Substituir um algoritmo de criptografia não deveria levar meses. No entanto, em muitas grandes organizações, é isso o que acontece.
E por que? Isso porque a criptografia geralmente está integrada diretamente às aplicações. Cada aplicação sabe qual algoritmo utilizar, qual chave acionar e como executar cada operação. Se qualquer um desses parâmetros for alterado, é preciso modificar o código, realizar novos testes e verificar a existência de falhas antes de qualquer implementação. Multiplique isso por dezenas de sistemas e várias equipes, e uma atualização "simples" de algoritmo transforma-se em um projeto caro e demorado, cujo custo total raramente é contabilizado no orçamento original de criptografia.
A agilidade criptográfica inverte essa lógica. As aplicações simplesmente solicitam o que precisam a um backend criptográfico, e esse backend gerencia os algoritmos, as chaves e as políticas. Basta substituir um algoritmo nesse nível para que todas as aplicações sejam beneficiadas, sem necessidade de reescrever o código.
E como? É aí que entra a criptoagilidade. Significa criar uma arquitetura na qual as aplicações não precisam conhecer os detalhes complexos da criptografia que utilizam. Em vez disso, elas solicitam o serviço necessário a uma infraestrutura criptográfica de retaguarda (backend), responsável por aplicar os algoritmos, as chaves e as políticas adequadas. Se uma empresa precisar substituir um algoritmo específico no futuro, o objetivo é que essa alteração ocorra nessa camada de retaguarda, sem obrigar a organização a reescrever todas as aplicações que dependem dela. Embora isso possa parecer uma discussão puramente técnica, na prática, estamos falando de reduzir a complexidade e estabelecer uma base que deixe a empresa mais bem preparada para mudanças.
Essa discussão ficou mais urgente com a chegada da criptografia pós-quântica. Analistas de destaque e líderes do setor, do Gartner ao Google preveem que os avanços na computação quântica tornarão insegura, até 2029, a criptografia assimétrica da qual as organizações dependem atualmente. As empresas devem começar a inventariar seus ativos criptográficos e tratar a criptoagilidade como parte de sua preparação para esse novo cenário.
O Gartner colocou a criação de um inventário criptográfico corporativo — para assegurar a criptoagilidade e prontidão pós-quântica — como um projeto que os CISOs devem priorizar em 2026. Muitas organizações estão atrasadas em relação ao cronograma. Não significa que tudo deixará de funcionar em 2029, mas esperar para começar a mudança quando a ameaça estiver plenamente materializada pode ser tarde demais.
Além disso, a ameaça atual de "coletar agora para descriptografar depois" (Harvest Now
A criptoagilidade, porém, não deve ser confundida com criptografia pós-quântica. A PQC é uma das razões que tornam essa discussão urgente, mas não é a única. Algoritmos podem se tornar vulneráveis, padrões de segurança mudam e novas exigências regulatórias aparecem. Hoje estamos falando sobre a ameaça quântica; daqui a alguns anos, o motivo para substituir uma tecnologia criptográfica pode ser outro. Uma arquitetura criptoágil procura justamente diminuir o impacto dessas mudanças. Em determinadas situações, algo que antes exigiria desenvolvimento e uma nova implantação pode se transformar em uma alteração de configuração ou de política no backend criptográfico.
Há também uma vantagem que costuma receber menos atenção, tempo e dinheiro. Quando determinados serviços e políticas criptográficas são organizados em uma camada especializada, a empresa pode reduzir integrações ponto a ponto, simplificar a administração de chaves e diminuir o esforço de desenvolvimento e testes. Uma integração bem desenhada pode continuar sendo utilizada mesmo quando a tecnologia criptográfica por trás dela muda. Para as equipes de TI, isso significa menos retrabalho. Para o negócio, significa a possibilidade de lançar ou adaptar serviços com mais rapidez e reduzir parte dos custos associados a mudanças que, em um modelo tradicional, poderia impactar diversas áreas da organização.
No setor financeiro, essa questão fica ainda mais evidente. Bancos, adquirentes, emissores, subadquirentes e fintechs convivem com ambientes nos quais podem existir centenas ou milhares de chaves e relações criptográficas. Cada chave precisa ser criada, distribuída, armazenada, trocada e controlada de maneira segura. E muitos desses processos ainda carregam etapas operacionais e procedimentos construídos ao longo de décadas.
Não se trata de desmontar amanhã tudo o que as empresas construíram até hoje. Grandes organizações investiram em HSMs, salas seguras, processos de custódia, auditorias, certificações e equipes especializadas. Tudo isso tem valor e continuará sendo necessário de uma forma ou outra.
O objetivo é criar um caminho para que a infraestrutura evolua sem exigir uma ruptura a cada mudança tecnológica. A adoção da criptoagilidade pode ser gradual, convivendo com os ambientes existentes enquanto novas aplicações e novos projetos possam ser desenvolvidos com uma arquitetura mais preparada para mudanças.
As organizações precisam identificar, priorizar, planejar e fazer a migração de seus ativos criptográficos, algoritmos, chaves e certificados com mais facilidade como parte da preparação pós-quântica.
A evolução natural será a adoção de um modelo de criptoagilidade. Não é preciso correr para mudar tudo de uma vez, mas é preciso começar. A melhor infraestrutura criptográfica não será aquela que tenta prever qual tecnologia permanecerá segura para sempre, mas aquela preparada para mudar quando for necessário — sem obrigar a empresa a começar tudo de novo.
Por Rafael Silva, Diretor da Futurex Brasil
