração. Por exemplo, o TLS 1.3 pode utilizar o X25519 em conjunto com o ML-KEM-768 para o estabelecimento de chaves. Essa abordagem já está em implantação, e o IETF padronizou o acordo de chaves híbrido para o TLS 1.3. Isso oferece um caminho prático de transição enquanto as organizações avançam para um suporte mais amplo à PQC.

Por que os padrões de PQC continuam evoluindo?

A PQC avançou da pesquisa para a aplicação prática em cerca de uma década, mas tanto os métodos de defesa quanto as pesquisas sobre ataques continuam em constante evolução. A troca de chaves híbrida pós-quântica já está sendo adotada pelos principais navegadores, plataformas de mensagens, CDNs e no OpenSSH.

Ainda assim, as pesquisas continuam. O NIST selecionou o HQC como um mecanismo alternativo de encapsulamento de chaves em março de 2025, garantindo diversidade matemática caso os esquemas baseados em reticulados percam eficácia. Em julho de 2026, a proposta de assinatura pós-quântica HAWK foi retirada do processo do NIST para assinaturas digitais adicionais, após a identificação de uma vulnerabilidade matemática com o apoio de um modelo de IA da Anthropic. Essa descoberta não afetou a segurança dos padrões já finalizados, como o ML-KEM ou o ML-DSA.

Pesquisadores também divulgaram estimativas mais baixas sobre a capacidade de computação quântica necessária para quebrar chaves RSA-2048 e criptografia de curva elíptica de 256 bits. Essas projeções não indicam datas exatas para a quebra dos algoritmos. Cada estudo parte de premissas próprias sobre arquiteturas de hardware, taxas de erro, técnicas de correção de falhas e tempo de ataque. Atualmente, nenhum computador quântico é capaz de quebrar o RSA-2048 ou uma curva elíptica de 256 bits.

O caminho pela frente está bem traçado: novas normas e diretrizes técnicas continuarão surgindo, as implementações híbridas darão suporte constante à migração e as assinaturas digitais exigirão planejamento detalhado, devido ao aumento no tamanho das chaves e à longa duração das cadeias de confiança.

A criptografia precisará ser gerenciada da mesma forma que a gestão de identidades ou de vulnerabilidades: inventariada, com responsáveis claros e sob manutenção contínua. Esse é o argumento mais forte a favor da criptoagilidade em vez de simples substituições manuais e estáticas.

Orientações governamentais sobre PQC e prazos de migração

Os governos concordam de forma ampla sobre o caminho a seguir: preparar-se agora, priorizar sistemas de alto risco e planejar marcos importantes de migração entre 2030 e 2035. As datas específicas, os requisitos e as organizações impactadas variam conforme cada jurisdição.

Essas políticas mudam em termos de escopo e força legal. Alguns requisitos são obrigatórios para agências governamentais, outros podem ser aplicados a fornecedores por meio de processos de contratação e muitos funcionam como diretrizes para o setor privado. Essas orientações também influenciam o que se espera de indústrias regulamentadas, infraestruturas críticas e prestadores de serviços do setor público.

Onde as orientações governamentais sobre PQC convergem

1. Comece pela descoberta: faça um inventário criptográfico e uma avaliação de risco quântico.
   
2. Priorize pelo risco: foque primeiro em dados sensíveis de longa duração, infraestruturas críticas e raízes de confiança (roots of trust).
   
3. Proteja os dados em trânsito com antecedência: a ameaça de harvest now, decrypt later torna o estabelecimento de chaves exposto uma prioridade alta.
   
4. Desenvolva criptoagilidade: As diretrizes atualizadas de criptoagilidade do NIST explicam como as organizações podem se preparar para substituir algoritmos em seus sistemas. A PQC não será a última transição criptográfica.
   
5. Use as compras e contratações como alavanca e adote algoritmos padronizados: evite soluções proprietárias vendidas como "à prova de computação quântica". 

Onde as diretrizes nacionais de PQC divergem

Os cronogramas de migração, os requisitos de algoritmos e as políticas de implantação híbrida variam de acordo com a jurisdição. A Austrália enfatiza a prontidão para o pós-quântico por volta de 2030, sob controles governamentais aplicáveis, enquanto o Reino Unido, o Canadá e a União Europeia publicaram roteiros de migração que se estendem até 2035.

