ポスト量子暗号(PQC)への移行は、もはや研究テーマではなく運用フェーズに入りました。NISTの標準化を起点に、欧米のクラウドと金融がどう動いているかを整理し、日本のエンタープライズが今から何を棚卸しすべきかを実務目線で示します。
「量子コンピュータが実用化されたら暗号が破られる」という話は、長らく将来のリスクとして扱われてきました。ところが2024年から2025年にかけて、この話は一気に「今、手を動かす」フェーズへ移りました。NISTが標準規格を確定し、CloudflareやAWSが本番トラフィックにポスト量子暗号(PQC)を投入し、欧米の金融規制当局が移行の期限を明示し始めたからです。本稿では、シリコンバレーで先行して起きているこの動きを整理し、日本のエンタープライズが今から着手すべきことを実務目線でまとめます。
01なぜ「まだ量子コンピュータが無い」のに今なのか
PQC移行を急ぐ最大の理由は、量子コンピュータの完成を待つ必要がないからです。鍵になるのが harvest-now, decrypt-later(今収集し、後で復号する) という脅威モデルです。攻撃者は今日のTLSトラフィックや暗号化データをそのまま保存しておき、将来 cryptographically relevant な量子コンピュータ(CRQC)が登場した時点でまとめて復号します。
つまり、10年後・20年後まで秘匿していたい情報 — 顧客の個人情報、M&A関連文書、SWIFTメッセージ、長期契約、医療・保険データ — は、量子コンピュータが未完成である「今」の時点で既に危険にさらされています。守るべきデータのライフタイムが長いほど、移行を先延ばしにするコストは大きくなります。金融機関がとりわけ前のめりなのは、扱うデータの秘匿要求期間が数十年単位になるためです。
02NISTが確定させた3つの標準(ML-KEM/ML-DSA/SLH-DSA)
2024年8月、NISTは8年に及ぶ標準化プロセスを経て、最初の3つのPQC標準を正式に発行しました(NISTの発表)。実務上はこの略号を押さえておけば会話が通じます。
- FIPS 203 — ML-KEM(旧CRYSTALS-Kyber):鍵カプセル化。TLSの鍵交換でRSA/ECDHを置き換えます。移行の主戦場はここです。
- FIPS 204 — ML-DSA(旧CRYSTALS-Dilithium):格子ベースの電子署名。証明書やコード署名で使います。
- FIPS 205 — SLH-DSA(旧SPHINCS+):ハッシュベースの署名。格子とは異なる安全性根拠を持つバックアップ用です。
注意したいのは、「鍵交換(KEM)」と「署名(認証)」で移行のスピードが全く違う点です。後述するとおり、鍵交換のPQC化は既に本番トラフィックで進んでいますが、証明書(署名)側の移行は周回遅れです。「PQC対応済み」という表現を聞いたら、それが鍵交換の話なのか署名の話なのかを必ず切り分けてください。
03Cloudflare — 既に人間トラフィックの過半がPQC
「まだ先の話」という感覚を最も強く覆すのがCloudflareの実測データです。同社の State of the post-quantum Internet in 2025 によれば、2025年10月末時点で 人間が起点となるトラフィックの過半(50%超)が既にポスト量子鍵交換で保護されています。これはハイブリッド方式 X25519MLKEM768(従来のX25519とML-KEM-768の組み合わせ)によるものです。
なぜここまで一気に進んだかというと、主要ブラウザとライブラリがデフォルト有効化したからです。Chrome Desktopが2024年3月、Goが2024年8月、Firefox DesktopとChrome Androidが2024年11月、OpenSSLが2025年4月、そしてAppleのiOS/macOS 26が2025年10月に続きました。ユーザーやアプリ側が何もしなくても、対応済み同士の通信は自動的にPQC化されているのが現状です。
一方で、署名側(証明書)は周回遅れです。同レポートによれば、2025年9月時点で公開Webサーバの対応は39%、オリジンサーバでは3.7%にとどまり、ポスト量子証明書の発行実績はゼロです。「鍵交換は進んだが、公開PQC証明書は1枚も使われていない」という過渡期にあります。最初のPQC証明書は2026年、ブラウザによる広範な信頼は2027年以降と見られています。
04AWS — KMS/ACM/Secrets ManagerがML-KEM対応
クラウド基盤側も動いています。AWSは KMS・ACM・Secrets Manager の各エンドポイントで、Cloudflareと同じハイブリッド方式 X25519MLKEM768 をサポートしました。鍵管理やシークレット取得という、まさにharvest-now-decrypt-laterで最も狙われる経路をPQC化する動きです。
- 対象: AWS KMS / ACM / Secrets Manager の非FIPSエンドポイント(aws パーティションの全リージョン)。
- ライブラリ: AWS-LC(FIPS 140-3検証済みのオープンソース暗号ライブラリ)。ML-KEMをFIPS 140-3検証に含めた最初のオープンソースモジュールとされています。
- 有効化: AWS SDK for Java v2の CRT HTTPクライアントで
.postQuantumTlsEnabled(true)を設定するだけ。実装コストは驚くほど小さいです。 - Kyberからの移行: 旧CRYSTALS-Kyberのサポートは2025年中に終了し、2026年に全エンドポイントから削除。未対応クライアントは古典方式へ安全にフォールバックします。
