視点

耐量子計算機暗号（PQC）

グローバルに事業を展開する金融機関が、予算を圧迫する大規模プログラムに頼らず、各国・地域の規制当局が求める耐量子対応にどう応えるか。要点は、一度で可視化し、リスクに応じて優先順位を付け、更改サイクルに合わせて移行し、ライフサイクルを自動化することです。

はじめての方は、やさしい解説版からどうぞ。

1. なぜ今なのか

今日の銀行における安全な通信、電子署名、暗号化された記録のほぼすべては、公開鍵暗号、主にRSAと楕円曲線暗号に依存しています。オンラインバンキングのセッション、銀行間メッセージ、カード決済、コード署名、VPN、サービス間のAPI通信、そしてシステム同士の信頼を支える証明書を守っているのがこれらの暗号です。

十分に高性能な量子コンピューターが実現すれば、これらのアルゴリズムは破られます。それがいつになるのかは誰にも断言できませんが、金融業界がそれを待つわけにはいかない理由が3つあります。

今収集し、後で解読する

攻撃者は、暗号化された通信を今のうちに記録・保存し、解読できるようになるまで待つことができます。顧客記録、口座データ、取引戦略、M&A関連文書、長期契約など、何年も機密を保つ必要がある情報は、量子計算機に対して脆弱な鍵交換で守られた経路を通る時点で、すでにこのリスクにさらされています。

署名の偽造と信頼の崩壊

署名アルゴリズムが破られれば、攻撃者は取引の承認、ソフトウェア更新、証明書を偽造できるようになります。取引への信頼そのものを事業とする金融機関にとって、これはIT上の課題ではなく、存続に関わるリスクです。

移行には10年かかる

大手銀行は、メインフレーム、データセンター、クラウド、支店、ATM、取引所との接続、外部委託先にわたって数千ものアプリケーションを運用しています。古いハッシュ関数の廃止など過去の暗号移行は、今回よりはるかに小さい範囲でも何年もかかりました。広く使われている経験則は明快です。データの機密を保つべき期間と、移行にかかる期間の合計が、実用的な量子コンピューターが登場するまでの期間より長ければ、すでに手遅れです。

新しい標準はすでに整っている

米国国立標準技術研究所（NIST）は2024年8月、最初の耐量子暗号標準を公表しました。鍵確立用のML-KEM（FIPS 203）と、電子署名用のML-DSA（FIPS 204）およびSLH-DSA（FIPS 205）です。さらなるアルゴリズムも続いています。主要なブラウザ、OS、暗号ライブラリは、従来型と耐量子型のアルゴリズムを組み合わせたハイブリッド鍵交換にすでに対応しています。「標準がまだ固まっていない」という理由は、もはや通用しません。

2. 規制当局が求めていること

主要な金融センターの規制当局や国のサイバーセキュリティ機関は、「注意喚起」の段階から「対応を求める」段階へと移っています。表現はそれぞれ異なりますが、テーマは驚くほど共通しています。

• 自組織の暗号を把握する：暗号がどこで、どのように使われているかについての、完全で継続的に更新される棚卸し。
• リスクを評価する：「今収集し、後で解読する」攻撃を含め、どのシステムとデータが最もリスクにさらされているかの特定。
• 計画を持つ：予算と期限が定められ、取締役会レベルの監督を受ける移行ロードマップ。
• クリプトアジリティを備える：システムを再設計することなく、アルゴリズム、鍵、証明書を迅速に変更できる能力。
• サードパーティを管理する：ベンダーやサービス提供者の耐量子対応状況を把握し、働きかけること。
• エビデンスを示す：スライドではなく記録によって進捗を示すこと。

下表は、2026年時点でグローバルな金融機関に関係する主なシグナルをまとめたものです。これは出発点であり、法的助言ではありません。要件は変化し続けているため、法人・法域ごとに確認が必要です。

3. 金融機関が過剰に支出してしまう理由

耐量子移行は、金融機関がこれまでに実施した中でも最も費用のかかるITプログラムの一つになりかねません。過剰支出の原因は、たいてい予測可能ないくつかの失敗にあります。

