Migração para criptografia pós-quântica com ISO 27001

O zumbido do projetor é o único som na sala do conselho. Sarah, a CISO, acabou de concluir a sua atualização trimestral de risco quando o CEO levanta a impressão de uma notícia financeira. O título é direto: “A contagem decrescente quântica: os seus dados já estão obsoletos?”

“Sarah”, diz ele, mais preocupado do que acusatório, “gastámos milhões em cifragem. Estamos em conformidade. Estamos seguros. Este artigo diz que um computador quântico suficientemente potente poderia quebrar tudo isto. Estamos expostos? E os dados que estamos a cifrar e a armazenar agora? São uma bomba-relógio?”

Esta conversa está a sair das conferências de segurança e a entrar nos comités executivos. A questão já não é saber se a computação quântica é interessante para investigadores. A questão é saber se as escolhas criptográficas de hoje conseguem proteger as obrigações de negócio de amanhã.

Para muitas organizações, a resposta honesta é desconfortável. A cifragem está em todo o lado: gateways TLS, VPN, portais de clientes, tokens de identidade, cópias de segurança de bases de dados, aplicações móveis, plataformas de pagamento, S/MIME, SSH, integrações de API, serviços SaaS, Hardware Security Modules (HSM), serviços de gestão de chaves na nuvem, assinatura de firmware, assinatura de código e contratos digitais.

Esse é o problema. A criptografia está em todo o lado, mas a responsabilidade muitas vezes não está em lado nenhum.

A migração para criptografia pós-quântica não diz respeito apenas a um futuro computador quântico criptograficamente relevante. Diz também respeito ao risco atual de “recolher agora, decifrar depois”, em que adversários capturam dados cifrados hoje e aguardam até que capacidades futuras tornem a decifragem viável. Se a sua organização armazena dados pessoais, registos de saúde, dados financeiros regulados, segredos comerciais, comunicações jurídicas, dados de infraestruturas nacionais, firmware de produto ou propriedade intelectual de longa duração, o risco já é um risco de ciclo de vida.

Um plano de migração criptográfica preparado para a era quântica não é um projeto de pânico. É um programa estruturado de governação, inventário, fornecedores, arquitetura, testes e auditoria. A pergunta prática para os CISO é simples:

Como construímos um plano de migração pós-quântica que seja credível para os executivos, utilizável pelos engenheiros e defensável perante auditores?

A resposta é ancorar o trabalho na ISO/IEC 27001:2022, interpretar os controlos através da ISO/IEC 27002:2022, usar as normas de criptografia pós-quântica do NIST como bússola técnica e criar um único modelo de evidência que suporte obrigações ISO 27001, NIST, COBIT 2019, RGPD da UE, DORA e NIS2.

Porque a criptografia pós-quântica pertence ao SGSI

Um erro comum é atribuir a migração pós-quântica apenas a engenheiros criptográficos. Os engenheiros são essenciais, mas não conseguem resolver sozinhos o problema de governação.

A migração pós-quântica toca em gestão de ativos, classificação da informação, gestão de fornecedores, arquitetura segura, gestão de chaves, desenvolvimento de aplicações, segurança na nuvem, resposta a incidentes, continuidade do negócio, risco jurídico, responsabilização regulamentar e evidência de auditoria. Estes são temas do SGSI.

A ISO/IEC 27001:2022 fornece o enquadramento de governação. Exige que a organização compreenda o contexto, as partes interessadas, o risco, os objetivos, as responsabilidades, a competência, a informação documentada, o planeamento e controlo operacional, a avaliação de desempenho, a auditoria interna, a revisão pela gestão e a melhoria contínua. A ISO/IEC 27002:2022 fornece depois a interpretação dos controlos, especialmente em torno de 8.24 Use of cryptography, 5.9 Inventory of information and other associated assets, 5.12 Classification of information, 5.21 Managing information security in the ICT supply chain, 5.23 Information security for use of cloud services, 8.25 Secure development life cycle, 8.8 Management of technical vulnerabilities, 8.16 Monitoring activities e 5.30 ICT readiness for business continuity.

