そのシステムの「余命」は何年？ 米政府“ポスト量子暗号調達”リストの衝撃：クラウド、ブラウザ……「待ったなし」の領域とは

米サイバーセキュリティインフラストラクチャセキュリティ庁は、ポスト量子暗号標準を使用する技術の製品カテゴリーリストを公開した。IT部門にとって「今、何を買い、何を待つべきか」を示す指針となり得る。

[TechTargetジャパン]

　「今の暗号技術が数時間で破られる」――。そんなSFのような脅威が、現実のカウントダウンとして動き出している。量子力学を応用し、従来とは桁違いの計算能力を持つ「量子コンピュータ」の実用化だ。これが実現すれば、企業の機密データや通信を保護している「公開鍵暗号」は、もはや盾の役割を果たさなくなる。

　米国土安全保障省（DHS）傘下の米国サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は2026年1月、量子コンピューティングを使っても暗号データを解読できないようにする「Post-Quantum Cryptography」（PQC、ポスト量子暗号）標準を採用する製品カテゴリーの初期リストを公開した。

　「Product Categories for Technologies That Use Post-Quantum Cryptography Standards」と題された同リストでは、PQC標準を現在サポートしている、または将来サポートする見込みがあるハードウェアおよびソフトウェア製品のカテゴリーを特定している。

編集部のお薦め記事

リストの詳細は

　米国のドナルド・トランプ大統領は2025年6月に大統領令14306を発令し、DHSに対し、PQCに対応した広く入手可能な製品のカテゴリーリストを、CISAを通じて公表するよう指示した。CISAはこの大統領令に沿って、米国の情報セキュリティ機関である「米国家安全保障局」（NSA）と緊密に協力し、このリストを作成した。このリストは、進化するPQC技術の動向を反映し、国家のサイバーセキュリティレジリエンス（回復力）を支援するため、定期的に更新されるものだ。

　量子力学を用いて複雑なデータ処理を実施する計算技術「量子コンピューティング」が将来実用化されると、従来の通信ネットワークやシステム、機密データを保護している「公開鍵暗号」が、この技術の悪用によって数日あるいは数時間で破られる可能性がある。

　CISAのマドゥ・ゴトゥムカラ長官代行は、次のように述べている。「これらの新たなリスクに先手を打つため、組織はPQC対応技術の調達を優先しなければならない。この製品カテゴリーリストは、この重要な移行を行う組織を支援する。これにより、組織は複雑な技術的課題に対処し、量子時代に向けて安全な技術慣行を強化できる」

　このCISAの製品カテゴリーリストには、米国立標準技術研究所（NIST）が公開しているPQC標準のリストに加え、以下2つが含まれている。

• PQC標準を使用する広く入手可能なハードウェアおよびソフトウェア製品のカテゴリー
• PQC標準への移行段階にあるハードウェアおよびソフトウェア製品のカテゴリー

　この製品カテゴリーリストは、基礎的な暗号機能である「鍵確立」と「デジタル署名」にPQC標準を適用する製品のカテゴリーを示している。鍵確立は、当事者間の安全な暗号通信を可能にする手法。デジタル署名は、参加者の真正性とデータ、製品、サービスの完全性を保証するものだ。

　この2つの製品カテゴリーリストの内容は、以下「リスト1」「リスト2」の通りだ。

　以下の「リスト1」の「広く入手可能な（Widely Available）」とは、市場で一般的に入手可能で、政府機関が通常の調達ポリシーおよび手順に従って取得できることを指している。CISAは、PQC対応製品が広く入手可能であるとしてリストに記載されているカテゴリーについては、組織はPQC対応製品のみを調達する計画を立てるべきだと述べている。

リスト1．PQC標準を使用する広く入手可能なハードウェアおよびソフトウェア製品のカテゴリー

製品カテゴリー	製品例
クラウドサービス	PaaS（Platform-as-a-Service ）、IaaS（Infrastructure-as-a-Service）
コラボレーションソフトウェア	チャット／メッセージング
Webソフトウェア	Webブラウザ、Webサーバ
エンドポイントセキュリティ	保存データのセキュリティ、フルディスク暗号化

　一方、「リスト2」に含まれる製品カテゴリーは、PQC対応製品が広く入手可能ではなく、メーカーがPQC機能の実装とテストを行うことが奨励されている。これらのカテゴリーにおいて製品の機能が成熟し、PQCへの移行が進めば、CISAはそれらのカテゴリーを上の「リスト1」に移動させる。

リスト2．PQC標準への移行段階にあるハードウェアおよびソフトウェア製品のカテゴリー

製品カテゴリー	製品例
ネットワークハードウェア	プロキシサーバ、ルータ、ファイアウォール、スイッチ、アプライアンス
ネットワークソフトウェア	SDN（Software Defined Network）、DNS（Domain Name System）、ネットワークOS
クラウドサービス	SaaS（Software-as-a-Service）
通信ハードウェア	卓上電話、FAX、VoIP（Voice over IP）、無線
コンピュータ（物理、仮想）	OS、ハイパーバイザー、コンテナ
コンピュータ周辺機器	無線キーボード、無線ヘッドセット
SAN（ストレージエリアネットワーク）	アプライアンス、OS、アプリケーション
ICAM（アイデンティティ、認証情報、アクセス管理）ソフトウェア	アイデンティティ（ID）管理システム、IDプロバイダーおよびフェデレーションサービス、CA（Certificate Authority：認証局）、アクセスブローカ、アクセス管理ソフトウェア、PKI（Public Key Infrastructure：公開鍵基盤）管理ソフトウェア
ICAMハードウェア	HSM（Hardware Security Module）、認証トークン、バッジ／カード、バッジ／カードリーダー
コラボレーションソフトウェア	電子メールクライアント、電子メールサーバ、会議、ファイル共有
データ	データベース、SQL（Structured Query Language）サーバ
エンドポイントセキュリティ	パスワード管理、ウイルス／マルウェア対策ソフトウェア、資産管理
エンタープライズセキュリティ	CDM（Continuous Diagnostics and Mitigation：継続的な診断と緩和）ツール、侵入検知／モニタリング、検査システム、SIEM（Security Information and Event Monitoring）