Evite que os dados criptografados de hoje se tornem o tesouro de amanhã

Você pode achar que criptografar dados com a tecnologia atual oferecerá proteção robusta. Mesmo que haja uma violação de dados, você pode presumir que as informações estão seguras. Mas se a sua organização trabalha com dados de “cauda longa” — ou seja, seu valor dura anos — você está errado.

Avance daqui a cinco a 10 anos. Os computadores quânticos – que usam a mecânica quântica para executar operações milhões de vezes mais rápido do que os supercomputadores atuais – chegarão e serão capazes de descriptografar a criptografia atual em minutos. Nesse ponto, os atores do Estado-nação simplesmente precisam carregar os dados criptografados que vêm coletando há anos em um computador quântico e, em poucos minutos, poderão acessar qualquer parte dos dados roubados em texto simples. Esse tipo de ataque “coletar agora, descriptografar depois” (HNDL) é uma das razões pelas quais os adversários estão visando dados criptografados agora. Eles sabem que não podem descriptografar os dados hoje, mas poderão fazê-lo amanhã.

Embora a ameaça da computação quântica ainda esteja a alguns anos de distância, o risco existe hoje. É por esta razão que o presidente dos EUA, Joe Biden, assinou um Memorando de Segurança Nacional exigindo que agências federais, defesa, infraestrutura crítica, sistemas financeiros e cadeias de abastecimento desenvolvam planos para adotar a criptografia resiliente quântica. Presidente Biden dando o tom para agências federais serve como uma metáfora adequada – o risco quântico deve ser discutido e planos de mitigação de risco desenvolvidos, no nível de liderança (CEO e conselho).

Tenha uma visão de longo prazo

Dados de analistas de pesquisa sugerem que o CISO típico passa de dois a três anos em uma empresa. Isso leva a um possível desalinhamento com um risco que provavelmente se materializará em cinco a dez anos. E ainda assim, como vemos nas agências governamentais e em uma série de outras organizações, os dados que você gera hoje pode fornecer aos adversários um valor tremendo no futuro, uma vez que possam acessá-lo. Este problema existencial provavelmente não será resolvido apenas pelo responsável pela segurança. Deve ser abordado nos mais altos níveis de liderança empresarial devido à sua natureza crítica.

Por esta razão, CISOs, CEOs e conselhos experientes devem abordar juntos o problema do risco da computação quântica, agora. Uma vez tomada a decisão de abraçar criptografia resistente a quantum é feito, as perguntas invariavelmente são: “Por onde começamos e quanto custará?”

A boa notícia é que não precisa ser um processo doloroso ou caro. Na verdade, as soluções existentes de criptografia com resiliência quântica podem ser executadas na infraestrutura de segurança cibernética existente. Mas é uma jornada transformacional – a curva de aprendizagem, a estratégia interna e as decisões de planeamento de projetos, a validação e o planeamento da tecnologia e a implementação levam tempo – por isso é imperativo que os líderes empresariais comecem a preparar-se hoje.

Foco na randomização e gerenciamento de chaves

O caminho para a resiliência quântica exige o compromisso das principais partes interessadas, mas é prático e geralmente não exige a eliminação e substituição da infraestrutura de criptografia existente. Um dos primeiros passos é entender onde residem todos os seus dados críticos, quem tem acesso a eles e quais medidas de proteção estão em vigor no momento. Em seguida, é importante identificar quais dados são mais sensíveis e qual é o tempo de vida da sua sensibilidade. Depois de ter esses pontos de dados, você poderá desenvolver um plano para priorizar a migração dos conjuntos de dados para a criptografia resiliente quântica.

As organizações devem pensar em dois pontos-chave ao considerar a criptografia resiliente quântica: a qualidade dos números aleatórios usados ​​para criptografar e descriptografar dados e a distribuição de chaves. Um dos vetores que os computadores quânticos poderiam usar para quebrar os padrões de criptografia atuais é explorar chaves de criptografia/descriptografia derivadas de números que não são verdadeiramente aleatórios. A criptografia resistente a quantum usa chaves de criptografia mais longas e, o mais importante, aquelas que são baseadas em números verdadeiramente aleatórios, para que não possam ser quebradas.

Em segundo lugar, uma empresa típica possui diversas tecnologias de criptografia e produtos de distribuição de chaves, e o gerenciamento é complexo. Conseqüentemente, para reduzir a dependência de chaves, muitas vezes apenas arquivos grandes são criptografados ou, pior ainda, chaves perdidas deixam lotes de dados inacessíveis. É imperativo que as organizações implementem alta disponibilidade e escala empresarial gerenciamento de chaves de criptografia para permitir que um número virtualmente ilimitado de arquivos e registros menores sejam criptografados. Isso resulta em uma empresa significativamente mais segura.

A criptografia resistente a quantum não é mais algo “bom de se ter”. A cada dia que passa, o risco aumenta à medida que dados criptografados são roubados para futuras quebras. Felizmente, ao contrário da computação quântica, não requer um grande investimento e a redução de risco resultante é quase imediata. Começar é a parte mais difícil.