Capítulo 1 — Tomada de decisão avançada em segurança | Pós-graduação Segurança quântica e pós-quântica

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 Incerteza profunda"]
  N1["1.2 Três regras de decisão"]
  N2["1.3 Os modelos codificam valores"]
  N3["1.4 Atividade prática — Laboratório D"]
  N4["1.5 Comprando informação"]
  N5["1.6 Caso resolvido"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 Incerteza profunda"]
  N1["1.2 Três regras de decisão"]
  N2["1.3 Os modelos codificam valores"]
  N3["1.4 Atividade prática — Laboratório D"]
  N4["1.5 Comprando informação"]
  N5["1.6 Caso resolvido"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX001"]

[1.1 Incerteza profunda]
    |
    v
[1.2 Três regras de decisão]
    |
    v
[1.3 Os modelos codificam valores]
    |
    v
[1.4 Atividade prática — Laboratório D]
    |
    v
[1.5 Comprando informação]
    |
    v
[1.6 Caso resolvido]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) enquadrar a migração pós-quântica como tomada de decisão sob incerteza profunda; (2) distinguir escolhas robustas, ótimas e de minimização do arrependimento; (3) explicitar os julgamentos de valor dentro de um modelo de priorização; (4) construir um registro de decisão que sobreviva a auditorias e à rotatividade; e (5) reconhecer quando decidir agora e quando comprar informação.

1.1 Incerteza profunda

Os especialistas raramente carecem de opiniões sobre quando existirá um computador quântico criptograficamente relevante (CRQC); o que lhes falta é uma forma defensável de agir sem saber. O tempo de chegada z da desigualdade de Mosca (Mosca, 2018) não é uma grandeza com uma distribuição de probabilidade acordada. As estimativas públicas de recursos caíram — Gidney e Ekerå (2021) estimaram 20 milhões de qubits ruidosos para o RSA-2048, Gidney (2025) menos de um milhão sob hipóteses declaradas —, mas as estimativas de recursos não são previsões. Isso é incerteza profunda: as partes não conseguem concordar sobre as probabilidades, e talvez nem sobre o modelo. Sob incerteza profunda, otimizar o valor esperado com uma única distribuição inventada produz falsa confiança. Prefira decisões robustas: opções que têm desempenho aceitável em todos os cenários plausíveis, mesmo que não sejam ótimas em nenhum.

1.2 Três regras de decisão

A escolha pelo valor esperado pondera os resultados pelas probabilidades dos cenários; ela é adequada quando as probabilidades são críveis. A escolha robusta descarta as opções que falham gravemente em algum cenário plausível e depois escolhe entre as restantes pelo custo. O minimax do arrependimento compara cada opção com a melhor opção em retrospecto para cada cenário e escolhe aquela cujo pior arrependimento é o menor. Na migração quântica, os enquadramentos robusto e do arrependimento costumam concordar: começar a troca de chaves híbrida nos fluxos de dados de vida longa tem pouco arrependimento se os CRQCs chegarem tarde (o custo é modesto e constrói agilidade) e evita um grande arrependimento se chegarem cedo (os dados gravados ficam protegidos).

1.3 Os modelos codificam valores

Uma pontuação de priorização não é neutra. Multiplicar os registros pelo peso do dano favorece o volume; tratar a privacidade de cada pessoa ao longo da vida como primordial favorece os dados de vida longa, qualquer que seja o volume. O Laboratório D torna o ponto concreto.

Na NRHT, a escolha é entre pesos que contam registros e pesos que refletem o tempo de vida do dano a cada paciente. Nenhum deles está errado como aritmética, mas eles levam a primeiros projetos diferentes. O conselho deve ver as duas classificações e escolher, com o motivo registrado no registro de decisão, em vez de herdar uma escolha enterrada numa fórmula de planilha.

1.4 Atividade prática — Laboratório D

# Lab D (ch 1): robust prioritisation - rank synthetic NRHT data flows by expected exposure across timeline scenarios.
flows = {  # name: (confidentiality years x, migration years y, records in transit per year, harm weight) - synthetic
    "genomics transfers": (50, 3, 2e4, 5), "EHR site replication": (25, 2, 3e6, 3),
    "imaging to cloud reader": (10, 2, 8e5, 2), "staff rota sync": (1, 1, 5e5, 1)}
scenarios = {"early z=8": (8, 0.25), "mid z=15": (15, 0.5), "late z=25": (25, 0.25)}  # (z, subjective weight)
score = {}
for name, (x, y, vol, harm) in flows.items():
    s = sum(w * (vol * harm if x + y > z else 0) for z, w in scenarios.values())
    score[name] = s
    print(f"{name:24s} late in: {[k for k, (z, _) in scenarios.items() if x + y > z]}")
print("ranking by weighted exposure:", [n for n, _ in sorted(score.items(), key=lambda kv: -kv[1])])

