G7が耐量子暗号への移行を要請 — 「遠い将来」から「今動くべき脅威」へ、5つの優先分野を提示

G7サイバーセキュリティ作業部会は2026年9月3日、耐量子暗号（PQC：Post-Quantum Cryptography）への移行を政府と組織に求める文書**「Preparing for the Post-Quantum Era: A Call to Action（ポスト量子時代への備え：行動への呼びかけ）」**を公開した。2026年のG7議長国フランスのサイバーセキュリティ機関ANSSIが公表し、EU委員会とEUサイバーセキュリティ機関ENISAも参加した8ページの文書だ。量子の脅威を「遠い将来の問題」から「短期で行動すべき脅威」へ捉え直すよう求めている点が核心だ。

なぜ今動くのか：「今盗み、後で解読する」攻撃は既に可能

文書は、公開鍵暗号を破れるほど強力な量子コンピュータ（CRQC）の登場時期は不確かだと認めつつ、近年の進展は想定の前倒しを示唆していると指摘する。その上で、登場を待たずに今日から存在する危険として**「store now, decrypt later」（今盗み、後で解読する）攻撃**を挙げた。攻撃者は今の時点で公開鍵暗号で守られた通信を傍受・蓄積しておき、将来CRQCを手に入れた時点で解読する。政府データや機微な個人情報、営業秘密など、CRQCの登場より長く秘匿しなければならない情報は、既に危険にさらされているというわけだ。

さらにCRQCを持つ攻撃者は、通信相手の正当性を保証する認証の仕組みも標的にできると文書は警告する。信頼できる主体へのなりすましや機器の侵害、信頼データの偽造、機密データへのアクセスが可能になり、安全な通信や契約への信頼が根底から揺らぐ。サプライチェーン経由で被害が連鎖し、認証の侵害は即座の横展開を許すため、1つの組織の弱さが他組織・他分野を巻き込むと指摘している。

移行を遅らせる組織は、競争上の優位を失ったり、公共調達を含む契約機会から排除されたりする可能性にも文書は触れている。量子対応は暗号技術者の専売事項ではなく、経営・事業リスクだという位置付けだ。

組織に求められること：棚卸しから更新サイクルでの置き換えへ

文書は、PQC移行は一組織だけで解ける問題ではなく、官民の早期関与と協調した計画が必要な「集団的な移行」だと位置付ける。組織が取るべき手順として、作業部会の既存声明に沿って次を求めている。

段階的かつリスクベースの戦略を採り、移行を早く始める
自組織の暗号資産を棚卸しし、依存関係を把握して移行計画を作る
移行コストを抑えるため、PQC対応製品を選んで買い、通常の更新スケジュールに合わせて耐量子な仕組みへ置き換える（早期着手が結果的に総コストを下げるとしている）

まず最も重要なデータと資産を抱える仕組みを特定し、そこから優先的に移行する。移行は長期戦になるため、CRQCの登場が確認されてから動くのではなく、各国のサイバー当局が示す期限内に完了できるよう今から計画するよう求めている。

5つの優先分野と日本への波及

G7各国が個別に進める施策として、文書は5つの優先分野を掲げた。

意識向上：量子の脅威は多くの組織の関心外で、予算も付いていない。啓発キャンペーンや技術ガイダンス、人材育成で「暗号リスクではなく経済・事業リスク」として理解させる。
国家戦略の策定：PQC製品の供給確保と利用促進を両輪で進め、セキュリティ・デジタルプライバシー戦略全体の中に移行を組み込む。
研究開発：PQCの実用化に向けた資金助成や、移行中の組織向け実証実験・テストベッドの支援。
官民連携：政府・産業・学術の協力で国内の専門知見と産業能力を育て、分野横断の事例集や手順書を共有する。
サイバー要件への統合：PQC採用を独立した順守義務ではなく暗号ベストプラクティスの発展として扱い、公共調達の要件に組み込むことで市場と組織内の移行を促す。

5番目の調達要件化は、日本の組織にとって無視できない。G7メンバーの日本も作業部会の一員であり、政府調達や大企業との取引で耐量子対応が条件化されれば、サプライヤー側の対応が必須になる。文書の結論が訴える通り、機密データとサプライチェーン、重要システムを守る基盤として、暗号資産の棚卸しという足元の作業から始めることが、今回の呼びかけに対する現実的な第一歩になる。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。