• 手作業の棚卸し。コンサルタントのチームがアプリケーション担当者にヒアリングし、スプレッドシートを埋めていきます。完成した日には不完全で、数か月で古くなり、次の監査でまたやり直しになります。
• 規制当局ごとの棚卸し。各地域が現地の監督当局向けに別々の棚卸しと報告を作成し、作業が重複するうえ、数字の整合も取れません。
• 一斉の入れ替え。すべてを一定の日付に一度に変えようとするプログラムは、希少な人材に割増料金を払い、変更計画を混乱させます。
• ハードウェアの早期交換。ハードウェアセキュリティモジュール（HSM）、ネットワーク機器、決済端末を、ファームウェア更新や次の更改、あるいは保護用のラッパーで十分だったにもかかわらず、耐用年数前に交換してしまいます。
• レガシーアプリケーションの書き換え。変更が難しい基幹システムを、暗号のためだけに書き換えてしまいます。その周囲で通信を保護することもできたはずです。
• 一回限りのプロジェクトとして扱う。プログラムが終わるとチームは解散し、次のアルゴリズム変更はゼロから始めることになります。

4. 倹約型プログラムの原則

1. 可視化を自動化する。暗号の発見はツールに継続的に任せ、人は判断に集中させます。
2. 棚卸しは一度、報告は何度でも。グローバルに一つの信頼できる情報源を持ち、各規制当局の要件に対応付けます。
3. リスクの高い順に投資する。長期間機密を保つべきデータと重要なトラストアンカーを最初に守り、低リスクのものは自然な変更を待ちます。
4. 更改サイクルに乗る。すべての調達とアップグレードで耐量子対応を条件とし、移行の大部分をすでに予算化された変更の中で進めます。
5. 変えられないものは包む。レガシーシステムは書き換えるのではなく、ネットワーク層で保護します。
6. コンプライアンスだけでなく、アジリティを築く。鍵と証明書のライフサイクルを一元化し、次の変更を安価にします。
7. エビデンスを副産物にする。ツールが監査エビデンスを自動的に生成すれば、規制報告の追加コストはほとんどかかりません。

5. 2層のアーキテクチャ

倹約型プログラムは、互いに補完し合う2つの能力の上に成り立ちます。理想的には、相互に連携する専門プラットフォームでそれぞれを実現します。

第1層：可視化と棚卸し

専門の可視化プラットフォームがIT環境を継続的にスキャンし、暗号の棚卸し（暗号部品表、CBOMと呼ばれることもあります）を作成します。どのアルゴリズム、鍵長、プロトコル、ライブラリ、証明書が、どのシステムで、どのデータの流れを守るために使われ、それぞれが量子攻撃に対してどれほど脆弱か、という問いに答えます。優れたツールは、単一の手法ではすべてを見通せないため複数の手法を組み合わせ、発見事項ごとにリスクを評価します。中には、両端のシステムを変更せずに通信経路上で耐量子保護を適用する手段を提供するものもあり、レガシー環境にとって大きな価値があります。

第2層：ライフサイクル管理

ライフサイクル管理プラットフォームは、鍵と証明書を生成から廃止まで統制します。発行、更新、ローテーション、失効、ポリシーの強制、移行ワークフローを、パブリック／プライベートの認証局、クラウドの鍵管理サービス、HSMにまたがって扱います。実際に変更を、大規模に、予定どおりに実行するのがこの層であり、金融機関を「今回だけ準拠している」状態ではなく、クリプトアジャイルな状態にするのもこの層です。

なぜ1層ではなく2層なのか

ライフサイクル管理のない可視化は、正確な問題リストを作るだけで、それを解決する手段がありません。可視化のないライフサイクル管理は、すでに把握しているものしか管理できず、最もリスクの高い暗号は、たいてい誰も存在を知らなかった暗号です。両者が連携すれば、棚卸しがライフサイクルプラットフォームの作業キューとなり、ライフサイクルプラットフォームが行うすべての変更が棚卸しに反映されます。

6. ステップ1：可視化と棚卸し

暗号はあらゆる場所に潜んでいます。完全な棚卸しには、複数の情報源が必要です。

• ネットワークの観測：ハンドシェイクとプロトコルの受動的な分析により、本番環境で実際に何がネゴシエートされているかがわかります。もはや担当者のいないシステムも含めてです。
• コードと依存関係のスキャン：ソースリポジトリやビルドパイプラインの中の暗号ライブラリと暗号呼び出しを発見します。
• バイナリとコンテナのスキャン：ソースが入手できないパッケージ製品やサードパーティ製ソフトウェアの中の暗号を捉えます。
• ホストとエンドポイントのエージェント：サーバーやデバイス上の鍵、証明書、設定を発見します。
• クラウドとプラットフォームのコネクター：クラウドの鍵管理サービス、ロードバランサー、マネージドデータベース、APIゲートウェイを洗い出します。
• HSMとPKI：信頼の起点にある鍵、アルゴリズム、証明書の階層を一覧化します。
• サードパーティ：ベンダーやサービス提供者の暗号と耐量子計画について、構造化された質問票と契約条項で把握します。

