Por Rafael Silva*
A corrida pela criptografia pós-quântica ganhou velocidade nos governos, instituições financeiras e empresas de infraestrutura crítica, que já iniciaram seus planos de migração para algoritmos resistentes aos futuros computadores quânticos. Mas existe um risco pouco discutido que pode comprometer todo esse esforço: a governança dos ativos criptográficos não está evoluindo na mesma velocidade da tecnologia. Em outras palavras, muitas organizações estão preocupadas em adotar novos algoritmos, mas ainda não sabem exatamente onde estão suas chaves criptográficas, certificados digitais e mecanismos de criptografia. Antes de migrar, será preciso localizar.
A falta de visibilidade já aparece de forma consistente nas pesquisas internacionais e reforça que o problema é mais profundo do que parece. Segundo o relatório Harvest Now, Decrypt Later: Preparing for a New Cyber Threat, da Capgemini Research Institute, 70% das organizações já avaliam ou implementam iniciativas relacionadas à segurança pós-quântica, mas apenas 15% atingiram um nível de maturidade adequado para uma transição segura. São as chamadas Quantum-Safe Champions, empresas que possuem inventário criptográfico, processos de governança estruturados, políticas definidas e capacidade de adaptação contínua. A maioria ainda está concentrada na tecnologia, sem construir a base operacional necessária para sustentá-la.
Essa diferença entre investimento e maturidade ocorre porque a criptografia moderna deixou de ser um componente isolado da infraestrutura. Hoje, ela está distribuída por aplicações desenvolvidas ao longo de décadas, ambientes multicloud, APIs, dispositivos IoT, sistemas industriais, bancos de dados, containers e plataformas SaaS. Em muitos casos, diferentes áreas administram certificados e chaves de forma independente, sem uma política única ou sequer um inventário consolidado. O resultado é um ambiente extremamente difícil de controlar justamente quando a necessidade de mudança nunca foi tão grande.
A situação torna-se ainda mais complexa porque a transição para a criptografia pós-quântica não acontecerá de uma única vez. Durante muitos anos, algoritmos clássicos e algoritmos resistentes à computação quântica precisarão coexistir. Essa convivência exigirá administrar múltiplos certificados, políticas diferentes, novos padrões regulatórios e ciclos de atualização simultâneos. Sem uma estratégia de governança criptográfica, cresce não apenas o risco de ataques, mas também de interrupções operacionais, falhas de conformidade e erros humanos durante a migração.
Ao mesmo tempo, organizações não podem ignorar uma ameaça que já está em curso. Criminosos vêm utilizando a estratégia conhecida como Harvest Now, Decrypt Later, capturando grandes volumes de dados criptografados para armazená-los até que computadores quânticos sejam capazes de quebrar os algoritmos utilizados hoje. Isso significa que informações com longo ciclo de vida — como propriedade intelectual, dados financeiros, registros governamentais e informações de saúde — podem vir a ser comprometidas no futuro. Quanto mais demorada for a preparação, maior será a janela de exposição.
Nesse contexto, os HSMs (Hardware Security Modules) continuam sendo um componente essencial da arquitetura de confiança, protegendo as chaves criptográficas contra comprometimento e oferecendo suporte aos novos algoritmos pós-quânticos. No entanto, o próprio conceito de proteção evoluiu. Não basta armazenar chaves em hardware certificado. Será necessário automatizar seu ciclo completo de vida, implementar descoberta contínua de ativos criptográficos, estabelecer políticas centralizadas, garantir rastreabilidade e criar mecanismos de crypto-agility capazes de responder rapidamente às mudanças tecnológicas e regulatórias.
A computação quântica está impondo uma transformação muito maior do que a substituição de algoritmos. Ela exige que as organizações passem a administrar a criptografia como um ativo estratégico de negócio. Nos próximos anos, o diferencial não estará apenas em quem adotar primeiro a criptografia pós-quântica, mas em quem construir uma governança criptográfica capaz de acompanhar sua evolução contínua. Afinal, segurança não depende apenas da força da criptografia, mas da capacidade de controlar, conhecer e administrar os ativos que sustentam toda a confiança digital.
* Rafael Silva é diretor técnico da Futurex
