従来の暗号技術は数十年にわたりデータを守ってきた。しかし、量子コンピューティングの幕開けとともに、現在の安全保障の状況は変わろうとしている。
北米やアジアではすでにコンソーシアムがこの問題への先取りに取り組んでいる一方、欧州は後れを取っている。
金融業界は、データの機密性が高いため量子の脅威に特に脆弱であり、これは重大な問題である。
医療記録からオンライン決済、本人確認のためのデジタル署名に至るまで、データの安全性は暗号技術に依存している。まもなく、量子コンピュータが、この長年実績のある手法を脅かす可能性がある。
量子コンピューティングは急速に発展しており、政府と企業による投資は世界全体で355億ドルに達している。この技術はまだ成熟の域に達していないが、大規模に利用可能になった際には、既存の二進法コンピュータよりもはるかに複雑な処理を実行できるこれらの機械は、責任ある形で活用されなければならない。
これを確実にするためには、最近 米国国立標準技術研究所（NIST）が発表した耐量子暗号（PQC）アルゴリズムを広く普及させるため、業界固有の枠組みとベストプラクティスに基づくガイドラインが必要である。
欧州では、金融機関向けの業界固有の枠組みは現時点で存在しないものの、欧州委員会は、域内の調整を確保するため、EU加盟国とその公共部門に対し、PQCの導入に向けた国家戦略を策定するよう勧告している。これは重要なシグナルであり、金融機関を含む民間部門が、PQCアルゴリズムの導入を加速させ、その際に協力して取り組むことの緊急性を浮き彫りにしている。
量子コンピューティングのセキュリティに関する欧州コンソーシアム
欧州のコンソーシアムは、将来の量子リスクに対処するための実践的な措置を講じるため、企業、銀行、ブローカー、金融市場インフラ、フィンテック、規制当局、政府を結集する必要がある。
今年代末までに、量子コンピュータは特定のタスクにおいて従来のコンピュータを上回る性能を発揮すると予想されている。その時点では、多くのメリットをもたらす一方で、悪意ある者の手に渡った量子コンピュータは、金融分野を含め、現在広く使用されている暗号システムに対して非常に現実的な脅威ともなる。悪意ある者は、今日の時点で機密データを収集しておき、将来、量子コンピュータの助けを借りてそれを復号することを狙う可能性がある。
現在、一般的な暗号化に用いられているシステムは、大きな数の因数分解や離散対数の求解の困難さに依存している。これらは古典的なコンピュータにとっては厄介な課題であるが、量子アルゴリズムにとっては、指数関数的に速くそれらを達成しうるものである。
NISTの発表以前から、世界の多くの政府は、PQCへの移行を開始するための積極的な措置をすでに講じており、規制の検討や企業に対する移行プロセスの開始を促していた。例えば、今年2月、シンガポール金融管理局は、勧告を発表し、金融機関が量子安全な移行戦略の一環として検討すべき具体的な措置を示した。業界レベルでも、個々の企業が移行の利点の検討を開始している。
しかし、いかなる企業であっても、そのような移行を単独で円滑かつ完全に行うことは困難かもしれない。NISTの新しい3つの標準は、業界に依存しない第一の暗号層の一部であるが、我々が必要とする第二の層は、NIST暗号アルゴリズムをすでに組み込んだ、用途・ユースケースおよび関連ガイドラインを備えた業界固有の枠組みであり、それによって広範な普及につながる。
量子コンピュータのリスクへの対応
これはすでに進行中である。例として通信業界を見てみよう。2022年10月、GSMA（GSM協会）は、ポスト量子テレコム・ネットワーク・タスクフォースを設立した。同タスクフォースはその後拡大し、世界の通信サプライチェーン全体、政策立案者および規制当局から60社以上が参加するグループとなっている。このタスクフォースは、通信事業者に対し、PQCの機能をネットワークとプロセスに統合するためのロードマップを策定するよう促している。業界のパートナーが公開の議論のために集まると、会合は新たなアイデアを生み出し、各パートナーの視点や直面する具体的な課題を明確にする助けとなる。それによって、他社が後に続くことのできるベストプラクティスの確立に役立つ。
MITRE PQC Coalition、Linux Foundation PQC Alliance、NIST NCCoEといった、業界に依存しない量子安全コンソーシアムも、技術面およびアルゴリズム導入面での成果を生み出している。
金融分野では、すでにアジアにPQCの金融コンソーシアムが存在しており、EPAAの量子安全ワークグループと呼ばれている。その会員には、EPAA（Emerging Payments Association Asia）、IBM、HSBC、AP+、PayPalなどが含まれる。米国では、IBMが全米自動決済協会（National Automated Clearing House Association）と協力し、決済機関によるPQC導入に焦点を当てたワークグループの立ち上げを進めている。しかし、地域ごとに金融サービスの扱いは異なるため、欧州にも金融コンソーシアムを設けることが不可欠である。
協力が重要である
このようなコンソーシアムの利点としては、欧州全体で各機関が資源、専門知識、戦略的取り組みを持ち寄り、NISTのPQC標準を導入するにあたり、熟慮された戦術的アプローチを確保できることが挙げられる。コンソーシアムは、規制当局との協議において単一の統一された声となり、PQCへの移行を支持する政策を提唱することで、複雑な規制要件の網をうまく乗り越える手助けができる。また、ベストプラクティスの推進、ワークショップの開催、新たな脅威に関する情報の共有を通じて、欧州の金融セクター全体の安全保障態勢の強化にも寄与しうる。
標準的なPQCアルゴリズムを導入するための業界固有の枠組みとガイドラインがなければ、最良のPQCソリューションを持っていても、ビジネス上の有用性は最適とはならない。現時点では地域コンソーシアムの設立が優先されるべきであるが、最終的には、パートナーとなる機関が世界規模で協力する必要があるため、グローバルな業界固有の枠組みが求められるべきである。
時間はかかるだろう。アルゴリズムの開発だけでも暗号研究者たちは数年を要し、NISTが最初に選定されたアルゴリズム群を標準化するまでにさらに2年かかった。現在、さらに多くのアルゴリズムが提出され、さらなる標準化に向けて評価が行われている。しかし、業界固有の枠組みを作成する次の段階は、機関や政策立案者も関わるため、さらに複雑である。達成すべき作業量は膨大であり、業界全体で協力し、互いに学び合いながら前進しなければならない。コンソーシアムは、これを達成し、業界全体の進展を加速させるための最良の方法である。欧州の金融機関、そして世界の金融機関が、量子攻撃の脅威下においても業務を継続できるよう、今から取り組みを始める必要がある。
我々は量子リスクに対して単に受け身であってはならない。むしろ、データセキュリティの未来を積極的に形作るべきである。既に挙げたすべての利点に加え、欧州の金融コンソーシアムは、欧州大陸における金融安定の保護と、将来にわたる欧州の安全保障の維持への取り組みを示すものとなりうる。まさに、社会の一員として我々が目指すべきはそれである。