ポスト量子暗号は、業界にとって突然の出来事ではありませんでした。
セキュリティチーム、標準化団体、ハイパースケーラー、各国政府は長年にわたり、同じ未来を見据えてきました。暗号学的に意味のある量子コンピュータがいずれ、現在のエンタープライズセキュリティを支える公開鍵アルゴリズムを破壊するという現実です。最新の大統領令は新たな脅威を持ち込むものではありません。業界がこれまで長く認識してきた事実を明文化し、期限を定めたものです。
CISOにとって、この問題の捉え方の変化は重要です。PQCは本質的に、暗号の問題ではなく「備えの問題」です。Googleが量子技術のロードマップを加速させ、連邦機関がPQCを中心にセキュリティアーキテクチャを再構築する様子を目の当たりにすれば、その重大性を無視することはできません。取締役会ではすでに「ポスト量子への移行について、現時点でどのように考えているのか」という問いが上がっています。ほとんどの組織では、その問いと説得力のある回答との間に、あるべき以上に大きな開きが存在しています。
大統領令の対象範囲は明確です。PQCはもはや研究段階を超え、具体的な期限と責任体制を持つ実効的な政策となりました。連邦機関、請負業者、重要インフラの運営者、そしてそれらを支える民間セクター全体に直接的な影響が及びます。
連邦政府の重要システムは、2030年12月31日までに鍵確立をPQCに移行しなければなりません。デジタル署名については、2031年12月31日が期限となります。
これらの期限は遠い先のことのように見えるかもしれませんが、調達サイクル、アーキテクチャレビュー、組織変革管理を伴うエンタープライズ規模のセキュリティ変革を経験した者なら誰でも分かるとおり、2030年は現在の計画地平線の中にすっぽりと収まっています。秩序ある移行のための時間的余裕は、すでに狭まりつつあります。
その窓をさらに狭めているのは、最も差し迫ったリスクが期限とは無関係だという点です。「今収集して後で復号する（Harvest Now, Decrypt Later）」攻撃はすでに実行段階に入っています。国家レベルの攻撃者は現在、量子能力が復号に十分なレベルに達するまで暗号化データを収集・保管しています。その対象は、知的財産、医療記録、金融取引、ソースコード、政府通信など多岐にわたります。現時点でこれらのデータを守っている暗号化は、事実上「時限爆弾」のような脆弱性となっています。長期保存が必要な機密データは、何年も後になるまで表面化しない形ですでに危険にさらされている可能性があります。
CISOにとって最初のステップは、「認識」から「責任を持った対応」への転換です。
PQCへの備えは、個々のアプリケーションチームに委任したり、将来のコンプライアンスチェックリストとして扱ったりすることはできません。大統領令の説明責任要件を考えれば、そのようなアプローチでは通用しません。すべての組織に責任者が必要です。プログラムリード、部門横断的な運営委員会、あるいは専任の暗号リスク担当部門など、形は問いません。構造がどのような形であれ、適切な権限と経営幹部レベルでの発言力が不可欠です。
この責任体制は、セキュリティ、IT、インフラ、エンジニアリング、製品、法務、コンプライアンス、調達、ビジネス部門のステークホルダーにまたがって機能しなければなりません。暗号は企業全体に組み込まれています。証明書、鍵、プロトコル、API、ハードウェア、クラウドサービス、コード署名システム、アイデンティティインフラ、サードパーティプラットフォームなど、あらゆる場所に存在しています。一つのチームだけでこれを対処する余力はありません。部門横断的なワーキンググループや卓越センター（Center of Excellence）は、これからの時代における組織の必須要件となるべきです。
可視性の確保が極めて重要になります。そして多くの組織にとって、最も大きなギャップが見つかるのもここです。
CISOは、自社環境のどこに暗号が存在するかを明確に把握する必要があります。使用しているアルゴリズムは何か、脆弱な暗号に依存しているシステムはどれか、長期的な機密性が求められるデータは何か、移行によってどのビジネスプロセスが影響を受けるか――こうした点を正確に把握しなければなりません。そのような棚卸しがなければ、リスク評価は当て推量となり、対策は不可能になります。また規制当局や取締役会への進捗報告も、根拠のない憶測に頼ることになってしまいます。
