2026年3月、SSL証明書の最大有効期間が200日に短縮された。手作業による管理ではいずれ致命的なシステム障害を招く恐れがある。AWSやGartnerが警鐘を鳴らす中、破綻を防ぐために今すぐ取り組むべき対策とは。
手作業でのSSL/TLSサーバ証明書（以下、SSL証明書）の管理に頼る企業は、時間との戦いを強いられている。2026年3月15日（協定世界時、以下同じ）に200日への期間短縮が施行されたため、そのころに発行・更新された証明書は、同年9月から10月にかけて一斉に最初の有効期限を迎えるからだ。
調査会社Gartnerのアナリストであるサラ・アーモンド氏は、「最初の更新作業が始まったとき、企業はその現実の厳しさを肌で実感するはずだ」と指摘する。認証局（CA）および証明書ライフサイクル管理（CLM）の提供企業であるSectigoのCTO（最高技術責任者）、ニック・フランス氏もこれに同意する。準備が遅れている企業にとって2026年9月と10月の更新時期は「目を覚まさせるための厳しい警鐘」になるとフランス氏は表現する。
今回の変更は、証明書の有効期間に関する一連のルールの始まりに過ぎない。デジタル証明書の標準基準を定める業界団体CA/Browser Forumが打ち出した段階的な方針によって、有効期間は2027年3月15日に100日へ、2029年3月15日には47日にまで短縮される。
この期間短縮は、純粋にセキュリティを理由とした措置だ。専門家やCAは、顧客の信頼を損ない業務を止めてしまう、甚大な被害を伴うシステム停止や情報漏えいを防ぐため、直ちに対策を講じるよう呼び掛けている。システム停止の悪夢を回避し、次々と変わるルールを生き抜くために、企業は何をすべきなのか。
TLS（Transport Layer Security）証明書とは、Webサイトやサーバが本物であることを証明するデジタル資格情報だ。これを導入することで暗号化され、かつ認証された通信が可能になり、データの盗聴や改ざんを防ぐことができる。これらの証明書に有効期限が設定されているのには理由がある。盗まれたり誤って発行されたりした証明書による被害を最小限に抑え、最新の暗号技術への移行を促し、企業の規則や法令順守を確実にするためだ。
SSL証明書の期限が切れると、信頼されたTLS接続を確立できなくなる。期限切れの証明書を使ったWebサイトは、Webブラウザに「安全ではない」と警告を表示され、企業の信頼と収益に直結する打撃となる。
「期限切れ前にSSL証明書を更新すべきことは、全てのWebサービス管理者が理解している。それを怠れば、エンドユーザーは警告画面を目にし、サービスへの信頼を失ってしまう」と、クラウドベンダーAmazon Web Services（AWS）で暗号化部門を率いるケン・ビアー氏は語る。
システムの安全性を高めることが、有効期間を短縮する最大の目的だ。CA/Browser Forumは、SSL証明書の有効期間短縮によって、以下の6つの利点を挙げている。
有効期間を短縮するもう一つの利点は、ポスト量子暗号（PQC）の時代に備えられることだ。2029年3月という時期は、将来的な量子コンピュータの実用化による暗号解読の脅威を見据え、業界がPQCへの移行を本格化させる重要な節目と重なる。有効期間をあらかじめ短く設定しておけば、既存の暗号技術が危険にさらされた際にも、量子耐性を持つ新しい規格へとスムーズに乗り換えられる。
企業のIT部門は、証明書のルール変更に備え、以下に挙げる3つの重要領域に今すぐ注力しなければならない。
自社のシステムを守るための第一歩は、何がどこにあるのかを正確に把握することだ。しかし独立系研究機関であるPonemon Instituteが2026年初頭に実施した調査（4149人のIT担当者を対象）によれば、暗号関連資産のインベントリ（一覧表）を作成し、暗号アジリティを確保している企業は約3割に過ぎない。
まず企業が取り組むべき事項は、社内の全ての暗号化アセットを記録することだ。SSL証明書のインベントリを作成すれば、期限切れによるシステム停止を防ぎやすくなる。さらに、古い暗号方式や管理外の証明書、IT部門が把握していない独自のサービス利用（シャドーIT）といったリスクの特定にもつながる。
