ポスト量子暗号セキュリティ対応 — Kaysecと共に

正しい質問から始める

「量子コンピュータは現在の暗号を破る」という話を読んだことがあるかもしれません。また、量子コンピュータがそれを実現するほど強力になるかどうかの問題ではなく、いつかが問題だということも。これがポスト量子暗号（PQC）、別名「量子セーフセキュリティ」の領域です。PQCの中には「今すぐ収集し、後で復号する（Harvest Now, Decrypt Later）」という概念があります。—「敵対者は今、あなたの暗号化データを収集し、後で[当の量子コンピュータで]復号しようとしている」。組織でデータやセキュリティを担当しているなら、「量子コンピュータからデータをどう守るか？」という問いがすでに浮上しているか、今まさに浮上しているところでしょう。

しかし、この市場で叫ばれている緊急性は、運用中のすべてのシステムが今すぐPQCに移行しなければならないことを意味しません。その量子コンピュータが実用化される前でさえも。研究、独自のスキャンとレポート、そしてKaysecのサービスの構築方法に基づき、私たちはその緊急性を実際に重要なことへと絞り込みます。時間、コスト、労力の観点から、移行が必要なシステムとデータのみを適切な順序で移行することが仕事です。それは以下に示す正しい質問をすることから始まります。これはまた3つのステップのうちの最初のステップでもあり、あなたの組織が今日、暗号化体制とアジリティの面でどこに立っているかの準備状況スナップショットです。

1. まず何を守る必要がありますか？

モスカの定理は、今すぐ移行を開始すべきシステムやデータと、そうでないものを選別することでこれに答えるのに役立ちます。X + Y > Z であれば、今すぐ準備を始めるべきです。これは次のように読める基本的な数式です：

X – どのデータを、どれくらいの期間、秘密に保つ必要がありますか？

PQC準備の最初のステップは、保護が必要なデータとその保護期間（数ヶ月から数年にわたる有効期限）、そしてそのデータの価値を把握することです。

Y – Xのデータを保護するシステムをPQC対応に移行するには、どれくらいの時間がかかりますか？

YはXがわかるまで答えられません。何を秘密にしておく必要があり、どのくらいの期間かがわかれば、それを保護するシステムを特定し、移行の範囲を定めることができます：何が複雑で時間がかかり、何がスイッチ一つでPQCをオンにできるほど簡単かを。

Z – 量子コンピュータはいつ暗号を解読できるようになりますか？

これが百万ドルの質問です。業界にはまだ正確な答えはありませんが、ハードウェアやアルゴリズム研究から策定されつつある政策まで、あらゆるシグナルがより近い将来に収束しています：数十年先ではなく、数年先です。

2. 業界に準拠または規制上の義務はありますか？

一部の国々は、重要インフラ事業者、軍、政府機関などの組織が今十年の終わりまでか次の十年のはじめまでにPQC移行を完了しなければならないとすでに規定しています。さらに多くの国と業界がこれに続くでしょう。

ファイブアイズ諸国はすでに厳しい移行期限を設定しています。米国（CNSA 2.0）は2035年までの完全移行を目標としています。オーストラリアのASDは最も積極的な汎用タイムラインを設定しており、2026年末までに移行計画を精緻化し、2030年末までに完全移行するとしています。英国のNCSCは2035年を目標とし、EUはリスクの高いシステムについて2030年を設定しています。

ニュージーランド独自のNZISMセクション2.4は、機関がPQCの動向を監視し、暗号システムの棚卸しを行い、移行計画を策定することを義務付けていますが、NZISM利用のためのPQCアルゴリズムはまだ承認されておらず、移行期限も設定されていません。

3. PQCの脅威とは何であり、どのように機能しますか？

PQCの概要をすでに把握しているなら、最初の2つの質問で十分に着手できます。しかし、組織内の他のメンバーは、何をする必要があり何をしなくてよいか、いつ、なぜなのかを理解する必要があります。

量子コンピューティングの到来は、あらゆる分野のデジタルセキュリティシステムに潜在的な脅威をもたらします：医療記録、金融取引、銀行や暗号通貨システム、重要インフラの制御、政府機密、プライベートメッセージや通信など、挙げればきりがありません。

量子コンピュータはまだこれらすべてのシステムを保護する暗号を解読できませんが、敵対者はすでにHNDL（「今すぐ収集し、後で復号する」）攻撃を実行しています：その日が来たときに復号できると期待して、今日の暗号化データを取得しています。これは転送中のデータと保存中のデータの両方に適用されます。

