長年にわたり、PKI は、ほとんど表に出ることなく稼働する重要なインフラストラクチャとして扱われてきました。セキュリティチームは証明書を導入し、期限どおりに更新すれば、それで対応は完了していました。 

現在では、あらゆるクラウドサービス、マシン ID、ソフトウェアリリース、コネクテッドデバイス、AI ワークロードが、信頼できるデジタル ID に依存しています。組織のデジタル環境が拡大するにつれ、PKI は運用を支えるインフラストラクチャとなっています。 

しかし、多くの組織では今なお、はるかに小規模な環境向けに設計されたプロセスで PKI を管理しています。 

デジサートと Omdia による最新の調査では、このギャップが明らかになっています。組織はモダナイズの必要性を認識しているものの、増え続ける証明書の管理、証明書有効期間の短縮化への対応、PQC への準備に必要な可視性、自動化、ガバナンスが依然として不足しています。

モダナイズは可視化から始まる

今回の調査では、自社環境に導入されている証明書を完全に可視化できている組織はわずか34%でした。可視化できていなければ、日常的な証明書管理でさえ困難になります。把握されていない証明書は、明確な所有者がいないまま既存の管理プロセスから外れ、多くの場合、期限切れになるまで発見されません。 

これは、デジサート自身も経験したことです。デジサートが自社の PKI 環境のモダナイズに着手した当初、管理している証明書は約7,000件と見積もっていました。しかし、実際に検出してみると18,000件を超えていました。 

この数字には驚きましたが、より重要な学びがありました。証明書管理の自動化、ガバナンスの強化、将来の暗号技術の変化への準備を進める前に、まず保有する証明書を正確に把握する必要があったのです。証明書の検出が、その後のあらゆる意思決定の基盤となりました。 

この取り組みは、数値で示せる成果にもつながりました。自動化と標準化されたライフサイクル管理により、年間約1,500時間を削減し、初年度には50%の投資収益率を実現しました。さらに重要なのは、エンジニアリングチームが証明書管理に費やす時間を減らし、ビジネス価値の創出により多くの時間を充てられるようになったことです。 

PKI は運用を支える重要な機能

PKI の役割は、従来のセキュリティインフラストラクチャの枠を大きく超えて広がっています。証明書は、クラウドプラットフォーム、Kubernetes クラスタ、API、ソフトウェアサプライチェーン、DevOps パイプライン、SaaS アプリケーション、マシン ID を支えています。新しいサービスが追加されるたびに新たな ID が生まれ、そのライフサイクル全体を通じて発行、更新、監視、管理する必要があります。 

こうした拡大に伴い、組織は PKI に対する考え方を変える必要があります。 

今回の調査では、インフラストラクチャの複雑さと部門横断的な連携が、モダナイズを阻む主な要因であることが明らかになりました。これは当然とも言えます。PKI はもはや、単一のセキュリティチームだけが担うものではありません。プラットフォームエンジニアリング、ネットワーク、アプリケーション所有者、DevOps、セキュリティの各部門が、組織全体のトラストを維持する責任を共有しています。 

モダナイズを着実に進めている組織は、手作業のプロセスを増やしているわけではありません。証明書管理を標準化し、責任の所在を明確にして、日常業務に自動化を組み込んでいます。 

これこそが、運用の成熟度が高い状態です。 

運用の成熟が暗号アジリティを実現する

PKI の将来に関する議論の多くは PQC に焦点を当てています。一方、業界では証明書有効期間の短縮化、マシン ID プログラムの拡大、AI によって生じる新たな運用要件への対応も進められています。

これらすべての取り組みは、同じ基盤の上に成り立っています。証明書がどこに導入されているかを把握できなければ、量子コンピュータに対して安全なアルゴリズムへ移行することはできません。手作業の更新プロセスでは、証明書有効期間の短縮化に対応できません。また、一貫したガバナンスと自動化がなければ、マシン ID を大規模に管理することもできません。

将来の暗号技術の変化に最もよく備えられる組織は、必ずしも最初に PQC を導入する組織ではありません。要件の変化に対応できる運用体制を、すでに構築している組織です。

セキュリティリーダーが優先すべき3つのポイント

PKI のモダナイズでは、すべての課題を一度に解決する必要はありません。着実に前進している組織は、まず共通する基盤機能に重点を置いています。

1. 現状を把握する。 証明書の検出は、あらゆるモダナイズの第一歩です。証明書を発見できなければ、管理、自動化、保護することもできません。
2. 責任の所在を明確にする。 PKI は、セキュリティ、インフラストラクチャ、ネットワーク、アプリケーション開発、プラットフォームエンジニアリングなど、複数の領域にまたがります。責任を明確にし、証明書管理を日常業務の一部とすることで、ガバナンスが効果的に機能します。
3. 計画的に自動化する。 自動化は手作業を削減するだけではありません。レジリエンスを向上させ、証明書に起因するシステム停止のリスクを低減し、証明書の数や暗号要件の変化に柔軟に対応できるようにします。

モダナイズは継続的な取り組み

私は、証明書の数が予想をはるかに上回る速さで増加することや、可視性と自動化がなければモダナイズがいかに困難になるかを実際に経験してきました。今回の調査から、多くの組織が同じ転換点に立っていることが分かります。今、適切な運用基盤を構築することで、証明書有効期間の短縮化から PQC まで、今後のあらゆる移行に対応しやすくなります。 

調査結果について詳しくは、オンデマンドウェビナ「PKI Under Pressure」をご覧ください。Omdia のプリンシパルアナリスト、アダム ストレンジ氏とともに、調査結果と PKI をモダナイズするための実践的なアプローチについて解説しています。