Diagnóstico de criptografia pós-quântica em 5 camadas

Diagnóstico de exposição ao risco quântico: o que é, como funciona e o que fazer com o resultado. Veja como descobrir o que precisa migrar antes que o prazo vire urgência.

O primeiro inventário completo de criptografia pós-quântica de uma empresa quase sempre nasce de uma pressão externa: uma auditoria, um prazo regulatório, uma exigência contratual de um parceiro. Raramente é decisão espontânea de um time de segurança.

É um reflexo de como a criptografia se acumula dentro de uma organização: em cada sistema novo, em cada integração com um fornecedor, em cada certificado renovado automaticamente, sem que ninguém precise pensar nela. Funciona, então ninguém revisita.

A chegada da criptografia pós-quântica muda essa equação. Os algoritmos que protegem a maior parte das transações digitais hoje, RSA, ECDSA, Diffie-Hellman, vão precisar ser substituídos: a computação quântica em desenvolvimento deve ser capaz de quebrá-los, independente de quão bem eles funcionem hoje. O primeiro passo dessa substituição é de conhecimento, antes de ser técnico: saber exatamente onde esses algoritmos estão em uso.

01. Por que o inventário de criptografia pós-quântica é o passo zero

Toda estratégia de migração de criptografia pós-quântica depende de uma pergunta simples de fazer e difícil de responder com precisão: onde a criptografia está em uso, hoje, em toda a operação.

Quando uma empresa tenta responder essa pergunta internamente, sem um processo estruturado, o resultado costuma cobrir bem o que o time de segurança administra diretamente: servidores, aplicações internas, VPNs, certificados emitidos pela própria organização. O que fica de fora, na maior parte das vezes, é o que está fora do controle direto do time: bibliotecas de terceiros com algoritmos fixos embutidos no código, certificados renovados automaticamente por fornecedores de nuvem, protocolos herdados de integrações antigas com parceiros comerciais, firmware de dispositivos de borda que ninguém revisita depois da instalação.

Cada um desses pontos carrega criptografia. Poucos aparecem em qualquer inventário formal. Juntos, formam um perímetro maior do que o mapeado internamente na maioria das organizações que já tentaram fazer esse levantamento sozinhas.

02. O que um diagnóstico estruturado mapeia

Um diagnóstico de exposição ao risco quântico existe para cobrir exatamente essa lacuna, com um processo estruturado em vez de um levantamento pontual. Ele mapeia cinco camadas:

• ◆ Sistemas: aplicações, bancos de dados, servidores e dispositivos que usam criptografia, incluindo os que não estão sob gestão direta do time de segurança.
• ◆ Algoritmos: quais algoritmos protegem cada sistema, e quais dependem da dificuldade de problemas matemáticos que a computação quântica deve resolver, como a fatoração de números primos e o logaritmo discreto, a base de RSA, ECDSA e Diffie-Hellman.
• ◆ Protocolos: como esses algoritmos são usados na prática, em TLS, VPNs, assinatura de documentos, autenticação e outras funções.
• ◆ Fornecedores e integrações: onde a criptografia é controlada por terceiros, e qual é o prazo de cada contrato ou tecnologia de fornecedor.
• ◆ Vida útil dos dados: por quanto tempo cada tipo de dado precisa permanecer confidencial. Esse é o ponto mais frequentemente ignorado, e também o mais urgente: dados com sigilo de longo prazo, em saúde, defesa, governo ou contratos jurídicos, podem estar sendo coletados hoje por adversários que os armazenam para descriptografar quando a computação quântica estiver disponível.

A Kryptus implementa os algoritmos pós-quânticos padronizados pela NIST, ML-KEM (FIPS 203), ML-DSA (FIPS 204) e SLH-DSA (FIPS 205), em todos os seus produtos desde 2024, com algoritmos validados pelo NIST CAVP.

kNET HSM (AHX5): certificação ICP-Brasil NCC 26.12596, nível NSC 3.

03. Como o resultado é entregue

O resultado de um diagnóstico estruturado é um roadmap de migração priorizado, com critérios claros para cada decisão: por que um sistema entra antes de outro, o que depende de ação do fornecedor antes de qualquer mudança interna, e qual é a janela de risco de cada ativo, calculada a partir da vida útil dos dados que ele protege e da complexidade da própria migração.

Cada item do roadmap vem com uma justificativa de prioridade: por que ele entra nessa posição na fila de migração. Isso é o que transforma um levantamento técnico em um documento que orienta decisão de orçamento e de cronograma.

04. Quem precisa de diagnóstico agora e quem pode aguardar

Nem toda organização está no mesmo ponto de urgência, e um diagnóstico bem-feito também ajuda a definir isso. Critérios que indicam urgência maior:

Organizações com infraestrutura mais simples, já inventariada, com dados majoritariamente de sigilo curto e cadeia de fornecedores enxuta, têm mais margem para sequenciar essa avaliação com menos urgência. Essa margem se estreita à medida que fornecedores, parceiros e reguladores avançam seus próprios prazos.

05. O que acontece depois do diagnóstico

O roadmap de migração se transforma em projeto em fases, não em uma troca única de algoritmos.

Sistemas de menor criticidade e maior controle interno costumam abrir a migração, servindo de piloto para validar processo e ferramentas antes de tocar em sistemas críticos. Dependências de fornecedores entram na fila assim que o cronograma de cada parceiro permitir.

Uma parte importante dessa fase é a operação híbrida: o kNET HSM, por exemplo, suporta algoritmos clássicos e pós-quânticos no mesmo dispositivo, o que permite migrar sistema por sistema, com janelas de corte controladas, em vez de uma parada geral de operação para trocar toda a base criptográfica de uma vez.

06. A janela de planejamento ordenado existe agora

O ponto de partida deste texto vale como fechamento: o primeiro inventário completo de criptografia de uma organização quase sempre nasce sob pressão de uma auditoria, um prazo regulatório ou uma exigência de parceiro.

Quando isso acontece, o escopo da migração é descoberto no mesmo momento em que o prazo já está definido por outra parte, com menos controle sobre custo, sobre a ordem de prioridade e sobre a negociação com fornecedores.