OTやIoTデバイスに依存する業界のIT責任者は、デバイスを流れるデータを「今収集し、後で解読する（harvest now, decrypt later）」攻撃などの量子の脅威から守るという、困難な課題に直面しています。
耐量子暗号の導入は、セキュリティ責任者にさまざまな課題を突きつけます。なかでもIoTやオペレーショナルテクノロジー（OT）デバイスに依存する業界のCISOは、量子対応に向けて特に厳しい道のりをたどる可能性があります。長年にわたって機密性を保つ必要のある情報がこれらのデバイスを通過する場合は、なおさらです。
サイバーセキュリティ企業Forescoutの最新レポートは、医療業界におけるこうした課題を取り上げています。医療業界では、病歴、診断画像、検査結果など、作成後も長く機密性を保ち続ける情報が、さまざまな業務システム間で日常的にやり取りされています。
攻撃者がこうした情報を含む暗号化通信を今のうちに収集して保存しておけば、十分な性能を持つ量子コンピュータが実用化された時点で解読できます。セキュリティ専門家はこの手法を「harvest now, decrypt later（今収集し、後で解読する）」（HNDL）と呼んでいます。
Forescoutの研究者らは、50以上の組織にわたる250万台超のデバイスを調査したレポートの中で、次のように指摘しています。「医療分野におけるPQC（耐量子暗号）への移行は、データの機密性だけでなく、患者の安全にも関わる問題です。暗号は、医療機器に送信されるコマンド、診断目的で機器から受信するテレメトリ、投薬指示、その他の機微なやり取りを保護しています。量子の脅威としては、認証に使われる公開鍵を悪用した不正なリモートアクセス、通信を解読することによる機器間通信の改ざん、ファームウェアの完全性を保証する署名を悪用した高度なマルウェアなどが挙げられます」
稼働中のサーバであれば、PQCへのアップグレードは比較的容易です。標準化されたPQCアルゴリズムは、ライブラリパッケージの更新と設定変更で実装できます。一方、医療現場で使われるような組み込みデバイスでは、製造元によるファームウェアの全面的な更新が必要です。しかも、そのアップグレードでは、同時に更新されない可能性のある他のシステムとの後方互換性を維持しなければなりません。認証を受けた機器の場合は、再認証が必要になることもあります。
この問題は医療にとどまりません。産業設備や、OTまたはIoTデバイスが機微なデータや事業上重要なデータを扱うあらゆる場面に当てはまります。
先月、G7サイバーセキュリティ作業部会は、各国政府と組織に対し、できるだけ早くPQCへの移行を開始するよう促し、あらゆる分野での対応を呼びかけました。同作業部会は、移行には長い時間がかかると警告しています。そのうえで、現行の暗号を破れる量子コンピュータが登場する前に、組織は準備を整えておくべきだと述べています。
ForescoutのリサーチVPであるDaniel dos Santos氏はCSOに対し、各国の政府機関はPQC対応の期待水準が異なる命令や勧告を出しているものの、いずれも2030年という期限に収束する傾向があると語ります。2030年は、量子コンピュータが既存の暗号アルゴリズムを破れるようになると専門家が見込む時期にあたります。
しかし、医療のような業界では、HNDLの脅威によって、この量子対応のタイムラインが完全に崩れてしまいます。
患者データは医療機器の外にも流れる
患者情報を守るには、データを生成する機器から、それを保存するITシステム、医師や患者が利用できるようにするアプリケーションまで、通信経路全体を保護する必要があります。たとえばCTスキャナは、画像を医用画像管理システム（PACS）に送信します。この画像は、病院間、クラウドサービス、外部の放射線診断サービス事業者の間で転送されることもあります。長期的な機密性を保つには、転送のたびに耐量子の保護が求められます。
検査結果や処方記録も、同様の経路をたどります。電子処方サービスは、医療機関と薬局の間で投薬情報をやり取りします。その中には、管理薬物の記録や慢性疾患の治療に関する情報も含まれます。攻撃者は、経路上のさまざまな地点でこのデータを傍受し、抜き取る可能性があります。具体的には、デバイスレベル、社内ネットワーク、侵害されたエッジルータやファイアウォール、あるいは通信事業者レベルでさえ可能です。
