PQCだけでは守れない：量子時代に企業が見直すべきデータ保護戦略
量子コンピュータによる暗号解読が現実化する時期はまだ不確実です。しかし、長期間価値を持つ機密データは、すでに攻撃者にとって収集対象になり得ます。
前回の記事では、量子コンピューティングの進展によって現在利用されているRSAやECCなどの公開鍵暗号が将来的に脅威にさらされる可能性があること、そしてPQC（耐量子暗号）への移行に向けて、まずは「暗号資産（Cryptographic Assets）の可視化」（暗号利用状況の可視化）から着手する重要性をご紹介しました。
一方で、量子時代への備えは暗号アルゴリズムの移行だけで完結するものではありません。
企業が今考えるべきもう一つの重要なテーマは、「暗号をどう置き換えるか」だけでなく、「将来にわたって守るべきデータは何か」を見極めることです。
1. 量子時代の本当のリスクはデータにある
量子コンピュータによる脅威が語られる際、多くの場合はRSAやECCといった暗号技術に焦点が当てられます。
しかし企業にとって本当に守るべき対象は暗号そのものではなく、その先にあるデータです。
攻撃者は「Harvest Now, Decrypt Later（今収集し、後で解読する）」という手法により、現在の暗号化通信や保存データを収集し、将来量子コンピュータが利用可能になった段階で解読を試みる可能性があります。このようなリスクは、量子コンピュータの実用化を待って初めて発生するものではなく、現在のデータ収集活動としてすでに始まっている可能性があります。
ここで重要になるのは、「そのデータは10年後も価値を持っているか」という視点です。
例えば、
- 研究開発データ
- 設計図面や製造ノウハウ
- 特許関連情報
- 顧客情報
- 契約書
- 財務情報
- 機密文書
といったデータは、数年から数十年にわたり保護が求められる可能性があります。 量子コンピュータの実現時期を正確に予測することは難しくても、長期間保護が必要なデータの存在は既に明確です。
2. まず必要なのは「重要データの特定」
多くの企業では、データ保護というと暗号化製品の導入やアクセス制御の強化を思い浮かべます。
しかし、その前に必要なのは、「どこに重要データが存在するのか」を把握することです。
クラウドサービスの利用拡大やデータ活用の進展により、企業データはオンプレミス環境だけでなく、SaaS、データレイク、ファイル共有基盤、分析環境など様々な場所に分散しています。
量子時代への備えにおいては、
- どのデータが機密情報なのか
- どの程度の期間保護が必要なのか
- 誰がアクセスできるのか
- どのシステムや業務プロセスで利用されているのか
を整理することが重要になります。
このようなデータの棚卸しやリスク評価を効率的に進めるためには、企業全体に散在するデータを自動的に発見し、分類する仕組みが有効です。OpenText™ Voltage™ Data Security Platform（DSP）は、ファイルサーバーやクラウドストレージ、データベースなどに存在する機密データを可視化し、組織が優先的に保護すべき情報資産の特定を支援します。
3. 保護と活用を両立するデータセキュリティ
量子時代のデータ保護を考える際、重要なのは暗号化だけではありません。企業はデータの利用を止めることなく、保護と活用を両立する必要があります。
そのため近年では、
- データ暗号化
- フォーマット保持暗号化（FPE）
- トークナイゼーション
- データマスキング
などの技術が活用されています。
例えばクレジットカード番号や個人情報を保護しながら業務システムや分析環境で利用することで、セキュリティと利便性の両立を実現できます。
こうしたデータ中心の保護アプローチを実現する手段の一つとして、OpenText™ Voltage™ SecureData Serversは、フォーマット保持暗号化（FPE）やトークナイゼーションなどを活用し、機密データを保護しながら業務利用や分析活用を継続できる環境を支援します。
4. 今から始めるべき3つのステップ
量子コンピューティング時代への備えとして、企業が今から取り組むべきことは次の3つです。
① 守るべきデータを特定する
データ分類、保持期間、事業影響度の観点から、長期間保護が必要なデータを洗い出し、優先順位を整理します。
② 暗号資産とデータ資産を可視化する
前回ご紹介した暗号資産の棚卸しに加え、重要データがどこにあり、誰が利用し、どのシステムと連携しているのかを把握します。
③ 将来を見据えた保護戦略を策定する PQCへの移行のための暗号アジリティ（Crypto Agility）に加え、アクセス制御、データ保護技術を組み合わせた長期的なロードマップを検討します。
まとめ
量子コンピューティングによる脅威は、単なる暗号アルゴリズムの問題ではありません。
本当に重要なのは、「将来にわたって保護すべきデータをどのように守るのか」という視点です。
PQCへの対応は重要な取り組みですが、それは量子時代への備えの一部に過ぎません。
まずは、自社の重要データがどこに存在し、どの程度の期間保護が必要なのかを把握することから始めてみてはいかがでしょうか。暗号資産とデータ資産の両面から将来を見据えたセキュリティ戦略を策定することが、量子コンピューティング時代に求められるデータセキュリティの第一歩となるでしょう。
量子コンピューティング時代に備えるためには、PQCへの移行だけでなく、長期間価値を持つ重要データをどのように保護するかという視点が欠かせません。
