A Criptografia Pós-Quântica (PQC) descreve um conjunto de técnicas criptográficas desenvolvidas para proteger dados de ataques executados por computadores quânticos, utilizando algoritmos resistentes à capacidade computacional esperada dessa nova geração de máquinas. O tema é estratégico porque boa parte da infraestrutura digital moderna ainda depende de algoritmos de criptografia assimétrica, como RSA e ECC, amplamente utilizados em certificados digitais, VPNs, assinaturas eletrônicas, autenticação e protocolos de comunicação segura. No entanto, esses modelos apresentam vulnerabilidades conhecidas diante da evolução da computação quântica e segurança, especialmente com o avanço de algoritmos quânticos capazes de resolver operações matemáticas consideradas inviáveis para computadores tradicionais. Embora computadores quânticos capazes de quebrar esses padrões em larga escala ainda não estejam plenamente disponíveis, o risco já existe no presente. Ataques conhecidos como Harvest Now, Decrypt Later (“coletar agora, descriptografar depois”) seguem exatamente essa lógica, na qual informações criptografadas são capturadas hoje para serem descriptografadas futuramente, quando a capacidade computacional quântica atingir maturidade suficiente. O impacto desse cenário é particularmente crítico para organizações que lidam com dados sensíveis e de longo ciclo de vida, como: ●  registros médicos; ●  propriedade intelectual; ●  contratos estratégicos; ●  sistemas financeiros; ●  infraestrutura crítica; ●  informações governamentais sensíveis. Por esse motivo, a ameaça quântica é um dos pilares da resiliência cibernética contemporânea, que compõe a governança de risco tecnológico e a proteção de dados de longo prazo. Ao longo deste conteúdo, vamos analisar: ●  o que é criptografia pós-quântica; ●  por que a transição começou antes do chamado Q-Day; ●  como os novos algoritmos NIST estão sendo estruturados; ●  quais riscos os modelos criptográficos atuais já enfrentam; ●  por que a agilidade criptográfica se tornou prioridade para estratégias modernas de segurança da informação. Este artigo integra o cluster de conteúdos sobre computação quântica da ESR e aprofunda a discussão iniciada no conteúdo sobre computação quântica e criptografia e seus impactos na segurança digital.  Veja também: Quais são os três padrões da criptografia pós-quântica?Computação quântica e cibersegurança: o que muda na proteção de dados O que é o Q-Day e por que ele preocupa a segurança digital? O termo Q-Day é utilizado para descrever o momento em que computadores quânticos terão capacidade prática de quebrar algoritmos criptográficos amplamente utilizados atualmente. A segurança digital moderna depende da dificuldade matemática de resolver determinados problemas computacionais, como o RSA, baseado na fatoração de números primos extremamente grandes, e a Criptografia de Curva Elíptica (ECC), sustentada pela complexidade matemática de operações sobre curvas elípticas. Em computadores clássicos, essas operações exigiriam um tempo computacional inviável, limitação técnica sobre a qual a criptografia assimétrica contemporânea foi construída. A computação quântica modifica essa lógica ao operar com princípios diferentes da computação tradicional. Algoritmos quânticos, como o algoritmo de Shor, conseguem resolver determinados problemas matemáticos de forma exponencialmente mais eficiente. Em termos práticos, isso significa que mecanismos considerados seguros hoje poderão apresentar vulnerabilidades quando a capacidade computacional quântica atingir sua maturidade operacional. Esse cenário afeta diretamente as tecnologias utilizadas diariamente em ambientes corporativos e governamentais, incluindo: ●  certificados digitais; ●  autenticação multifator; ●  VPNs; ●  assinaturas eletrônicas; ●  infraestrutura PKI; ●  protocolos TLS; ●  transações financeiras; ●  comunicações críticas. Por esse motivo, a discussão sobre computação quântica e segurança aborda continuidade operacional, proteção de dados sensíveis e governança de risco tecnológico. A questão mais sensível, porém, envolve a relação entre tempo e confidencialidade da informação. Muitos dados precisam permanecer protegidos durante décadas. Informações médicas, registros governamentais, propriedade intelectual, contratos estratégicos e sistemas de defesa possuem valor permanente ou de longo prazo. Nesse contexto, a preocupação não está restrita ao momento em que o Q-Day ocorrerá, mas à exposição acumulada até lá. É desse desafio que surge o conceito de Harvest Now, Decrypt Later, considerado um dos principais aceleradores da transição para a criptografia pós-quântica. O que é a ameaça Harvest Now, Decrypt Later O modelo Harvest Now, Decrypt Later parte de uma lógica relativamente simples: coletar hoje informações criptografadas para descriptografá-las futuramente, quando houver capacidade computacional suficiente para quebrar os algoritmos