Por: Theo Costa, CEO da iTProtect
Durante décadas, a criptografia foi tratada como uma camada invisível da infraestrutura de TI. Ela protegia transações bancárias, identidades digitais, comunicações corporativas e informações estratégicas, mas raramente fazia parte das discussões dos conselhos de administração. Recentemente assisti a um workshop de Anchises Moura, Líder de Inteligência Cibernética da Apura Cyber Technology, sobre a era da computação quântica, e considerei importante compartilhar algumas das reflexões que ele trouxe, a começar pelas previsões dos institutos de pesquisa.
Segundo a IDC, 40% das empresas do Global 2000 contratarão serviços especializados de cibersegurança até 2027 para realizar avaliações de risco quântico e preparar a migração para a criptografia pós-quântica (Post-Quantum Cryptography – PQC). O movimento acompanha o alerta da Gartner de que as organizações devem concluir seus programas de preparação para a era pós-quântica até 2030. A razão é simples: o maior risco da computação quântica não é quando ela chegar, mas o fato de que os ataques já começaram.
Esse novo cenário é conhecido como Harvest Now, Decrypt Later. A estratégia consiste em interceptar e armazenar hoje informações criptografadas para descriptografá-las no futuro, quando computadores quânticos tiverem capacidade suficiente para romper algoritmos amplamente utilizados, como RSA e ECC.
Para organizações que lidam com informações de longo ciclo de vida — instituições financeiras, hospitais, indústrias, empresas de energia e órgãos públicos —, o impacto pode ser enorme. Dados que precisam permanecer confidenciais por dez, vinte ou até trinta anos já podem estar sendo coletados neste momento por grupos criminosos ou agentes patrocinados por Estados, aguardando apenas que a tecnologia necessária esteja disponível.
Diante dessa realidade, preparar-se para a criptografia pós-quântica não significa apenas substituir um algoritmo por outro. Trata-se de um programa estruturado de gestão de riscos que envolve tecnologia, governança e planejamento estratégico. O primeiro passo, e talvez o mais importante, é entender onde a criptografia está presente na organização — a maioria das empresas não consegue responder com precisão quantos certificados digitais possui ou onde estão armazenadas suas chaves criptográficas.
Outro conceito que ganhará protagonismo nos próximos anos é o de Crypto Agility, ou agilidade criptográfica: em vez de depender de algoritmos difíceis de substituir, as organizações precisam construir ambientes capazes de trocar mecanismos criptográficos rapidamente, com baixo impacto sobre aplicações e operações.
Esse processo também exige uma revisão da relação com fornecedores de tecnologia. Servidores, soluções de autenticação, VPNs, plataformas em nuvem e dispositivos de segurança adquiridos hoje permanecerão em operação por muitos anos. Por isso, CIOs e CISOs precisam começar a questionar fabricantes sobre seus cronogramas de adoção dos padrões de criptografia pós-quântica definidos pelo NIST.
Os próximos doze meses representam uma oportunidade para transformar planejamento em ação. Não será necessário migrar toda a infraestrutura imediatamente, mas é recomendável iniciar projetos-piloto envolvendo certificados digitais, VPNs, infraestrutura de chaves públicas (PKI), módulos de segurança de hardware (HSMs) e conexões TLS híbridas.
A computação quântica ainda pode levar alguns anos para atingir seu pleno potencial, mas a preparação para esse cenário não pode esperar. As organizações que começarem agora terão tempo para planejar, testar e evoluir de forma estruturada. As que deixarem essa decisão para quando a ameaça estiver consolidada enfrentarão custos muito maiores, escassez de especialistas e uma corrida contra o tempo.
(*) Théo Costa – Fundador e CEO da iTProtect, conta com mais de 20 anos de experiência em cibersegurança e tecnologia. Ao longo de sua trajetória, atuou em empresas globais como IBM e Unisys, além de passagens por players especializados como a Arcon.