Na Clarysec, é por isso que a preparação pós-quântica é tratada como uma transformação orientada pelo SGSI, e não como uma substituição isolada de algoritmos.

Como declarado no Zenith Blueprint: An Auditor’s 30-Step Roadmap da Clarysec, Fase 2, Passo 8, “Delimitação de ativos, dependências e evidência”:

“Um controlo não pode ser considerado fiável até que a organização consiga demonstrar onde se aplica, quem é o seu proprietário, que evidência o suporta e que risco reduz.”

Esta frase é especialmente importante para a criptografia pós-quântica. Antes de substituir algoritmos, é necessário saber onde os algoritmos são utilizados.

O Zenith Controls: The Cross-Compliance Guide da Clarysec enquadra a criptografia como uma cadeia de evidência interligada, e não como uma configuração técnica isolada:

“A garantia criptográfica é auditada ao longo do ciclo de vida da informação: identificação, classificação, utilização aprovada, proteção de chaves, monitorização operacional, dependência de fornecedores, tratamento de exceções e retenção de evidência.”

Esta visão de ciclo de vida evita a falha mais comum: perguntar apenas “Estamos a usar algoritmos seguros contra a computação quântica?” As melhores perguntas são:

• Que sistemas precisam primeiro de migração pós-quântica?
• Que dados têm uma duração de confidencialidade superior ao horizonte de risco quântico?
• Que fornecedores controlam a nossa cifragem, assinaturas, certificados ou gestão de chaves?
• Que aplicações são criptoágeis e quais têm componentes codificados de forma rígida?
• Que controlos compensatórios existem enquanto a migração está incompleta?
• Que evidência demonstrará que as decisões foram baseadas no risco e revistas?

Da ameaça quântica ao risco de negócio auditável

Um plano pós-quântico útil começa com cenários de risco. Evite declarações vagas como “a computação quântica pode quebrar a cifragem”. Em vez disso, crie registos de risco auditáveis que liguem impacto no negócio, ameaça, vulnerabilidade, ativos afetados, controlos atuais, risco residual e ações de tratamento.

Por exemplo:

“Documentos cifrados de identidade de clientes armazenados durante sete anos podem ficar vulneráveis a decifragem futura se as cópias de segurança forem exfiltradas hoje e a criptografia de chave pública atual se tornar quebrável no futuro.”

Esse cenário aponta para retenção de dados, cifragem de cópias de segurança, gestão de chaves, controlo de acesso, alojamento por fornecedor, monitorização e prioridade de migração.

Outro exemplo:

“A assinatura de firmware para dispositivos conectados depende de esquemas de assinatura que podem deixar de ser fiáveis ao longo do ciclo de vida esperado do dispositivo.”

Isto aponta para segurança do produto, mecanismos de atualização segura, capacidade de HSM, segurança do cliente, garantia de conceção do fornecedor e resiliência operacional de longo prazo.

Um terceiro exemplo:

“Comunicações jurídicas arquivadas e cifradas hoje podem exigir confidencialidade por mais de quinze anos, criando exposição ao risco de recolher agora, decifrar depois.”

Isto aponta para classificação, retenção, proteção criptográfica, preservação legal, comunicações seguras e aceitação do risco pela liderança executiva.

O risco não é apenas um futuro “Q-Day”. Inclui três preocupações relacionadas:

1. Recolher agora, decifrar depois, em que adversários recolhem dados cifrados hoje para decifragem futura.
2. Compromisso de assinatura digital, em que ataques futuros comprometem a confiança em atualizações de software, tokens de identidade, documentos legais, firmware e transações financeiras.
3. Falha de concentração criptográfica, em que uma ampla classe de produtos, protocolos, bibliotecas ou fornecedores se torna obsoleta ao mesmo tempo.

A Política Empresarial da Clarysec, Política de criptografia e gestão de chaves, cláusula 5.1, capta o requisito de governação da seguinte forma:

“Os controlos criptográficos devem ser selecionados, implementados, revistos e retirados de serviço com base na classificação da informação, na duração da proteção exigida, nas normas criptográficas aprovadas, na propriedade das chaves e em decisões documentadas de tratamento de riscos.”

