耐量子コンピュータ時代への移行を、計画から実行へ

PQC（耐量子コンピュータ暗号）とは、従来のコンピュータと将来の量子コンピュータの両方による攻撃に対して安全性を確保できるよう設計された暗号アルゴリズムです。RSAやECCなど、現在の公開鍵（非対称鍵）暗号アルゴリズムは、量子コンピュータが効率的に解けるようになると考えられている複雑な数学的問題に依存しています。一方、PQCアルゴリズムは、量子コンピュータでも解読が困難な別の数学的基盤に基づいて設計されています。NISTは2024年に最初のPQC標準規格を確定しました。

理由は2つあります。第一に、攻撃者はすでに暗号化されたデータを収集し、将来、高性能な量子コンピュータが登場した際に復号しようとしています。これは「Harvest Now, Decrypt Later（HNDL：今収集して、後で復号する）」と呼ばれる攻撃です。現在通信されている機密データのうち、今後5～10年以上にわたって機密性を維持する必要があるものは、リスクにさらされています。第二に、暗号技術の移行には数年単位の時間がかかります。NISTは、量子コンピュータに対して脆弱な公開鍵暗号アルゴリズムについて、2030年以降に非推奨化を開始し、可能な限り使用を避けること、さらに2035年以降は原則として使用を禁止する方針を示しています。脅威が差し迫るまで待っていては、安全に移行する時間を確保できません。加えて、新規または改訂されたコンプライアンス要件によって、さらに厳しい移行期限が設定される可能性もあります。こうした要因が、組織に今から具体的な対応を開始するよう促す現実的な契機となるでしょう。

現在の暗号技術を解読できる量子コンピュータが登場するまでに移行を完了していない組織は、通信中のデータを保護したり、デジタルIDを認証したりするための信頼できる手段を失うことになります。その影響はネットワーク通信にとどまりません。コード署名、文書の電子署名、デバイスID、その他のPKIに依存するシステムにも及びます。特にリスクが高いのは、長期間の機密保持が必要なデータを扱う組織、長寿命または更新が困難なシステムを運用する組織、有効期間の長いトラストアンカーに依存する組織、署名済みの成果物を長年にわたって検証可能な状態に保つ必要がある組織です。また、HIPAA、PCI DSS、EU DORAなどのコンプライアンス基準でも、PQCの導入が求められる可能性が非常に高いと考えられます。

明確な時期はわかっていません。政府機関や研究者による予測は、一般的に2030年代初頭から2040年以降まで幅があります。この不確実性こそが、計画策定を難しくしている要因です。脅威が現実化する時期がわからない段階で、あらかじめPQCを導入し、対策を進める必要があります。

今すぐ着手する必要はありますが、緊急対応を要するほど切迫しているわけではありません。2026年時点での量子コンピュータ対応とは、PQCへの移行計画を策定し、その計画に沿って着実に進めることを意味します。重要なのは、現段階でのPQC移行を段階的かつ実践的に進めることです。企業全体で一斉に取り組もうとすると、インベントリの作成やリスク評価の段階で停滞しがちです。2028年や2029年まで移行開始を先延ばしにした組織は、少なくとも非常に厳しいスケジュールでの対応を迫られることになります。

暗号資産インベントリは、組織が保有する暗号資産、その依存関係、管理責任者、業務上の位置付けを把握するためのものです。一方、暗号資産部品表（CBOM）は、暗号資産とその依存関係を標準化された機械可読形式で表すものです。CBOMはインベントリの構築に役立ちますが、通常、移行計画の策定に必要な業務上の情報までは含まれていません。

まず、外部公開されているTLSエンドポイント、重要な業務システム、外部監査の対象となるアプリケーション環境から着手します。これらのシステムは通常、文書化が進んでいるため、比較的容易にインベントリを作成できます。その後、プライベートCA、コネクテッドデバイス、法的契約、組み込みソフトウェアなど、長期間にわたって利用されるものを中心に、対象を社内システムへと段階的に広げていきます。

TLS 1.3は、ハイブリッドPQC鍵交換を導入するための標準規格に基づく手段です。IETFはTLS 1.2にPQC鍵交換を追加する予定がないため、現在もTLS 1.2に依存している組織は、PQC移行の一環としてプロトコルのアップグレードを計画する必要があります。インフラストラクチャ全体でTLSのバージョンを更新することは、早期に着手でき、進捗も測定しやすい具体的な対策の一つです。

ML-KEMは、NISTが標準化した鍵カプセル化アルゴリズムであり、通信相手との間で安全に共有秘密を確立するために使用されます。TLSに関連するPQCアルゴリズムであり、ブラウザ、コンテンツ配信ネットワーク（CDN）、IISやApacheなどのWebサーバソフトウェアで広くサポートされています。組織として最初に導入するアルゴリズムを一つ優先するのであれば、TLS向けML-KEMが実践的な出発点となります。主要なブラウザやクラウドプロバイダでは、すでにハイブリッド方式で導入されています。また、ML-KEMの導入には、「Harvest Now, Decrypt Later（今収集して、後で復号する）」攻撃の対象となる新たな通信データの発生を防ぐというメリットもあります。