インベントリを作るには、物理サーバ、ネットワーク機器、クラウドサービス、「Kubernetes」などのコンテナ管理システムまで、あらゆる場所から証明書を見つけ出す。その後、それらを各業務システムや担当者とひも付ける必要がある。CLMツールやクラウド標準の機能を活用してこの手順を効率化し、期限切れの通知や未承認の証明書を自動で監視する仕組みを構築する。作成した一覧は定期的に見直し、監査を実施することが重要だ。
インベントリが完成したら、次は証明書の発行からシステムへの適用、無効化、更新までの手順を設計する。発行の申請や更新手続き自体は自動化されているケースは少なくない。しかし、古いシステムや社内の承認ルール、運用上の制約によって手作業が入り込み、完全な自動化を阻んでいることはしばしばある。
CA兼CLMベンダーDigiCertのプロダクト担当シニアバイスプレジデント、ブライアン・トルズペック氏は、「証明書の組み込みを自動化するツールはたくさんあるが、プロセスは依然として複数の手順が必要だ」と指摘する。ネットワークの構造によっては自動化の恩恵を受けにくく、適用後の動作確認も欠かせない。簡単にテストできるシステムもあれば、CAではテストできない複雑なケースもあり、自動化への道のりは一筋縄ではいかない。
証明書の更新プロセスについては、自動化の導入が必須だとアーモンド氏は忠告する。「有効期間が47日になったら、手作業では到底追い付かないと大半の企業が考えている」。47日を待たずとも、100日の時点、あるいは現在の基準でも、手作業を続ければ業務に支障が出るという声も上がっている。
セキュリティ企業エントラストの開発部門責任者、グレッグ・ウエットモア氏は、この問題の背景には、企業が扱う証明書数の爆発的な増加があると説明する。
「10年前なら数個の証明書を管理するだけで済んだ。しかし現在、企業が抱える暗号化アセットの数は数千から数十万にも膨れ上がっている」と同氏は語る。
SSL証明書管理の自動化は、現代のITシステムに求められる「暗号アジリティ」を確保するという大きな目標と直結している。暗号アジリティとは、業務を止めることなく、より安全な暗号アルゴリズムや鍵へと迅速に切り替える能力のことだ。
「有効期間の短縮だけが課題ではない。公開暗号鍵基盤（PKI）やCAのルールなど、業界全体でさまざまな変革が進んでおり、企業にも直接影響が及ぶ」とフランス氏は警告する。あらゆる企業が、PQCやそれを用いた新しい証明書の時代に向けた準備を始めるべきだ。
アーモンド氏もこれに同意し、「この課題を乗り越えられるかどうかは、企業の暗号アジリティにかかっている」と強調している。
ところが先述のPonemon Instituteの調査によれば、各国政府によるPQC移行ガイダンスが示されているにもかかわらず、PQC時代に向けて積極的に準備を進めている企業はわずか38％だ。
暗号アジリティを実現する上で欠かせないのが、暗号化アセットのインベントリ作成とCLMの自動化だ。ウエットモア氏は、明確な社内規定を設けてアセットを統制する重要性を指摘する。他にも、暗号鍵の管理ツールの導入やPKIの活用が不可欠だ。そして、将来のサイバー攻撃の脅威に対してシステムが耐えられるか、定期的にテストと検証を繰り返すことも求められる。
2026年9月と10月に訪れる更新ラッシュは、準備ができている企業とそうではない企業の明暗を分ける。インベントリを完成させ、CLMを自動化させ、暗号アジリティの構築を進めた企業は、この変化を難なく乗り切るだろう。一方で対策を怠った企業は、膨大な手作業に追われ、システム停止のリスクを抱えながらビジネス上の打撃を受けることになる。
ビアー氏が警告するように、自動化への投資を渋る企業は、システムの維持管理に無駄な手間と費用を費やす羽目になる。証明書切れによる障害リスクが高まるだけではなく、本来なら新規事業の創出などに注ぐべき人材を奪われてしまうのだ。
SSL証明書の有効期間がさらに短縮される未来は、すでに決まっている。PQC時代は、私たちが思っているよりもずっと早く到来する。行動を起こすべきときは、まさに今だ。
Copyright © ITmedia, Inc. All Rights Reserved.
瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓
MFA（多要素認証）を入れたから安心という常識が崩れ去っている。フィッシング集団「Tycoon2FA」が摘発されたが、脅威が完全になくなったというわけではない。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