Esta cláusula é crítica porque a duração da proteção passa a ser um fator de priorização. Dados de sessão de curta duração e registos médicos de longo prazo não apresentam o mesmo risco quântico. Uma chave de assinatura de código que sustenta a confiança em dispositivos durante quinze anos tem um perfil de risco diferente de um certificado interno de teste de curta duração.

A mesma família de políticas, referida nos materiais da Clarysec como Política de Controlos Criptográficos, também pode formalizar expectativas de revisão através de texto como:

Cláusula 5.4: Normas de algoritmos e comprimentos de chave
“Todos os algoritmos criptográficos e comprimentos de chave utilizados na organização devem ser selecionados a partir de uma lista aprovada mantida pela equipa de segurança da informação. Esta lista deve ser revista anualmente face às boas práticas do setor e à orientação de organismos nacionais de cibersegurança (por exemplo, NIST, ENISA), com atenção específica ao desenvolvimento de normas criptográficas pós-quânticas. Deve ser mantido um roteiro para migrar sistemas que utilizem algoritmos vulneráveis a ataques baseados em computação quântica, como parte do inventário de ativos criptográficos.”

Isto não exige uma adoção precoce insegura. Exige sensibilização, planeamento, revisão e evidência.

Use as normas NIST PQC como bússola técnica

O trabalho do NIST em criptografia pós-quântica oferece às organizações uma direção técnica credível. O NIST normalizou o ML-KEM para estabelecimento de chaves, o ML-DSA para assinaturas digitais e o SLH-DSA para assinaturas baseadas em hash sem estado. Estas normas dão a fornecedores e arquitetos uma base para roteiros e desenhos-piloto.

Para os CISO, o objetivo não é memorizar detalhes de algoritmos. O objetivo é criar uma via de migração que consiga absorver escolhas criptográficas aprovadas sem quebrar serviços de negócio, compromissos de conformidade ou rastreabilidade de auditoria.

Um plano de migração alinhado com o NIST deve incluir quatro linhas de trabalho:

1. Descoberta, identificar onde existe criptografia de chave pública vulnerável.
2. Priorização, ordenar sistemas por sensibilidade dos dados, duração da proteção, exposição, impacto na integridade e criticidade de negócio.
3. Arquitetura de transição, definir onde mecanismos híbridos, criptoágeis ou pós-quânticos serão testados e adotados.
4. Garantia, produzir evidência de que decisões, exceções, dependências de fornecedores, testes e riscos residuais estão controlados.

A criptoagilidade merece atenção especial. Um sistema criptoágil consegue alterar algoritmos, tamanhos de chave, bibliotecas, certificados e protocolos sem uma reformulação significativa. Na era pós-quântica, a criptoagilidade não é um luxo. É um requisito de resiliência.

Se uma API de pagamentos tiver bibliotecas criptográficas codificadas de forma rígida e nenhum responsável documentado, não é criptoágil. Se uma aplicação móvel fixa certificados sem uma via de atualização gerida, a migração pode tornar-se dispendiosa. Se um dispositivo IoT tiver uma vida útil em campo de quinze anos e não conseguir suportar assinaturas maiores ou atualizações seguras de firmware, o risco é estratégico.

Construa o inventário criptográfico antes de escolher o caminho de migração

A maioria das organizações não possui um inventário criptográfico completo. Podem ter um inventário de certificados, uma folha de cálculo de gestão de chaves, registos de HSM, uma lista de KMS na nuvem ou entradas na CMDB. Raramente têm uma visão única das dependências criptográficas.

Um plano de migração para criptografia pós-quântica precisa de uma lista de materiais criptográficos, ou CBOM. Não precisa de ser perfeita no primeiro dia. Precisa, sim, de ser estruturada, ter proprietário e ser continuamente melhorada.

