Uma informação pode deixar de ser utilizada por uma aplicação e continuar exigindo proteção por muitos anos. Esse é um dos desafios menos visíveis da governança de dados: a vida de um registro nem sempre coincide com o período durante o qual sua exposição pode causar danos.
Em uma instituição financeira, dados pessoais, registros contratuais, informações de clientes, documentos internos e arquivos trocados com parceiros percorrem ambientes diferentes. Podem começar em um sistema transacional, ser replicados para análise, permanecer em cópias de segurança e, mais tarde, integrar um repositório histórico.
Ao longo desse percurso, mudam as pessoas que acessam a informação, as aplicações envolvidas e os mecanismos de proteção utilizados.
O dado pode permanecer sensível mesmo depois que a aplicação original deixou de existir. Essa perspectiva se torna especialmente importante diante da preparação para a era pós-quântica. Não existe uma data confirmada para o chamado Q-Day, mas já existem padrões criptográficos pós-quânticos publicados e iniciativas de transição.
Para empresas que lidam com informações de longo prazo, o momento de conhecer dependências e definir prioridades é anterior ao momento de substituir algoritmos em produção. A questão é compreender por quanto tempo precisam continuar confidenciais, onde circulam e quais mecanismos sustentam, não apenas saber se os dados estão criptografados.
Retenção e confidencialidade não são a mesma coisa
O prazo de retenção determina por quanto tempo uma organização deve ou pode manter determinada informação, conforme sua finalidade, obrigações aplicáveis e políticas internas. Já o horizonte de confidencialidade considera por quanto tempo a divulgação indevida daquele conteúdo ainda produziria consequências relevantes. Essas duas dimensões se relacionam, mas não são equivalentes.
Um documento pode precisar ser eliminado ao fim de seu prazo de retenção e, mesmo assim, ter sido copiado ou transmitido anteriormente. O descarte correto reduz a exposição dos ambientes sob controle da empresa, mas não apaga automaticamente uma cópia indevida que já tenha sido feita.
Imagine uma processadora de pagamentos que compartilha arquivos com parceiros para executar uma rotina legítima. O arquivo pode ser protegido durante o transporte e eliminado após o período definido. Entretanto, para avaliar a confidencialidade de longo prazo, é necessário conhecer o protocolo de comunicação, o mecanismo de estabelecimento de chaves e as condições de proteção de eventuais cópias. É nesse contexto que aparece o risco conhecido como Harvest Now, Decrypt Later.
Um agente pode capturar comunicações criptografadas no presente e armazená-las para tentar decifrá-las futuramente, caso os mecanismos assimétricos empregados se tornem vulneráveis a computadores quânticos suficientemente capazes. Isso não significa que toda criptografia atual esteja comprometida.
Algoritmos simétricos, como AES, não apresentam exatamente o mesmo perfil de exposição que determinados mecanismos assimétricos de troca de chaves e assinaturas. Também não significa que criptografar um banco de dados em repouso, por si só, resolva o risco de uma comunicação capturada anteriormente.
O desafio de proteger o que ainda não foi descoberto
Antes de estabelecer prioridades para uma transição criptográfica, a organização precisa saber onde estão seus dados sensíveis. Parece evidente, mas essa visibilidade se torna difícil em ambientes que combinam aplicações legadas, nuvens públicas, plataformas SaaS, bancos de dados, arquivos compartilhados e sistemas de terceiros.
Uma informação criada para um processo pode aparecer em relatórios, testes, integrações ou repositórios de análise. Nem sempre essas cópias mantêm a mesma classificação ou os mesmos controles de acesso. À medida que os dados se espalham, a segurança pode continuar concentrada nos sistemas principais, deixando outras superfícies com proteção menos consistente.
É por isso que Data Security Posture Management (DSPM), deve ser entendido como parte de uma disciplina de governança, não apenas como um painel de descobertas. Seu valor aparece quando a organização consegue relacionar sensibilidade, localização, exposição e responsabilidade, transformando essas informações em decisões de tratamento.
A plataforma Thales CipherTrust oferece recursos que podem apoiar essa evolução. Data Discovery and Classification contribui para localizar e classificar informações sensíveis em diferentes ambientes. Capacidades de DSPM ajudam a avaliar a postura de segurança e identificar situações que merecem priorização.
O resultado depende de como esses recursos são integrados às políticas, aos processos e às responsabilidades de cada organização. Considere uma base com dados pessoais encontrada em um compartilhamento acessível a muitos usuários. A correção imediata pode envolver a revisão das permissões. Mas a análise de governança deve avançar: por que a base foi criada, quem é seu responsável, qual sua finalidade atual, por quanto tempo precisa existir e quais controles criptográficos protegem o conteúdo?
Escolher o controle certo exige conhecer a finalidade
Depois de descobrir os dados, é necessário decidir como protegê-los. Criptografia transparente, tokenização e mascaramento não são alternativas equivalentes; cada uma responde a necessidades distintas. O CipherTrust Transparent Encryption pode proteger dados em repouso e apoiar controles granulares de acesso, preservando, conforme o desenho da implantação, a lógica de aplicações existentes.
