Post-Quantum Discovery as a Governance Capability: Evidence-Based Cryptographic Visibility and Exposure Prioritisation in a Critical Service Provider

Resumo Técnico: Descoberta Pós-Quântica como Capacidade de Governança

Declaração do Problema
A transição para Criptografia Pós-Quântica (PQC) é frequentemente impedida não pela disponibilidade de algoritmos, mas pela falta de visibilidade criptográfica, propriedade fragmentada e conhecimento incompleto da implantação criptográfica dentro de grandes organizações regulamentadas. Embora os esforços de padronização (por exemplo, NIST, IETF) forneçam os primitivos necessários, as organizações lutam para planejar migrações porque não conseguem inventariar de forma confiável os ativos criptográficos em infraestruturas heterogêneas. Esse déficit de conhecimento é crítico sob os modelos de ameaça "Colher-Agora, Descriptografar-Depois" (HNDL), onde adversários capturam dados criptografados hoje para descriptografá-los assim que computadores quânticos criptograficamente relevantes (CRQCs) se tornarem disponíveis. Sem uma linha de base clara sobre o que está criptografado, onde reside, quem toma as decisões e por quanto tempo os dados devem permanecer confidenciais, o planejamento de migração permanece especulativo e operacionalmente inviável.

Metodologia: Descoberta como Capacidade de Governança
O artigo propõe uma estratégia "descoberta-primeiro", reestruturando a descoberta criptográfica não apenas como um exercício de inventário técnico, mas como uma capacidade de governança epistêmica. Essa capacidade estabiliza o conhecimento organizacional, torna a incerteza explícita e converte a exposição criptográfica em responsabilização mensurável e auditável.

A metodologia é operacionalizada através de um pipeline estruturado que leva a um Registro de Exposição Quântica (QER):

1. Descoberta de Dupla Camada:

   • Análise Estática: Varre código-fonte, configurações e bibliotecas para identificar chaves codificadas, algoritmos descontinuados e uso de bibliotecas (por exemplo, OpenSSL, Bouncy Castle).
   • Telemetria Dinâmica: Inspecciona o comportamento em tempo de execução através de handshakes TLS, análise de certificados e tráfego de rede para capturar estados operacionais criptográficos reais, reduzindo falsos negativos encontrados em abordagens puramente estáticas.
   • Mapeamento de Dependências: Estende a descoberta para APIs, serviços de terceiros e sistemas gerenciados por fornecedores para identificar mecanismos criptográficos herdados.

2. Enriquecimento de Evidências:
   Sinais técnicos brutos são transformados em dados de nível de governança ao enriquecer registros de ativos com:

   • Horizonte de Confidencialidade ($T_{shelf}$): Derivado de classificações de dados e políticas de retenção.
   • Duração da Migração ($T_{migration}$): Estimada com base na complexidade do sistema e janelas de mudança.
   • Confiança da Evidência: Um mecanismo de pontuação (Alta/Média/Baixa) refletindo a qualidade dos dados de descoberta.
   • Propriedade (RACI): Mapeamento de partes interessadas comerciais e técnicas responsáveis.

3. Avaliação de Exposição Temporal:
   O núcleo da metodologia aplica uma regra de exposição baseada no tempo (uma instanciação operacional da desigualdade de Mosca) para determinar se um ativo está "exposto no tempo":
   $$T_{shelf}(A_i) + T_{migration}(A_i) > T_{threat}$$
   Onde $T_{threat}$ é a linha do tempo assumida para a relevância do CRQC. Ativos onde a soma da vida útil de confidencialidade necessária e o tempo de migração excede o horizonte de ameaça são sinalizados como expostos.

