-1.png?w=1024)
Government Accountability Office（GAO）が10月6日に公開した報告書によると、CFO法の対象となる24の機関のうち、ポスト量子暗号（PQC）への移行準備に必要な3つの主要な取り組みを完全に実施していた機関はなかった。この調査結果は、2025年9月に完了した監査に基づいている。
GAOは、Office of Management and Budget（OMB）の指針に基づく3つの取り組みを基準に各機関を評価した。脆弱な暗号を使用するシステムのインベントリー作成、置き換えに必要な資金の見積もり、耐量子アルゴリズムのテストだ。インベントリー作業を完全に終えていたのは1機関だけで、新しいアルゴリズムをテストした機関はなかった。
この報告書は、民間機関がOMBに移行計画を提出しなければならない10月22日の約2週間前に公表された。提出は覚書M-26-15に基づく。計画には、インベントリーの手法、移行のマイルストーン、資金と人員のニーズを記載する必要があり、これらはGAOの調査結果と重なる領域だ。
GAOによる3つの取り組みの評価結果
GAOによるポスト量子暗号の準備状況に関する監査は、2024年2月から2025年9月まで実施された。今回の公開報告書に先立ち、同年9月には機関向けの機微な内容を含む版が発行されていた。
| 取り組み | 完全実施 | GAOの調査結果 |
|---|---|---|
| 脆弱な暗号を使用するシステムの優先順位付きインベントリー | 24機関中1機関 | 22機関は優先システムを含めず、1機関はインベントリーを作成しておらず、19機関は自動検出ツールを使用していなかった |
| 優先システムをPQCに移行するために必要な資金 | 24機関中0機関 | 21機関は、提出した見積もりが完全に正確ではないと説明し、3機関は見積もりを提出しなかった |
| 機関環境でのPQCテスト | 24機関中0機関 | 1機関はテスト対象となるベンダー製品を特定したものの、テストを実施しなかった。23機関はテスト活動に取り組んでいなかった |
監査は、政権が発令した 2026年6月の量子関連大統領令の約9カ月前に終了した。暗号に関する大統領令は、国家安全保障システムを除く高価値資産と高影響システムについて、2030年12月31日までに鍵確立へ、2031年12月31日までにデジタル署名へPQCを採用するよう指示している。
機関は不足するスキルとベンダー製品を問題視
GAOは、不備の原因として、人員、ツール、コストデータ、ベンダーの準備状況を挙げている。
- 専門知識:18機関が暗号に関する専門知識の不足を報告し、その不足を埋める計画を持っていなかった。
- ツール:15機関は、自動検出ツールを利用するには時期尚早である、またはCybersecurity and Infrastructure Security Agency（CISA）が一部のツールを特定するのを待っていると回答した。
- コストデータ:監査期間中、11機関は、市販のPQC製品やベンダー価格が不足しているため、資金の見積もりを作成するのが難しいと回答した。
- テスト:16機関は、ベンダーが製品にアルゴリズムを追加している段階にあるため、テストは時期尚早だと回答した。
GAOはこのテストに関する主張を退けた。OMBは、NISTが2024年8月にFIPS 203と関連標準を最終決定する前の2022年11月に、機関によるテストを推奨していた。報告書によると、オープンソースのプロトタイピングツールも少なくとも4年前から存在している。
民間の購入者も、同じベンダー問題の一端に直面する。というのも、量子対応をうたって販売されているハードウェアにも、なお検証が必要だからだ。
勧告を受けた23機関のうち、12機関は4件中3件の勧告に同意し、1機関は同意しなかった。
eWeekが分かったこと：移行予算には期限以上のものが必要
資金に関する調査結果は、実務上の弱点を浮き彫りにしている。機関は、対象となるシステムを完全に把握する前に移行コストを見積もっていたのだ。OMBが2024年7月に発表した報告書では、PQCをサポートできないレガシーシステムの置き換えを含め、優先順位を付けた連邦システムの移行にかかる概算費用を約71億ドルとしている。
OMBとOffice of the National Cyber Directorは、これらの評価が初期の計画用見積もりを示すことを目的としており、製品と価格が成熟するにつれてコストを精緻化すると説明した。GAOの調査結果は、不完全なインベントリーによって移行コストの一部が見積もりから漏れる可能性を示唆しているが、報告書は増加額を数値化していない。
企業のリーダーにとって、 量子の脅威が到来する前に備えることは、予算を設定する前に移行の範囲を把握することから始まる。チームは、 どのシステムが脆弱な暗号を使用しているかを特定し、その所有者と、データを保護し続ける必要がある期間を把握すべきだ。こうした情報により、早期に対応する必要があるシステムと、予定されたハードウェアの交換やソフトウェアの近代化に合わせてアップグレードできるシステムを区別できる。
ベンダー製品の提供状況も、組織の準備に影響する。PQC機能の発表だけでは、それが組織のアプリケーション、IDシステム、レガシーインフラと連携して動作するかどうかは分からない。購入者は、ベンダーのロードマップを自社の移行がカバーされている証拠と見なす前に、具体的な実装の詳細を確認し、互換性テストを計画すべきだ。
10月22日は、次の連邦計画のチェックポイントとなる。M-26-15は、資金と人員の見積もりに加えて、インベントリーの手法と自動化ツールについて説明するよう機関に求めている。監査以降に機関がどれだけ進展したかを示すには、更新された証拠が必要になる。自らのスケジュールを設定する企業にとって有用な基準は、計画が特定済みのシステムを責任チーム、テストのマイルストーン、リソースに結び付けているかどうかだ。
詳しくはこちら: Google Cloudの2029年量子セキュリティーロードマップでは、企業向けPQC移行を計画する際に、プロバイダーのアップグレードと顧客の責任がどのように結び付くかを解説している。