No mínimo, capture os seguintes campos:

Um inventário inicial poderia ter este aspeto:

Esta tabela mostra imediatamente porque o inventário é importante. AES-256 não apresenta o mesmo tipo de risco quântico que RSA ou ECC, mas registos de pacientes arquivados podem ainda depender de encapsulamento de chaves vulnerável, certificados, sistemas de identidade ou canais de transferência de cópias de segurança. A assinatura de código pode não proteger a confidencialidade, mas protege a integridade do software e a confiança.

No Zenith Controls, a criptografia é cruzada com normas de suporte que acrescentam profundidade. A ISO/IEC 27005 apoia a gestão de riscos de segurança da informação e ajuda a traduzir a incerteza quântica em cenários de risco estruturados. A ISO/IEC 27017 apoia controlos de segurança específicos da nuvem, o que é essencial quando os serviços criptográficos são fornecidos através de KMS na nuvem, TLS gerido, cifragem SaaS ou certificados de plataforma. A ISO/IEC 27018 é relevante quando dados pessoais são tratados em serviços de nuvem pública. A ISO 22301 é relevante quando uma falha criptográfica pode afetar a continuidade de serviços críticos. A ISO/IEC 27036 apoia a segurança nas relações com fornecedores, o que é crucial quando fornecedores gerem cifragem, assinaturas, certificados ou comunicações seguras em seu nome.

A lição é simples: não se pode migrar aquilo que não se consegue encontrar.

Priorize por sensibilidade, duração, exposição e dificuldade de migração

Assim que a CBOM existe, a priorização passa a ser baseada em evidência. O melhor ponto de partida é um pequeno número de sistemas críticos, não um exercício de perfeição à escala empresarial.

Imagine uma empresa de serviços financeiros com três sistemas de elevado valor:

• Um cofre documental de clientes que armazena evidência de identidade durante dez anos
• Uma gateway de API B2B que suporta transações com parceiros
• Uma plataforma de assinatura de código para atualizações de software desktop

Usando o Zenith Blueprint, Fase 2, Passo 8, a equipa extrai ativos da CMDB, certificados da plataforma de gestão de certificados, chaves do HSM e do KMS na nuvem, classes de dados do registo de privacidade e dependências de fornecedores dos registos de aquisição.

Depois pontuam os sistemas:

O cofre documental de clientes torna-se prioritário devido à duração da confidencialidade. A plataforma de assinatura de código torna-se prioritária porque a confiança na assinatura afeta a integridade do software e a segurança do cliente. A gateway de API é de alta prioridade devido à exposição externa, mas os seus dados retidos podem ter uma duração de confidencialidade mais curta.

O registo de riscos deve então ligar cada cenário ao tratamento e à evidência:

A Política Empresarial da Clarysec, Política de desenvolvimento seguro, cláusula 6.4, fornece a perspetiva da entrega de software:

“As revisões de conceção de segurança devem avaliar dependências criptográficas, ciclo de vida das bibliotecas, agilidade algorítmica, gestão de segredos, mecanismos de atualização e componentes controlados por fornecedores antes da aprovação para produção.”

Esta cláusula transforma a preparação pós-quântica num requisito de engenharia. Impede que as equipas implementem novos sistemas que não possam ser migrados mais tarde.

Siga um roteiro de 12 meses compreensível para auditores

A migração pós-quântica demorará anos para muitas organizações. O primeiro ano deve levar a organização da incerteza para uma migração governada.

No Zenith Blueprint, Fase 3, Passo 14, “Desenho e propriedade do tratamento do risco”, o roteiro alerta contra intenções de segurança sem financiamento:

“Um plano de tratamento sem proprietário, expectativa de evidência, via orçamental e data de revisão não é um plano. É um risco não resolvido com melhor formatação.”

É exatamente assim que os programas pós-quânticos falham. Produzem slides de sensibilização, mas não um backlog de remediação com proprietários. Discutem algoritmos, mas não atualizam contratos com fornecedores. Documentam o risco, mas não testam padrões de migração.

Um roteiro credível cria registos de decisão, proprietários, dependências, expectativas de evidência, orçamentos e datas de revisão.

