CISA orienta empresas a cobrar de fornecedores planos para a criptografia pós-quântica

A CISA, a Agência de Segurança Nacional dos Estados Unidos e o Centro Australiano de Segurança Cibernética publicaram uma orientação conjunta para ajudar organizações a avaliar se seus fornecedores estão preparados para a transição à criptografia pós-quântica. O material inclui uma lista rápida de perguntas que pode ser usada em conversas técnicas, contratos e processos de aquisição.

O objetivo é antecipar a substituição de algoritmos de chave pública que poderão ser quebrados por computadores quânticos com capacidade criptográfica relevante. A preparação envolve identificar onde a criptografia é usada, conhecer dependências de terceiros, planejar atualizações e adotar algoritmos resistentes tanto a ataques clássicos quanto a ataques auxiliados por computação quântica.

A orientação chama atenção para serviços gerenciados, nuvem, sistemas industriais e dispositivos de internet das coisas. Esses ambientes podem ter ciclos de vida longos, componentes difíceis de atualizar e dependência direta do fabricante, o que torna o cronograma e a transparência do fornecedor decisivos para reduzir o risco.

As organizações devem avaliar se o fornecedor compreende o risco quântico, mantém um inventário de implementações criptográficas e oferece um plano seguro, economicamente viável e alinhado a padrões para a migração. A recomendação é começar esse diálogo cedo, antes que limitações técnicas ou contratuais transformem a atualização em uma resposta emergencial.