Resumo

  • A meta de migração de 2031 se aplica à infraestrutura crítica de informação; a recomendação para 2035 alcança outras organizações expostas ao risco quântico.
  • O primeiro trabalho é localizar criptografia vulnerável em sistemas, fornecedores e dependências operacionais, atribuir responsáveis e testar as alternativas.

O cronograma de Singapura para a transição à segurança pós-quântica começa por uma tarefa menos chamativa do que escolher algoritmos: descobrir todos os pontos em que a criptografia virou parte do funcionamento do serviço.

Em 14 de outubro, a Cyber Security Agency of Singapore (CSA) recomendou que organizações expostas ao risco quântico preparassem um plano até o fim de 2027 e concluíssem a migração até 2035. É uma orientação para organizações expostas, não um prazo legal universal. A infraestrutura crítica de informação (CII) segue um cronograma mais apertado na orientação de junho: os responsáveis devem enviar planos ao órgão setorial até 31 de março de 2027, mirar a conclusão até 31 de dezembro de 2031 e, a partir de 1º de janeiro de 2028, comprar equipamentos CII compatíveis com criptografia pós-quântica ou prontos para ela até o prazo de 2031.

A diferença de escopo importa. Uma empresa fora do regime de CII não deve interpretar 2031 como seu prazo legal. Mas o horizonte de 2035 tampouco torna o inventário opcional. A CSA recomenda identificar sistemas e dados expostos, designar responsáveis, examinar os planos dos fornecedores e testar compatibilidade e desempenho.

A dificuldade está nas dependências. A criptografia pode vir embutida em protocolos, equipamentos industriais, serviços gerenciados ou componentes de fornecedores, sem aparecer como item separado na compra. Dados confidenciais que precisam continuar protegidos por muitos anos têm exposição diferente da de um serviço que pode ser substituído rapidamente. Limitar o inventário aos repositórios internos pode deixar de fora justamente os elementos que determinam a ordem da migração.

A regra de aquisição para CII transforma o tema em questão de governança. Especificações e evidências dos fornecedores precisam chegar antes da janela final de migração. Também é preciso definir quem arca com a integração e se a mudança pode ser revertida sem interromper o serviço. Uma promessa de roteiro comercial não equivale a uma atualização testada.

A CSA considera possível que um computador quântico capaz de comprometer a criptografia atual surja em cinco a dez anos, mas ressalta a incerteza. É um cenário de planejamento, não uma data prevista nem evidência de que sistemas já tenham sido quebrados. O NIST finalizou três padrões pós-quânticos em 2024; eles dão um destino comum aos compradores, sem resolver problemas locais de compatibilidade, desempenho e equipamentos legados.

O Quantum-Safe Kickstarter Grant pode financiar pilotos delimitados de organizações não governamentais constituídas em Singapura. O apoio cobre até 70% dos custos elegíveis, requer ao menos 30% de contrapartida em dinheiro e permite projetos de até seis meses. O relatório deve explicar método, resultados e limitações. Um piloto pode revelar custo de integração ou incompatibilidade, mas não certifica todo o ambiente de uma organização.

A medida imediata de preparo não é quantos projetos usam o rótulo “pós-quântico”. É a capacidade de nomear os sistemas expostos, seus responsáveis, as evidências que faltam dos fornecedores e os testes que justificariam a entrada em produção.

Fontes