Agências europeias como o BSI, da Alemanha, e a ANSSI, da França, priorizam abordagens híbridas, enquanto a estrutura CNSA 2.0, da NSA, especifica algoritmos pós-quânticos. O NCSC, do Reino Unido, apoia tanto configurações híbridas quanto configurações puramente pós-quânticas, onde for apropriado.

O CNSA 2.0 e as diretrizes aplicáveis da ASD destacam o ML-KEM-1024 e o ML-DSA-87, enquanto muitas implantações comerciais de TLS híbrido utilizam atualmente o ML-KEM-768.

Como os CISOs devem aplicar as diretrizes governamentais

• Mapeie todas as jurisdições onde você opera e, sempre que viável, adote o requisito mais rigoroso aplicável para a infraestrutura compartilhada.
  
• Separe obrigações de recomendações nos relatórios para o conselho: deixe claro o que é mandatório para a sua empresa, o que vincula os seus clientes e o que é apenas sugerido.
  
• Acompanhe os seus órgãos reguladores, não apenas o governo: entidades supervisoras dos setores financeiro, de saúde, energia e telecomunicações podem definir exigências setoriais adicionais.
  
• Revise os requisitos pelo menos uma vez ao ano: apenas na política federal dos EUA, ocorreram duas mudanças relevantes entre 2025 e 2026.

Por que a criptografia pós-quântica é um desafio de segurança de identidade?

Acredito que a identidade é a área onde muitas organizações vão subestimar a complexidade da migração para PQC.

Não lidamos mais apenas com colaboradores fazendo login em aplicações. Temos cargas de trabalho, contas de serviço, dispositivos, APIs e agentes de IA estabelecendo confiança mútua, com frequência de forma automatizada e em escala massiva.

Muitas dessas relações dependem de certificados, chaves de assinatura e mecanismos de autenticação que, com o tempo, precisarão mudar. Para a segurança de identidades de máquinas (machine identity security), o grande desafio é saber quais identidades dependem de criptografia vulnerável, quem são os seus responsáveis e como atualizar essas relações de confiança sem interromper a operação dos serviços que elas sustentam.

Dois riscos para identidade: confidencialidade e autenticidade

Isso cria dois desafios distintos. O primeiro é a confidencialidade: proteger dados e comunicações ligados a identidade contra invasores que os capturem hoje. O segundo é a autenticidade: as assinaturas de chave pública sustentam certificados, integridade de software, protocolos de autenticação e relações de confiança máquina a máquina (machine-to-machine).

Um cibercriminoso capaz de obter uma chave privada de assinatura por meio de um ataque quântico poderia se passar pelo emissor legítimo e forjar assinaturas aceitas por sistemas que confiam nessa autoridade, dentro do escopo permitido por essa chave.

Onde a criptografia vulnerável ao risco quântico reside nos sistemas de identidade

O local exato dessas dependências varia conforme a tecnologia utilizada, por isso a precisão técnica é essencial:

• PKI e certificados: certificados TLS, de dispositivos e de workloads ajudam a autenticar identidades de máquinas. Uma chave comprometida de uma CA permitiria que um invasor emitisse identidades válidas em todo o escopo de atuação dessa autoridade certificadora.
  
• Identidades não humanas (NHIs): contas de serviço, workloads, APIs, dispositivos e agentes de IA cada vez mais autônomos se autenticam por meio de certificados, chaves SSH e tokens assinados. Muitos rodam de forma contínua, têm donos indefinidos ou estão em tecnologias com ciclos longos de substituição.
  
• Acesso privilegiado: chaves SSH, servidores jump host e infraestruturas de sessões privilegiadas usam criptografia de chave pública para proteger alguns dos acessos mais críticos e poderosos da empresa.
  
• Federação de identidades: asserções e tokens SAML e OIDC são assinados digitalmente, mas as implementações variam em relação aos algoritmos e configurações adotados. É necessário inventariar o que cada provedor de identidade (IdP) e aplicação consumidora realmente utilizam.
  