Integre os fornecedores no programa desde cedo

Muitas dependências criptográficas são externalizadas. Prestadores de serviços de nuvem terminam TLS. Plataformas SaaS cifram registos. Fornecedores de identidade assinam tokens. Processadores de pagamentos gerem certificados. Fornecedores de hardware controlam a assinatura de firmware. Prestadores de serviços geridos operam VPN e gateways de segurança.

Mesmo que a sua equipa interna esteja pronta, a sua migração pode ser bloqueada pela capacidade dos fornecedores.

A Política Empresarial da Clarysec, Política de segurança de terceiros e fornecedores, cláusula 5.6, declara:

“Os fornecedores que prestem serviços relevantes para a segurança devem divulgar dependências materiais, responsabilidades criptográficas, evidência de garantia, processos de tratamento de vulnerabilidades e alterações ao roteiro que possam afetar a postura de risco da organização.”

Para a preparação pós-quântica, pergunte aos fornecedores críticos:

• Que algoritmos, protocolos, certificados e serviços de gestão de chaves protegem os nossos dados ou transações?
• Mantêm um inventário criptográfico ou CBOM?
• Qual é o vosso roteiro pós-quântico alinhado com o NIST?
• Vão suportar troca de chaves híbrida, assinaturas pós-quânticas ou estabelecimento de chaves resistente à computação quântica?
• Como serão comunicadas alterações a certificados, tokens, assinaturas e cifragem?
• Que ação será exigida ao cliente?
• Que ambientes de teste estarão disponíveis?
• Como serão tratados desempenho, interoperabilidade e reversão?
• As responsabilidades criptográficas estão definidas no contrato ou no modelo de responsabilidade partilhada?
• Que opções de saída ou portabilidade existem se o vosso roteiro não cumprir os nossos requisitos de risco?

As respostas dos fornecedores devem alimentar o registo de riscos. Respostas fracas nem sempre significam substituição imediata, mas exigem tratamento. Pode precisar de controlos compensatórios, aditamentos contratuais, cláusulas de notificação, planeamento de saída, monitorização reforçada ou uma estratégia de sourcing revista.

Isto é especialmente importante no contexto das expectativas de resiliência operacional ao estilo DORA e NIS2. O DORA dá ênfase à gestão do risco das TIC e à gestão do risco de terceiros TIC, incluindo a supervisão de dependências críticas. O NIS2 Article 21 exige medidas técnicas, operacionais e organizacionais adequadas e proporcionadas de gestão de riscos de segurança, incluindo segurança da cadeia de fornecimento, tratamento de incidentes, continuidade do negócio e criptografia quando apropriado. O RGPD da UE Article 32 exige segurança adequada ao risco, incluindo confidencialidade, integridade, disponibilidade, resiliência e a capacidade de assegurar a proteção contínua de dados pessoais.

A linguagem regulamentar difere, mas a lógica de controlo é consistente: conhecer as dependências, gerir o risco, preservar evidência e agir antes de a resiliência ficar comprometida.

Mapeamento de conformidade cruzada: um plano de migração, muitas obrigações

Um plano robusto de migração para criptografia pós-quântica deve evitar a criação de pacotes de evidência separados para cada referencial. A mesma evidência principal pode suportar múltiplas obrigações se estiver corretamente estruturada.

O Zenith Controls mapeia o tema da criptografia entre ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, COBIT 2019, RGPD da UE, DORA e NIS2, focando-se na finalidade do controlo e não no rótulo usado por cada referencial.

A reutilização da evidência é a chave. Um inventário criptográfico suporta a gestão de ativos ISO, resultados Identify do NIST, visibilidade de ativos TIC no DORA, gestão de riscos no NIS2 e responsabilização no RGPD da UE. Questionários de fornecedores suportam controlos de fornecedores ISO, risco de terceiros TIC no DORA, segurança da cadeia de fornecimento no NIS2 e governação de fornecedores no COBIT. Resultados de testes de migração suportam mudança segura, testes de resiliência, preparação para auditoria e revisão pela gestão.

