Durante anos, a criptografia pós-quântica (PQC) permaneceu confortavelmente na categoria de “importante, mas não urgente”.
Os líderes de segurança sabiam que isso estava por vir. Os pesquisadores discutiam o assunto. Os órgãos de padronização trabalhavam nisso. A maioria das organizações reconhecia que, mais cedo ou mais tarde, isso exigiria atenção. Mas eu diria que a hora de começar a se preparar é agora.
Neste episódio do STRIVE, conversei com o diretor sênior de marketing de portfólio, Michael Fasulo, para discutir por que o debate em torno da PQC está mudando tão rapidamente — e por que as organizações que esperam por certezas podem acabar ficando sem tempo. Assista ao episódio completo.
Pontos principais
- Os ataques do tipo “Harvest Now, Decrypt Later” (colher agora, descriptografar depois) significam que dados confidenciais já estão em risco, mesmo que as capacidades quânticas ainda não sejam estáveis ou comercialmente viáveis.
- A maioria das organizações não tem uma visão completa de seu inventário criptográfico, o que torna a identificação desses dados o primeiro grande obstáculo.
- A PQC é tanto um desafio tecnológico a ser resolvido quanto uma questão de priorização de riscos.
- As organizações que começarem a se preparar agora terão mais opções para ajustar suas prioridades do que aquelas que forem forçadas a reagir mais tarde.
O problema não é a tecnologia
A maioria das discussões sobre criptografia pós-quântica começa com a tecnologia.
- Com que rapidez a computação quântica está avançando?
- Quando os sistemas quânticos relevantes para a criptografia se tornarão viáveis?
- Quais algoritmos provavelmente sobreviverão a longo prazo?
Essas são questões importantes. Mas não são as que eu priorizaria. Michael escreveu um post no ano passado sobre PQC e discutimos hoje como várias coisas mudaram desde então.
Nos últimos anos, as estimativas têm se movido consistentemente em uma direção: o que antes parecia distante agora parece cada vez mais próximo. Ao mesmo tempo, os padrões estão evoluindo; as expectativas regulatórias estão aumentando e as organizações estão começando a reconhecer o quanto de “dívida criptográfica” acumularam ao longo das décadas.
A data exata do Q-Day pode permanecer incerta. O rumo a ser seguido, porém, não é.
The Risk está aqui e agora
Uma das razões pelas quais essa discussão se tornou mais urgente é a crescente atenção em torno dos ataques do tipo “Harvest Now, Decrypt Later” (Colher agora, descriptografar depois). O conceito é simples: um adversário obtém acesso a informações criptografadas hoje, armazena-as e aguarda recursos futuros para tornar essas informações legíveis.
O importante aqui é que o risco não começa quando a computação quântica chegar. O risco começa quando mesmo os dados criptografados são extraídos e armazenados.
Para organizações que protegem propriedade intelectual, registros de saúde, informações governamentais ou outros dados confidenciais com retenção de longo prazo, essa distinção muda tudo.
As organizações precisam saber se os dados que estão sendo retidos hoje ainda terão importância quando esse futuro chegar.
Para muitas, especialmente os setores altamente regulamentados e as infraestruturas críticas, a resposta é sim.
Prévia: Por que a agilidade na criptografia é importante
Incorpore o clipe aqui: https://www.youtube.com/watch?v=A3YWU5rlmGA
Neste vídeo, Michael explica por que a PQC não é uma solução ou mudança pontual. O verdadeiro objetivo é a agilidade criptográfica – construir a flexibilidade necessária para adaptar os algoritmos criptográficos à medida que os padrões e as ameaças evoluem. Pois, na segurança cibernética, o desafio não é apenas se preparar para o que está por vir. É estar pronto para o que virá depois disso.
A descoberta é o verdadeiro projeto
Um equívoco sobre o PQC é que se trata principalmente de uma atualização da criptografia. Na realidade, a maioria das organizações ainda não chegou ao estágio em que a substituição é a maior preocupação.