一般に、ハイブリッド方式とは、従来の暗号アルゴリズム（RSAまたはECC）とPQCアルゴリズムを組み合わせる方式です。一方が破られても、もう一方によって保護を維持できるという考え方に基づいています。ハイブリッド方式は、鍵交換、署名、証明書など、複数の仕組みに適用できます。

ハイブリッド鍵交換はTLSハンドシェイクに適用され、両方のアルゴリズムが破られない限り、セッション鍵の安全性が維持されます。TLSを使用する外部ネットワーク接続には、今から導入を進めることを推奨します。ただし、予期しない問題が発生した場合に変更を元に戻せるよう、管理された方法で導入してください。すでに大手ベンダーによって広く導入されているため、先行事例のない技術を採用するわけではありません。

ハイブリッド署名は、法的契約の締結やソフトウェアの完全性検証などに使用されるデジタル署名に適用されます。特定のコンプライアンス要件や取引先から求められない限り、ハイブリッドデジタル署名を使用する必要はありません。

ハイブリッド証明書は、従来の公開鍵とPQC公開鍵の両方を、単一の証明書内で一つのIDに紐付けるものです。ハイブリッド証明書またはPQCのみを使用する証明書のいずれかを選択し、利用環境や対応製品を確認した上で検証してください。どちらを選んでも、検証から得られる知見に大きな違いはありません。

ベンダーには、次の3点を確認してください。具体的な期限を明記したPQC対応ロードマップがあるか？現在、どの製品がPQCアルゴリズムに対応しているか？導入済みの技術をPQCへ移行する際に、ハードウェアの交換、ファームウェアの更新、ソフトウェアのアップグレードが必要になるか？これらの質問に回答できないベンダーがある場合、そのベンダーへの依存が移行の制約となる可能性があるため、今から計画に織り込んでおく必要があります。

PQCアルゴリズムは、RSAやECCと比較して鍵サイズが大きく、計算処理の特性も異なります。ML-KEMはTLSハンドシェイクに一定の処理負荷を追加します。NISTが標準化した署名アルゴリズムであるML-DSAは署名サイズが大きいため、証明書チェーンのサイズが増加し、リソースに制約のある環境、IoTデバイス、大量の処理を低遅延で実行するシステムなどで、パフォーマンスに影響する可能性があります。重要なのは、自社環境で実際に検証することです。代表的なアプリケーションを対象に、管理された環境でパイロット導入を実施することで、本格的な移行を迫られる前に、処理能力やパフォーマンス上の課題を把握できます。

追加予算をかけずに、方針を決めるだけで着手できる重要な対策がいくつかあります。まず、PQC移行の責任者を明確にします。次に、環境全体でTLS 1.3を有効にします。比較的新しいインフラストラクチャでは、設定変更やソフトウェア更新によってTLS 1.3を有効化できる場合があります。また、移行に影響するベンダーやパートナを特定し、移行が必要となる業務上重要なシステムとPKIの一覧を作成します。これらの対策に必要なのは追加予算ではなく、時間です。いずれもPQC移行に向けて取り組むべき基本的な対策です。

まず外部とのTLS接続から着手し、その後はリスクへのさらされやすさとシステムの使用期間に基づいて優先順位を付けます。業務上重要なアプリケーション環境やベンダーの一覧がない場合は、作成してください。規制の対象となるシステムも一覧に含める必要があります。これらを優先的に移行し、特にTLS 1.3へのアップグレードとML-KEMの導入に重点を置きます。次に、組織全体の証明書のトラスト基盤となるPKIのルート認証局と中間認証局の鍵に対応します。この順序で進めることで、事業上の重要性に基づいた移行計画を策定できます。

期限は業界によって異なり、今後も新たな期限が設定されると予想されています。米国政府はCNSA 2.0を通じて、国家安全保障システムにおける明確な導入スケジュールを定めており、特定のアルゴリズムについては2030年までの移行、さらに2033年までの広範な移行を求めています。その他の米国政府機関も、大統領令14412号の対象となる可能性があります。また、複数の国・地域の金融規制当局がPQC対応を求める方針を示しています。NISTは量子コンピュータに対して脆弱なRSAやECCなどの公開鍵暗号方式について、2035年を目標にNIST標準からの移行を進めています。規制対象業界の組織は、これらを厳守すべき期限と捉え、そこから逆算して今すぐ移行スケジュールを策定する必要があります。今後、さらに多くの、より厳格なコンプライアンス要件が導入されると考えられます。

監査担当者が求め始めている証跡には、文書化された暗号資産インベントリ、責任者とマイルストーンを明記した移行ロードマップ、ポリシーが適用されていることを示す証拠（承認済みのアルゴリズムや例外処理の方法など）、そして継続的な進捗を示す証拠が含まれます。特に重要なのは最後の点です。短期的には、PQC対応とは移行を完了していることではなく、着実に進めていることを意味します。