atuais. Isso significa que um dado protegido hoje não está necessariamente seguro no longo prazo. Mesmo sem capacidade imediata de descriptografia, agentes maliciosos podem armazenar grandes volumes de informação e aguardar a maturidade operacional da computação quântica. Essa dinâmica altera a forma como a segurança da informação é analisada. Historicamente, a proteção criptográfica era avaliada considerando as ameaças contemporâneas. Com o avanço da ameaça quântica, o horizonte de risco se expande para dados que continuarão sensíveis muitos anos depois da coleta. O valor temporal da informação assume papel central dentro da estratégia de proteção digital. Quanto maior a necessidade de confidencialidade prolongada, maior tende a ser a exposição associada à permanência em algoritmos vulneráveis, especialmente em estruturas que ainda dependem exclusivamente de RSA e ECC. Esse cenário afeta diretamente setores como: ●  saúde; ●  defesa; ●  sistema financeiro; ●  infraestrutura crítica; ●  telecomunicações; ●  pesquisa científica; ●      administração pública. Em muitos desses ambientes, o ciclo de vida da informação ultrapassa 10 ou 20 anos. Registros médicos, documentos estratégicos, dados governamentais sensíveis e propriedade intelectual precisam manter a confidencialidade durante períodos muito superiores ao tempo médio de atualização da infraestrutura tecnológica. Por esse motivo, a transição para modelos de segurança pós-quântica não pode ser tratada como uma atualização pontual de software ou hardware. A discussão envolve governança, continuidade operacional e planejamento de longo prazo para a proteção de dados sensíveis. Essa preocupação acelerou o desenvolvimento dos novos algoritmos NIST PQC, uma das principais referências internacionais para a transição criptográfica. Os novos padrões do NIST e a corrida pela segurança pós-quântica A necessidade de substituir algoritmos vulneráveis à computação quântica levou o  National Institute of Standards and Technology (NIST) a conduzir um dos projetos de padronização criptográfica mais relevantes das últimas décadas. O objetivo era selecionar algoritmos capazes de preservar a confidencialidade, a autenticação e a integridade mesmo diante da evolução da capacidade computacional quântica. O processo começou em 2016 e reuniu pesquisadores, universidades, empresas de tecnologia e especialistas em segurança da informação de diferentes países. Durante anos, os algoritmos candidatos foram submetidos a auditorias públicas, testes de desempenho, análises matemáticas e avaliações de interoperabilidade. A validação não estava restrita à resistência criptográfica. Os novos padrões precisavam operar em ambientes reais, com limitações de processamento, consumo de memória, escalabilidade e compatibilidade com infraestruturas já existentes. Diante disso, entre os algoritmos selecionados pelo NIST, alguns se tornaram centrais para a transição da criptografia pós-quântica. 1. H3 ML-KEM – proteção para a troca de chaves criptográficas O ML-KEM, baseado no CRYSTALS-Kyber, foi selecionado como padrão para encapsulamento e troca de chaves criptográficas. Sua função é proteger a comunicação entre sistemas, impedindo que terceiros interceptem ou reconstruam chaves utilizadas em conexões seguras. Esse algoritmo ocupa posição estratégica porque operações de troca de chaves sustentam protocolos utilizados diariamente em VPNs, TLS, aplicações corporativas e serviços digitais. O modelo foi desenvolvido para equilibrar: ●  a resistência a ataques quânticos; ●  o desempenho computacional; ●  a eficiência operacional; ●  a viabilidade de implementação em larga escala. 2. H3 ML-DSA e a proteção das assinaturas digitais Outro ponto crítico da transição criptográfica envolve assinaturas digitais. O ML-DSA, derivado do CRYSTALS-Dilithium, foi escolhido pelo NIST para garantir a autenticidade e a integridade em ambientes sujeitos à ameaça quântica. Na prática, esse algoritmo protege mecanismos utilizados em: ●  autenticação; ●  certificados digitais; ●  assinatura de documentos; ●  validação de software; ●  identidade digital. A escolha do NIST sinaliza uma mudança importante na arquitetura da confiança digital contemporânea. Isso ocorre porque assinaturas digitais sustentam boa parte das operações eletrônicas modernas, desde transações financeiras até infraestrutura governamental. 