• Kerberos: a versão padrão do Kerberos adota criptografia simétrica. A dependência de chave pública surge quando o PKINIT é aplicado, como em logins por certificado digital ou smart card.
  
• Senhas: a autenticação tradicional por senha não se torna diretamente vulnerável à computação quântica apenas pela quebra de chaves públicas, embora os canais de comunicação e os repositórios que protegem essas senhas possam depender desse tipo de criptografia.
  
• Autenticadores fortes: smart cards, cartões PIV, FIDO2 e passkeys usam credenciais de chave pública e vão depender de ecossistemas compatíveis com PQC. Determinados hardwares de autenticação física podem exigir substituição ao longo de ciclos de vida extensos.

A descoberta de certificados e a automação do seu ciclo de vida não substituem, sozinhas, os algoritmos vulneráveis. No entanto, fornecem a visibilidade e o controle necessários para gerenciar essas substituições. É por esse motivo que o gerenciamento do ciclo de vida de certificados (CLM) deve integrar o plano geral de migração, em conjunto com autoridades certificadoras, HSMs e clientes compatíveis com PQC.

Para os CISOs, a meta vai além de apenas trocar algoritmos. Trata-se de garantir a confiança sobre quem ou o que está solicitando acesso, o que tem permissão para fazer e se a relação de confiança técnica subjacente permanece válida. Isso exige visibilidade, definição clara de responsáveis, automação, menor privilégio (least privilege) e a capacidade de atualizar os mecanismos de confiança sem paralisar as operações do negócio. Conecte o inventário criptográfico à descoberta de identidades, à gestão do ciclo de vida de certificados, ao gerenciamento de acesso privilegiado (PAM) e à governança de identidades de máquinas.

Checklist de migração de identidade para PQC para CISOs

• PKI: inventarie CAs raiz e emissoras, perfis de certificados e períodos de validade; planeje hierarquias e HSMs compatíveis com PQC.
  
• SSH: inventarie chaves de host e de usuário, gerencie chaves privadas com segurança, aplique a rotação adequada e adote a troca de chaves PQC conforme houver suporte.
  
• Acesso privilegiado: confirme os roadmaps dos fornecedores de PAM, cofres e intermediadores de sessão; elimine credenciais estáticas e senhas hard-coded.
  
• Provedores de identidade e federação: registre os algoritmos de assinatura e o tempo de vida das chaves para SAML, OIDC e serviços de emissão de tokens.
  
• Identidades de máquinas: atribua um responsável para cada conta de serviço, identidade de workload e credencial de API; utilize secrets management para ajudar a proteger e rotacionar credenciais de aplicações.
  
• Agentes de IA: registre agentes como identidades com credenciais de curta duração, escopo limitado e um proprietário responsável.
  
• Autenticadores de hardware: mapeie o parque de smart cards, cartões PIV e FIDO2, além de seus ciclos de substituição, considerando a compatibilidade com PQC.

O que os CISOs devem fazer nos primeiros 90 dias

Antes de iniciar o roadmap completo, veja o que um CISO pode realizar em um único trimestre. Estes marcos são sugestões de planejamento, não prazos regulatórios.

1. Dias 1 a 30: Estabelecer a liderança. Nomeie um patrocinador executivo e um líder para o programa, determine quais requisitos se aplicam ao seu negócio e identifique suas informações confidenciais de longa duração.
   
2. Dias 31 a 60: Descobrir dependências. Inicie a descoberta criptográfica nas aplicações críticas, certificados, serviços de rede, infraestrutura de identidade e principais fornecedores.
   
3. Dias 61 a 90: Validar prioridades. Crie um backlog de migração classificado por risco, selecione projetos-piloto candidatos, solicite os roadmaps dos fornecedores e prepare uma proposta inicial de investimento.

Esses primeiros 90 dias criam a base necessária. O roadmap de cinco fases a seguir detalha como transformar esse trabalho inicial em um programa de migração de longo prazo.

