長年、公開鍵基盤（PKI）は主に裏方として機能してきました。証明書によってWebサイトや通信を保護し、ユーザやデバイスを認証し、企業システム全体でトラストを確立してきました。

しかし、PKIが支えてきた環境は大きく変化しています。

マシンIDは急増しています。企業が接続するシステムやデバイスも増えています。証明書有効期間の短縮化が進み、AIによってIDや真正性をめぐるまったく新しい課題も生まれています。さらにPQCへの移行では、企業全体に広がるテクノロジ環境から暗号資産を発見し、更新することが最終的に求められます。

PKIの重要性が高まる一方で、その管理はまさに今、これまで以上に難しくなっています。

デジサートとOmdiaによる最新調査では、企業がこの問題を認識していることが分かりました。しかし、多くの組織では、大規模に対応するために必要な可視性、ガバナンス、自動化がまだ整っていません。

その結果、PKIの重要性と、それを適切に管理するための企業の準備状況との間に、ますます大きなギャップが生じています。

PKIはもはやWebサイトだけのものではない

PKIが複雑化した理由の一つは明確です。PKIが担う役割そのものが大きく拡大したからです。

調査によると、企業のPKIは現在、公開Webサイト向けの証明書を大きく超えて利用されています。

回答者の64%がマシンID、57%がユーザ認証とゼロトラスト、45%がソフトウェアのコード署名、39%が接続されたIoTデバイスにPKIを利用しています。さらに、文書署名、メールセキュリティ、そして近年ではAIエージェントのIDにもPKIが使われています。

利用範囲の拡大により、障害が発生した場合の影響も変わります。

証明書の問題は、もはや単独の技術的トラブルとは限りません。アプリケーション、デバイス、認証システム、重要な業務サービスにまで影響を及ぼす可能性があります。

そのため、73%の組織が、証明書の期限切れによる停止やサービス中断を「非常に」または「極めて」懸念していることも理解できます。また74%が、システムやIDの増加に伴う証明書の拡散について同程度の懸念を示しています。

証明書の発行数も増え続けています。レポートで引用されたCertificate Transparencyのデータによると、2025年には41億枚の公開証明書が発行され、前年から55%増加しました。内部証明書は、それを上回るペースで発行されています。

つまり、PKIはもはや単なる裏方のインフラではありません。企業全体の業務運用を支える重要な基盤になりつつあります。

可視性のギャップは、そのままリスクのギャップになる

今回の調査で最も印象的な結果は、同時に非常に単純なものかもしれません。

すべてのデジタル証明書について完全かつ最新のインベントリを保有していると回答した組織は、わずか34%でした。

50%はインベントリが一部しか整備されておらず、把握されていない証明書が存在する可能性があると回答しています。さらに16%は、自社に証明書が何枚あるのか、どこで使用されているのか分からないと回答しています。

つまり、3分の2の組織が、自社の証明書環境を完全には可視化できていません。

この問題の重要性は、いくら強調してもしすぎることはありません。

存在を把握していない証明書について、有効期限、更新、置き換えを確実に管理することはできません。その証明書にどのアプリケーションが依存しているのか、誰が所有しているのか、障害が起きれば何が起こるのかを判断することも困難です。

数千枚、場合によってはそれをはるかに上回る数の証明書を運用する企業では、たった1枚の見落とされた証明書の期限切れが、重要な業務アプリケーションを停止させる可能性があります。

したがって、PKIリスクを軽減する出発点は可視性です。

証明書の発見は、単に一覧を作成することではありません。実用的な暗号資産インベントリによって、企業は次のような問いに答えられる必要があります。どの証明書や暗号資産を保有しているのか。どこにあるのか。誰が所有しているのか。有効期限はいつか。どのサービスが依存しているのか。

こうした答えがなければ、その他のモダナイゼーション施策も、不完全な情報から始めることになります。

表計算ソフトでは証明書の拡散に対応できない

課題がこれほど大規模になっているにもかかわらず、手作業によるプロセスは依然として広く残っています。

回答者の40%が、証明書管理に表計算ソフトなどの手作業による追跡方法を使用していると答えています。また企業では、通常一つの方法だけを利用しているわけではありません。平均すると2～3種類の方法を同時に利用しており、手作業による管理と、プライベートCAプラットフォーム、証明書ライフサイクル管理ツール、カスタムスクリプト、クラウドサービス、ITワークフローなどを組み合わせています。

こうした分断は、PKIがどのように進化してきたかを反映しています。

証明書の数が少なく、更新サイクルも長かった時代には、表計算ソフトによる管理でも対応できました。しかし、証明書数が増加し、更新期間が短縮される中で、こうした方法は次第にリスク要因になっています。

そして今後、その負荷はさらに高まります。

業界では、2029年にパブリックTLS証明書の最大有効期間を47日に短縮する方向で進んでいます。有効期間が短くなるからといって、必ずしも証明書の総数が増えるわけではありません。しかし、証明書ライフサイクルに関する作業を、はるかに高い頻度で行う必要があります。

