7月1日、デジサートは、組織が耐量子コンピュータ暗号（PQC）への移行を開始し、管理できるよう支援する新しいソリューション、DigiCert Quantum Central のプレビューを発表しました。

ここで重要なのは「開始する」という点です。多くの組織は、量子コンピュータに対して安全な暗号への備えが必要であることを理解していますが、どこから始めればよいかを把握している組織は多くありません。一般的なガイダンスは一見シンプルです。「暗号資産のインベントリを作成し、リスクを評価し、計画を策定して、移行を開始する」。どれも間違いではありませんが、最初に直面する現実的な疑問が「月曜日から何をすればよいのか？」であれば、十分に役立つとは言えません。

Quantum Central は、まさにこの課題に対応するために構築されています。

Quantum Central のプレビューでは、チームが暗号資産の可視化を進め、量子コンピュータに対して脆弱な暗号を特定し、対応すべき項目に優先順位を付け、量子コンピュータ対応状況を追跡するための実践的な方法を提供します。プレビュー期間中は無償で利用できますが、現在開発中の正式版と比べると、意図的に機能を限定した構成となっています。今後数か月以内の一般提供開始に向けて、修正、改善、機能追加を継続していきます。

プレビューとは、本来こうあるべきです。自社の暗号データから学び始め、ワークフローが自社環境にどのように適合するかを確認し、量子コンピュータ対応の計画策定に役立てる機会です。

Quantum Central を開発した理由

デジサートでは、耐量子コンピュータへの移行に備え、すでにインフラストラクチャ、製品、サービスの準備を大きく前進させています。Quantum Central は、デジサート自身が量子コンピュータ対応を進める中で得た経験から生まれました。自ら取り組む中で得た知見が、組織に何が必要かという私たちの考え方の基盤となっています。

デジサートで効果があった取り組みを踏まえ、以下を推奨します。

経営層の支持を得る

PQC への移行を、プロセスに関わるさまざまなチームの優先事項とするには、経営層の支援が不可欠です。求める支援やリソースは、対象範囲に見合った規模に設定してください。最初の対象を単一の業務アプリケーション環境やインフラストラクチャの一部に絞れば、承認を得やすくなる可能性があります。

責任者を決める

移行全体を監督する担当者を1名指定し、進捗状況の追跡に責任を持たせます。偶然にも、これは米国政府が最近大統領令 14412で実施したことと同じです。この大統領令では、最初のステップとして各政府機関が特定の担当者を PQC 移行責任者に任命することを求めています。

専門チームを編成する

経営層の支援を確保し、移行責任者を中心に据えたら、少人数の専門チームを編成します。このチーム全体として、自社の鍵管理と暗号化の標準、データやネットワークの大まかな流れ、IT 変更管理、エスカレーション対応プロセスを理解している必要があります。

小さく始める

最初に移行するアプリケーションを1つ選びます。外部監査の対象となっているものが理想的です。そうした環境は、一般的に文書化が進んでいるためです。可能であれば、選択するアプリケーションには、ある程度標準化された技術やベンダを含めてください。そうすることで、得られた知見を幅広く活用できます。

ベンダと連携する

インベントリを作成すると、暗号に関係するベンダや技術の一覧が明らかになります。サプライヤと連携し、自社の取り組みをどのように支援できるか、あるいは妨げる可能性があるかを確認してください。ベンダ側の対応準備が整っていることが理想ですが、明確な回答が得られることも次善の策として重要です。現在その技術が PQC をサポートしていない場合は、次のような具体的な質問をベンダにしてください。

• 「TLS 1.3 で ML-KEM をサポートするのはいつですか？」
• 「ML-DSA を使用した純粋な PQC 証明書をサポートするのはいつですか？」

量子コンピュータ対応に向けた現在のガイダンス

多くの組織にとって、量子コンピュータ対応とは、まずインターネットに公開されているシステムを保護することを意味します。これらのシステムは可視性が高く、重要であり、多くの場合、すでに確立された TLS や証明書管理プロセスで管理されています。端的に言えば、これらのシステムを TLS 1.3 に移行し、ハイブリッド ML-KEM 鍵交換を有効にすることが、現時点で最も実行しやすい対策です。