Roadmap em cinco fases para o CISO na migração para PQC

A parte mais difícil da migração para PQC não é necessariamente escolher um algoritmo. O verdadeiro desafio é descobrir quantos sistemas dependem de uma criptografia em que ninguém presta atenção há anos.

Alguns casos serão simples atualizações de software. Outros envolverão fornecedores, hardwares que não aceitam upgrade ou aplicações em que a simples troca de um certificado ou de uma biblioteca criptográfica pode causar uma indisponibilidade.

Por isso, recomendo estruturar a migração para PQC como uma série de atividades contínuas e integradas, em vez de um projeto tradicional com início, meio e fim engessados. Uma boa estratégia de migração pós-quântica precisa considerar essas dependências desde o primeiro dia.

Fase 1: Estabelecer a liderança e a governança

A migração para PQC falha quando é tratada apenas como um chamado de TI. Ela tem sucesso quando conta com uma liderança executiva, uma linha de orçamento dedicada e visibilidade junto ao conselho.

• Nomeie um responsável direto. Geralmente o CISO, apoiado por um líder de programa designado e um comitê gestor multidisciplinar, que inclua arquitetura corporativa, infraestrutura, proprietários de aplicações, equipes de PKI e identidade, compras, jurídico, conformidade e gestão de riscos.
  
• Elabore um resumo de risco quântico para o conselho. Explique a ameaça de harvest now, decrypt later e apresente os prazos regulatórios aplicáveis à sua organização.
  
• Classifique os dados pelo tempo de vida da confidencialidade. Faça uma pergunta direta a cada proprietário de dados: por quantos anos essa informação deve permanecer em segredo? Dados que precisarem de confidencialidade além de 2035 entram no escopo imediatamente.
  
• Defina políticas claras. Inclua requisitos de PQC e de criptoagilidade em seus padrões criptográficos, princípios de arquitetura e no ciclo de vida de desenvolvimento seguro (SDLC). Proíba a implementação de novos algoritmos fixos no código (hard-coded).
  
• Alinhe o programa às estruturas existentes. Mapeie as ações com base na ISO 27001, NIST CSF 2.0, DORA, NIS2 e regulamentações setoriais pertinentes, garantindo que o tema seja auditado como qualquer outro risco corporativo.

Fase 2: Inventariar a criptografia e priorizar riscos

Pergunte a uma organização quantos servidores ela tem, e você provavelmente receberá uma resposta direta. Pergunte de quantos certificados, bibliotecas criptográficas, chaves de assinatura e algoritmos hard-coded ela depende, e a resposta se tornará bem menos precisa.

Essa falta de visibilidade é um dos primeiros problemas que os CISOs precisam resolver. O inventário criptográfico é o ponto de partida para qualquer plano consistente de migração para PQC. Você precisa saber onde a criptografia está em uso, quem é o responsável por ela e o que pode quebrar caso ela seja alterada.

As diretrizes de migração para criptografia pós-quântica do NIST também cobrem o inventário criptográfico e as dependências que as empresas precisam identificar antes de iniciar a migração.

Nestor Cagnoli, Gerente de Segura™nça e Inovação na Segura™™, reforça a importância dessa etapa de descoberta:

"As organizações devem exigir a conformidade pós-quântica nas futuras aquisições de software, além de estabelecer visibilidade completa sobre as rotas de dados em trânsito. Identificar fluxos de dados e dependências de software viabiliza uma migração estruturada, garantindo que as lideranças de segurança mantenham o controle operacional e evitem a exposição dos dados."

Diferencie descoberta de observabilidade. Saber quais algoritmos estão configurados não é o mesmo que saber quais estão sendo negociados, de fato, em produção. Um servidor pode oferecer suporte ao ML-KEM híbrido enquanto a maioria dos clientes ainda recorre à troca clássica de chaves via fallback.

Onde encontrar dependências criptográficas

Construa o inventário a partir de várias fontes, já que nenhuma ferramenta isolada consegue mapear tudo:

1. Observação de rede e protocolos: monitore o tráfego de TLS, SSH, IPsec e VPN, analisando as cipher suites que são realmente negociadas na prática.
   
2. Descoberta de certificados e chaves: faça o levantamento em PKIs públicas e privadas, HSMs, sistemas de gestão de chaves, KMS em nuvem e cofres de segredos (secrets vaults).
   
