企業は量子コンピューティングがもたらすセキュリティ課題への備えができていると考えているものの、責任所在、テスト、可視性のギャップが耐量子暗号(PQC)への移行を複雑にする恐れがあることが、Axiadの新たな調査で明らかになりました。
PQC移行の責任者は誰か(出典: Axiad)
組織はPQC移行を計画する前に、証明書、暗号鍵、アルゴリズムがどこで使われているかを把握しておく必要があります。回答者の約75%は、これらの資産について継続的に更新される棚卸しを維持していると回答しました。しかし、責任所在やテストに関する回答を見ると、可視性の高さが必ずしも移行への準備が整っていることを意味しないことがわかります。
「PQCへの備えは、組織が『把握できていると思っている』ことに基づいて判断すべきではありません。実際に見え、検証でき、行動に移せることに基づく必要があります」と、Axiadの最高経営責任者(CEO)であるDavid Canellos氏は述べています。
「組織は自社の証明書、鍵、暗号アルゴリズムがどこにあるかを把握していると考えているかもしれませんが、今回の調査では、『移行の責任者は誰か』『実際に何がテストされたか』『組織のどこにリスクが残っているか』を問われると、その自信が崩れてしまうことが示されています。ポスト量子時代への備えの第一歩は、暗号環境を継続的に可視化し、リーダーが憶測を証拠に置き換えられるようにすることです」
PQC移行に明確な責任者が不在
組織の46%は、PQC移行を主導する責任者を一人も定めていません。こうした組織の多くは、一人に統括を任せるのではなく、チーム全体に責任を分散させています。同レポートによると、39%が「責任はチーム全体で共有されており、単独の責任者はいない」と回答しました。
明確な責任者の存在が重要なのは、PQC移行が数年にわたる可能性があり、暗号化、電子署名、認証に使われるシステムに影響を及ぼすためです。作業を調整する責任者がいなければ、組織はセキュリティ上の目標を移行計画や予算、テストスケジュールに落とし込むのに苦労しかねません。
回答者の約半数は、自社の公開インフラがポスト量子鍵交換に対応しているかどうかを正式に評価したことが一度もなく、どこに変更が必要になるかについての洞察が限られています。
経営層は現場担当者より楽観的
役職が上がるほど自信は高まる一方、証明書や鍵を管理するPKI専門家の間では、暗号への備えに対する楽観度が急激に低下しています。この傾向は、備えを測る他の指標でも同様に見られます。Axiadは、実務担当者のサンプル数が少なかったことを踏まえ、この結果は正確な推計値ではなく、傾向を示すものとして捉えるべきだと注意を促しています。
この調査結果は、経営層が自らのチームでは検証できないレベルの備えを報告しているか、あるいは実務担当者が組織内の他部署で行われている棚卸しや評価の状況を把握できていないかのいずれかを示唆しています。このギャップは、PQCの計画立案に直接的な影響を及ぼします。移行のタイムラインは、既存の暗号システムに対する正確な理解に依存しているためです。
「今収集し、後で復号する」攻撃が対応を迫る
この移行を後押ししているのは「ハーベスト・ナウ、デクリプト・レイター(今収集し、後で復号する)」という脅威でもあります。攻撃者は暗号化されたデータを収集して保持し、将来の量子コンピュータがそれを復号できるようになることを見込んでいます。
このリスクは、医療、金融、機密情報など、何年にもわたって機密性を保つ必要のあるデータにおいて特に重要です。回答者の約67%が、この脅威は現在進行中の優先課題であり、具体的な対策に着手していると回答した一方、3分の1は具体的な対策を何も取っていませんでした。
備えができていると考えている組織であっても、PQCプロジェクトを前進させる上で課題に直面しています。移行の妨げとして最も多く挙げられた要因は、他のセキュリティ課題との優先順位の競合で、これに予算の制約や規制上のガイダンスをさらに求める声が続きました。
翻訳元: https://www.helpnetsecurity.com/2026/08/21/axiad-pqc-migration-readiness-gaps-report/