3. H3 SLH-DSA e a segurança baseada em funções hash O SLH-DSA, derivado do SPHINCS+, também foi padronizado pelo NIST para aplicações de assinatura digital resistentes à computação quântica. Diferentemente do ML-DSA, que é baseado em criptografia de reticulados (lattices), o SLH-DSA utiliza uma abordagem fundamentada em funções hash, tecnologia amplamente estudada e considerada uma das bases mais consolidadas da criptografia moderna. Sua principal função é oferecer uma alternativa criptográfica para cenários que exigem diversidade de mecanismos de segurança e redução de dependência de uma única família matemática. Embora apresente assinaturas maiores e menor eficiência operacional em alguns contextos, o algoritmo amplia as opções disponíveis para organizações que planejam estratégias de transição para a criptografia pós-quântica. Segurança pós-quântica exige agilidade criptográfica A adoção desses padrões não significa uma migração imediata e simples. Ambientes corporativos frequentemente operam com sistemas legados, aplicações distribuídas, dispositivos IoT, múltiplos fornecedores e arquiteturas híbridas. Em muitos casos, algoritmos criptográficos estão profundamente incorporados à infraestrutura. Por isso, não devemos nos concentrar apenas em “qual algoritmo substituirá o RSA”. A prioridade deve ser a construção de agilidade criptográfica, ou seja, a capacidade de adaptar rapidamente mecanismos criptográficos sem comprometer a operação, a interoperabilidade ou a continuidade dos serviços. Esse conceito é importante uma vez que a transição para a segurança pós-quântica não ocorrerá em uma única etapa. Organizações precisarão conviver durante anos com modelos híbridos, que combinem algoritmos tradicionais e algoritmos resistentes a computadores quânticos dentro da mesma infraestrutura. Nesse cenário, inventariar dependências criptográficas, classificar riscos e iniciar testes controlados se tornou parte das estratégias modernas de resiliência cibernética. Como iniciar a transição para a criptografia pós-quântica? A migração para modelos de criptografia pós-quântica não começa pela substituição imediata de algoritmos. O primeiro desafio está em identificar em quais pontos a criptografia já existe dentro da operação. Em muitas organizações, mecanismos criptográficos estão distribuídos entre aplicações legadas, VPNs, certificados digitais, APIs, sistemas de autenticação, dispositivos IoT, bancos de dados e integrações entre ambientes cloud. Parte dessas dependências sequer possui documentação atualizada. Por esse motivo, a transição para modelos de segurança pós-quântica exige uma abordagem baseada em visibilidade, classificação de risco e interoperabilidade. 1) Inventário criptográfico como ponto de partida técnico O primeiro movimento envolve mapear quais sistemas utilizam a criptografia assimétrica e quais algoritmos sustentam essas operações. No dia a dia da organização, isso significa identificar: ●  em que partes RSA e ECC estão implementados; ●  quais aplicações dependem de PKI; ●  quais certificados possuem ciclos longos de renovação; ●  quais integrações utilizam troca de chaves criptográficas; ●  quais ambientes armazenam dados sensíveis de longo prazo. Esse inventário também precisa considerar as dependências indiretas. Muitas aplicações utilizam bibliotecas criptográficas incorporadas por fornecedores terceiros, o que amplia a complexidade da migração criptográfica. Sem essa visibilidade, qualquer estratégia de atualização tende a gerar incompatibilidades operacionais e aumento de superfície de risco. 2) O valor temporal da informação muda a prioridade da migração Nem todo dado exige o mesmo nível de proteção temporal. Informações transitórias possuem impacto limitado caso sejam descriptografadas futuramente. Já dados estratégicos mantêm relevância operacional, jurídica ou financeira durante décadas, fator que transforma completamente a priorização da transição. Ambientes associados a propriedade intelectual, contratos de longo prazo, infraestrutura crítica, registros médicos, pesquisa científica, sistemas governamentais, defesa e telecomunicação costumam exigir ciclos de confidencialidade muito superiores ao tempo médio de renovação tecnológica. É aqui que o modelo Harvest Now, Decrypt Later ganha dimensão prática dentro da governança de risco tecnológico: os ataques contemporâneos somam-se à exposição acumulada de informações que continuarão valiosas no futuro. 3) Interoperabilidade e ambientes híbridos A adoção dos novos algoritmos NIST PQC ocorrerá gradualmente. Durante anos, as organizações precisarão operar em ambientes híbridos, combinando algoritmos tradicionais e algoritmos resistentes a computadores quânticos dentro da mesma infraestrutura. Esse cenário cria desafios importantes de interoperabilidade. Protocolos, aplicações, dispositivos de rede e sistemas legados precisarão manter a compatibilidade sem comprometer o desempenho, a estabilidade ou a autenticação. Por esse motivo, testes controlados começam a ocupar um papel relevante na preparação técnica para a era pós-quântica. O objetivo deve ser não só validar a segurança matemática, mas analisar: ●  o impacto operacional; ●  o consumo computacional; ●  a compatibilidade entre sistemas; ●  o desempenho em ambientes distribuídos; ●  o comportamento de aplicações críticas. A construção dessa capacidade técnica tende a diferenciar organizações preparadas para lidar com a próxima transição criptográfica daquelas que ainda operam