3. Análise de código e binários: identifique bibliotecas criptográficas, algoritmos hard-coded e chaves embutidas no código, integrando essas informações aos seus SBOMs e CBOMs.
   
4. Descoberta em endpoints e OT/IoT: mapeie dispositivos de ciclo de vida longo que operam com firmware fixo.
   
5. Questionários de fornecedores: avalie soluções SaaS, serviços gerenciados e appliances que não podem ser verificados via varredura direta.
   
6. Revisão de dados em repouso: examine arquivos históricos e backups cujas chaves de proteção utilizam encapsulamento baseado em RSA ou ECC.

Para cada item registrado, documente o sistema, o proprietário responsável, o algoritmo e tamanho da chave, o protocolo, a biblioteca e sua versão, a finalidade da proteção (confidencialidade, assinaturas ou ambas), o ciclo de vida dos dados ou da relação de confiança, o nível de exposição, a dependência de fornecedores e a complexidade de migração. Trate esse inventário como um ativo dinâmico, atualizado de forma contínua.

Matriz de risco quântico: confidencialidade vs. confiança digital

A confidencialidade e a confiança digital falham de maneiras diferentes, por isso devem ser avaliadas separadamente. Uma raiz de assinatura de código (code-signing root) de longa duração pode não proteger nenhum dado secreto, mas uma assinatura forjada pode comprometer todos os dispositivos que confiam nela.

As prioridades e datas abaixo são metas ilustrativas de planejamento. Os cronogramas reais de migração devem refletir os requisitos aplicáveis, a sensibilidade dos dados, o nível de exposição, a maturidade dos fornecedores e a tolerância ao risco de cada organização.

Faixa A: Confidencialidade de longa duração (Colha Agora, Decifre Depois)

Faixa B: Confiança digital de longa duração (Confie Agora, Forje Depois)

O risco para a autenticidade envolve chaves de assinatura e relações de confiança que ainda podem ser utilizadas quando computadores quânticos criptograficamente relevantes estiverem disponíveis.

Em ambas as trilhas, qualquer item que trafegue pela internet pública, links de parceiros ou conexões de rádio e satélite sobe um nível de prioridade.

Fase 3: Avaliar algoritmos, fornecedores e criptoagilidade

Esta fase responde a duas perguntas: quais padrões criptográficos vamos adotar e quais fornecedores vão nos ajudar a chegar lá?

Escolha os algoritmos de PQC

Defina os algoritmos-alvo nas políticas corporativas, e não de forma isolada por projeto. As opções mais comuns incluem o ML-KEM para o estabelecimento de chaves (com o ML-KEM-768 amplamente implementado, e o ML-KEM-1024 nos casos em que o CNSA 2.0, a ASD ou o seu próprio apetite ao risco exigirem), o ML-DSA para assinaturas gerais, e o SLH-DSA para cenários onde a diversidade baseada em hash for necessária e houver suporte do ecossistema. Utilize modos híbridos durante a transição, desde que os seus órgãos reguladores permitam. Use AES-256 para garantir a confidencialidade de longo prazo e escolha os tamanhos de hash de acordo com a propriedade de segurança exigida.

Prontidão dos fornecedores para PQC: perguntas essenciais para parceiros

A maior parte da sua criptografia reside nos produtos e soluções que você contrata. Faça estas perguntas a cada fornecedor crítico:

• Quais algoritmos de PQC do NIST a sua solução suporta atualmente, e em quais versões do produto?
• Qual é o cronograma com datas para a entrega de ML-KEM, ML-DSA e SLH-DSA, incluindo os modos híbridos?
• A mudança será realizada via alteração de configuração, atualização de software ou substituição de hardware?
• O produto utiliza um módulo criptográfico com validação FIPS 140-3 para as funções aplicáveis, ou há previsão dessa validação? Quais algoritmos e configurações estão cobertos?
• Você pode fornecer um CBOM ou SBOM demonstrando as dependências criptográficas?
• Como a solução gerencia a atualização de algoritmos sem comprometer a interoperabilidade?
• O que acontecerá com os dispositivos ou dados que não puderem ser atualizados?

