Bruno Ortale (*)
Quando se fala em computação quântica e cibersegurança, é comum imaginar um cenário distante, em que máquinas poderosas poderão quebrar os mecanismos de criptografia utilizados hoje. O problema é que esperar esse momento para começar a agir pode ser a estratégia mais arriscada.
Aqui, a questão não é prever quando a computação quântica atingirá capacidade suficiente para comprometer determinados algoritmos, mas entender quanto tempo uma organização precisa para identificar onde utiliza criptografia, avaliar os riscos, escolher alternativas e adaptar ou substituir os mecanismos de proteção. É nesse intervalo que a criptoagilidade ganha relevância.
Segundo o National Institute of Standards and Technology (NIST), a transição para novos algoritmos pode levar de 10 a 20 anos. Por isso, o debate não depende apenas de quando um computador quântico poderá comprometer a criptografia atual, mas de quanto tempo cada organização precisará para estar preparada.
Uma organização precisa identificar quais algoritmos utiliza, onde estão suas chaves e certificados, quais aplicações dependem deles e por onde circulam as informações protegidas. Esse inventário permite entender quais sistemas são mais críticos, quais dados têm maior valor e onde uma eventual mudança pode gerar maior impacto operacional.
Essa adequação ganha ainda mais importância por causa do chamado Harvest Now, Decrypt Later, conceito que descreve a possibilidade de armazenar hoje informações criptografadas para tentar decifrá-las no futuro. Dados que permanecem sensíveis por muitos anos merecem uma análise diferente daqueles que perdem seu valor rapidamente.
O risco já exige atenção. Quanto mais tempo uma empresa leva para se preparar, maior a exposição de dados que precisam ser protegidos por muitos anos e que ainda podem ter valor no futuro.
Por isso, o risco quântico também pode ser analisado pelo tempo que uma empresa levaria para adaptar seus sistemas a algoritmos de criptografia pós-quântica, conhecidos como PQC (Post-Quantum Cryptography). Quanto mais complexo o ambiente e maior a dependência de sistemas, aplicações, fornecedores e integrações, maior tende a ser o esforço para essa transição.
A complexidade do ambiente é justamente um dos motivos para começar pelo inventário. Quanto maior essa visibilidade, mais previsível tende a ser a migração. Em junho de 2026, o Gartner orientou as empresas a estruturar a adoção da criptografia pós-quântica em três etapas, começando pela criação de um inventário criptográfico.
Por isso, a criptoagilidade deveria ser tratada como uma questão de arquitetura e estratégia de segurança, e não apenas como mais um projeto de cibersegurança.
Ainda há tempo para as empresas se adaptarem. Mas tempo não significa motivo para esperar. A evolução da criptografia sempre esteve ligada à capacidade de responder a novas vulnerabilidades, tecnologias e requisitos. A computação quântica apenas torna essa necessidade mais evidente.
O primeiro passo não é trocar toda a criptografia da empresa. É descobrir onde ela está, entender o risco e construir uma estratégia de adaptação contínua, para acompanhar a evolução da tecnologia sem transformar uma futura migração em uma corrida contra o tempo.
Em cibersegurança, estar preparado não significa saber exatamente quando o risco chegará, mas sim, saber quanto tempo é preciso para responder a ele.
(*) Bruno Ortale é Head de Cibersegurança da Delfia, curadoria de jornadas digitais.