量子リスクはすでに現実のものとなっている：「Q-Day」に先立ち、サードパーティの暗号技術への対応準備を実証するためのプロバイダー向けガイド、第1部 - 現状と戦略的ガイダンス

本IDCマーケット・パースペクティブでは、サードパーティによるポスト量子対応の必要性について論じています。企業のデータセキュリティに対する量子脅威は、将来的なリスクではなく、現在進行形で2つの側面から複合的に迫る脅威です。「今収集、後で復号（HNDL）」と呼ばれる攻撃では、現在、暗号化されたデータが収集され、事後的に復号されるようになっています。また、IDCがHNDLに対応する認証層の脅威として提唱した「Trust now, forge later（TNFL）」とは、攻撃者が現在署名付きデータを収集し、組織や規制当局が本物と見分けがつかないような出所記録を事後的に偽造することを指します。NISTが2024年8月に3つのPQC規格を最終決定し、CISAが2026年1月に連邦調達ガイダンスを発行し、NIST IR 8547が、量子脆弱性のある非対称アルゴリズムをそれぞれ2030年および2035年までに非推奨とし、最終的には使用を禁止することを提案していることから、規制状況の変化により、移行は単なる計画段階からコンプライアンス上の義務へと転換しました。

本書は、2部構成のIDCマーケット・パースペクティブ・シリーズの第1部です。本稿では、サードパーティ・リスク管理におけるPQC対応に向けた戦略的および脅威の文脈を明らかにします。これには、HNDLおよびTNFLという脅威の次元、モスカの不等式に基づく優先順位付けフレームワーク、新たに台頭している量子セキュリティ・ポスチャー・マネジメント（QSPM）および量子TRiSCMの運用モデル、ならびに成熟したプログラムが採用している5つの量子ガバナンスの次元と信頼性KPIが含まれます。『量子リスクはすでに現実のものとなっている：「Q-Day」に先立ち、サードパーティの暗号技術への対応状況を評価するための企業バイヤー向けガイド、パート2 - 評価フレームワークと導入ガイド』（IDC#US54672326、近日公開予定）では、全48問からなる「サードパーティ量子暗号化対応実態評価フレームワーク」を完全版として提供します。暗号化と認証の両方において、信頼できる移行態勢を実証できないプロバイダーは、正式な義務化が施行される前に重大な指摘を受けるリスクに直面することになります。

「すべてのテクノロジープロバイダーにとって、2つの時計が同時に刻まれています。1つ目は『HNDL時計』です。現在、量子攻撃に脆弱なアルゴリズムで暗号化されているデータは、10年以内に解読される可能性があり、事後的に再暗号化することはできません。2つ目は『TNFL時計』です。現在、量子攻撃に脆弱な鍵で署名されているすべてのアーティファクトは、量子コンピュータが標準的な暗号化を破るレベルまで進化した際に、攻撃者が悪用する攻撃対象領域を拡大させてしまいます。どちらの時計も止めることはできません。唯一の合理的な対応策は、PQCへの移行を将来のプロジェクトとしてではなく、組織がこれまで実施してきた中で最も時間的制約の厳しいインフラストラクチャ・プログラムとして位置づけ、顧客から要請される前に、ガバナンス、資産管理、および暗号の俊敏性に関する基盤を構築することです」と、Philip D. Harris氏（CISSP、CCSK、IDCのガバナンス・リスク・コンプライアンス・ソリューション部門リサーチディレクター）は述べています。

経営陣向け概要

• 主なポイント
• 推奨される対応策

新たな市場動向と市場力学

• 現状：サードパーティ・リスク管理における量子暗号への対応状況

テクノロジーサプライヤーおよびサービスプロバイダーへのアドバイス

• サードパーティの量子暗号化対応状況評価に向けた準備
  • 準備を始める前に理解しておくべきこと

参考資料

• 関連調査
• 要約