ここで重要なのが Kyberという先行実装が既に「廃止」されるという事実です。標準化前にKyberを入れていた組織は、ML-KEMへの再移行が発生します。これはPQCが「一度入れて終わり」ではなく、アルゴリズムの更新に追随できる クリプト・アジリティ(暗号の敏捷性) を運用に組み込む必要があることを示す好例です。詳しくは ソブリンクラウド の議論とも通じる、基盤の「差し替え可能性」の設計思想です。
05NISTが示した移行タイムライン — 2030と2035
移行の締切感を決定づけたのが、NISTの移行ロードマップ NIST IR 8547(初期公開ドラフト) です。ここで既存の公開鍵暗号に明確な退場スケジュールが示されました。
- 2030年: RSA-2048やECC P-256など約112ビット強度の古典アルゴリズムを「非推奨(deprecated)」に。新規システムでは使わない。
- 2035年: RSA-3072やP-384などより高強度のものも含め、NIST標準上「不許可(disallowed)」に。
この2035年という数字は、米国の国家安全保障覚書(NSM-10)が連邦システムの量子リスク緩和期限として掲げる年と一致しています。政府調達に関わる企業にとっては、これがそのままサプライチェーン要件として降りてくることになります。
06欧米金融の移行計画 — DORAと英NCSCの三段階
金融セクターは規制主導で動いています。EUでは2025年1月に発効した DORA(デジタル・オペレーショナル・レジリエンス法) が、暗号のライフサイクル管理とクリプト・アジリティを求めており、PQC対応がコンプライアンス要件として効いてきます。EUの協調ロードマップは、加盟国に2026年末までの移行着手と、金融を含む重要インフラの2030年末までのPQC化を求めています。
英国のNCSCはより具体的で、三段階のマイルストーンを示しています。2028年までに暗号資産の棚卸しと計画策定、2031年までに高優先度システムの移行、2035年までに全面移行とレガシー暗号の廃止という段取りです。推奨アルゴリズムもNISTに合わせ、鍵交換にML-KEM-768、署名にML-DSA-65とSLH-DSAを挙げています。
実装レベルの知見も出始めています。欧州刑事警察機構(Europol)は金融サービス向けに、移行の優先順位づけの実務フレームワークを示す 共同レポート を公表しました。共通するメッセージは明快で、「量子コンピュータの完成を待たず、今から棚卸しと計画に着手せよ」というものです。
07日本のエンタープライズが今から着手すべきこと
日本企業の多くはまだ「様子見」ですが、上記のとおり移行の実体は暗号アルゴリズムの差し替えそのものより、「自社のどこで、どの暗号が、何を守っているか」の棚卸しにあります。ここは時間がかかる作業で、規制期限から逆算すると着手は早いほど有利です。具体的な第一歩を挙げます。
- 暗号資産のインベントリ化: TLS終端、証明書、鍵管理(KMS/HSM)、コード署名、VPN、専用線、レガシーAPI連携を洗い出す。どこでRSA/ECCが使われているかの地図を作ります。
- データ寿命による優先順位づけ: 秘匿要求期間が長い通信・データから守る。金融・医療・法務・M&A関連が典型です。
- クラウド側の「無料の前進」を取りにいく: AWS KMS/ACM/Secrets ManagerのハイブリッドTLSは1フラグで有効化できます。まずここから。
- クリプト・アジリティの設計: Kyber→ML-KEMの例が示すとおり、アルゴリズムは今後も更新されます。暗号を「差し替え可能な部品」として設計・運用に組み込むことが本質です。クラウド設計ガイドライン の観点とも接続します。
- ベンダー・サプライチェーンへの要件化: 調達・委託先に「PQC対応ロードマップの有無」を問う。政府調達に絡む場合は2035年が事実上の期限として降りてきます。
—まとめ
PQC移行は、量子コンピュータの完成を待つ性質の課題ではありません。harvest-now-decrypt-laterにより、守るべきデータは既に危険にさらされており、NISTが2035年を退場期限として明示し、CloudflareやAWSは本番トラフィックで既にハイブリッドTLSを動かしています。欧米金融は規制主導で棚卸しと計画に着手済みです。
日本のエンタープライズにとっての要点は3つです。第一に、移行の実体はアルゴリズム差し替えより「暗号資産の棚卸し」であり時間がかかること。第二に、鍵交換は自動で進むが署名(証明書)と社内・レガシー経路は自力の対応が要ること。第三に、クリプト・アジリティを運用に組み込むことが本質だということ。まずは自社の暗号地図を描くところから始めるのが、最もコスト効率のよい第一歩です。
—参考(一次情報)
- NIST — Releases First 3 Finalized Post-Quantum Encryption Standards (2024)
- NIST IR 8547 (Initial Public Draft) — Transition to Post-Quantum Cryptography Standards
- Cloudflare — The state of the post-quantum Internet in 2025
- AWS Security Blog — ML-KEM post-quantum TLS now supported in AWS KMS, ACM, and Secrets Manager
- Europol — Joint report on prioritising post-quantum cryptography migration in financial services