Criação e manutenção de um inventário criptográfico para a migração pós-quântica

Objetivo

Situação em 25 de outubro de 2026. Criar um inventário sustentado por evidências que apoie decisões de migração e continue útil após mudanças na implantação. Conferir novamente as perguntas frequentes de migração do NIST, atualizadas continuamente, e o esquema CycloneDX escolhido para o intercâmbio. Este procedimento propõe um registro operacional, sem afirmar que um scanner possa descobrir todas as dependências criptográficas.

O NIST descreve um inventário que abrange sistemas, aplicações, serviços, dispositivos e fluxos de dados. O CycloneDX fornece um modelo para algoritmos, chaves, certificados e suas relações com componentes de software. Essas relações técnicas são informações úteis; as responsabilidades e as decisões de migração ainda precisam ser registradas.

Pré-requisitos

Escolher um serviço com escopo delimitado e um responsável. Obter sua arquitetura, os inventários de software e hardware, os registros de certificados, a configuração e observações autorizadas em tempo de execução. Incluir fornecedores quando uma dependência for gerida externamente. Registrar explicitamente o que é desconhecido, em vez de presumir que a ausência de um resultado significa ausência de criptografia.

Passos

1. Mapear os fluxos de dados e os limites de confiança do serviço. Criar registros separados para conexões terminadas externamente, conexões internas, dados armazenados e verificação de assinaturas. Identificar quais dados precisam de confidencialidade por um longo período e quais assinaturas devem continuar verificáveis.
2. Registrar a finalidade criptográfica, o algoritmo ou conjunto de parâmetros exato, o tamanho da chave quando aplicável, o protocolo e o grupo negociado. Distinguir uma capacidade implementada, uma configuração habilitada e o uso observado. Evitar um único campo sim/não de pós-quântica para um serviço inteiro.
3. Anexar o contexto da implementação: versões de bibliotecas e ambientes de execução, identificador do pacote ou da imagem, provedor, local da configuração, cadeia de certificados e algoritmo de chave pública. Registrar o modelo do hardware e as dependências de firmware quando um HSM ou appliance limitar as atualizações. Armazenar identificadores de chaves e metadados de custódia, nunca chaves privadas, segredos compartilhados ou material de recuperação.
4. Acrescentar evidências e responsabilidades. Para cada entrada, guardar o método de coleta, o horário da observação, o ambiente, a equipe responsável e a referência da fonte. Indicar se a evidência veio de inspeção do código-fonte, configuração, documentação do fornecedor ou conexão observada. Tratar divergências como tarefas a resolver, não como valores a mesclar silenciosamente.
5. Exportar os ativos técnicos e suas relações como uma CBOM CycloneDX usando um esquema suportado pelas ferramentas receptoras. Validar a exportação em relação a esse esquema. Vinculá-la ao inventário de software e manter um registro complementar de responsabilidades de negócio, necessidades de retenção, limitações dos fornecedores, exceções e ação de migração proposta.
6. Atualizar o registro quando houver mudanças em software, firmware, certificados, políticas ou caminhos de terminação. Revisar as diferenças durante a aprovação da implantação. Atribuir um responsável e um próximo momento de revisão a cada dependência não resolvida; guardar as evidências que explicam uma decisão de migração anterior.

Resultado esperado

O responsável consegue relacionar os dados protegidos a um protocolo, uma implementação e uma parte responsável, distinguir observações confirmadas de suposições e identificar a próxima tarefa prática de migração. Uma nova versão produz mudanças no inventário que podem ser revisadas.

Limites e base de verificação

Nenhuma ferramenta de descoberta nem parque de sistemas foi testado para este artigo. Uma validação de esquema bem-sucedida comprova a estrutura do documento, não sua completude nem sua correção criptográfica. Evidências de rede não comprovam todo o comportamento de assinatura offline ou armazenamento. Restringir o acesso ao inventário porque seus metadados descrevem infraestrutura sensível, mesmo quando não contém material secreto.