米国の最新の大統領令14412号によりPQCへの対応準備が求められる理由

業界動向 | 2026年7月01日

AIが注目を集めていますが、量子コンピューティングも私たちのデータに差し迫ったリスクをもたらしています。2026年6月22日、ホワイトハウスは重大な警鐘を鳴らし、量子コンピューティングは単なる将来の問題ではなく、今すぐ対策を始める必要があるセキュリティ脅威だと改めて強調しました。

米国大統領令14412（高度な暗号攻撃から国家を守る）は、ポスト量子暗号（PQC）への移行が急務であることを強調し、連邦政府のコンプライアンス期限により効果的に対応できるよう、資金配分と調達に関する方針を優先しています。

“米国大統領令14412号により、議論の焦点は遠い将来の「もしも」のシナリオから、今すぐ対応すべきコンプライアンス上の現実へと移り、組織は国家の重要システムを保護するため、具体的な期限への対応を優先せざるを得なくなっています。”

これが政府機関だけの悩みだと思っているなら、考え直す必要があります。この大統領令は調達サイクル全体に大きな波及効果をもたらし、テクノロジーベンダーや企業に対して、現在の購買サイクルで耐量子安全なシステムを優先するよう迫ります。

「Q-Day」の先へ：運用上の期限

長年にわたり、量子コンピューターがRSAなどの標準的な暗号を容易に解読できるようになる「量子脅威」の到来は、まだはるか先だと広く考えられてきました。「Q-Day」に備える時間は十分にあると思われていたのです。

しかし、物理ハードウェアの進歩は、当初の数学的予測を上回っています。Harvard Quantum Initiativeの研究者による最近の画期的な成果は、安定したフォールトトレラント量子システムの開発が予想を大きく上回るペースで進んでおり、実現時期が今 दशक末までに早まる可能性を示唆しています。

大統領令14412号は、この状況に厳しい現実を突きつけています。議論の焦点を、遠い将来の「もしも」のシナリオから、今すぐ対応すべきコンプライアンス上の現実へと移し、国家の重要システムを保護するため、組織に具体的な期限を優先するよう求めています。

2030年12月31日まで：連邦政府機関は、鍵確立（暗号化）に使用するアルゴリズムを、米国国立標準技術研究所（NIST）が承認したPQCアルゴリズムへ完全に移行する必要があります。その目的は、量子コンピューティングによって将来的に復号できることを見越し、攻撃者が現時点で暗号化トラフィックを窃取して保存する「今収集し、後で復号する」攻撃を無力化することです。
2031年12月31日まで： なりすまし攻撃やスプーフィング攻撃を防ぐため、デジタル署名（認証）のPQCへの移行を完了する必要があります。

これらの期限は対象範囲が限定的に見えるかもしれませんが、決してそうではありません。この命令を実行に移すため、行政管理予算局（OMB）は6月24日付で「覚書M-26-15」を発行し、文民機関に対して正式な移行計画を提出するまでの厳格な120日間の期限を設定しました。同時に、戦争省（DoW）でも並行して実施に向けた取り組みが進められています。

この命令はさらに、米国連邦調達規則（FAR）評議会に対し、これらとまったく同じ期限を連邦契約の要件に盛り込むよう指示しています。これにより、政府の命令は商取引上の現実となります。国防産業基盤全体と数千社に上る連邦政府の請負業者は、政府との取引を継続するために、PQCへの準拠を証明しなければなりません。

さらに、米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、今後の調達サイクルにおいて、PQCに対応できるベンダーを強く優先するよう各政府機関に指示しています。軍事サプライチェーンに直接関与している場合でも、金融や医療など規制の厳しい他の分野で事業を展開している場合でも、結論は変わりません。システムが連邦政府のデータを扱うのであれば、量子コンピューター時代への対応は、取引を行ううえで必須の要件です。

サプライチェーンの盲点：CBOMの登場

データは1か所にとどまるものではありません。サードパーティAPI、外部SaaSプラットフォーム、ベンダーがホストするクラウドなどを介して、絶えず移動しています。こうした依存関係により、直接管理できない領域に脆弱性が生じるため、PQCへの対応準備は、社内システムを保護するだけの場合よりもはるかに複雑になります。