その後、対象を内部へ広げ、次のようなシステムを重点的に対応します。

• 長期間の機密保持が求められるデータを保護するシステム
• コンプライアンス、監査、または顧客とのセキュリティ SLA の対象となるシステム

こうした領域では、対応の遅れが積み重なりやすく、量子コンピュータ対応を示す証跡も重要になります。ただし、これはそれ以外を無視するという意味ではありません。実際の組織が実行できる順序を定めるということです。

インベントリは出発点であり、ゴールではない

暗号資産のインベントリは不可欠ですが、多くのチームにとって、プロセスの中で最も取り組みにくい部分でもあります。小さく始めることが有効です。まず1つの環境でインベントリを作成し、その環境の是正対応に進み、その後同じプロセスを繰り返します。これが、量子コンピュータ対応プログラムを構築し、実行していく方法です。

Quantum Central は、この一連のワークフローを前提に設計されています。複数のソースから暗号資産を可視化し、ポリシーを適用して弱い暗号や量子コンピュータに対して脆弱な暗号を特定し、移行作業に優先順位を付け、是正対応を管理し、進捗を示す証跡を作成できるよう支援します。

PQC への移行は、一度に完了するものではなく、また一度に完了させることもできません。鍵交換とデジタル署名は、それぞれ異なる課題です。ML-KEM は、TLS などのプロトコルにおけるハイブリッド鍵交換を含む鍵確立に使用されます。ML-DSA はデジタル署名に使用され、エコシステム側のサポートが成熟するにつれて、証明書や署名の用途にも利用されます。TLS エンドポイント、社内 PKI、ソフトウェア署名、デバイス ID、VPN、SSH 接続、アプリケーションの依存関係は、それぞれ異なるスケジュールで移行していくことになります。

実効性のある量子コンピュータ対応プログラムでは、こうした現実を反映する必要があります。

自社で対応することも可能。ただし、すぐに複雑になる

Quantum Central に魔法のような機能があるわけではありません。組織は自社でインベントリを作成し、独自の対応基準を定義し、スプレッドシートで是正対応を管理し、ダッシュボードを作成し、ベンダに確認し、例外を文書化し、経営層や監査担当者向けのレポートを準備できます。実際、多くの組織はそこから始めるでしょう。

難しいのは、それらすべてを継続して動かし続けることです。

対象範囲が広がるにつれ、作業の中心は一度限りの評価ではなく、暗号のセキュリティ状態を継続的に維持するための調整へと移っていきます。新しいシステムが導入され、証明書が更新され、ベンダがロードマップを更新し、標準が進化します。規制はより具体的になり、監査担当者の知識も深まります。社内の優先順位も変化します。前四半期には正しかった情報が、すでに古くなっている可能性もあります。

移行はすでに始まっている

暗号を現実的に脅かす量子コンピュータがいつ登場するのか、その正確な日付を分かっているかのように振る舞う必要はありません。もはや、それだけが移行を促す要因ではないからです。標準化は進み、各国政府は期限を設定し、規制当局は注視を強め、顧客もより踏み込んだ質問をするようになっています。そして、量子コンピュータに対して脆弱な暗号を使用した新しいシステムが導入されるたびに、将来必要となる対応作業が積み上がっていきます。私たちはこれを「暗号技術的負債」と呼んでいます。

最も大きく前進するのは、完全な確実性が得られるまで待つ組織ではなく、今から段階的に可視性を高め、実行に移す組織です。 

Quantum Central は、まさにその取り組みを支援するためのものです。無償アカウントを作成して、今すぐプレビューをお試しください。