Saída esperada:

genomics transfers       late in: ['early z=8', 'mid z=15', 'late z=25']
EHR site replication     late in: ['early z=8', 'mid z=15', 'late z=25']
imaging to cloud reader  late in: ['early z=8']
staff rota sync          late in: []
ranking by weighted exposure: ['EHR site replication', 'imaging to cloud reader', 'genomics transfers', 'staff rota sync']

A pontuação ponderada pelo volume classifica as imagens acima da genômica, embora os dados genômicos estejam expostos em todos os cenários e continuem sensíveis por 50 anos. A aritmética está correta; a questão é se o conselho aceita os seus valores. O trabalho de um especialista é mostrar tanto a coluna "late in", que carrega poucos valores, quanto a classificação ponderada, que carrega muitos, e tornar a escolha dos pesos uma decisão de governança explícita.

Mude o peso do dano da genômica de 5 para 50 e rode de novo: a classificação muda, embora nenhum fato sobre os fluxos tenha mudado. É esse o ponto a mostrar ao conselho. Mantenha a coluna "late in" como a evidência principal e apresente a classificação ponderada como uma visão entre várias, rotulada com os pesos usados.

1.5 Comprando informação

Parte da incerteza pode ser reduzida a baixo custo: se um fornecedor vai entregar o IKEv2 híbrido no ano que vem, quantos dispositivos são desconhecidos, qual é o período real de retenção de um conjunto de dados. O raciocínio do valor da informação pergunta se resolver uma incerteza poderia mudar a decisão; se não, não espere por ela. O momento do CRQC normalmente não pode ser comprado; os fatos do inventário normalmente podem.

Na NRHT, a decisão de agir sobre os dois fluxos de vida longa não dependia de conhecer z com mais precisão, então esperar por estimativas melhores não teria comprado nada. O inventário de dispositivos, por outro lado, era barato de melhorar e poderia mudar quais dispositivos são tratados primeiro. Registre quais incertezas foram reduzidas com compra de informação e quanto custaram.

1.6 Caso resolvido

O conselho da NRHT precisa decidir se financia agora um programa de 18 meses de troca de chaves híbrida nos enlaces entre locais ou se espera dois anos por uma renovação de rede planejada. Análise de cenários: se z = 8, esperar expõe o tráfego da genômica e da replicação do EHR a dois anos extras de coleta sem remédio; se z = 25, agir agora custa talvez 15 % a mais do que incorporar o trabalho à renovação. O pior arrependimento de esperar (divulgação irreversível de dados de 50 anos) domina o pior arrependimento de agir (custo extra moderado). Decisão: agir agora nos dois fluxos de vida longa; adiar o resto para a renovação; comprar imediatamente informação sobre o inventário de dispositivos.

1.7 Erros comuns e limites

Tratar uma única data de CRQC como base do planejamento.
Esconder julgamentos de valor dentro dos pesos da pontuação.
Esperar por informações que não podem mudar a decisão.

Cada erro tem uma salvaguarda usada neste capítulo. Varie z ao longo dos cenários e relate quais escolhas se mantêm em todos eles. Mostre os pesos em qualquer pontuação e registre quem os aprovou. Antes de encomendar um estudo, pergunte se algum resultado plausível mudaria a decisão; se não, decida agora e anote por quê. Mantenha a tabela de cenários no registro de decisão.

Exercícios

EX001 — Regras de decisão. Para a decisão da NRHT entre agir agora e esperar, declare qual opção cada um dos enquadramentos — valor esperado (com P(z = 8) = 0,1), robusto e minimax do arrependimento — favorece, usando raciocínio qualitativo. Rubrica: 3 = os três enquadramentos aplicados com hipóteses declaradas.
EX002 — Valores no modelo. Proponha uma mudança na pontuação do Laboratório D que classifique a genômica em primeiro lugar e declare o valor que ela codifica. Rubrica: 3 = mudança concreta e valor explícito.
EX003 — Valor da informação. Nomeie duas incertezas que vale a pena resolver antes de a NRHT assinar um contrato de equipamentos de VPN, e uma pela qual não vale a pena esperar. Rubrica: 3 = justificadas pela sensibilidade da decisão.
EX004 — Registro de decisão. Liste os campos de um registro de decisão que permitiriam a um auditor em 2032 entender a decisão de 2026. Rubrica: 3 = contexto, opções, cenários, valores/pesos, decisão, responsável, gatilho de revisão.
EX005 — Teste de robustez. Defina um cenário que tornaria "agir agora nos fluxos de vida longa" uma decisão ruim e diga quão plausível ele é. Rubrica: 3 = cenário coerente com avaliação honesta.

Síntese

As decisões da migração quântica são tomadas sob incerteza profunda. Os enquadramentos robustos e baseados no arrependimento, os julgamentos de valor explícitos e a compra direcionada de informação produzem decisões que podem ser defendidas quando o futuro chegar.