Capítulo 32 — Segurança quântica e pós-quântica: interfaces interdisciplinares
Mapa da aula
Aula 32 publicada. Mapa, exemplo, EX063.
flowchart TD
N0["32.1 Direito e regulação"]
N1["32.2 Finanças e compras"]
N2["32.3 Comunicação e governança"]
N3["32.5 Atividade prática"]
N4["32.7 Reguladores e auditores"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX063"]
Desenho lógico
flowchart LR
N0["32.1 Direito e regulação"]
N1["32.2 Finanças e compras"]
N2["32.3 Comunicação e governança"]
N3["32.5 Atividade prática"]
N4["32.7 Reguladores e auditores"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX063"]
[32.1 Direito e regulação]
|
v
[32.2 Finanças e compras]
|
v
[32.3 Comunicação e governança]
|
v
[32.5 Atividade prática]
|
v
[32.7 Reguladores e auditores]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX063]
Objetivos de aprendizagem
Você vai (1) conectar a migração para PQC ao direito, às finanças, às compras e à comunicação; (2) traduzir o risco técnico para as decisões do conselho; (3) estimar os fatores de custo da migração; e (4) projetar o envolvimento das partes interessadas.
32.1 Direito e regulação
Os reguladores esperam cada vez mais que as instituições financeiras gerenciem o risco criptográfico. Os contratos definem períodos de confidencialidade que se tornam o x da desigualdade de Mosca. As regras de prova para documentos assinados moldam o projeto dos arquivos. Um advogado e um criptógrafo olhando para o mesmo arquivo de hipotecas veem dois lados de um mesmo requisito.
Reunir as duas visões cedo evita um projeto tecnicamente sólido em que não se possa confiar numa disputa. Na HCU, a equipe jurídica fornece os períodos de confidencialidade de cada classe de dados, e esses períodos se tornam as entradas do modelo de priorização, em vez de estimativas feitas apenas pela equipe técnica.
32.2 Finanças e compras
Os fatores de custo da migração incluem o esforço do inventário, as atualizações de software, a substituição de hardware, os testes, o treinamento da equipe e a coordenação com os parceiros. Alinhar a substituição de hardware aos ciclos naturais de renovação reduz o custo; as cláusulas de compras que exigem agilidade de algoritmos, suporte pós-quântico e inventários criptográficos reduzem o custo futuro. As equipes de finanças precisam de faixas e hipóteses, e não de números únicos.
Uma faixa que mostra o efeito de um fornecedor atrasado ou de uma substituição antecipada é mais útil que um número preciso que se revela errado. A estimativa da HCU separa os custos que ela controla, como testes e treinamento, dos custos definidos pelos parceiros e fornecedores.
32.3 Comunicação e governança
Os conselhos precisam de decisões de uma página: exposição, opções, recomendação, faixa de custo, risco residual. A equipe precisa saber o que muda para ela. Os associados precisam de tranquilidade sem alarme. Evite mensagens baseadas no medo; descreva o que está sendo protegido e por que o momento é prudente.
Os mesmos fatos podem servir a cada público se o nível de detalhe mudar. O documento da HCU para o conselho sobre a migração cabe numa página, com a evidência técnica anexada para quem a quiser. O aviso aos associados, se algum dia for necessário, diz o que está protegido e que nada é exigido dos associados.
32.4 Exemplo resolvido
O líder de segurança da HCU apresenta ao conselho: "O nosso arquivo de hipotecas de 30 anos está exposto ao risco do tráfego gravado sob qualquer cronograma quântico plausível. Opção A: troca de chaves híbrida nas VPNs das agências em até 12 meses, custo de UM 180–260 mil (unidades monetárias sintéticas). Opção B: esperar a substituição completa dos equipamentos em quatro anos, custo incluído no orçamento de renovação, mas com mais quatro anos de exposição. Recomendação: A, mais requisitos pós-quânticos na licitação da renovação. Risco residual: assinaturas clássicas nos carimbos de tempo do arquivo, tratadas no plano do arquivo." O conselho aprova A com um relatório trimestral.
32.5 Atividade prática
Prepare um mapa das partes interessadas da migração da HCU: jurídico, finanças, compras, operações de TI, fornecedores, parceiros, associados e reguladores, com o que cada um precisa e fornece.
Marque quais grupos precisam aprovar as decisões, quais precisam ser consultados e quais só precisam ser informados. Anote qualquer grupo cuja cooperação esteja no caminho crítico, como a rede de pagamentos, e diga como e quando ele será contatado. Depois compare o seu mapa com o de um colega e discuta qualquer grupo que um de vocês tenha esquecido. Mantenha o mapa atualizado conforme o plano mudar.
32.6 Erros comuns e limites
- Apresentar detalhes técnicos sem uma decisão.
- Estimativas de custo com um único número.
- Ignorar as compras como controle.
- Deixar o jurídico e as compras de fora até que o projeto técnico esteja concluído.
- Tratar a comunicação com os associados como algo secundário.
- Escrever documentos para o conselho que listam riscos, mas não pedem uma decisão.
- Supor que os reguladores querem o mesmo detalhe que os engenheiros.
- Esquecer que os cronogramas dos parceiros podem ditar o ritmo.
Cada um desses torna mais difícil financiar, aprovar ou executar um plano técnico sólido. Envolver esses grupos cedo custa pouco e evita retrabalho.
32.7 Reguladores e auditores
Os auditores vão pedir evidências, e não intenções: o inventário com a sua cobertura, o método de priorização, o plano aprovado e o progresso em relação a ele. Organizar o programa de migração de modo que esses artefatos existam como subprodutos do trabalho normal — a CBOM regenerada a cada trimestre, registros de decisão para cada escolha — torna as auditorias mais baratas e mais honestas do que preparar documentos especiais antes de cada revisão.
Um relatório de progresso honesto inclui os itens atrasados e o porquê. A equipe de auditoria interna da HCU revisa a CBOM e os registros de decisão uma vez por ano e relata quaisquer lacunas ao comitê de riscos.
Exercícios
- EX063 — Slide para o conselho. Escreva uma decisão de cinco linhas para o conselho sobre a migração da AC interna da HCU. Rubrica: 3 = exposição, opções, recomendação, faixa de custo, risco residual.
- EX064 — Cláusula de compras. Redija duas cláusulas contratuais que apoiem a agilidade criptográfica. Rubrica: 3 = cláusulas específicas e exigíveis.
Síntese
A migração para PQC é interdisciplinar: o direito define os tempos de vida, as finanças e as compras moldam o custo, e a governança transforma a análise em decisões.
Continue estudando — capítulo 32 de 40
← Capítulo 31 · Índice de capítulos do curso · Capítulo 33 →
Siga para a próxima lição escrita.