量子コンピューティングの時代が到来しつつありますが、その結果、文字通り莫大な費用がかかることになるかもしれません。
この画期的な技術は、 の量子ビット を用いて多次元量子アルゴリズムを実行することで、現在のコンピュータよりも指数関数的に高速な処理速度を実現します。
量子ビット？ その件については、後ほどお話しします。 ここで重要な点は、現在の原始的な量子コンピュータは、約 100 個の論理量子ビットを利用していると考えられているということです。。 しかし、こうしたデジタル情報単位を 3,000 から4,000 まで処理できるようになる段階に達すれば――多くの人が10年ほど以内に実現すると見込んでいます――、医療、材料科学、防衛、都市計画、 ハイテク、およびその他の分野において、発見の黄金時代が幕を開けることになるでしょう。 しかし、多くの画期的なイノベーションと同様に、裏の側面もあります。この技術はサイバー犯罪者によって悪用される可能性もあり、銀行は主要な標的となるでしょう。
例えば銀行業界では、将来の量子コンピュータは極めて強力なものとなり、金融機関が現在、顧客の個人情報や機密データ、オンライン取引、口座を保護するために使用している暗号アルゴリズムのほとんどを破ることができるようになると予想されています。
とはいえ、ごく普通のハッカーが量子コンピュータを簡単に悪用して、バンク・オブ・アメリカやシティグループといった企業を標的にできるというわけではありません。 量子システムは、ほとんどのサイバー犯罪者にとってはあまりにも高価すぎるでしょう。 いいえ、懸念されているのは、敵対的な 国家 や、資金力のあるハッカー集団 が、量子コンピュータを盗み出したり、購入したり、あるいは開発したりして、誰にも気づかれる前に金融機関や市場への攻撃を仕掛けてしまう可能性があるということです。
量子コンピューティングとは何でしょうか。また、なぜ銀行は今すぐ対策を講じる必要があるのでしょうか。
この用語に馴染みのない方のために説明いたしますと、クビット（「キュービット」と発音され、量子ビットの略称です）とは、量子コンピューティングにおける情報の基本単位を指します。これは、従来のコンピューティングにおけるビット（二進数桁）に類似しており、従来のコンピューティングに比べてはるかに短い時間で情報の処理を可能にします。 これは、従来のコンピューティングにおける「1」と「0」とは対照的に、回転する球体として描かれることがよくあります。 今後数年間で、量子技術の発展に伴い、サイバー犯罪者がその力を利用して金融サービス業界やその他の標的を攻撃するようになるにつれ、量子ビット（キュービット）についてさらに耳にする機会が増えるでしょう。
「たとえ［量子コンピューティング］の実現があと10年先になったとしても、潜在的な脅威を未然に防ぐために必要な変化への備えは、今から始めなければなりません。」マシュー・ミッテルシュテット氏、メルカトゥス・センター研究員
この脅威を受け、バイデン大統領は昨年、 に基づく大統領令 を発令し、連邦機関に対し、暗号システムを量子耐性のあるものにするよう要件を定めました（post-quantum）。 その後、この任務は、昨年12月に署名された「量子コンピューティング・サイバーセキュリティ対策法」において正式に定められました。
一方、銀行側も、自らが脆弱な立場にあることを以前から認識しており、この脅威に対抗するために、 数十億ドルを投じる見込みです。 しかし、専門家たちは、量子コンピューティングの真の可能性が発揮されるまでには、少なくともあと7年から 10 年かかるため、多くの銀行がその時期が近づくまで本格的な取り組みを先送りするのではないかと懸念しています。 何と言っても、彼らは の経済状況や、拡大する損失、そして の預金者の信頼の低下といった差し迫った問題に注力しているのです。
とはいえ、量子技術による脅威への対策を先送りすることは、重大な過ちになると、業界関係者は指摘しています。