Shorのアルゴリズムにより、量子コンピュータは大きな整数を効率的に素因数分解し、離散対数を計算することができ、RSAおよびECC暗号アルゴリズムを破ります。これらは現在のデータ保護手法の数学的基盤です。

4. まとめは何ですか？

まとめは、明日すべてが変わらなければならないということではありません。PQCへの移行は即座には行えません：評価、計画、システムのアップグレード、新しい標準が必要であり、一部のシステムでは数年にわたるプログラムとなります。課題は、どのデータとシステムが実際に移行を必要とするか、どの順序で行うかを明確にし、そこから始めることです。それが上記3つの質問の目的であり、準備状況スナップショットが始まる場所です。

私たちと協力することが他と異なる理由

私たちは議論し、発見し、スキャンします。汎用的な手法は使いません。Kaysecはインターネット全体のポスト量子対応スキャナーを運営し、その結果をオープンに公開しています。あなたのアセスメントは、ビジネス、データ、懸念事項、質問について話し合う初回ミーティングから始まります。そこから、汎用的な成熟度アンケートではなく、あなた自身のシステムとサプライヤーに関する実測データに基づいて作業を進めます。

私たちは独立しています。Kaysecはいかなるベンダーとも提携しておらず、あなたが最終的に選択した製品から何も得ません。そのため、私たちの推奨はパートナー枠ではなく、あなたのリスクに応えるものです。実装を支援する際も、ベンダー中立に行います。

私たちはまずあなたの国のフレームワーク、次に関連する国際フレームワークを基準とします。ニュージーランドの場合はNZISMから始まります。私たちのベンチマークは、まずニュージーランド情報セキュリティマニュアルと現地の規制状況に基づき、次に米国のCNSA 2.0、オーストラリアのASD、NCSC、EUへと展開します。

私たちはトリアージを行い、慌てません。移行は順序付けの問題であり、競争ではありません。何を移行し、何を残し、何を監視するかを、取締役会に持ち込める根拠とともにお伝えします。

私たちの進め方：3つのステップ、あなたのペースで

1. 準備状況スナップショット

量子リスクへの露出について、測定に基づく証拠主導のベースラインです。どのシステムやデータセットがポスト量子リスクを抱えているかを特定し、NZISMおよびフレームワークに対してあなたの体制をベンチマークし、行動に値する脅威がない場合も含めて、脅威を誠実に特徴付けます。最終的に、明確な全体像と根拠のある優先順位が得られます。

2. 移行ロードマップ & 実装

移行が必要なシステムのための段階的でコスト見積もり済みの移行計画です。あなたの運用上の制約、サプライヤーの依存関係、規制上のタイムラインに対して作業を順序付け、移行全体を通じて相互運用性を維持するハイブリッド戦略を使用します。これは暗号部品の交換ではなく、組織的なプログラムです。PQC移行の難しい部分はコーディネーションであり、ロードマップが管理するのはそのコーディネーションです。そこから私たちは計画を共に実行し、新たなまたは予期しない課題が生じた際もアジャイルに対応します。私たちの柔軟性と透明性が移行をスムーズに保ちます。

3. 継続的なアドバイスとモニタリング

標準は変化し、サプライヤーは出荷し、自社のシステムも変わります。定期的な再スキャンとレビューにより、ベースラインを最新の状態に保ち、サプライヤーの準備状況を追跡し、前回の基準点から変化した点を把握できます。こうすることで、量子リスクはその場限りの監査ではなく、管理された項目として維持されます。フレームワーク、標準、規制方針、ガイドラインの更新を常に把握し、対応や変更が推奨または必要な場合にはご連絡いたします。

ステップ1から始めてそこで止めることも、途中のどの段階で止めることも可能です。

私たちが取り組む暗号標準

NISTは2024年に最初のポスト量子標準を策定しました：鍵確立用のML-KEM（FIPS 203）、署名用のML-DSA（FIPS 204）およびSLH-DSA（FIPS 205）、そしてFN-DSA（FIPS 206）等が続きます。これらと候補を追跡しているため、お客様のロードマップは昨年の名称ではなく、策定済みの標準に基づき、今後の動向を踏まえたものとなります。

まず私たちの実績をご覧ください

私たちは分析を公開しています。主張の根拠となるスキャン結果や、証拠がそう示す場合はまだ行動しない理由も含めて公開しています。レポートをお読みいただき、私たちの見解があなたの立場に役立つものかどうかをご判断ください。公開スキャンは氷山の一角に過ぎません。重要な作業は、組織のシステムとデータを熟知し守る人々と共に、内部から始まります。そこにこそ真の取り組みがあります。