原則はシンプルです。見えないものは守れません。
さらに、暗号の棚卸しは年に一度更新して保管しておく静的なスプレッドシートであってはなりません。証明書、鍵、アルゴリズム、ライブラリ、プロトコル、署名システム、認証局、HSM、ワークロード、デバイス、サードパーティへの依存関係を網羅する、組織のトラストインフラの「生きた情報」として機能する必要があります。
可視性が確保されれば、優先順位はビジネスへの影響度に基づいて決定されます。長期保存の機密データ、重要インフラ、顧客の信頼、ソフトウェアの完全性、規制対象環境を守るシステムを最優先とし、それ以外は影響度に応じて順序立てて移行を進めます。
可視性の確保に加え、CISOには大統領令のマイルストーンに合わせたロードマップが必要です。資金の裏付けのないまま絵に描いた餅に終わる「夢の計画書」ではなく、実行可能な行動計画でなければなりません。
2030年の鍵確立の期限に対応するためには、重要システム全体で暗号化と鍵交換のメカニズムが機能するすべての箇所を把握する必要があります。2031年のデジタル署名の期限は、その課題をソフトウェアの完全性、コード署名、文書署名、認証、アイデンティティインフラ、そして長期的な検証にまで広げます。これは複数年にわたる変革プログラムであり、同規模の他のエンタープライズ全体の取り組みと同等の組織的厳密さが求められます。
これは3つのカテゴリにわたる専用リソースを意味します。第一に、資金確保：PQCへの備えは、他の優先事項を圧迫することなく既存のセキュリティ予算に吸収することはできません。発見ツール、テスト、移行実行、自動化、ガバナンスへの複数年にわたる投資が必要です。第二に、人材：組織には暗号の専門知識、エンタープライズアーキテクチャの能力、PKIの経験、リスク管理、コンプライアンスサポート、プログラムリーダーシップが必要ですが、この組み合わせはすでに業界全体で不足しています。第三に、テクノロジー：発見ツール、証明書と鍵のライフサイクル自動化、ポリシー適用、レポートインフラ、そして暗号アジリティのためのアーキテクチャ能力が必要です。
暗号アジリティ（crypto-agility）こそが、この移行をきちんと進める価値を生む長期的な目標です。
PQCを一度限りのアルゴリズム交換として扱う組織は、標準が再び変化したとき、同じ立場に逆戻りすることになります。量子への移行は、AI、マシンアイデンティティ、自律システム、そして暗号による信頼に依存する複雑なデジタルエコシステムの台頭と並行して進んでいます。そのトラストインフラを能動的に管理しない組織は、AIセキュリティ、ソフトウェアサプライチェーンの完全性、アイデンティティガバナンス、そして続くコンプライアンス要件への対応に苦しむことになります。
大統領令は強制的な仕組みとして機能し、PQCを将来の技術的課題から、現在進行形のリーダーシップの責任へと転換しています。組織の現在地を示す問いは、今や3つに集約されます。
- 暗号リスクがどこに存在するかを明確に把握しているか
- 大統領令の期限を満たす、資金の裏付けがある段階的な移行計画を持っているか
- 標準と脅威の進化に対応できるだけのアジリティを持つトラストインフラであることを証明できるか
量子コンピュータが現実になる正確な時期をめぐる議論は、本質から目をそらすものです。確信を持って行動するために必要な可視性、ガバナンス、資金、自動化を構築することこそ、私たちが集中すべき領域です。
CISOはもはや「行動すべきか否か」という問いを超えています。今問うべきは、組織がすでにどれほど遅れているか、そして暗号を見えない依存関係から管理可能で測定可能な、適応力を持つ信頼のシステムへとどれだけ迅速に変革できるか、という点です。今すぐその取り組みを始めた組織こそが、期限が到来したときに選択肢を持てる組織となります。
翻訳元: https://cyberscoop.com/post-quantum-cryptography-readiness-ciso-deadlines-op-ed/