まず第一に、今日のデータはすでに量子コンピューティングによる解読の脅威にさらされている可能性があります――ただ、皆さんが想像しているような形ではないのです。 データには一定期間有用性が残るため、各国は、量子技術による解読が可能になった際にそれを活用できるよう、現時点で敵対勢力から暗号化された情報を収集しておくことができるでしょう。 このタイムカプセル方式は「Harvest Now, Decrypt Later（HNDL）攻撃」として知られており、デロイトの「 」調査（）によると、量子コンピューティングへの対応を講じている組織の半数以上（50.2％）が、この攻撃による「リスクにさらされている」と考えているとのことです。
量子コンピューティングがもたらす「存亡の危機」を未然に防ぐ
こうした状況を踏まえ、バージニア州に拠点を置くシンクタンク「メルカトゥス・センター」の研究員であるマシュー・ミッテルシュテット氏は、量子コンピューティングを「銀行のセキュリティに対する存亡に関わる脅威」と呼び、この脅威に適切に対処するために必要な時間と費用を過小評価してはならないと警告しています。
「たとえこれがあと10年は起こらないとしても、潜在的な脅威を未然に防ぐために必要な変化への備えは、今から始めなければなりません。なぜなら、その変化はかなり大きなものになるからです」とミッテルシュテット氏は述べています。 「この問題の影響を受ける範囲を見てみると、基本的にはあらゆる分野に及ぶと言えます。」 「当社のモバイル技術やデータベースなどが影響を受けることになるでしょう……。文字通り、デジタル通信を行い、暗号化を利用しているものなら何でも影響を受け、安全性が損なわれる可能性があります。」
銀行関係者の立場に立って言えば、彼らの準備作業は、RSA、ディフィー・ヘルマン、楕円曲線暗号（ECC）といった一般的な公開鍵暗号（PKC）システムに代わる、堅牢で量子耐性のある代替手段について、政府が合意に至る取り組み次第となるでしょう。 米国商務省傘下の国立標準技術研究所（NIST）が主導するこれらの取り組みは、 2015 年から進められており、現在も継続中です。
量子サイバーセキュリティ分野では、ゆっくりながらも着実な進展が見られます
実際、NISTは昨年、 で「」を公開し、一般暗号化向けの4つの暗号アルゴリズム「最終候補」——CRYSTALS-Kyber 、CRYSTALS-Dilithium、 FALCON、およびデジタル署名向けのSPHINCS+——について、一般からの意見を募集し始めました。これらは、おそらく 2024年頃に、NISTのポスト量子暗号（PQC）規格の一部となるものと見込まれています。
「現在のサイバーセキュリティアルゴリズムについては、数学の授業でほとんどの高校生に説明できるでしょう。」 しかし、これらの新しいポスト量子アルゴリズムに用いられる数学ははるかに複雑であり、それを理解するには多くの知識と訓練が必要になるでしょう。”NISTのコンピュータセキュリティ部門に所属する数学者、ダスティン・ムーディ氏
しかし、セキュリティ研究者たちがアルゴリズムを徹底的に検証しているため、これらの基準が承認されるまでの道のりは不透明です。 例えば、今年の初め、スウェーデンの研究者たちは、 人工知能（AI）を活用した サイドチャネル攻撃を用いて、CRYSTALS-Kyberの実装を破ることに成功しました。。 サイドチャネル攻撃は、コードを直接標的とするのではなく、偶然発生するハードウェアからの放射を測定することで、暗号鍵などの機密情報を収集します。
しかし、NISTのコンピュータセキュリティ部門に所属する数学者のダスティン・ムーディ氏は、量子アルゴリズムの複雑さを考えれば、こうした障害は予想されていたと述べています。
「これは非常に複雑な分野です」とムーディ氏は述べています。 「たとえば、RSAは、数学の授業でほとんどの高校生に説明できるようなアルゴリズムです。」 しかし、これらの新しいポスト量子アルゴリズムに用いられる数学ははるかに複雑であり、それを理解するには多くの知識と訓練が必要になるでしょう。 ですから、課題は出てくるでしょう。 「そして、これらすべてを非常に慎重に実施しなければ、脆弱性が生じる可能性があります。」
[関連記事：企業ネットワークに導入する新技術の多くは（正直に言えば）、必要不可欠というよりはあくまで任意のものであり、この「 7 の致命的な過ち」を避けない限り、技術的負債を招くことになります]
