ロブ・クライド氏（以下クライド氏）　まず、このリスクを経営陣に簡潔に説明し、リスクの内容と重要性についての理解を促す必要がある。当然、経営陣は「どうすればよいか」と尋ねるだろう。現時点で、大半の企業が取るべき適切な行動は、ポスト量子アルゴリズム構築のために米国立標準技術研究所（NIST）で行われていることと、その他の活動を見守ることだ。

　CIOやCISOは、自社で暗号化したデータが使われる場所と暗号化の方法を把握する。一般データ保護規則（GDPR）の施行等により、暗号化するデータがさらに増えるだろう。ほとんどの企業は、暗号化アルゴリズムを導入するために自社でコードを作成することはない。実際には製品を利用している。例えば、Webサイトを構築するのであれば、SSLや、暗号化機能を備えるその他の技法を利用している。

　NISTが新たなアルゴリズムを提案したら、ベンダーを見守り、新しいアルゴリズムをインベントリに導入したかどうかを確認する。また、保存しているデータも調べる必要がある。保存データの中でも古い方法で暗号化しているものは全て、新しい方法で再暗号化する必要がある。

――再暗号化にはどの程度の作業が必要になりますか。

クライド氏　面倒な作業になるだろう。ある程度の計算能力も必要になる。ただし、再暗号化の考え方自体は新しいものではない。例えば、それまでのコンピュータの能力が向上し、ごく短時間で鍵を解読できるようになるにつれ、これまでも定期的にデータ暗号化に使用する鍵の長さを増やしてきた。

　例えば、データ暗号化標準のアルゴリズムが新しい技術に変われば、データを再暗号化する必要がある。データ暗号化製品を販売する多くのベンダーは基本的に、比較的簡単な方法で再暗号化を行う機能を実際に用意している。

　暗号化したデータのインベントリを調べる際は、さまざまなツールに目を向け、それぞれのツールに再暗号化の簡単な手段や機能があるかどうかを明らかにする。その結果、将来新しいアルゴリズムが導入されるときにツールが備える機能を活用できるようになる。これは、保存時のデータの暗号化サービスを提供するベンダーにCIOとCISOが問い掛けるべき重要な問題になる。

――企業データの暗号化は当たり前になりつつありますか。

クライド氏　個人データに関してはそうなっている。近いうちに、データ主体、つまり個人に関するあらゆるデータ、例えばメールアドレスから医療記録、ホームIPアドレスなど例を挙げるときりがないが、この様なデータはデータ侵害の通知を回避する手段として暗号化されるようになるだろう。

　企業でデータ侵害が起きるとする。その企業ではポリシーを設定していて、特定の種類のデータはどのような場合でも自動的に暗号化するようにしている。企業が使用するポリシー、手法、ツールによって実際に暗号化されることを示すことができれば、データは保護されていることになるため、企業はデータ侵害の開示を行う必要がない。これは企業にとって非常に重要なことだ。

　米国では特に、プライバシーが後回しにされている。ソーシャルメディアのメリットなど、さまざまな利便性と引き換えに、プライバシーのさまざまな側面を個人が諦めざるを得ない時期があった。だが、プライバシーへの関心は高まり、このような日々は終わりを迎えつつある。

　現在は過剰なくらいプライバシーが意識される時代に入りつつある。そのため、最低でも政府規制という点で、プライバシー規制がさらに増えるだろう。その結果、少なくとも暗号化の導入は促進され続けるだろう。