Inclua essas exigências em RFPs, renovações contratuais e avaliações de risco de terceiros desde já. Um contrato assinado em 2026 para um serviço de cinco anos ainda estará em vigor em 2031.

Desenvolva a criptoagilidade

A criptoagilidade é a capacidade de substituir algoritmos, chaves e certificados com rapidez, reduzindo ao mínimo a necessidade de reescrever o código das aplicações.

Na prática, isso significa isolar a criptografia por meio de bibliotecas ou serviços centralizados, gerenciar chaves e certificados com plataformas automatizadas de gestão de ciclo de vida, evitar algoritmos inseridos de forma fixa no código (hard-coded) e permitir que novas atualizações sejam aplicadas apenas por configuração.

Esse é o verdadeiro resultado estratégico de um programa de PQC, já que essa não será a última transição criptográfica que a sua empresa enfrentará.

Fase 4: Execute programas-piloto controlados de PQC

Os testes-piloto transformam suposições em evidências práticas. Um dos maiores desafios na implementação da criptografia pós-quântica é a compatibilidade. Algumas chaves, assinaturas e mensagens de protocolo pós-quânticas são substancialmente maiores do que suas equivalentes clássicas. Isso pode gerar falhas com fragmentação de pacotes, middleboxes, limites de tamanho de certificados, dispositivos com recursos limitados e sobrecarga na capacidade dos HSMs.

Um bom piloto de PQC deve conter:

• Um escopo claro: selecione dois ou três casos de uso representativos como, por exemplo, TLS externo em um serviço web, uma VPN interna e assinatura de código (code signing).
  
• Configurações híbridas: testes aplicados contra clientes reais, balanceadores de carga (load balancers), WAFs, proxies e ferramentas de monitoramento.
  
• Linhas de base de desempenho (baselines): medição comparativa antes e depois para latência, tamanho do handshake, uso de CPU e throughput.
  
• Testes de interoperabilidade: validações diretas com parceiros e fornecedores na outra ponta da conexão.
  
• Planos de rollback validados: procedimentos testados na prática para reverter o piloto em poucos minutos, caso necessário.
  
• Prontidão operacional: rotinas de monitoramento, logs, resposta a incidentes e procedimentos de gestão de chaves devidamente atualizados para os novos algoritmos.
  
• Relatório estruturado de lições aprendidas: documento que alimentará as estimativas de custos e esforço necessárias para a Fase 5.

Fase 5: Financiar, cronometrar e mensurar a migração para PQC

A fase final converte as evidências coletadas em um programa plurianual com orçamento definido. Organize as etapas de migração conforme a matriz de risco, alinhe essas fases aos ciclos de atualização já existentes para otimizar custos e estabeleça critérios claros de conclusão para cada etapa.

Estrutura de orçamento para migração PQC

Não existe um valor confiável por colaborador para calcular os custos da migração para PQC. O investimento real depende do tamanho do seu ambiente criptográfico, do volume gerenciado por fornecedores terceirizados e da quantidade de tecnologias legadas ou sistemas embarcados em execução. Apresente a previsão de orçamento à diretoria dividida nas seguintes categorias:

Posicione isso como um investimento em modernização. Grande parte desse orçamento, como automação de certificados, atualização de HSMs, desativação de sistemas legados e um inventário de ativos mais eficiente, traz retorno com a redução de riscos de indisponibilidade e menos esforço em auditorias muito antes de um computador quântico se tornar uma realidade.

Um cronograma prático de migração para PQC

Para as organizações que estão iniciando seus programas de criptografia pós-quântica em 2026, um objetivo prático de planejamento é priorizar os sistemas de alto risco para migração por volta de 2030 ou 2031. A migração mais ampla pode se estender até 2035, onde as orientações governamentais aplicáveis e as avaliações de risco da organização sustentarem esses prazos.

Essas datas são metas de planejamento, não garantias. Os cronogramas reais dependem de obrigações regulatórias, prontidão dos fornecedores, interoperabilidade, ciclos de substituição de hardware e dependências criptográficas existentes. As fases ocorrem de forma simultânea, e as datas de migração devem ser definidas com base na matriz de risco e nos ciclos normais de atualização tecnológica.

