ポスト量子暗号セキュリティへどう移行すればいいのか
提供: フォーティネットジャパン
本記事はフォーティネットジャパンが提供する「FORTINETブログ」に掲載された「認識から行動へ: 組織のポスト量子暗号への準備を支援」を再編集したものです。
ポスト量子暗号(PQC)への移行は、もはや学術的なトピックではありません。現在では、セキュリティ、アーキテクチャ、調達、準拠規格などの分野における重要な焦点となっています。
ホワイトハウスの大統領令「高度な暗号攻撃から国家を守る」は、連邦政府のPQCへの移行における重要な一歩を示しています。この大統領令は、連邦政府の高価値資産および高影響システムが鍵確立にPQCを使用する期限を2030年12月31日と定め、続いてPQCデジタル署名への移行期限を2031年12月31日と定めています。
この大統領令はまた、連邦政府契約業者向けの別個の規則制定プロセスを開始しています。連邦調達規則評議会に対し、連邦調達規則を改正する規則案の公表を指示しており、対象となる連邦政府契約業者に対し、2030年12月31日までに、PQCアルゴリズムを組み込んだ標準を含む、該当するNIST連邦情報処理標準への準拠を義務付けることになります。
これらの要件は主に連邦機関および契約業者を対象としていますが、その影響は重要インフラストラクチャ、テクノロジープロバイダー、規制対象産業、およびより広範な連邦サプライチェーン全体に及ぶと予想されています。したがって、多くの組織にとって、2026年と2027年は、主要な2030年および2031年の実装期限に先立ち、所有権の確立、暗号依存関係のインベントリ作成、ベンダーの評価、調達決定へのPQC要件の組み込み、移行ロードマップの策定のための重要な計画年として扱われるべきです。
これは、組織がすべての暗号アルゴリズムを直ちに置き換える必要があることを意味するものではありません。PQCへの移行には数年を要します。緊急の焦点は、実践的なステップに置かれるべきです:可視性の向上、リスクの評価、暗号アジリティの強化、および「今収集して後で復号化」(HNDL)脅威に最も脆弱なシステムのターゲット化です。
ポスト量子準備が今重要な理由
業界の専門家は、量子能力を持つ攻撃者が、今日のデジタル通信を支える広く使用されている公開鍵暗号を最終的に侵害する可能性があると警告しています。これは、量子技術の進歩に伴い、現在収集された暗号化データが将来復号化される可能性があるため、即座のリスクをもたらします。
組織は、暗号の置き換えだけでなく、運用準備の確保という課題に直面しています。セキュリティおよびインフラストラクチャチームは、暗号が使用されている場所を特定し、長期的な機密データを保護するシステムを決定し、量子安全標準への将来の移行をサポートできるベンダー、テクノロジー、アーキテクチャを評価する必要があります。
組織は、次の3つの質問から始めるべきです:
1. 現在、安全でない、脆弱な、またはレガシーの暗号アルゴリズムがどこで使用されていますか?
2. 長期保存される機密データまたは高価値通信を保護するシステムはどれですか?