ムーディーズは、銀行に対し、 2024 で規格が策定されるまで待ってから、ポスト量子アルゴリズムを本番環境に導入するよう助言していますが、他の専門家たちは、その導入に備えていくつかの準備を行うことの重要性を依然として強調しています。
まず、彼らは次のように推奨しています：
1. 暗号技術の現状を把握しましょう
Googleの親会社であるAlphabet Inc.からスピンオフしたスタートアップ企業、SandboxAQの量子セキュリティグループでプロダクト責任者を務めるグラハム・スティール氏は、 Focal Point に対し、組織内で量子攻撃に脆弱な暗号化技術がどこで使用されているかを把握するためには、 徹底的な棚卸し を行う必要があると述べています。
次に、 のリスク評価（）を検討し、5年から 10 年後に機密性を維持する必要があるデータがどこにあるかを特定する必要があります。 これにより、将来的に発生しうるHNDL攻撃を未然に防ぐことができます。
また、ご自身の環境でNISTの量子アルゴリズム案を試してみて、それらが最も重要なアプリケーションにどのような影響を与えるかを確認することもできます、と彼は付け加えています。
2。 量子サイバーセキュリティに資金を投入する
ミッテルシュテット氏によると、デジタルシステムの基盤となっている暗号技術をすべて撤去して置き換えることが、どれほど時間と費用がかかるかについて、それを認識している銀行はほとんどないとのことです。
「これを怠ると、まもなく進捗状況を公表し始める競合他社に後れを取ってしまうリスクがあります。」SandboxAQの量子セキュリティグループでプロダクト責任者を務めるグラハム・スティール氏
「どのようなインフラが影響を受ける可能性があるのか、考え始めなければならない」と彼は言います。 「これは非常に複雑な作業です。 「自分が気づいていないだけで、セキュリティ上の問題を抱えているシステムがたくさんあるでしょう。」
[関連記事：組織の「至宝」とも言えるデータを保護するための 5 のステップ]
彼は、多くのシステムが適切に文書化されていないと警告しています。
「おそらく、誰かに報酬を支払って、すべての事業体や支店をくまなく回り、実際に足を運んでどのシステムが存在するかを確認し、それらが影響を受ける可能性があるかどうかを記録し、量子攻撃に対する防御力を高めるためのソフトウェア変更計画を策定してもらう必要があるでしょう」と彼は述べています。 「簡単ではないでしょう。」
3。 ソフトウェアを再設計してください
ミッテルシュテット氏は、NISTのアルゴリズムが標準化されるまでには長い道のりがある可能性があると指摘しています。 それに先立ち、彼は銀行に対し、変化により柔軟に対応できるよう、「モノリシック」なソフトウェアの再設計に着手するよう助言しています。
「サイバーアジリティを実現するための手法を導入したいのです」と彼は言います。 「つまり、システムをモジュール式に設計し、特にセキュリティ関連のコンポーネントを簡単に交換できるようにするということです。」 「今日、そのようなシステムを設計しておけば、これらのNIST規格が正式に制定された際にも、すぐに対応できるようになります。」
量子脅威がいつ事態を悪化させ、銀行業界にとってより深刻な問題となるかは誰にもわかりませんが、専門家たちは、事態がどうなるか様子を見るのを待つべきではないと助言しています。 今から少しずつ着実に進めることで、銀行は必要なコストや労力を長期にわたって分散させることができ、それによる負担を軽減することができます。
「ITの全体的な近代化の一環として戦略的に捉えれば、それほど高額になる必要はありません」とスティール氏は述べています。 「これを行わない場合、競合他社に後れを取ってしまうリスクがあります。競合他社はまもなく進捗状況を公表し始めるでしょう。また、（十分な余裕を持って着手しなかったために）達成不可能な期限内に移行するよう規制当局から圧力を受け、コンプライアンス違反による罰金のリスクにさらされることにもなりかねません。」