O que os auditores irão perguntar

A criptografia pós-quântica ainda é um tema emergente de auditoria, mas os auditores já têm expectativas de controlo suficientes para colocar perguntas difíceis.

Um auditor ISO/IEC 27001:2022 começará normalmente pelo risco. Perguntará se o risco criptográfico relacionado com a computação quântica está identificado, avaliado, tratado, monitorizado e revisto dentro do SGSI. Esperará evidência de que os controlos criptográficos são selecionados com base no risco de negócio e de que as responsabilidades estão definidas.

Um avaliador orientado pelo NIST pode focar-se na visibilidade de ativos, mecanismos de proteção, risco da cadeia de fornecimento, gestão de vulnerabilidades e resultados de governação. Poderá perguntar se a organização identificou sistemas que utilizam criptografia de chave pública vulnerável e se o planeamento da migração está alinhado com a direção do NIST.

Um auditor COBIT ou ISACA perguntará frequentemente sobre governação. Quem é responsável? Como recebe o conselho o reporte? Os investimentos são priorizados? As dependências de fornecedores são geridas? Benefícios, riscos e recursos estão equilibrados?

Um auditor de privacidade pode focar-se em saber se a cifragem e a gestão de chaves continuam adequadas à sensibilidade e ao período de retenção dos dados pessoais.

Um revisor focado em DORA ou NIS2 olhará para a resiliência, a concentração de terceiros TIC, a continuidade operacional e a preparação para incidentes.

O Zenith Controls recomenda tratar a preparação para auditoria como uma via de evidência. Não espere que os auditores peçam capturas de ecrã e folhas de cálculo. Construa um espaço de trabalho GRC que ligue cada risco criptográfico ao seu proprietário, ativos afetados, fornecedores, decisões, testes, exceções e datas de revisão.

Atualize as políticas para tornar o programa operacional

A maioria das políticas de criptografia foi escrita para requisitos tradicionais de confidencialidade e integridade. A migração pós-quântica exige adições direcionadas.

A sua política de criptografia e gestão de chaves deve abranger normas aprovadas, frequência de revisão, classificação dos dados, duração da proteção, agilidade algorítmica, geração de chaves, armazenamento de chaves, rotação, destruição, propriedade, ciclo de vida de certificados, responsabilidade pelo HSM, responsabilidade pelo KMS na nuvem, aprovação de exceções, criptografia controlada por fornecedores e monitorização da transição pós-quântica.

A sua política de desenvolvimento seguro deve abranger aprovação de bibliotecas criptográficas, proibição de algoritmos codificados de forma rígida sem revisão, acompanhamento de dependências, mecanismos de atualização segura, testes de desempenho para chaves ou assinaturas maiores, compatibilidade retroativa, reversão e modelação de ameaças para produtos de longa duração.

A sua política de segurança de fornecedores deve abranger transparência criptográfica, pedidos de roteiros pós-quânticos, deveres contratuais de notificação, responsabilidade partilhada por cifragem e gestão de chaves, planeamento de saída e portabilidade.

O seu procedimento de gestão de ativos deve abranger campos de inventário criptográfico, propriedade, fontes de evidência, frequência de revisão e integração com CMDB, inventário de nuvem, gestão de certificados, registos de HSM e repositórios de código.

É aqui que a biblioteca de políticas da Clarysec ajuda as organizações a avançar mais depressa. Em vez de redigir a partir de uma página em branco, as equipas podem adaptar cláusulas de políticas para procedimentos, registos, questionários e evidência de auditoria.

Evite os erros mais comuns na migração pós-quântica

Os erros mais perigosos são normalmente falhas de governação, não falhas técnicas.

Começar pelos algoritmos em vez dos ativos. Se não sabe onde a criptografia é utilizada, a seleção de algoritmos não ajudará.

Ignorar a duração dos dados. Dados transacionais de curta duração e arquivos sensíveis de longa duração não apresentam o mesmo risco.

Tratar os fornecedores como uma fase posterior. Muitos controlos criptográficos são geridos por fornecedores. Se os fornecedores não forem incluídos cedo, o plano pode ser irrealista.