Essa abordagem pode ser relevante para ambientes que precisam fortalecer a proteção sem introduzir uma refatoração. Mas a eficácia depende também da gestão de chaves, das identidades, das políticas e dos procedimentos operacionais.
A tokenização faz sentido quando determinados processos podem utilizar representações substitutas no lugar dos valores sensíveis originais. Isso pode reduzir a circulação de identificadores em aplicações e integrações. A decisão exige avaliar reversibilidade, formato, autorização para detokenização e requisitos de desempenho. O mascaramento pode atender cenários de testes e análises nos quais a identidade real não é necessária. Nesse caso, a finalidade é preservar a utilidade do dado para o trabalho pretendido, reduzindo sua exposição.
Esses controles podem coexistir. O objetivo não é aplicar todos a cada repositório, mas escolher a combinação que melhor responde ao risco e ao uso legítimo da informação.
Para o CISO, a prioridade pode ser relacionar exposição, criticidade e evidências de proteção.
Para o CTO, pode ser compreender integração, latência, dependências e evolução arquitetural.
Para o CIO, é sustentar a continuidade, governança e investimento em ambientes que podem mudar de plataforma ao longo dos anos.
A gestão de chaves também precisa evoluir
Existe outro elemento essencial nessa jornada: as chaves criptográficas. Uma organização pode criptografar corretamente suas informações e, ainda assim, enfrentar dificuldades para demonstrar quem administra as chaves, como ocorre a rotação, quais aplicações dependem delas e o que acontece quando um provedor ou uma tecnologia precisa ser substituído.
A adoção de múltiplas nuvens pode ampliar esse desafio. Diferentes consoles, modelos de permissão e processos de ciclo de vida dificultam uma visão consolidada da operação. O CipherTrust Manager e o CipherTrust Cloud Key Management podem apoiar a centralização de políticas e a gestão de chaves, inclusive em cenários com BYOK e integrações com serviços de nuvem. Isso não elimina a necessidade de mapear dependências e responsabilidades.
Centralizar a gestão é importante, mas não substitui o inventário criptográfico. Na transição pós-quântica, algumas mudanças envolverão protocolos de estabelecimento de chaves; outras alcançarão assinaturas, certificados e bibliotecas. Cada componente possui um ritmo de evolução e requisitos próprios de interoperabilidade.
É importante distinguir também a entropia quântica de criptografia pós-quântica. Uma fonte de aleatoriedade de alta qualidade pode contribuir para gerar material criptográfico. Já algoritmos pós-quânticos são mecanismos matemáticos concebidos para resistir a classes específicas de ataques quânticos.
São frentes complementares, mas uma não substitui a outra. A First Tech vem levando essa discussão a clientes e ao mercado justamente para ajudar a separar conceitos, identificar dependências e planejar mudanças com responsabilidade técnica.
Clique aqui e veja mais sobre DSPM.
A transição começa pelo risco e pelo tempo de proteção
Os padrões publicados pelo NIST, como ML-KEM, ML-DSA e SLH-DSA, oferecem referências concretas para novas implementações. Entretanto, a existência de padrões não significa que todos os sistemas estejam prontos para migrar simultaneamente.
Aplicações legadas, dispositivos, protocolos e fornecedores possuem ciclos de homologação diferentes. Em determinados contextos, abordagens híbridas podem fazer parte da transição, desde que sejam avaliadas quanto à interoperabilidade e aos requisitos de segurança.
A priorização deve considerar a sensibilidade dos dados, o horizonte de confidencialidade, as dependências criptográficas e o impacto operacional da mudança.
Informações que precisam permanecer protegidas por muitos anos e trafegam por mecanismos potencialmente vulneráveis merecem atenção antecipada. Outros conjuntos de dados podem exigir medidas diferentes. Também é preciso preservar a disponibilidade.
Uma mudança criptográfica realizada sem testes de compatibilidade, desempenho e recuperação pode introduzir riscos imediatos em serviços essenciais. Criptoagilidade significa criar condições para evoluir com controle. Isso envolve conhecer dependências, testar alternativas, documentar decisões e reduzir o custo de substituições futuras.
A segurança do futuro começa pela clareza de hoje
Preparar a proteção dos dados para a era pós-quântica não significa substituir imediatamente toda a infraestrutura. Significa entender quais informações precisam permanecer protegidas, por quanto tempo e como os mecanismos atuais poderão evoluir.
É nessa direção que a First Tech conversa com clientes e com o mercado, aproximando governança, descoberta e classificação, proteção de dados, gestão de chaves e criptoagilidade. O avanço será percebido quando a organização conseguir explicar, com evidências, quais informações são críticas, quais dependências criptográficas sustentam sua proteção e como a transição poderá acontecer sem comprometer o negócio.
A capacidade de proteger o futuro começa com as decisões tomadas agora no presente.
Clique aqui e agende uma conversa com a First Tech.
