Your financial client is deeply concerned about new cybersecurity regulations, including emerging government mandates for quantum-safe transitions (for example, the US executive order for 2031). They ask, "What is most important action we should take to address these upcoming regulatory requirements and manage the associated threat?" Select the best response.
Questão
Your financial client is deeply concerned about new cybersecurity regulations, including emerging government mandates for quantum-safe transitions (for example, the US executive order for 2031). They ask, "What is most important action we should take to address these upcoming regulatory requirements and manage the associated threat?" Select the best response.
Alternativas
Formalize a cryptography posture that addresses operational risk and regulatory compliance requirements by incorporating IT observability and telemetry to prioritize data remediation efforts.
Deploy hybrid quantum-safe cryptographic algorithms in a development environment to identify best-fit remediation patterns and validate product performance before initiating a full-scale production migration.
Create a C-level quantum-safety council to quantify cryptographic risks in financial terms and define business cases for investing in quantum-safe technologies aligned to the firm's specific needs.
Establish a comprehensive CBOM to discover all cryptographic assets and dependencies across the environment, providing the foundational visibility required to assess vulnerabilities and build a compliant transition roadmap.
Explicação
Para atender a requisitos regulatórios de transição para criptografia quantum-safe, o passo mais crítico e prioritário é saber exatamente onde e como a criptografia é usada na organização.
-
Regulações e mandatos exigem evidências e plano: para construir um roadmap de migração (e demonstrar conformidade), é necessário inventariar algoritmos, bibliotecas, certificados, chaves, protocolos e dependências (aplicações, serviços, fornecedores).
-
Sem inventário não há priorização nem remediação eficaz: ações como testar algoritmos híbridos, criar conselho executivo ou definir postura/telemetria são úteis, mas todas dependem de visibilidade prévia. Se você não sabe “o que existe” e “onde está”, não consegue:
- identificar exposições (ex.: sistemas com RSA/ECC, TLS, assinaturas, PKI),
- classificar por criticidade e prazos,
- estimar esforço/custo e riscos,
- comprovar para auditoria o escopo e o progresso.
- CBOM (Cryptography Bill of Materials) é justamente o artefato que dá essa visibilidade fundamental, permitindo mapear ativos criptográficos e dependências e então montar um plano de transição compatível com compliance.
Logo, a melhor resposta é estabelecer um CBOM abrangente como base para todas as demais iniciativas.
Alternativa correta: (D).