3. PQC移行をサポートできるテクノロジー、ベンダー、アーキテクチャはどれですか?
これらの質問に答えるには、セキュリティの可視性、リスクレポート、および最も重要な暗号化経路の保護を統合する構造化されたアプローチが必要です。
どこから始めるか
今すぐ安全でない暗号を発見する
組織は、可視性なしに暗号リスクを管理することはできません。最初のステップは、管理されたインフラストラクチャ、アプリケーション、デバイス、証明書、プロトコル、および暗号化通信全体で暗号が使用されている場所を特定することです。
このディスカバリプロセスでは、安全でないまたはレガシーのアルゴリズム、老朽化した暗号コンポーネントに依存するシステム、および緊急の修復が必要な高価値サービスを特定する必要があります。また、セキュリティチームが、暗号の決定が設定、ベンダー製品、またはアプリケーションアーキテクチャのどこに組み込まれているかを理解するのを支援する必要があります。
FortiAIアシスト機能を備えたFortiManagerは、チームが暗号インベントリチェックリストを作成し、管理されたフォーティネットデバイスの設定を確認し、安全でないまたは古い暗号アルゴリズムの使用を検出するのを支援します。これにより、セキュリティチームは暗号の脆弱性を理解し、修復のための実行可能な計画を策定するための実用的な基盤を得ることができます。
FortiManagerは、大規模なFortiGateフリート全体でその計画を一貫した行動に変換することを組織が支援できます。デバイスを個別に更新するのではなく、チームはPQC関連の設定、ポリシー変更、およびより広範な設定の最適化を一元的に標準化し、大規模に展開できます。この一元化されたアプローチは、SD-WAN移行などの複雑な取り組みもサポートし、組織が設定のドリフトを削減し、運用の一貫性を向上させ、暗号化の近代化をより効率的に管理するのに役立ちます。
暗号化リスクの測定と報告
組織が暗号化のエクスポージャーを判断した後、リスクを評価し、改善を追跡する方法が必要です。経営幹部、セキュリティリーダー、準拠規格チーム、およびインフラストラクチャマネージャーは、リスクがどこにあるか、どのシステムが最大のエクスポージャーに直面しているか、および修復の取り組みが時間の経過とともにどのように進展するかについて、共通の理解を持つ必要があります。
このレポートは、安全でないアルゴリズム、外部からアクセス可能なシステム、高価値のアプリケーション、および該当する場合の量子安全な方法の実装など、実用的なビジネスおよびセキュリティ上の懸念を強調する必要があります。明確なレポートは、調達の決定、ベンダーとの議論、および取締役会とのコミュニケーションにおいても組織を支援できます。
FortiAnalyzer は、Webおよびアプリケーショントラフィックにおける安全でないアルゴリズムの使用を監視し、該当する場合は量子安全なアルゴリズムの採用に対する可視性を提供します。これにより、セキュリティチームは暗号化リスクを評価し、優先度の高いアプリケーションを特定し、測定可能なメトリクスを通じてリーダーシップに進捗を示すことができます。
外部境界を最初に保護する
すべての暗号化リスクが同じ緊急性を持つわけではありません。組織は、サイト間接続、パートナー通信チャネル、拠点ネットワーク、リモートアクセスポイント、クラウド統合、およびデータセンター相互接続など、信頼されていないネットワークに対して最も脆弱なトラフィックとシステムの暗号化に焦点を当てる必要があります。
これらの外部経路は、信頼された環境外で機密性の高いビジネス、運用、または規制された情報を頻繁に処理するため、特に重要です。また、高度な敵対者による傍受や長期的な収集にさらされる可能性が高くなります。境界優先のアプローチは、より広範な暗号化の近代化が継続する間、組織がHNDLエクスポージャーを削減するのに役立ちます。
FortiGate IPsecハードウェアアクセラレーションにより、組織は外部境界と重要な暗号化トンネルを保護できます。 この焦点により、高価値の通信の保護を優先し、信頼されたネットワークを残し、現在キャプチャされて保存され、後で復号化される可能性のある暗号化トラフィックを削減することで、長期的なリスクを最小限に抑えることができます。
実用的な90日間のPQC準備計画
PQCへの移行は、大規模な変革プログラムから始める必要はありません。組織は、所有権を確立し、可視性を高め、即座の優先事項を特定するために、対象を絞った準備スプリントを開始できます。