Elas ainda estão tentando compreender a amplitude do problema. A criptografia está presente em toda parte.
- Aplicações
- Certificados
- Serviços em nuvem
- APIs
- Assinatura de código
- Plataformas de terceiros
Muitas organizações enfrentam dificuldades na criação do inventário criptográfico ou na definição de seu escopo. Isso torna a descoberta uma das etapas mais importantes — e muitas vezes subestimadas — dessa jornada.
E, para muitas empresas, essa é uma tarefa muito mais complexa do que se imagina.
O desafio da cadeia de suprimentos
Outra razão pela qual a PQC se tornou uma prioridade é que nenhuma organização enfrentará essa transição sozinha. As empresas modernas dependem de fornecedores, provedores de nuvem, parceiros de software e inúmeros terceiros, todos os quais utilizam criptografia.
Isso significa que a Readiness para a era quântica vai além dos sistemas internos. Torna-se uma questão de Readiness do ecossistema.
- Os fornecedores estão se preparando?
- Os fornecedores essenciais estão planejando migrações?
- As plataformas de terceiros estão alinhadas com os padrões emergentes?
Essas questões passarão a fazer cada vez mais parte das conversas sobre riscos, das discussões sobre compras e do planejamento tecnológico de longo prazo. Porque a criptografia não se limita aos limites organizacionais. Nem o risco.
Por que essa discussão é importante
A principal lição dessa discussão é que a criptografia pós-quântica não é mais um desafio tecnológico do futuro.
Está se tornando uma conversa sobre resiliência no presente.
As organizações não precisam entrar em pânico e não precisam reformular todos os sistemas da noite para o dia. Mas precisam começar, para aproveitar ao máximo o tempo que têm para se preparar.
As organizações que conduzirem essa transição com sucesso não serão necessariamente aquelas com a criptografia mais sofisticada. Serão aquelas que começaram a construir um entendimento antes que a certeza chegasse.
E é assim que a resiliência costuma funcionar.
Assista ao episódio completo
Há muito mais que Michael e eu exploramos no episódio e que não abordei acima. Não deixe de assistir agora para obter insights sobre:
- Os maiores desafios que as organizações enfrentam ao iniciar sua jornada em PQC.
- O que os líderes devem priorizar hoje, incluindo algumas práticas recomendadas.
- A compreensão dos algoritmos MLKEM e da agilidade criptográfica.
- Considerações sobre infraestrutura para PQC.
- Como a Commvault está se preparando para esse futuro.
Perguntas frequentes
P: O que é criptografia pós-quântica (PQC)? R:
PQC refere-se a algoritmos criptográficos projetados para ajudar a manter a segurança contra ataques de futuros computadores quânticos.
P: O que é “Harvest Now, Decrypt Later” (Colete agora,
descriptografe depois)? R:
É uma estratégia na qual os invasores coletam dados criptografados hoje com a intenção de descriptografá-los mais tarde, quando recursos de computação mais avançados estiverem disponíveis.
P: Por que as organizações estão se concentrando na PQC agora? R:
Porque a preparação leva anos, e os dados confidenciais coletados hoje ainda podem ser valiosos quando as ameaças quânticas se tornarem uma realidade.
P: Qual é o maior desafio que as organizações enfrentam? R:
A identificação. A maioria das organizações não tem visibilidade completa sobre onde a criptografia é utilizada em seus ambientes.
P: As organizações precisam substituir toda a criptografia imediatamente?
R:
Não. A maioria dos especialistas recomenda começar com o inventário, a descoberta e a priorização antes de planejar migrações mais amplas. P: O que os líderes devem fazer primeiro?
R:
Identificar dados confidenciais de longa duração, compreender as dependências criptográficas e começar a traçar um roteiro para a transição futura. Vidya Shankaran é diretora de tecnologia de campo da Commvault.