クラウド、ブラウザ……「待ったなし」の領域とは

そのシステムの「余命」は何年？　米政府“ポスト量子暗号調達”リストの衝撃

米サイバーセキュリティインフラストラクチャセキュリティ庁は、ポスト量子暗号標準を使用する技術の製品カテゴリーリストを公開した。IT部門にとって「今、何を買い、何を待つべきか」を示す指針となり得る。

　「今の暗号技術が数時間で破られる」――。そんなSFのような脅威が、現実のカウントダウンとして動き出している。量子力学を応用し、従来とは桁違いの計算能力を持つ「量子コンピュータ」の実用化だ。これが実現すれば、企業の機密データや通信を保護している「公開鍵暗号」は、もはや盾の役割を果たさなくなる。

　米国土安全保障省（DHS）傘下の米国サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は2026年1月、量子コンピューティングを使っても暗号データを解読できないようにする「Post-Quantum Cryptography」（PQC、ポスト量子暗号）標準を採用する製品カテゴリーの初期リストを公開した。

　「Product Categories for Technologies That Use Post-Quantum Cryptography Standards」と題された同リストでは、PQC標準を現在サポートしている、または将来サポートする見込みがあるハードウェアおよびソフトウェア製品のカテゴリーを特定している。

リストの詳細は

　米国のドナルド・トランプ大統領は2025年6月に大統領令14306を発令し、DHSに対し、PQCに対応した広く入手可能な製品のカテゴリーリストを、CISAを通じて公表するよう指示した。CISAはこの大統領令に沿って、米国の情報セキュリティ機関である「米国家安全保障局」（NSA）と緊密に協力し、このリストを作成した。このリストは、進化するPQC技術の動向を反映し、国家のサイバーセキュリティレジリエンス（回復力）を支援するため、定期的に更新されるものだ。

　量子力学を用いて複雑なデータ処理を実施する計算技術「量子コンピューティング」が将来実用化されると、従来の通信ネットワークやシステム、機密データを保護している「公開鍵暗号」が、この技術の悪用によって数日あるいは数時間で破られる可能性がある。

　CISAのマドゥ・ゴトゥムカラ長官代行は、次のように述べている。「これらの新たなリスクに先手を打つため、組織はPQC対応技術の調達を優先しなければならない。この製品カテゴリーリストは、この重要な移行を行う組織を支援する。これにより、組織は複雑な技術的課題に対処し、量子時代に向けて安全な技術慣行を強化できる」

　このCISAの製品カテゴリーリストには、米国立標準技術研究所（NIST）が公開しているPQC標準のリストに加え、以下2つが含まれている。

• PQC標準を使用する広く入手可能なハードウェアおよびソフトウェア製品のカテゴリー
• PQC標準への移行段階にあるハードウェアおよびソフトウェア製品のカテゴリー

　この製品カテゴリーリストは、基礎的な暗号機能である「鍵確立」と「デジタル署名」にPQC標準を適用する製品のカテゴリーを示している。鍵確立は、当事者間の安全な暗号通信を可能にする手法。デジタル署名は、参加者の真正性とデータ、製品、サービスの完全性を保証するものだ。

　この2つの製品カテゴリーリストの内容は、以下「リスト1」「リスト2」の通りだ。

　以下の「リスト1」の「広く入手可能な（Widely Available）」とは、市場で一般的に入手可能で、政府機関が通常の調達ポリシーおよび手順に従って取得できることを指している。CISAは、PQC対応製品が広く入手可能であるとしてリストに記載されているカテゴリーについては、組織はPQC対応製品のみを調達する計画を立てるべきだと述べている。

リスト1．PQC標準を使用する広く入手可能なハードウェアおよびソフトウェア製品のカテゴリー

　一方、「リスト2」に含まれる製品カテゴリーは、PQC対応製品が広く入手可能ではなく、メーカーがPQC機能の実装とテストを行うことが奨励されている。これらのカテゴリーにおいて製品の機能が成熟し、PQCへの移行が進めば、CISAはそれらのカテゴリーを上の「リスト1」に移動させる。

リスト2．PQC標準への移行段階にあるハードウェアおよびソフトウェア製品のカテゴリー