「暗号は一度実装すれば安心」——そう考えているシステムが、実は静かに賞味期限を迎えつつあります。2025年11月、内閣官房は「政府機関等における耐量子計算機暗号（PQC）への移行について」の中間とりまとめを公表し、原則2035年までにPQCへ移行する方針を打ち出しました。デジタル庁は2026年度中に具体的な移行工程表を策定する予定で、CRYPTRECもすでに2026年3月、NIST標準の鍵共有アルゴリズムML-KEMを電子政府推奨暗号リストに正式追加しています。今回の2035年という移行時期は、米国や欧州連合(EU)など諸外国の政府方針とも足並みを揃えたものであり、日本一国だけの取り組みではありません。「量子コンピュータはまだ実用化されていないから関係ない」と考えているITストラテジストの皆さんに、まず知っていただきたい前提があります。脅威はすでに”今”始まっているという事実です。
「ハーベスト・ナウ、ディクリプト・レイター」という前提の転換
RSA暗号や楕円曲線暗号は、量子コンピュータ上で動くショアのアルゴリズムによって将来解読される可能性が指摘されています。専門家の間では、実用的な暗号解読が可能な量子コンピュータの登場を5〜15年後とみる予測もありますが、重要なのは到来時期そのものではありません。攻撃者は今この瞬間にも暗号化された通信やデータを収集し、将来の解読技術の完成を待つ「ハーベスト・ナウ、ディクリプト・レイター」という戦略を取り得ます。防衛・医療・金融など、数十年単位で機密性を保つ必要があるデータを扱う業界では、この前提の転換がすでに設計判断に影響し始めています。政府が2035年という長期の移行目標を掲げつつ2026年度中の工程表策定を急ぐのは、基幹システムの暗号方式が一朝一夕には変えられないことを見越してのことです。
サプライチェーンに降りてくる「調達要件」という現実
CRYPTRECが電子政府推奨暗号リストにML-KEMを追加したという事実は、単なる技術評価の更新にとどまりません。政府調達の暗号要件が動いたということは、政府システムを受託する元請け企業、さらにその先の協力会社にも、遠からず同様の対応が求められる可能性が高いということです。NISTが標準化したFIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）はそれぞれ鍵共有・署名の用途で使い分けられますが、現場のエンジニアが規格名を覚えるだけでは移行は進みません。ITストラテジストに求められるのは、自社および取引先のシステムがどこでどの暗号アルゴリズムを使っているかを可視化する「暗号インベントリ」の整備です。TLS通信、サーバー証明書、署名検証、データベースの暗号化機能、さらにはIoT機器のファームウェア更新に至るまで、暗号は想像以上に広範囲に埋め込まれています。最近ではこうした暗号資産の棚卸しを体系的に行う手法として「CBOM(Cryptography Bill of Materials)」という考え方も注目されており、ソフトウェア部品表(SBOM)と同様に、どこにどの暗号が使われているかを継続的に管理する仕組みが求められ始めています。
今日から着手できる3つのステップ
移行を「待つ」側から「備える」側に回るために、着手できることは多くあります。第一に、自社システムで使用している暗号方式とその利用箇所を棚卸しし、アルゴリズムを容易に差し替えられる「暗号アジリティ」の設計方針を確認すること。第二に、主要ベンダーやクラウド事業者のPQC対応ロードマップを問い合わせ、契約更新のタイミングに合わせて要件に組み込むこと。第三に、長期保存が必要なデータについては暗号強度だけでなく「いつ解読されると困るか」という観点で優先順位をつけることです。すべてを一度に移行する必要はありません。重要なのは、2035年という期限から逆算して自社の対応スケジュールを描き始めることです。
政府主導のPQC移行は、遠い未来の話ではなく、すでに調達要件という形で動き始めています。皆さんの組織では、暗号方式の棚卸しは終わっていますか。「いつか対応すればいい」という先送りが、数年後には取引先から選ばれない理由になるかもしれません。ITストラテジストとして、この静かな地殻変動を経営層に伝え、備えを主導する役割を、今から果たしていきましょう。
参考情報
- 政府機関等における耐量子計算機暗号（PQC）への移行について（中間とりまとめ）（内閣官房）
- 日本政府、2035年までに耐量子計算機暗号（PQC）に移行する方針 重要インフラ・民間事業者にも波及か（＠IT）
- CRYPTREC暗号リスト（電子政府推奨暗号リスト）
- 耐量子計算機暗号（PQC）への移行はもう始まっている——「今盗んで後で解読する」攻撃とCBOMによる暗号資産の棚卸し
（当記事に関するご注意事項）本記事は、AIによる情報収集と文書作成の試行として作成しております。参照文献を添付するなど事実関係については留意しておりますが、記事内の情報についての事実確認は保証しかねますことをご了承願います。