Esquecer as assinaturas. O planeamento pós-quântico não diz respeito apenas à cifragem. Assinaturas digitais, assinatura de código, certificados, tokens de identidade, atualizações de firmware e assinatura de documentos exigem atenção.

Assumir que os prestadores de serviços de nuvem resolvem tudo. As plataformas de nuvem terão um papel importante, mas a responsabilidade continua a ser partilhada. Continua a ser necessário saber que serviços, configurações, chaves, regiões e integrações são afetados.

Não criar evidência de auditoria. Um plano de migração que não possa ser evidenciado não satisfará a gestão, reguladores, clientes ou auditores.

Saltar testes de desempenho e interoperabilidade. Algoritmos pós-quânticos podem afetar tamanho de payload, comportamento de handshake, latência, armazenamento, restrições de sistemas incorporados e compatibilidade.

Métricas que o CISO deve reportar ao conselho

O reporte ao conselho deve ser suficientemente simples para ser compreendido e suficientemente específico para impulsionar ação. Evite debates profundos sobre algoritmos. Foque-se em exposição, progresso, decisões e risco residual.

Uma mensagem útil para o conselho poderia soar assim:

“Concluímos a descoberta criptográfica para 72 por cento dos serviços críticos. Dois sistemas apresentam exposição crítica de confidencialidade de longa duração e três fornecedores ainda não forneceram roteiros pós-quânticos. Iniciámos um projeto de preparação de assinatura de código e uma revisão de dependências de KMS na nuvem. Não é recomendada hoje qualquer substituição de emergência, mas a incerteza dos fornecedores continua a ser o maior risco residual.”

Esta é a linguagem do risco cibernético governado.

Uma lista de verificação prática para começar esta semana

Não precisa de esperar por certeza perfeita. Comece por passos que melhoram imediatamente a visibilidade e a governação.

1. Designe um responsável pela criptografia pós-quântica.
2. Adicione o risco criptográfico relacionado com a computação quântica ao registo de riscos do SGSI.
3. Identifique os dez principais serviços com dados sensíveis de longa duração ou elevado impacto na integridade.
4. Construa uma CBOM mínima viável para esses serviços.
5. Solicite aos fornecedores críticos o respetivo roteiro pós-quântico.
6. Reveja políticas de criptografia, desenvolvimento seguro, fornecedores e ativos.
7. Identifique sistemas com algoritmos codificados de forma rígida, bibliotecas desatualizadas, rotação manual de certificados ou propriedade fraca.
8. Selecione um piloto de baixo risco para testes de criptoagilidade.
9. Defina métricas para o conselho e frequência de reporte.
10. Agende uma auditoria interna focada em governação criptográfica e evidência.

O movimento mais importante é converter incerteza em trabalho gerido. O risco quântico pode estar orientado para o futuro, mas a dívida criptográfica existe hoje.

Próximos passos com a Clarysec

A migração pós-quântica será uma das transições de segurança mais complexas da próxima década, porque toca em identidade, cifragem, assinaturas, fornecedores, nuvem, software, dispositivos, arquivos e evidência de auditoria. As organizações que começarem pela governação e pelo inventário avançarão mais rapidamente do que as que esperarem por um ciclo de substituição de última hora.

A Clarysec pode ajudá-lo a construir um plano de migração criptográfica preparado para a era quântica utilizando:

• Zenith Blueprint: An Auditor’s 30-Step Roadmap para implementação faseada e preparação para auditoria
• Zenith Controls: The Cross-Compliance Guide para mapeamento ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, COBIT 2019, RGPD da UE, DORA e NIS2
• Política de criptografia e gestão de chaves para regras criptográficas preparadas para governação
• Política de segurança de terceiros e fornecedores para requisitos de roteiros de fornecedores e garantia
• Política de desenvolvimento seguro para práticas de engenharia criptoágeis

O melhor momento para iniciar o planeamento pós-quântico é antes de um regulador, auditor, cliente ou membro do conselho pedir evidência. Comece pelo inventário, ligue-o ao risco e construa o caminho de migração uma decisão controlada de cada vez.