量子コンピューティング という、まだ遠い未来のように思える時代のサイバーセキュリティ計画を策定することは、現時点では多くの企業にとって優先順位のかなり低い課題かもしれませんが、連邦政府機関はすでに、その移行を進め、義務付けられた報告要件を遵守するために、いくつかの重要な措置を講じています。
問題は、量子耐性のあるセキュリティに向けたこれらの第一歩が、概してかなり不安定なものであり、 の金融データ、政府の機密情報 、そして市民の個人情報など、多くの暗号化データが危険にさらされていることです。
アクセンチュア・フェデラル・サービスの量子情報科学エンジニアリング責任者であるスティーブン・ハーパー氏は、「Q-Day」に備えています。「Q-Day」とは、量子コンピューターが、コンピュータネットワークで現在使用されている標準的な暗号化技術を破ることができるようになる瞬間を指す、量子技術の専門家たちが造った用語です。 彼は、連邦政府機関がポスト量子暗号への移行を進めるのを支援しており、そのプロセスをさらに加速させようと努めています。
グローバルITコンサルティング企業アクセンチュアの一部門であるアクセンチュア・フェデラル・サービス（Accenture Federal Services）は、米国連邦政府の各機関（ ）と連携し、 のクラウドサービス、AI、サイバーセキュリティシステムなどの新技術の導入を支援しています。 ハーパー氏は、経験豊富なセキュリティの専門家であり、ジョンズ・ホプキンス大学ホイッティング工学部でサイバーセキュリティの修士号を取得しており、量子コンピューティングの愛好家でもあります。
ハーパー氏によると、米国の連邦機関は 2023年から、システムの潜在的な脆弱性について行政管理予算局（OMB）への報告を開始せざるを得なかったそうですが、これまでのところ、その報告の大部分は手作業で行われており、その精度もそれほど高くないとのことです。
そのプロセスをいかにして迅速化し、改善できるかについて、彼が次のように述べています。 そして、彼が言う「私たち」とは、私たち全員のことを指しています。 公的機関は、 のコンプライアンス問題について懸念を抱かざるを得ません 。また、同氏は、各機関が現在 行うべきことについて、いくつかのアドバイスを提供しています。 しかし、彼の助言は民間部門にも同様に当てはまります。 量子脅威は現実のものであり、規模の大小を問わず、あらゆる組織に迫っているからです。
（以下のインタビューは、ハーパー氏とポッドキャストのホストであるチェルシー・ネルソン氏との対談を基に編集したものです。この対談は、 Tanium Podcast、 で公開されており、本誌を発行するTanium社が制作しています。） （紙面の都合と読みやすさを考慮して編集されています。）
量子コンピュータの進歩は、民間部門と公共部門の両方にどのような影響を与えているのでしょうか？ そこにはどのような脅威があるのでしょうか？
1990s年の初め頃、ピーター・ショア教授［当時、ニュージャージー州のベル研究所に所属していた数学者］は、…準素数を因数分解するための量子コンピュータのアルゴリズムについて詳述した論文を発表しました。 つまり、これは、十分に大規模な量子コンピュータがあれば、現在の公開鍵暗号システム［コンピュータネットワーク上のデータの機密性を保つために使用されているもの］が、このアルゴリズムによって破られる可能性があるということです。 まだそのような量子コンピュータは存在しませんが、現在開発が進められています。
「脆弱性のないアルゴリズムへの移行を始める時間はまだありますが、今すぐ着手しなければなりません。」
10 年から20 年後のどこかの時期になるだろうことはわかっています……ですから、今はまだ、脆弱性のないアルゴリズムへと移行を始める時間的余裕がありますが、今すぐ着手しなければなりません。 そして、そこで、 の行政機関から、連邦政府機関がこの移行を開始するよう求める法令や通達（ ）が示されたのです。 1つ目は国家安全保障覚書（NSM-8）で、その次にNSM-10がありました。
[関連記事：量子コンピューティングは急速に進歩しています――サイバーセキュリティのポケットガイド]
そして、OMBの覚書 M-23-02もあります。 それらの通達では、連邦機関に対してどのようなことが求められているのでしょうか？
要するに、彼らが求めているのは、各機関が極めて重要なアプリケーションにおいて、脆弱性のある非対称暗号の使用状況を把握し、その情報を毎年OMBに報告することで、移行に必要な範囲の検討を開始することです。 その覚書には、どのアルゴリズムに脆弱性があり、報告が必要なのかを一覧にした表が掲載されています。そして、今後 10 年間、毎年この報告を提出しなければなりません。
