Post-Quantum Cryptography Migration Readiness in Global Capability Centres: A Governance Framework for Enterprise Transition

Resumo Técnico: Prontidão para a Migração da Criptografia Pós-Quântica em Centros de Capacidade Global

Definição do Problema
A finalização dos padrões de Criptografia Pós-Quântica (PQC) do NIST (FIPS 203, 204 e 205) iniciou uma migração criptográfica crítica. No entanto, a adoção pelas empresas permanece baixa, criando uma vulnerabilidade significativa para os Centros de Capacidade Global (GCCs). Os GCCs são centros estratégicos offshore que processam dados transfronteiriços sensíveis através de múltiplas jurisdições regulatórias. Eles enfrentam um "déficit de governança" único, caracterizado por:

• Dependências transfronteiriças: Dados criptografados em uma jurisdição e transmitidos para outra.
• Assimetria de governança: As estratégias de migração são definidas na matriz, mas implementadas por equipes de GCC sob diferentes restrições regulatórias.
• Duplicação regulatória: Apenas os GCCs indianos devem navegar por mais de 500 obrigações legais distintas.
• Risco concentrado: Como centros de entrega de cibersegurança (SOCs, Centros de Fusão Cibernética), uma falha criptográfica em um GCC compromete as posturas de segurança globais.

Os frameworks atuais falham em abordar a interseção entre dependências de desempenho de algoritmos, conformidade transjurisdicional e alinhamento entre matriz e subsidiária. Além disso, o modelo de ameaça "Colher Agora, Descriptografar Depois" (HNDL - Harvest Now, Decrypt Later) implica que os dados protegidos sob os padrões atuais já estão em risco, violando a "desigualdade de Mosca" (onde o tempo para migrar excede o tempo até que um computador quântico criptograficamente relevante exista).

Metodologia
O estudo emprega um design de pesquisa qualitativa baseada em literatura, consistindo em dois componentes primários:

1. Revisão Integrativa de Literatura (ILR): Uma coleta e síntese sistemática de 72 fontes (38 artigos revisados por pares, 18 padrões e 16 relatórios da indústria) de 2018 em diante. As fontes foram extraídas do Scopus, IEEE Xplore, ACM Digital Library, Web of Science, SpringerLink e órgãos reguladores (NIST, NSA, CISA, etc.).
2. Análise Temática: Seguindo o protocolo de seis fases de Braun e Clarke, os dados foram codificados em quatro domínios (desafios de migração PQC, mecanismos de governança, características de GCC, dependências de desempenho) para identificar 147 códigos iniciais. Estes foram sintetizados em cinco temas de governança distintos.

O estudo evita explicitamente testes de campo empíricos, baseando-se na integração conceitual da literatura existente para abordar a natureza fragmentada da pesquisa de governança PQC.

Principais Contribuições
O artigo avança a pesquisa de governança de cibersegurança ao deslocar a narrativa da migração PQC de uma transição puramente técnica para um desafio de governança empresarial. Suas principais contribuições incluem:

1. Identificação de Cinco Temas de Governança: Derivados da análise temática de 72 fontes.
2. Desenvolvimento do Framework de Governança PQC-GCC (PGGF): Um novo modelo de 5 camadas × 6 fases especificamente projetado para ambientes de GCC distribuídos e multijurisdicionais.
3. Integração de Evidências de Desempenho: O framework incorpora de forma única dados de desempenho multicamadas, tratando a seleção de algoritmos como uma decisão de governança com consequências operacionais mensuráveis.
4. Avaliação Analítica: O framework é avaliado em relação a modelos existentes, princípios de design e cobertura do NIST CSF 2.0.

Resultados e Arquitetura do Framework
O estudo sintetiza os cinco temas identificados no PGGF, que consiste em:

• Cinco Camadas de Governança:

  • Camada 1 (Governança Estratégica): Aborda o risco quântico ao nível do conselho, o alinhamento Matriz-GCC e KPIs de "Tempo de Reação".
  • Camada 2 (Governança de Ativos Criptográficos): Foca na Lista de Materiais Criptográficos (CBOM), classificação de risco de Mosca e avaliação de HNDL transfronteiriço.
  • Camada 3 (Governança de Migração Técnica): Integra a seleção de algoritmos informada pelo desempenho. Crucialmente, destaca que o ranking dos algoritmos muda entre as camadas de protocolo (ex: ML-KEM/ML-DSA performam mais rápido em x86 no nível primitivo, mas arquiteturas ARM mostram menor latência ponta a ponta nos níveis de TLS/VPN; HQC apresenta tempos de execução até 100× maiores).
  • Camada 4 (Governança de Conformidade): Mapeia requisitos regulatórios entre EUA (CNSA 2.0), UE (NIS2/DORA), Reino Unido (NCSC) e Índia (Lei DPDP 2023).
  • Camada 5 (Governança de Talentos): Estabelece Centros de Excelência (CoE) em PQC, transferência de conhecimento e comunicação de ameaças quânticas.

• Seis Fases de Migração:

  1. Iniciar: Patrocínio executivo e avaliação de risco.
  2. Descobrir: Criação de CBOM e avaliação de HNDL.
  3. Estrategizar: Seleção de algoritmos informada pelo desempenho.
  4. Pilotar: Benchmarking de Prova de Conceito (PoC) multicamadas.
  5. Migrar: Implementação faseada.
  6. Sustentar: Manutenção contínua da agilidade criptográfica.

Avaliação e Alegações de Significância
O artigo afirma que o PGGF é o único framework que satisfaz oito critérios críticos: cobertura PQC, especificidade de GCC, suporte multijurisdicional, agilidade criptográfica, modelagem de maturidade, consciência de desempenho, consciência de hardware e progressão faseada.

• Alinhamento com NIST CSF 2.0: O framework fornece cobertura completa de todas as funções do NIST CSF 2.0 (Governar, Identificar, Proteger, Detectar, Responder, Recuperar).
• Princípios de Design: Adere a seis princípios, incluindo abstração em camadas, fundamentação em evidências e sensibilidade ao contexto.

Conclusão Central
O estudo conclui que a prontidão de governança, em vez da capacidade técnica, constitui a principal barreira para a migração PQC em ambientes empresariais distribuídos. O PGGF fornece a arquitetura necessária para preencher a lacuna entre os avanços criptográficos teóricos e a viabilidade de engenharia.

Limitações e Trabalhos Futuros
Os autores reconhecem que este é um framework derivado de literatura, não um estudo de campo. Os achados baseiam-se em fontes publicadas em vez de entrevistas ou estudos de caso, e o foco geográfico nos GCCs indianos pode limitar a generalização. Trabalhos futuros propostos incluem avaliações por painéis de especialistas, estudos de caso piloto em 2–3 GCCs e adaptações setoriais para BFSI (Bancos, Serviços Financeiros e Seguros) e saúde.