患者記録を保存・交換するプラットフォームは、インターネットから直接アクセスできることも少なくありません。Forescoutは、Shodanでの検索により、インターネットに公開された医療情報システムを5,500件以上確認しました。そのうち電子カルテプラットフォームが46%、PACSが40%を占めています。
TLS 1.3に対応していたのは、PACSで36%、電子カルテシステムで33%、検査情報管理システムでは13%にとどまりました。TLS 1.3は、NISTが公表した耐量子の鍵カプセル化標準であるML-KEM（Module-Lattice-Based Key-Encapsulation Mechanism）に対応する唯一のバージョンです。ただし、TLS 1.3が使われているからといって、その接続が耐量子暗号を使っているとは限りません。接続するクライアントが別のアルゴリズムをネゴシエートする可能性があるためです。
さらに、Forescoutは6月に公表した前回の調査で、インターネット上のSSHサーバのうちPQCに対応しているのは11.8%にすぎないことを明らかにしました。組み込みデバイスで広く使われるSSHサーバ「Dropbear」に限ると、この数字は3%にまで下がります。企業ネットワーク内では、ITデバイスの50%がPQC対応のOpenSSHバージョンを使っています。しかし、同じバージョンを使っているのは、IoTデバイスで28%、OTデバイスで16%、IoMT（医療IoT）デバイスで6%にとどまります。
研究者らは次のように結論づけています。「現在のペースが続けば、専用機器がこの10年のうちに完全に移行できる見込みは低く、PQCへの広範な移行や量子対応も遅れるでしょう。残念ながら、医療機器は導入率が最も低く、PQC採用の課題が最も厳しい分野の一つです」
課題は医療以外にも広がる
患者のケアや産業オペレーションに使われる機器の暗号を変更できるかどうかは、完全にデバイスベンダー次第です。dos Santos氏によれば、可能な場合でも、ユーザーが独自にデバイスのファイルシステムを変更すれば、認証、保守、サポートが危うくなります。通信プロトコルを変更する場合も、他の機器との接続を維持しなければなりません。化学プラント、電力網、水処理施設、工場のフロアにあるデバイスにも、同じ問題があります。
医療機器や産業機器の中にはすでにLinuxで動作するものがあり、理論上はPQCの導入が容易になり得るとdos Santos氏は言います。ただし、OTベンダーの間でPQC導入やロードマップが議論されている例は、ほとんど見ていないそうです。
米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、2024年10月のOTガイダンスで、重機や可燃物を制御する機器に変更を加える場合、広範な安全性テストが必要になり得ると説明しました。医療機器の場合、規制上の影響は機器に加える変更の内容によって変わります。米食品医薬品局（FDA）の2026年2月のサイバーセキュリティガイダンスは、認証や暗号化アルゴリズムの変更には、新たな市販前申請が必要になる場合があるとしています。
レガシー機器とPQCに関する懸念は、業界の垣根を越えて広がっています。5月に公表されたCertesの調査は、米英の大規模組織で量子関連リスクに携わるITおよびセキュリティの専門家200人を対象としたものです。この調査では、回答者の78%が、レガシー環境に対する量子の潜在的な脅威を「非常に高い」と評価しました。産業機器や医療機器、ATM、車両などのエッジ機器やIoT機器については、43%が脅威を「非常に高い」、さらに31%が「重大」と評価しています。
代替策が必要になるデバイスも
医療情報、金融記録、コードや工業デザインといった企業秘密は、送信から何年たっても機微性を保ち得ます。しかし、デバイス間でやり取りされるすべてのデータが、同じ機密性の要件や、時間の経過に伴う業務上の重要性を持つわけではありません。
IoTセキュリティ企業Finite StateのCSOであるSharon Hagi氏は、フランス国家サイバーセキュリティ庁（ANSSI）が2027年から製品適格性評価にPQC要件を導入する計画を示した6月、CSOの取材にこう語りました。「政策議論に欠けているのは、差別化された脅威・リスク評価の枠組みです。データの寿命と機微性の減衰率、デバイスの種類、計算上の制約、そして現実的な攻撃者の能力のタイムラインを考慮に入れた枠組みが必要です」