4. Priorização via Modelo de Pontuação:
   Uma pontuação de prioridade quantitativa é calculada usando uma soma ponderada de três componentes:

   • Pontuação de Criticidade (peso 0,4): Baseada no impacto nos negócios (Confidencialidade, Integridade, Disponibilidade).
   • Pontuação de Exposição Temporal (peso 0,4): Baseada no status de exposição HNDL (Sim/Limítrofe/Não).
   • Penalidade de Confiança da Evidência (peso 0,2): Penalidades mais altas para dados de baixa confiança para refletir incerteza.
     Essas pontuações mapeiam ativos para ondas de migração (Onda 1–4), permitindo uma sequência baseada em riscos.

Contribuições Principais

1. Estrutura de Capacidade de Governança: O artigo posiciona a descoberta PQC como uma capacidade de governança repetível e auditável que estabiliza o conhecimento organizacional, em vez de uma tarefa técnica única.
2. Registro de Exposição Estruturado (QER): Introdução de um modelo que permite priorização baseada em riscos em múltiplas dimensões, contabilizando explicitamente sistemas com longos ciclos de vida operacionais onde integridade e autenticação (em vez de apenas confidencialidade) são os principais impulsionadores.
3. Estudo de Caso Empírico: Apresentação de dados de um grande provedor de serviços críticos europeu (Organização A) demonstrando que a fragmentação da propriedade, a qualidade variável das evidências e as cadeias de dependência de fornecedores são barreiras estruturais primárias à migração PQC.

Resultados e Achados do Estudo de Caso
O estudo de caso anonimizado da Organização A (um provedor de serviços críticos nos setores postal, de identidade e financeiro) produziu as seguintes observações empíricas:

• Escala da Descoberta: Ao longo de 14 meses, a organização varreu 148 ambientes, 24.350 pontos finais e catalogou 87.200 certificados. A linha de base revelou uma dependência de 68% de RSA (majoritariamente legado) e 32% de ECC.
• Fragmentação da Propriedade: Aproximadamente 40% dos ativos criptográficos careciam de um guardião operacional claramente definido, criando impasses administrativos para decisões de migração.
• Variância de Evidências: Cargas de trabalho modernas forneceram telemetria rica, enquanto sistemas legados produziram evidências parciais. A introdução de uma pontuação de confiança da evidência preveniu a má alocação de orçamento para falsos positivos e destacou riscos em sistemas de baixa visibilidade.
• Dependência de Fornecedores: Serviços de alta criticidade frequentemente herdaram criptografia de provedores SaaS ou bibliotecas de pagamento, tornando a viabilidade da migração dependente de roteiros de fornecedores em vez da velocidade de engenharia interna.
• Priorização HNDL: A cruzamento do inventário com obrigações de retenção identificou um pequeno subconjunto (menos de 3% do portfólio, 12 serviços críticos) como exposto no tempo. Esses ativos, contendo dados de longa duração (10–15+ anos), foram priorizados para transição imediata (Onda 1).

Significado e Alegações
O artigo argumenta que a prontidão PQC é fundamentalmente um desafio de governança. Alega que, sem a "estabilização epistêmica" fornecida pela descoberta estruturada, o planejamento de migração é inerentemente especulativo. O significado do trabalho reside em demonstrar que:

• A Descoberta é uma Pré-condição: Não é um custo operacional preparatório, mas uma pré-condição necessária para tornar a migração PQC viável e governável.
• Governança Acionável: O QER transforma o risco quântico abstrato em um registro concreto e auditável ao nível de ativos que apoia a tomada de decisão executiva e a coordenação do ecossistema.
• Cripto-Agilidade: Ao estabilizar o conhecimento sobre a implantação e dependências criptográficas, as organizações podem passar de exercícios de migração pontuais para processos de controle contínuos, apoiando a verdadeira cripto-agilidade sob modelos de ameaça em evolução.

Os autores mantêm uma postura modesta, reconhecendo que as descobertas são derivadas de uma única entidade regulamentada europeia e que detalhes específicos de implementação podem variar com base na estrutura organizacional e no patrimônio tecnológico. Eles enfatizam que a metodologia é neutra em relação a fornecedores de ferramentas e foca em classes de capacidades em vez de produtos comerciais específicos.