発見事項ごとに、アルゴリズムと鍵長、プロトコル、所在、所管する業務サービス、データ分類、保護対象のデータが機密を保つべき期間、そしてその構成要素が設定変更・アップグレード・交換のいずれで変えられるのか、あるいはラッピングしかできないのかを記録します。

倹約のヒント：まずはネットワークの観測と、既存の証明書・鍵のリポジトリから始めましょう。環境の大部分を素早く安価にカバーでき、より深いスキャンが必要な場所も見えてきます。

7. ステップ2：リスクに応じた優先順位付け

すべてを最初に移行する必要はなく、環境全体に均等に投資するのはお金の無駄です。各項目を4つの観点で評価します。

• データの保存寿命：データが機密を保つべき期間。10年間守るべきデータが今日、量子脆弱な経路を通っているなら、それは現在のリスクです。
• 信頼への影響：トラストアンカー、署名鍵、認証局は、その配下のすべてに影響します。
• 露出度：インターネットに面した経路や組織間の経路は、孤立した内部通信より収集されやすくなります。
• 業務上の重要度：決済、清算、顧客認証、市場インフラとの接続が最も重要です。

これらを組み合わせ、実務的な3つの階層に分けます。

8. ステップ3：経済的な移行

まずは無償のアップグレードから

多くの構成要素は、OS、ライブラリ、ブラウザ、ロードバランサー、クラウドサービスの定例アップデートを通じて、耐量子またはハイブリッドの対応を得られます。有効にするのは設定変更だけで済むことも多くあります。外部向けTLSでのハイブリッド鍵交換は、ほとんどの金融機関にとって、最も価値が高く最もコストの低い初手です。

調達条件に書き込む

ソフトウェア、ハードウェア、クラウド、マネージドサービスのすべての新規契約と更新で、耐量子対応、または確約されたロードマップを求めます。費用はかからず、負担はベンダーに移ります。ベンダーはそのコストを全顧客で分担しています。

更改サイクルに合わせる

計画されているハードウェアとソフトウェアの保守終了日を、規制のスケジュールと突き合わせます。期限前に交換予定のものは、前倒しで交換するのではなく、通常の更改の一環として耐量子対応の機器に置き換えます。

交換の前にアップグレードを

HSMやネットワーク機器は、ファームウェアによって耐量子アルゴリズムに対応できることがよくあります。新しいハードウェアの予算を組む前に確認しましょう。

レガシーを包む

メインフレーム、勘定系システム、専用機器は、期限までに変更することが現実的でない場合があります。その手前に耐量子トンネルやゲートウェイを置いて通信を保護すれば、何も書き換えずに時間を稼げます。残存リスクを正直に記録し、恒久対策はそのシステムの将来の刷新に合わせて計画します。

移行期間中はハイブリッド方式を

従来型と耐量子型のアルゴリズムを組み合わせれば、現在と将来の両方の脅威に加え、新しいアルゴリズムに弱点が見つかる可能性にも備えられます。まだ準備のできていない取引相手との相互運用性も保てます。

共通鍵暗号も忘れずに

共通鍵暗号とハッシュ関数は、量子攻撃に対してはるかに強い耐性があります。256ビットの共通鍵など、より大きな鍵長に移行すれば通常は十分であり、費用もわずかです。

9. ステップ4：ライフサイクルの運用

耐量子移行は一度きりの変更ではありません。多くの変更の最初の一つです。アルゴリズムは改良され、パラメーターは調整され、業界全体で証明書の有効期間は大幅に短くなっています。パブリックなTLS証明書では、年単位ではなく週単位に向かっています。銀行規模の手作業による証明書管理では、それだけでも立ち行かなくなります。

一元化されたライフサイクルプラットフォームは、その費用を何倍にもして回収します。

• 自動化：証明書と鍵は、チケットやスプレッドシートなしに発行・更新・ローテーションされ、証明書の期限切れによる障害がなくなります。
• 統制としてのポリシー：承認されたアルゴリズムと鍵長を中央で定義し、発行時に強制するため、量子脆弱な選択が再び紛れ込むことはありません。
• 一括移行：システムの準備が整えば、その証明書を新しいアルゴリズムで一度の管理された操作により再発行できます。
• アジリティ：次のアルゴリズム変更は、プログラムではなく、ポリシーの更新とワークフローになります。

10. 一つのエビデンスで、複数の規制当局に

グローバルな金融機関にとって最大の節約は、法域ごとに別々のコンプライアンス活動を行わないことから生まれます。要件の総和から一つの統制セットを作り、各統制を、ツールが自動的に生成するエビデンスに対応付けます。