0～30日目: PQCの所有権を割り当て、ワーキンググループを作成する
セキュリティ、アーキテクチャ、インフラストラクチャ、調達、法務、準拠規格、およびリスク管理チームから利害関係者を集めます。PQC準備は、技術の選択、ベンダー関係、規制上の地位、および長期的なデータ保護に影響を与えるため、責任は複数のチーム間で共有される必要があります。
成果: 明確な所有権と部門横断的な説明責任
30～60日目: 暗号化インベントリを構築する
インフラストラクチャ、アプリケーション、証明書、プロトコル、キー、VPN、Webサービス、およびサードパーティの依存関係全体で暗号化の使用を特定します。このインベントリは、短期データを保護するシステムと、長期または高価値の情報を保護するシステムを分離する必要があります。
成果: アルゴリズム、証明書、プロトコル、キー、および暗号化の依存関係に対する可視性の向上
60～90日目: 外部境界と高価値システムを優先する
HNDL脅威に最も脆弱なシステムに焦点を当てて、初期計画を開始します。これには、信頼されていないネットワーク上の暗号化通信、機密または規制されたデータを管理するシステム、および長期的な運用ニーズを持つ重要なサービスが含まれます。
成果: 修復、ベンダーエンゲージメント、およびPQC移行計画のための初期ロードマップ
一度限りの移行ではなく、暗号アジリティのために構築する
量子移行は、一度限りのアップグレードでも、単一のPQCアルゴリズムを導入して終わりという問題でもありません。標準が成熟するにつれて、組織は鍵交換、デジタル署名、デバイスID、VPN、TLS、コード署名など、さまざまなユースケースに対して異なるアルゴリズムを採用する必要が生じる可能性があります。
各オプションは、より大きな鍵、より大きなハンドシェイク、CPUやメモリ要件の増加、遅延の追加など、異なる運用上およびパフォーマンス上の考慮事項をもたらす可能性もあります。したがって、適切なアプローチは、アプリケーション、デバイス、接続、およびビジネス要件によって異なる場合があります。
組織は、暗号アジリティに向けて構築する必要があります。これは、標準が進化し、相互運用性が向上し、パフォーマンス要件が明確になるにつれて、アルゴリズム、証明書、ポリシー、およびサポートインフラストラクチャを経時的に更新する能力です。この柔軟性は、PQCを一度限りの技術置き換えではなく、継続的な運用規律として管理するために不可欠です。
フォーティネット セキュリティ ファブリックの活用
フォーティネット セキュリティ ファブリックは、実用的な準備フレームワークを通じて、組織がポリシーの認識から運用の実行へと移行するのを支援します。
発見 → 測定 → 保護 → 最新化
・発見 FortiManagerとFortiAI-Assistで安全でない暗号化を発見
・測定 FortiAnalyzerレポートで露出と進捗を測定
・保護 FortiGate IPsec機能で価値の高い外部通信を保護
・最新化 PQC標準、製品、要件が成熟し続けるにつれて適応できる暗号アジャイルアーキテクチャへと最新化
このアプローチは、組織がPQCを一度限りの置き換えプロジェクトとしてではなく、継続的な運用プラクティスとして捉えることを促します。これには、暗号化の使用状況を理解し、露出を評価し、最もリスクの高い領域に焦点を当て、変化する要件に応じて進化できる適応可能なアーキテクチャを開発することが含まれます。
ポスト量子サイバーレジリエンスの基盤構築
ポスト量子セキュリティへの移行は、おそらく数年にわたるでしょう。しかし、組織は量子脅威が準拠規格や運用上の危機を引き起こすまで待つべきではありません。今後の暗号化セキュリティの課題に最も備えている組織は、暗号化が使用されている場所を特定し、露出レベルを評価し、最も重要なシステムとデータに保護の取り組みを集中させる組織です。
フォーティネットは、脆弱な暗号化を特定し、潜在的な露出を報告し、重要な暗号化接続を保護することで、組織がPQC準備に向けた最初の実用的なステップを踏むのを支援します。今、認識から行動へと移行することで、組織は来るべき量子時代に必要な可視性、レジリエンス、暗号柔軟性を開発できます。
企業が量子リスクに対処し、量子耐性セキュリティへの移行を開始する方法を探求する、オンデマンドウェビナーをご覧ください。
本記事はアフィリエイトプログラムによる収益を得ている場合があります