DigiCert は、耐量子暗号（PQC）に関する第2回世界規模調査の結果を発表しました。それによると、組織は量子時代に向けた準備を積極的に進めているものの、導入面での目に見える進展はごくわずかにとどまっています。
同社が新たに公表したQuantum Readiness Outlookによると、組織の87%がPQCの取り組みを計画・テスト・実装していると回答しています。しかし導入率は昨年の調査から2ポイント増加したにとどまり、デジタル証明書の大部分に量子耐性暗号またはハイブリッド暗号を導入済みの組織はわずか7%に過ぎません。
この報告書は、米国、英国、オーストラリアのIT・サイバーセキュリティ意思決定者1,001人を対象とした調査に基づくもので、DigiCertが「実行ギャップ」の拡大と呼ぶ状況を浮き彫りにしています。組織の多くは認知段階をすでに脱しているものの、戦略を全社的な実装へと落とし込むことに苦慮しているというのです。
回答者の半数以上（50%）が、現行の暗号化標準は今後5年以内に破られる可能性があると考えており、85%は10年以内に破られると見込んでいます。こうした時間軸の短縮化にもかかわらず、企業の量子対応の進展はこの12カ月でわずか2ポイントの増加にとどまりました。
DigiCertのプロダクトマネジメント担当シニアディレクター、Kevin Hilscher氏は次のように述べています。「耐量子暗号への移行は、単なる技術のアップグレードというよりも、より広範なモダナイゼーションの一環と言えます。今日クリプトアジリティ（暗号の俊敏性）に投資する組織は、変化する標準や新興技術、将来のビジネス要件に対応できる柔軟性を築いています。それこそが長期的なレジリエンスを生み出すのです。しかし今回の調査結果が示しているのは、まさにこの点で組織が苦戦しているということです。つまり、戦略をどのように全社的な実行へとつなげるかという課題です」
この移行の緊急性を後押ししているのが、いわゆる「Harvest Now, Decrypt Later(HNDL)」攻撃です。これは、攻撃者が今日のうちに暗号化データを収集しておき、十分な性能を持つ量子コンピューターが登場した時点で復号しようとする手口です。組織の84%が、暗号化データの少なくとも一部はすでにこの種の攻撃に対して脆弱であると考えており、3分の1以上が暗号化データの25%超が危険にさらされていると回答しています。回答者の最多を占める39%が、量子耐性暗号への移行には3年から5年かかると見込んでおり、量子リスクが遠い将来の技術的課題ではなく、現在進行形のビジネス上の懸念として捉えられつつあることを裏付けています。
量子復号が実現可能になった際に攻撃者が真っ先に狙うと見られる資産として、金融取引記録や銀行データが挙げられ、それに次いで暗号資産の秘密鍵やウォレットが指摘されました。回答者はまた、企業の知的財産、政府・軍事関連データ、政治的にセンシティブな情報も挙げており、著名な情報漏えい事件を例に、これらの情報が今後何年にもわたって攻撃者にとって価値を持ち続ける可能性があると指摘しています。
その他の調査結果
- 量子復号が可能になった際に真っ先に狙われる可能性が最も高いとされたのは金融取引記録や銀行データで、これに暗号資産の秘密鍵やウォレットが続く
- 組織の50%が量子リスク評価を実施済み、44%が移行計画の策定と暗号インベントリの作成を完了
- 回答者の6%が、レガシーシステム全体にわたる複雑さを導入における最大の障壁と回答し、予算制約やパフォーマンスへの影響を上回った。これにより、標準に関する不確実性や経営層の支援不足が主な障壁とされていた従来の傾向が入れ替わった
- 小売業界は主要業界の中で準備状況が最も低く、一方で製造業は「非常に準備が整っている」と「まったく準備ができていない」に回答が二分され、最も意見の割れた業界となった。医療技術（MedTech）および通信・メディア業界は、準備状況について最も高い自信を示した
- 量子対応で「先進的」と自認する組織の割合が最も高かったのは英国（18%）で、これに米国（17%）、オーストラリア（10%）が続いた
業界・規制面での圧力が高まる
DigiCertの報告書は、大手テクノロジーベンダーや各国政府が自らの移行スケジュールを前倒しする中で、組織が準備を整えるための猶予期間が狭まりつつあると指摘しています。Googleは2029年をPQCへの移行目標に掲げており、Microsoftもこれに続く形で同様の戦略を打ち出しています。また、米国の最近の大統領令は連邦政府に対し自らの移行を加速するよう促しています。米国立標準技術研究所(NIST)が2024年8月に耐量子暗号標準を公表したことも、組織にとってより明確な技術的道筋を示すものとなりました。DigiCertによれば、これは各業界における計画の加速に寄与したものの、導入そのものの加速にはまだつながっていないといいます。
調査対象となったリーダーの大半は、量子耐性暗号を全社的に導入するには3年から5年かかると見込んでおり、それを実現する上での最大の障壁としてレガシーシステム全体にわたる複雑さを挙げています。