Para sistemas que protegem informações que precisam permanecer confidenciais por décadas, esperar até 2030 para iniciar a implementação pode ser tarde demais. Empresas com muitos ativos de OT, sistemas embarcados ou dispositivos médicos devem iniciar o contato com fornecedores imediatamente. Ciclos de substituição de hardware de 10 a 15 anos significam que o prazo de 2035, na prática, é uma decisão de compras que precisa ser tomada hoje.

Como os CISOs devem medir a prontidão para PQC

Meça a prontidão para PQC pela quantidade de criptografia de alto risco que você consegue visualizar, alterar e que já foi alterada na prática, e não por quantos sistemas dizem "suportar PQC". Vincule cada métrica a uma equipe responsável e apresente a evolução dos indicadores trimestralmente.

Uma escala de maturidade simples ajuda a diretoria a visualizar a evolução: Não consciente (sem inventário, sem responsável), Consciente (com responsável e política definida, inventário parcial), Preparada (inventário de sistemas críticos, pilotos concluídos, roadmaps de fornecedores mapeados), Em migração (sistemas de Prioridade 1 em transição, orçamento aprovado) e Ágil (mudanças aplicadas por configuração e monitoradas de forma contínua).

A contagem regressiva quântica não é uma corrida em direção a uma data única, mas uma corrida contra o seu próprio tempo de migração. As organizações que estarão prontas não são aquelas que acertarem a previsão de chegada do computador quântico. São aquelas que sabem exatamente onde a sua criptografia está, já classificaram por quanto tempo seus dados e relações de confiança devem durar e conseguem atualizar algoritmos sem precisar reconstruir seus sistemas.

Comece pela governança e pelo inventário criptográfico. Use a matriz de risco para proteger primeiro os dados de longa duração e as raízes de confiança (roots of trust). Exija que os fornecedores assumam compromissos com cronogramas e datas bem definidas. Valide as mudanças por meio de testes-piloto e, em seguida, viabilize um programa plurianual que torne a sua empresa verdadeiramente criptoágil. Ao fazer isso, a criptografia pós-quântica se torna o que deve ser: um programa de modernização bem gerenciado, e não uma crise.

Saiba quem tem acesso aos seus sistemas críticos

Enquanto se prepara para os novos padrões criptográficos, não perca de vista a gestão de acessos privilegiados. A Segura™™ ajuda a sua empresa a descobrir identidades privilegiadas, proteger credenciais e controlar acessos em contas humanas e de máquinas.

Perguntas frequentes

O que é criptografia pós-quântica?

A criptografia pós-quântica (PQC) utiliza algoritmos resistentes a ataques quânticos que rodam nos computadores atuais. Esses algoritmos foram desenvolvidos para substituir a criptografia de chave pública vulnerável a ataques quânticos, incluindo RSA e algoritmos de curva elíptica usados para estabelecimento de chaves e assinaturas digitais.

Por que os CISOs devem se preparar para a PQC agora?

A migração leva anos, alguns dados precisam permanecer confidenciais por décadas, o tráfego interceptado pode ser descriptografado no futuro e os governos já estabeleceram marcos de migração a partir de 2026.

Quais algoritmos fazem parte dos padrões de PQC do NIST?

ML-KEM (FIPS 203), ML-DSA (FIPS 204) e SLH-DSA (FIPS 205) são padrões finalizados. O FN-DSA está em desenvolvimento como FIPS 206, enquanto o HQC foi selecionado para padronização futura como um mecanismo adicional de encapsulamento de chaves.

O que é criptoagilidade?

É a capacidade de substituir algoritmos, chaves e certificados rapidamente, minimizando a necessidade de reescrever aplicações.

Quanto custa a migração para PQC?

Não existe um valor fixo. O custo depende do tamanho do seu ambiente criptográfico, da dependência de fornecedores e da presença de tecnologias legadas, OT e sistemas embarcados. Alinhar a migração aos ciclos normais de renovação de hardware e software ajuda a reduzir os custos.