大統領令14412に基づき、これに付随するホワイトハウスの指令では、この盲点に対処するため、ベンダーに暗号システムの詳細情報の開示を義務付ける暗号部品表（CBOM）が導入されています。ソフトウェア部品表（SBOM）と同様に、CBOMは暗号化の透明性に重点を置き、製品に組み込まれているアルゴリズム、ライブラリ、証明書を明らかにします。

課題は何でしょうか。大半の企業インフラは、こうした透明性基準を満たす準備ができていません。さらに、ベンダー側でPQC対応が進んでいないため、ベンダーへの依存が一層重大な問題となっています。たとえば、F5 Labsのデータによると、自動更新により世界のWebブラウザトラフィックの57%は技術的にPQC対応済みである一方、企業のバックエンドシステムは大幅に遅れています。上位100万のWebサイトのうち、ハイブリッドPQC鍵交換をサポートしているのはわずか8.6%で、銀行のWebサイトに至っては驚くべきことに3%にとどまります。

量子時代への対応力は、自社の準備状況だけでなく、パートナーにも左右されます。依存関係の中で最も脆弱な部分が、すべてを損なう可能性があります。ベンダーを精査し、組織が量子時代への移行を円滑に進められるようにするには、CBOMの透明性が不可欠です。

PQC対応準備のための3ステップチェックリスト

耐量子アルゴリズムへの移行は、簡単なソフトウェアパッチですぐに完了できるものではありません。慎重な計画を要する、複数年にわたるプロセスです。現在、ホワイトハウスは連邦政府機関に対し、PQC移行の専任責任者をわずか30日以内に任命するよう求めています。企業も同様のペースで取り組む必要があります。

今すぐ着手するための3つのステップをご紹介します。

担当者を決め、依存関係を把握する：最優先事項。組織全体の耐量子対応を担う責任者を任命します。まず、RSAやECCなどの従来型暗号アルゴリズムが現在どこで使用されているかを、自社のインフラストラクチャ内だけでなく、サードパーティのAPI、SaaSプラットフォーム、ベンダーエコシステム全体にわたって把握する必要があります。
CBOM義務化への準備：今後3～6か月。調達ガイドラインを更新します。今後採用するハードウェア、ソフトウェア、クラウドの各ベンダーに対し、NIST準拠のPQCサポートに関する明確なロードマップの提示を求め、透明性の高いCBOMをどのように提供する予定か確認します。コンプライアンス期限を待つよりも、こうした依存関係のギャップを早期に特定することがはるかに重要です。
ハイブリッド導入モデルをテスト：今後6～12か月. TLS 1.3を採用し、非本番環境でハイブリッド鍵交換のテストを開始して、耐量子鍵が実際のネットワーク遅延とアプリケーションパフォーマンスに与える影響を評価します。今テストしておくことで、将来の重大な運用障害を防止できます。

F5とともに移行を進める

耐量子暗号への移行を成功させるには、暗号アジリティが必要です。これは、標準の進化に応じて、システムを中断したりダウンタイムを発生させたりすることなく、暗号化アルゴリズムをシームレスに切り替えられる能力を指します。

数千ものレガシーアプリケーションの書き換えには何年もかかる可能性があり、ほとんどのチームにとって多大な労力とコストを伴います。そこでF5は、NISTのNational Cybersecurity Center of Excellence（NCCoE）による「Migration to PQC」プロジェクトに参加しました。このコンソーシアムは、組織がこの移行を進めるための実用的なフレームワークの構築に注力しています。

F5は、導入リスクを根本的に低減するゲートウェイプラットフォームアーキテクチャにより、この移行を簡素化します。ハイブリッド、マルチクラウド、レガシーの各環境にわたって開発者がアプリを手作業で再設計する必要はありません。F5は、ハイブリッドPQC暗号スイート（サーバー側およびクライアント側）のネイティブサポートをF5 Application Delivery and Security Platform (ADSP)に直接統合しています。これにより、現在の重要なデータ交換の保護を支援するとともに、スムーズかつ長期的な移行に必要な時間的余裕をチームにもたらします。