exclusivamente sob modelos concebidos para ameaças anteriores. Resumo visual: criptografia tradicional vs. criptografia pós-quântica Aspecto Criptografia tradicional Criptografia pós-quântica Base matemática    Fatoração e curvas elípticas Problemas matemáticos resistentes a quantum Principais algoritmos RSA e ECC ML-KEM, ML-DSA, SLH-DSA Resistência a computadores quânticos Vulnerável Projetada para resistência quântica Cenário de risco     Ataques clássicos Ataques clássicos e quânticos Dependência atual Amplamente utilizada Processo gradual de adoção Objetivo estratégico Segurança contemporânea Proteção de longo prazo Desafio operacional Atualização convencional Agilidade criptográfica e interoperabilidade A transição criptográfica começou antes da ruptura A preparação para a criptografia pós-quântica não está relacionada apenas com a chegada de computadores quânticos plenamente operacionais. O movimento atual surge da combinação entre exposição prolongada de dados, dependência estrutural de algoritmos vulneráveis e necessidade de proteção de informações que continuarão sensíveis nas próximas décadas. Por esse motivo, a transição para modelos de segurança pós-quântica é tratada como um processo contínuo de adaptação arquitetural, e não como uma simples substituição técnica de algoritmos. A adoção dos novos algoritmos NIST PQC, o desenvolvimento de estratégias de agilidade criptográfica e a construção de ambientes preparados para interoperabilidade entre modelos tradicionais e algoritmos resistentes a computadores quânticos fazem parte da evolução natural da segurança digital contemporânea. Ao mesmo tempo, as organizações que iniciam agora processos de inventário criptográfico, classificação de dados sensíveis e testes controlados de interoperabilidade tendem a construir vantagem operacional diante de uma das maiores mudanças já enfrentadas pela infraestrutura de segurança da informação. Nesse cenário, compreender a relação entre computação quântica e criptografia não é um diferencial restrito à pesquisa acadêmica. É preciso levar o conhecimento para compor decisões práticas de arquitetura, governança e continuidade operacional. O futuro da segurança digital começa pela capacidade de se interpretarem riscos tecnológicos antes que eles se tornem incidentes concretos. Sua infraestrutura está preparada para a era quântica? A transição para modelos de segurança da informação quântica exige profissionais capazes de interpretar riscos emergentes, avaliar impactos operacionais e estruturar ambientes resilientes diante da evolução tecnológica. As formações da ESR aprofundam temas ligados a: ●  resiliência cibernética; ●  governança de risco tecnológico; ●  segurança de redes; ●  interoperabilidade criptográfica; ●  proteção de dados sensíveis; ●  arquiteturas seguras para ambientes distribuídos. Conheça as formações da ESR voltadas para segurança, redes e gestão de riscos tecnológicos. Quero conhecer a ementa da melhor formação  do Brasil em Gestão de Risco e Segurança de Redes FAQ – Perguntas frequentes sobre criptografia pós-quântica 1) O que é criptografia pós-quântica? A criptografia pós-quântica reúne algoritmos desenvolvidos para resistir a ataques executados por computadores quânticos, protegendo dados de vulnerabilidades previstas para modelos criptográficos atuais. 2) O que significa Q-Day? O Q-Day representa o momento em que computadores quânticos terão capacidade prática de quebrar algoritmos criptográficos amplamente utilizados atualmente, como RSA e ECC. 3) O que é o ataque Harvest Now, Decrypt Later? É uma estratégia em que informações criptografadas são coletadas hoje para serem descriptografadas futuramente, quando houver capacidade computacional suficiente para quebrar os algoritmos atuais. 4) Quais algoritmos estão sendo substituídos? Os principais modelos sob risco são RSA e ECC, utilizados em certificados digitais, VPNs, autenticação, assinaturas eletrônicas e protocolos de comunicação segura. 5) O que são ML-KEM e ML-DSA? São algoritmos selecionados pelo NIST como parte dos novos padrões de segurança pós-quântica. O ML-KEM é voltado para a troca de chaves criptográficas, enquanto o ML-DSA protege assinaturas digitais. 6) A computação quântica já representa um risco real? Sim. Embora computadores quânticos capazes de quebrar criptografia em larga escala ainda estejam em evolução, dados capturados atualmente podem ser armazenados para descriptografia futura. 7) O que é agilidade criptográfica? É a capacidade de adaptar rapidamente mecanismos criptográficos dentro da infraestrutura sem comprometer a continuidade operacional, a compatibilidade entre sistemas ou a segurança. 8) A criptografia pós-quântica substitui imediatamente os modelos atuais? Não. A transição será gradual e envolverá ambientes híbridos, combinando algoritmos tradicionais e algoritmos resistentes a computadores quânticos durante muitos anos. Quero conhecer a formação da ESR