各地域のコンプライアンスチームは、同じデータから、現地の形式と言語で報告書を作成します。数字は整合し、監査人はスプレッドシートではなく稼働し続ける仕組みを確認でき、監査準備は数週間から数日に短縮されます。

11. コスト比較の例

以下の比較は、ベンチマークデータではなく一般的な傾向に基づく、定性的な例示です。実際の結果はIT環境によって異なります。

前提を明示した試算例として、影響を受けるシステムの60%が、適用される期限の前に計画どおり耐用年数を迎え、その後継製品の契約に耐量子対応が盛り込まれているとします。その場合、それらのシステムには専用の移行予算がほとんど、あるいはまったく要りません。プログラム自体の支出は残りの40%、さらにその中の「今すぐ対応」の階層に集中します。自組織の実際の比率は、棚卸しから明らかになります。

12. グローバルでの推進体制

グローバルな金融機関は、ハブと地域による体制で成功しています。これはフェデレーテッドなセキュリティ運用で機能するのと同じパターンです。

• 中央のプログラムオフィスが、ツール、グローバルな統制セット、承認アルゴリズムのポリシー、リスクモデル、取締役会への報告を所管します。
• 地域チームが、現地の規制当局との対話、現地での報告、現地の事業部門・ベンダー・取引相手との調整を担います。
• プラットフォーム担当（クラウド、ネットワーク、メインフレーム、決済などのチーム）が、中央の優先順位に沿って各領域の移行を実行します。
• 最も早い期限が共有インフラのペースを決めます。地域ごとのスケジュールが関係するのは、その地域固有のシステムだけです。
• データレジデンシーを尊重します。機微なアーキテクチャ情報を含む棚卸しデータは地域で保持し、中央では指標として集約できます。

13. 2035年までのロードマップ

1. 体制構築（最初の3か月）。責任役員を任命し、プログラムオフィスを設置し、グローバルな統制セットに合意し、可視化とライフサイクル管理のプラットフォームを選定します。
2. 可視化（3〜12か月目）。優先度の高い環境に可視化ツールを展開し、既存の証明書・鍵リポジトリを統合し、リスク評価付きの最初の棚卸しと取締役会報告を作成します。
3. 早期の成果（6〜18か月目）。外部向けサービスでハイブリッド鍵交換を有効にし、調達基準を更新し、障害の起きやすい環境から証明書ライフサイクルを自動化し、共通鍵の鍵長を引き上げます。
4. 最重要資産の保護（2028〜2030年まで）。長期間機密を保つべきデータの流れ、トラストアンカー、署名基盤を含む「今すぐ対応」の階層を、適用される最も早い期限に合わせて移行またはラッピングします。
5. サイクルを通じた移行（2028〜2033年）。「計画的に対応」の階層を予定されたアップグレードで移行し、「更改サイクルに乗る」の階層は更改を通じて移行させます。
6. 完了（2035年まで）。残る量子脆弱なアルゴリズムを廃止し、レガシーシステムの刷新に合わせてラッパーを外し、次の変更に備えてライフサイクルプラットフォームを運用し続けます。

14. 進捗の測り方

15. よくあるご質問

今日の暗号を破れる量子コンピューターは、本当に現れるのですか？

時期を断言できる人はおらず、見通しはさまざまです。規制当局は、そのリスクに「今収集し、後で解読する」攻撃と長い移行期間を合わせて考え、今行動することが正当だと判断しています。規制下にある金融機関にとって、それで答えは出ています。

技術がさらに成熟するまで待てませんか？

標準は公表済みで、主要な製品で対応が進んでいます。待てば同じ作業をより短い期間に詰め込むことになり、それが最も高くつくやり方です。

耐量子アルゴリズムでシステムは遅くなりますか？

耐量子の鍵と署名はサイズが大きく、制約のあるデバイスや非常に大量の通信を扱うプロトコルでは影響が出ることがあります。ほとんどの企業内通信では影響は限定的です。優先度の高い環境で早めに検証することは、妥当な計画の一部です。

HSMを交換する必要がありますか？

必ずしもそうではありません。多くはファームウェアでアップグレードできます。交換の予算を組む前に、各ベンダーに確認してください。

なぜ一つではなく、二つのプラットフォームなのですか？

可視化とライフサイクル管理は別々の専門領域であり、それぞれに特化したプラットフォームのほうが強い傾向があります。重要なのは両者が連携し、棚卸しが作業を動かし、作業が棚卸しを更新することです。