A infraestrutura de segurança digital no Brasil entrou em uma etapa decisiva de transição tecnológica. Com a publicação e desdobramento das diretrizes da Instrução Normativa nº 35/2026 do Instituto Nacional de Tecnologia da Informação (ITI), o país formalizou a incorporação de algoritmos de Criptografia Pós-Quântica (PQC, na sigla em inglês) aos padrões da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil). A medida, acompanhada de perto por estudos técnicos do Banco Central e de grandes instituições financeiras, estabelece os alicerces para proteger comunicações governamentais, transações econômicas e dados sensíveis antes da chegada de computadores quânticos operacionais de larga escala.
A revisão da ICP-Brasil e a incorporação de padrões globais
A atualização do documento fundamental de Padrões e Algoritmos Criptográficos da ICP-Brasil (versão 6.0) reflete um esforço de alinhamento com os padrões consolidados pelo National Institute of Standards and Technology (NIST), dos Estados Unidos. Entre os algoritmos introduzidos no ecossistema nacional estão o ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism), voltado ao encapsulamento e troca segura de chaves, e o ML-DSA (Module-Lattice-Based Digital Signature Algorithm), destinado a assinaturas digitais resistentes a ataques quânticos.
A revisão estrutural altera uma postura historicamente reativa da certificação digital no país. Durante décadas, a segurança da informação baseou-se em esquemas matemáticos como RSA e curvas elípticas (ECC). Esses métodos garantem o sigilo das operações digitais porque computadores clássicos levariam milhares de anos para fatorar números inteiros gigantescos ou resolver problemas de logaritmo discreto. Contudo, computadores quânticos equipados com processadores estáveis e executando o algoritmo de Shor poderão romper essas barreiras matemáticas em questão de horas.
Segundo o cronograma técnico estabelecido pelo ITI, as plataformas de identificação e validação documental, incluindo camadas avançadas da Assinatura Gov.br, já iniciaram a homologação de chaves híbridas — que combinam métodos tradicionais e algoritmos pós-quânticos simultaneamente —, assegurando compatibilidade com sistemas legados sem abrir mão da blindagem preventiva.
A ameaça silenciosa do modelo ‘Harvest Now, Decrypt Later’
Embora a quebra prática de chaves criptográficas robustas por processadores quânticos ainda dependa da superação de barreiras de engenharia física, a urgência regulatória é ditada por uma modalidade específica de ataque: a estratégia de captura antecipada (conhecida internacionalmente como Harvest Now, Decrypt Later, ou capture agora para decifrar depois).
Atores hostis e grupos de espionagem cibernética já interceptam e armazenam volumes massivos de tráfego cifrado de governos, infraestruturas críticas e conglomerados financeiros. A intenção é guardar esses dados congelados até que a computação quântica alcance maturidade suficiente para decifrá-los. Para segredos industriais, prontuários de saúde de longo prazo, registros de inteligência de Estado e contratos financeiros com vigência de décadas, o risco não reside no futuro distante, mas na exposição imediata do tráfego capturado no presente.
Impacto no sistema bancário, Drex e pagamentos instantâneos
No setor financeiro, o Banco Central do Brasil acompanha as discussões sobre riscos cibernéticos emergentes e a necessidade de resiliência a longo prazo. O foco principal das áreas de tecnologia e regulação bancária repousa na governança de sistemas de liquidação em tempo real, como o Sistema de Pagamentos Instantâneos (SPI, base do Pix), as redes do Open Finance e os projetos de tokenização ligados ao Drex.
O conceito central adotado pelos bancos e desenvolvedores de infraestrutura financeira é o da ‘agilidade criptográfica’. Trata-se da capacidade arquitetural de substituir chaves, cifras e primitivas de segurança de forma modular, sem que seja necessário reprogramar plataformas inteiras ou interromper operações diárias. Testes conduzidos em ambientes controlados avaliam o impacto de algoritmos pós-quânticos sobre a latência e o consumo de largura de banda, já que chaves e certificados quântico-resistentes possuem tamanhos consideravelmente superiores aos modelos convencionais.
A Associação Brasileira de Bancos (ABBC) e a Federação Brasileira de Bancos (Febraban) mantêm grupos de trabalho dedicados a catalogar dependências criptográficas, analisando desde módulos de segurança em hardware (HSMs) instalados em datacenters até aplicações de internet banking e pontos de captura em terminais físicos.
Etapas práticas para adequação corporativa
Especialistas em segurança da informação destacam que a transição para a criptografia pós-quântica exige planejamento prévio por parte de companhias de tecnologia e administradoras de serviços digitais. O processo de migração sustentável envolve etapas fundamentais:
- Inventário criptográfico: Mapeamento detalhado de todos os certificados TLS/SSL, algoritmos de criptografia em repouso e em trânsito, chaves assimétricas e bibliotecas utilizadas em aplicações internas e de terceiros;
- Avaliação de ciclo de vida dos dados: Identificação de informações cuja confidencialidade precisa ser resguardada por mais de cinco a dez anos, priorizando a proteção desses ativos contra interceptação imediata;
- Atualização de hardware e firmware: Consulta a fornecedores de equipamentos de infraestrutura (como HSMs, roteadores corporativos e appliances de segurança) sobre roteiros de compatibilidade com ML-KEM e ML-DSA;
- Adoção progressiva de certificados híbridos: Implementação de pilotos com chaves de dupla camada em canais de comunicação não críticos antes da obrigatoriedade definitiva em normas setoriais.
O avanço das regulamentações brasileiras coloca o país no grupo de jurisdições que começam a pavimentar regras formais para a coexistência de sistemas legados com criptografia avançada. A transição, que deve se estender por toda a década, redefine os padrões de soberania digital, governança técnica e conformidade regulatória nas comunicações públicas e privadas.
Instituto Nacional de Tecnologia da Informação (ITI) e Banco Central do Brasil