「ポスト量子暗号について話す際、その名称が実際よりもずっと複雑に聞こえてしまうため、少しブランディング上の問題があります。」
そして、私たちの観察によると、ほとんどのエージェンシーは、少なくとも最初の1、2年間は、こうした作業をすべて手作業で行っており、率直に言って、非常に時間がかかり、精度もかなり低いのが実情です。
この種の業務を自動化すれば、コンプライアンスの遵守に役立つはずです。 時間の節約は具体的にどのようなものになるのでしょうか？
（データ収集の自動化や改善のためのツールを導入するための）初期投資には、多少時間がかかります。 システム環境の規模やその数によって異なりますので、その点を正確に把握するのは難しいです。
[関連記事：自動化のためのAIが、今日のITワークフローにどのような変革をもたらすか]
しかし、ひとたびすべての計測環境が整えば、準備がすべて整っている場合、おそらく半日程度でデータを入手できるだけでなく、レポートやダッシュボードが適切に設計されていれば、その精度も大幅に向上するはずです。
量子力学について、よくある大きな誤解は何でしょうか？
「ポスト量子暗号」について話す際、少しブランディング上の問題があります。「量子」という言葉が含まれているため、実際よりもずっと複雑に聞こえてしまうからです。
そうですね。
実際には、ごく一般的なコンピュータ上で動作する新しい暗号化アルゴリズムについて話しているに過ぎません。 それには量子力学的な要素は一切ありません。
「必要なデータがすべて入手できておらず、報告も正確に行われていないため、実際の脅威や存在する攻撃対象範囲が把握できていません。」
私たちは、 を の量子コンピュータから守っているだけです。 ですから、この点をしっかりとお伝えすることが重要です。というのも、私たちはこれまで、各システムの所有者や、それらのシステムを管理するグループと連携して、「この脆弱性のあるアルゴリズムのリストの中から、どのようなものを使用しているか教えてください」と尋ねてきたからです。 すると、「うちはWindowsを使っているので、そういったことは一切行っていません」といった返答が返ってくるのです。 まあ、厳密に言えばその通りなのでしょうが、どこか本質を見失っている気がします。
必要なデータがすべて集まっていない上、報告も正確に行われていないため、実際の脅威や存在する攻撃対象範囲が把握できていません。
[関連記事：このネット詐欺に危うく引っかかりそうになりました――なぜ技術の専門家でさえ騙されてしまうのか]
また、今後の移行作業に臨むにあたり、何をすべきかを知るための正確な全体像も把握できていません。 つまり、これらすべてを完了させるためには、 が予算の範囲 および の人員配置の範囲 に影響を及ぼすことになります。
連邦政府機関は今、何をすべきでしょうか？
願わくば、皆さんがデータ収集のプロセスを改善するために取り組んでこられたことでしょう。 今後1～2年間で彼らが取り組むべき重要な点は、そのプロセスを可能な限り正確にし、 可能な限り自動化すること です。そうすることで、今後私たちが介入し、すべてをこれらの新しい暗号化アルゴリズムに移行できるよう支援し、見落としがないようにすることができます。
量子力学に関して、私たちの先延ばし癖はどれほど深刻な問題なのでしょうか？
よくこう言われるんです。「ええと、新しいアルゴリズムへすべてを移行するには、 10 年から20 年ほどかかるでしょう……」と。 それだけの時間があれば十分ではないでしょうか？
[関連記事：パッチ適用を遅らせる際の必須ガイド――その理由、リスク、対策]
CISA［米国サイバーセキュリティ・インフラセキュリティ庁］は、実際に［昨年］、公共部門の機関、特に公共サービスに従事する機関に対し、無線通信機器について強く要請する文書を発表しました。これらの機関の多くは、依然として通信にDES暗号化［時代遅れの「データ暗号化規格」］を使用していますが、この規格はすでに 20 年近くも前に廃止されています。 DESからAESの対称暗号化［更新され、より安全になった「高度暗号化規格」］への移行は、当社のすべての……非対称暗号化システムを移行するよりも、はるかに、はるかに容易なことです。
そう聞くと、まだ時間はたっぷりあるように思えますが……気がつけば、脆弱なシステムが山ほどある状態でそこに座り込み、一体何が起きたのかと自問することになるでしょう。
続きはこちら：
以下のリンクから、ハーパー氏へのインタビュー全文をご覧ください。同氏は、量子暗号に関する最新のNIST規格について解説するとともに、コンプライアンス要件を満たすために、各機関がデジタル証明書やその他のネットワークコンポーネントからデータをより効率的かつ正確に取得する方法について詳しく掘り下げています。