年に一度なら多少不便でも対応できた作業も、数週間ごとに繰り返すとなれば、現実的な運用は困難です。

そのため、自動化は単なる効率化施策ではなく、業務運用上の必須要件になりつつあります。

モダナイゼーションは一度にすべてを変えるプロジェクトではない

企業は、変化の必要性を理解しています。約80%の回答者が、今後1～3年の間にPKIのモダナイゼーションを実施している、または実施を計画しています。

しかし、実行状況にはばらつきがあります。必要な改善をすでに導入していると回答したのは、約4社に1社です。

その理由の一つが複雑さです。

PKIのモダナイゼーションは、単に一つの認証局を置き換えたり、新しいツールを購入したりすることではありません。デジタルトラストは、パブリックPKI、プライベートPKI、クラウドサービス、レガシーシステム、マシンID、コード署名、接続デバイス、専用プラットフォームなど、さまざまな環境に広がっています。

調査結果にもこの複雑さが表れています。モダナイゼーションの課題として最も多く挙げられたのはシステムの複雑さで、次いで部門間の連携、レガシーインフラ、導入の難しさ、スキル不足が続きました。

だからといって、すべてを一度に置き換える必要はありません。

より現実的なのは、段階的なアプローチです。まず証明書や暗号資産を発見し、可能な部分から一元化と標準化を行い、その後、最もリスクが高く、価値の高い証明書ワークフローから自動化します。

パブリックTLSは分かりやすい出発点です。証明書有効期間の短縮化は、インターネットに接続するすべての組織に影響するからです。そこで構築した可視性、所有者管理、ポリシー、自動化という運用モデルは、最終的には内部PKI、コード署名、デバイスID、その他のトラスト領域にも展開できます。

AIと量子コンピュータが重要性をさらに高める

現在の運用上の課題だけでも十分大きなものですが、AIと量子コンピュータによって、モダナイゼーションを進める新たな理由も生まれています。

AIは、ID、真正性、権限管理について根本的な問いを投げかけています。企業がAIエージェント、モデル、生成コンテンツを導入するにつれ、何が本物なのか、何を信頼できるのか、何が行動を許可されているのかを確認する仕組みが必要になります。

調査対象組織の約4分の3が、AIのユースケースでトラストを確立するうえでPKIが重要な役割を果たすと回答しています。一方、調査では、多くの組織が成熟したAIトラストの計画を構築する比較的初期の段階にあることも示されています。

量子コンピュータは異なる課題をもたらしますが、必要となる運用基盤は共通しています。

将来の量子コンピュータによる攻撃に関連した脆弱性について、自社の暗号ライブラリやシステムを完全に評価したと回答したのは22%にとどまります。36%は一部を評価済みで、32%は今後1年以内に評価する予定です。

PQCへの準備は、新しいアルゴリズムを導入するはるか前から始まります。

まず、自社の証明書、鍵、アルゴリズム、暗号ライブラリがどこに導入されているのかを把握する必要があります。依存関係と所有者を理解し、その暗号技術に依存するシステムを停止させることなく変更できる能力も必要です。

つまり、AIにおけるトラストと量子コンピュータ対応は、PKIのモダナイゼーションとは別の課題ではありません。むしろ、モダナイゼーションの緊急性をさらに高めています。

モダナイゼーションはすでに成果を生んでいる

最も前向きな調査結果の一つは、モダナイゼーションが進んでいる組織では、すでに測定可能な効果が表れていることです。

PKIをモダナイズした回答者のうち、64%がライフサイクル管理の自動化、60%が障害の減少、44%が規制対応の改善、43%が可視性と管理能力の向上を報告しています。

こうした結果は、PKIの成熟度を考えるうえで有効な指標になります。

成熟度とは、企業がいくつの認証局を所有しているか、いくつのPKIツールを購入したかで決まるものではありません。

重要なのは、次の問いに確実に答えられるかどうかです。

何を保有しているのか。誰が所有しているのか。いつ更新されるのか。何が依存しているのか。どのポリシーが適用されるのか。そして、業務を止めることなく変更できるのか。

インフラから重要な経営能力へ

今回の調査から得られる中心的な教訓は、「企業がPKI管理に失敗している」ということではありません。

PKIが、現在多くの企業で使われている従来の運用モデルでは管理しきれない規模に成長したということです。

証明書数の増加、証明書有効期間の短縮化、マシンID、AI、PQCへの移行が重なり、かつてはほとんど意識されることのなかったインフラが、稼働率、セキュリティ、レジリエンスに直結する重要な能力へと変化しています。

企業がすべてを一度に解決する必要はありません。

まず何を保有しているのかを把握すること。所有者とガバナンスを確立すること。運用上のリスクが最も高いプロセスを自動化すること。そして、暗号要件の変化に適応できる能力を構築することです。

次世代のデジタルトラストでは、PKIにこれまで以上に多くの役割が求められるからです。

今PKIをモダナイズする組織は、単に次の証明書障害を防ぎやすくなるだけではありません。

その先に何が起きても対応できる、トラストのインフラを構築しているのです。

2026 Global PKI Research Report レポート（英語）についてはこちらをご確認ください。