量子耐性セキュリティへの移行が進んでおり、政府、重要インフラ、産業界における議論の内容が変わりつつある。
量子耐性セキュリティへの移行はデジタル経済のあらゆる層に関わり、現在下される決定が将来のレジリエンスを形作ることになる。
この移行は、サイバーレジリエンスを強化し、不可欠なサービス、経済の安定、デジタルシステムへの信頼を守る機会でもある。
量子耐性セキュリティへの移行は、長期的な計画から即時の行動へと移行した。米国国立標準技術研究所（NIST）が最初の耐量子暗号（PQC）標準を2024年に確定したことで、組織は移行を開始すべきという明確なシグナルを得ている。
英国の国家サイバーセキュリティセンターは、2035年までの段階的な移行目標を設定している一方で、ハイパースケーラーのような企業もGoogleが2029年のタイムラインを自社の移行に掲げている。これらの動きが相まって、政府、重要インフラ、産業界における議論を変えつつある。
圧力は高まっている。移行はデジタル経済のあらゆる層に関わるためだ。政府は、不可欠なシステムを支える技術においてより強固なセキュリティと高い保証を求めている。産業界は標準を製品やサービスに落とし込む作業を進めている。重要国家インフラの運営者は、今後長年にわたるレジリエンスを形作る決定を現在下しつつある。真の課題はここから始まる。
サプライチェーンに組み込まれた調整上の課題
耐量子暗号への移行は、複雑なグローバル技術サプライチェーンを通じて進む。標準は半導体に組み込まれ、相手先ブランド製造業者（OEM）の製品に統合され、ネットワーク事業者やクラウド事業者に支えられ、その後、社会が日々依存するインフラ全体に展開されなければならない。このプロセスは、各層が十分な明確さと十分な整合性をもって動く場合にのみ機能する。
重要国家インフラ全体では、リスクはより高く、期限はより厳しい。エネルギーグリッド、交通システム、通信ネットワーク、金融機関は、長寿命の資産、規制された環境、そして世界中から調達された機器に依存している。
多くの運営者は二重の課題に直面している。新たなインフラを保護しつつ、すでに現場にあるものをどうアップグレードするかも同時に検討しなければならないのだ。今行われる調達の決定は、数年、場合によっては数十年にわたってレジリエンスを形作る。耐量子サポートへの明確な道筋がない状態でそれらの決定が下されれば、後から追いつくためのコストと複雑さは大きなものになるだろう。
耐量子暗号への移行はシステムのあらゆる層に依存する
PQCは、単なる定例のセキュリティ更新やIT刷新ではなく、グローバルなインフラのアップグレードとして捉えるべきである。デバイスは、単一の孤立した変更によって量子耐性を獲得するわけではない。そのセキュリティは、チップ、ファームウェア、オペレーティングシステム、アプリケーション、接続先のクラウドサービス、そしてトラフィックを運ぶネットワークに依存する。同じことは、企業システム、産業環境、重要インフラ全体にも当てはまる。
このため、移行は相互依存的なものとして考える必要がある。半導体メーカーはそのチェーンの起点に位置する。PQCがシリコンに組み込まれると、OEMは製品にそれを統合でき、ネットワークベンダーは導入済みの環境でそれをサポートでき、インフラ運営者は大規模な展開を開始できる。すべての段階は、その前の段階に依存している。システムの一部が遅れれば、その下流のすべてがその影響を受ける。
このため、議論は技術チームの内部にとどめておくことはできない。調達部門、取締役会、規制当局、政策立案者にまで届く必要がある。さもなければ、リスクは明白だ。政府が現在設定している期限内に量子耐性セキュリティをサポートできないインフラが展開されてしまう。
耐量子セキュリティへの行動の機会は狭まりつつある
行動の機会が狭まりつつあるため、時期が重要だ。Googleの2029年の目標は、すでに市場全体における商業的な基準点になりつつある。ハイパースケーラーがこのような技術転換に動くと、サプライヤー、パートナー、顧客の期待も変わる。その圧力はサプライチェーン全体に波及していく。
政府も動きつつある。英国の国家量子戦略は、研究、イノベーション、スキルに対して10年間で25億ポンドを拠出するとしており、量子技術がいかに戦略的に重要になったかを反映している。
同時に、最近の研究（Google社）が、量子暗号解析の進展により広く使われている暗号システムを破るために必要なリソースが減少していることを示しており、これは組織が実際にどれだけの時間が残されているかを再評価している理由の一つである。
重要インフラ運営者にとって、これは計画の地平を変える。もはや待つ余裕のある遠い問題として捉えているわけではない。今後10年にわたってシステムがどのようなセキュリティをサポートできるかを決める、調達と刷新のサイクルの中で作業している。
量子への備えから、より広範なサイバーレジリエンスへ
ここにはまた、より広範なサイバーレジリエンスの機会もある。大規模な技術転換は、既に存在していたがまだ十分に対処されていなかった弱点を露呈させる傾向がある。耐量子移行は、基盤アーキテクチャが再検討されている間に、システムをより広範に強化する稀な機会を生み出す。
人工知能（AI）でも同じ動きが見られている。Anthropicは、自社のClaude Mythos Preview が、Project Glasswingを通じて主要なソフトウェアやインフラの脆弱性を特定しており、同プロジェクトには現在、防御的セキュリティ業務にそのモデルを使用する40以上の組織が参加している。Mozillaは、Firefox 150にはMythosで特定された271件の脆弱性の修正が含まれていたと述べている。これらの事例は、新たな能力が大規模に適用されると、隠れた設計上および実装上の欠陥がいかに速やかに表面化しうるかを示している。
これはポスト量子暗号にとって重要である。なぜなら、展開は決してアルゴリズムだけの問題ではないからだ。それは実際のシステム全体における実装の品質の問題である。AIは、防御側がそれらの実装をはるかに速くテスト、検証、強化するのに役立ちうる。
それが重要なのは、攻撃者もAIを使って同じ弱点を探すからだ。移行期間中にセキュリティチームがこれらのツールを使ってレジリエンスを向上させなければ、まさにタイミングの悪い瞬間に価値を取り逃すことになる。
耐量子暗号における実行上のギャップを埋める
世界経済フォーラムの「サイバーレジリエンス・イニシアチブ」から得られる最も明確な教訓の一つは、組織はしばしば目の前のリスクを理解しているものの、断片化したガバナンス、不明確な責任の所在、競合する優先事項のために、その認識を持続的な行動に変えることに苦労している、ということだ。
この傾向は現在、ポスト量子移行全体で見られている。標準は存在し、技術は進展し、緊急性は高まっている。現在の優先課題は、政府、技術提供者、標準化団体、インフラ運営者が足並みをそろえて動けるかどうかである。それは、国境や供給チェーンを越えて、調達、保証、導入の道筋を整合させることを意味する。
この移行は、今後数十年にわたって重要システムの安全性の姿を形作るだろう。また、それらのシステムがアップグレードされている間に、より広くサイバーレジリエンスを構築する機会でもある。PQCを狭義のコンプライアンス演習ではなく、協調的なレジリエンス・プログラムとして扱う組織こそが、世界が現在依存しているデジタルシステムにおける不可欠なサービス、経済の安定、信頼を守るのに最も適した立場に立つだろう。