Hagi氏は次のように述べています。「量子の脅威は、暗号スタック全体に均一に分布しているわけではありません。ShorのアルゴリズムはRSAやECCを破りますが、AES-256やSHA-3は、運用上現実的な意味では破れません。Groverのアルゴリズムがもたらすのは最大でも二次の高速化にすぎず、適切なサイズの対称暗号プリミティブが持つ実効的なセキュリティマージンは、ほとんどの用途で依然として保たれます。NISTのPQCアルゴリズム（ML-KEMやML-DSAなど）は、計算、帯域幅、メモリの面で無視できないコストを課します。リソースの限られた組み込みデバイスにとっては、帯域外の鍵配布や事前に鍵を配布する方式を前提とした対称暗号のアーキテクチャが、今後も有意義な選択肢です」
つまりベンダーは、ハードウェアの制約を踏まえ、どのデバイスなら新しいPQCアルゴリズムを実装できるのかを慎重に見極める必要があります。場合によっては、エンドユーザー側で代替策を講じなければなりません。たとえば、該当デバイスを隔離し、PQCを適用できる別のゲートウェイ機器を経由して通信させる方法です。
dos Santos氏は、ベンダーがファームウェアのアップグレードを提供すると決める前から、ユーザーはこうした対策を始めるべきだと言います。たとえば、インターネットに公開するWebサイトやポータルは、最新のブラウザがすべて対応しているため、すでにTLS 1.3を使うよう設定しておくべきです。インターネット経由のリモート管理やファイル転送には、耐量子暗号を用いたプロトコルに対応するゲートウェイを導入します。
病院であれば、外部の放射線診断サービス事業者への画像転送を、ゲートウェイで保護できます。それでも、スキャナや画像アーカイブからそのゲートウェイまでの接続は別途評価する必要があります。必要に応じて、インターネットへの直接アクセスができない専用のネットワークセグメントに隔離することも考えられます。
dos Santos氏は「それでも、少なくとも外部区間についてはリスクを減らせますよね」と話します。
ただし、一方のエンドポイントがPQCに対応していても、もう一方が同じアルゴリズムをネゴシエートできなければ効果はありません。メーカーは、相互運用性の目標を達成するのに苦労していると報告しています。Thalesが9月に公表した製造業データ脅威レポートは、20カ国417人の回答に基づくものです。それによると、回答者の30%がポスト量子の相互運用性に関する目標の達成で遅れをとっていました。
dos Santos氏は次のように語りました。「エンドユーザーが今やるべき最も重要なことは、デバイスとデータをあわせて棚卸しすることです。デバイス、データ、そして通信です」
こうして作成したマップでは、どの転送がすでに互換性のある保護を備えているか、どれがアップグレードに依存しているか、どこでゲートウェイが外部接続を保護できるかを明らかにする必要があります。
医療分野についてForescoutは、患者ポータル、外部API、パートナーとのデータ交換、その他インターネットに公開された接続を優先し、可能な範囲で暗号ライブラリとファームウェアを更新することを推奨しています。アップグレードできない機器については、医療向けレポートで、ゲートウェイや隔離措置の評価、ベンダーのロードマップの入手を推奨しています。さらに、メーカーに現実的な移行手段がない場合は、機器の交換を計画するよう勧めています。
dos Santos氏は、複数年にわたるサービスを前提に機器を供給するベンダーは、現行のファームウェアがPQC通信に対応していなくても、そのロードマップを持つべきだと指摘します。運用者は、その対応がいつ提供されるのか、どの接続を保護するのか、新しいハードウェアが必要かどうかを把握しておく必要があります。何年も使い続ける見込みの機器については、これらの回答を購入やサポートの契約に反映させるべきです。ベンダーがアップグレードを提供できない場合に備えた交換計画も欠かせません。
G7の行動呼びかけは、耐量子の代替品を通常の機器更新サイクルに組み込むよう組織に促しています。米行政管理予算局（OMB）の6月のガイダンスも、連邦機関に対し、ハードウェア更新時にPQCへのアップグレードを組み込むよう指示しています。あわせて、PQCやハイブリッド暗号に対応できない機器の交換や廃止を優先するよう求めています。
