米連邦政府の量子対応、暗号技術スキルの不足により遅れ

インサイダー・ブリーフ

• PQC（耐量子計算機暗号）への備えに関する公開報告書の中で、GAOは、調査対象となった24の主要連邦機関のいずれも、将来の量子コンピューティングの脅威からシステムを保護するための3つの準備慣行すべてに完全に対応していないことを明らかにした。
• この調査では、脆弱なシステムのインベントリの不備、不十分な移行コストの評価、および機関の環境内での耐量子計算機暗号のテスト未実施が特定された。
• GAOは、専門知識の不足への対処、インベントリおよび資金評価プロセスの確立、テスト計画の策定など、準備を強化するための89の勧告を行った。

Government Accountability Office（GAO）が調査した24の主要連邦機関のうち、将来の量子コンピューティング攻撃から政府システムを保護するために評価された準備慣行を完全に完了した機関は一つもなかった。

これは、最近公開されたGAOの2026年報告書によるものである。同報告書は2025年報告書の公開版であるが、連邦機関が機密情報と判断したため、元の2025年報告書の一部は非公開のままである。

新しいGAOの公開報告書によると、不備には、脆弱な暗号を使用しているシステムの特定、その置き換えコストの推定、および量子攻撃に耐えるように設計された代替手段のテストが含まれていた。GAOは、不完全なインベントリ、暗号の専門知識の不足、不十分な計画により、各機関が移行を管理するための準備が整っていないことを発見した。これらはPQC準備のための3つの不可欠なタスクである。

報告書によると、優先順位を付けた脆弱なシステムのインベントリを作成するために必要な活動に完全に対応したのは、わずか1機関であった。優先システムの移行に必要な資金を完全に評価した機関はなく、自らの環境で耐量子計算機暗号をテストした機関もなかった。

この調査結果は、新しいセキュリティ技術の選択にとどまらない、政府全体の準備の問題を指摘している。各機関は、何を運用しているかを確定し、どのシステムを優先的に処理すべきかを決定し、コスト見積もりと代替品のテストのための反復可能なプロセスを構築する必要がある。

しかし、GAOのアナリストは状況に対処するためのアイデアに事欠かなかった。2025年の機密報告書の中で、暗号インベントリを作成し移行資金を特定するためのプロセスの確立と実施の呼びかけを含む89の勧告を行っている。

2026年10月の公開版では、追加の勧告は行われていない。この公開版は、以前の報告書の目的と監査手法を維持している。新しい更新により、以前の調査で特定された欠陥が解消され、準備の進展を示す証拠が提供される可能性がある。

現実的な脅威、必要な準備

今日の量子コンピュータは、報告書で問題となっている暗号を解読することはできない。しかし、将来の十分に強力なマシンは、連邦機関が通信を保護し、ユーザー、デバイス、ソフトウェアの身元を確認するために使用している特定の手法を弱体化させる可能性がある。