金融機関の耐量子計算機暗号（PQC）移行：金融庁報告書の要点と始め方

耐量子計算機暗号（PQC）とは

耐量子計算機暗号（Post-Quantum Cryptography、PQC）とは、量子コンピュータが実用化されても、現在のところ効率的な攻撃方法が知られていない暗号のことです（金融庁の検討会報告書の用語集による定義）。量子力学の原理に基づいて鍵を共有する量子鍵配送（QKD）とは別の技術で、政府の中間とりまとめ（2025年11月）も両者を分けて扱っています。

量子コンピュータでShorのアルゴリズム（1994年発表）を実行すると既存の公開鍵暗号が解読されうることは以前から知られていましたが、それを実行できる量子コンピュータがなかったため、現実的な脅威とは考えられていませんでした。報告書は、量子コンピュータの技術は近年めざましく進展しているものの、現時点では公開鍵暗号の解読に現実的な脅威をもたらす水準にはないとしています。政府の中間とりまとめによれば、通信で使われている公開鍵暗号を現実的な時間で解くには、誤り耐性型の量子コンピュータ（FTQC）の実現を前提に、100万物理量子ビット以上が必要とされています。

公開鍵暗号は、鍵を長くしても十分な安全性を確保できないとされている点が、共通鍵暗号やハッシュ関数との違いです。金融機関では、利用者の認証、ファームウェアの署名、電子証明書、暗号鍵の共有などに公開鍵暗号が使われています。報告書は保護すべき代表的なデータとして、インターネットバンキングの認証情報・取引情報、キャッシュカードのICチップ内の認証情報、行内の事務データ、電子メール・SMSを挙げ、全銀システム、日銀ネット、統合ATM、でんさいネット、CAFIS、SWIFTなどの共同利用システムも例示しています。共同利用システムは利用機関が多いため、セキュリティ対策の変更計画では合意形成に時間がかかると見込まれています。

なぜ今なのか：HNDL攻撃と長い移行期間

暗号解読が可能な量子コンピュータ（CRQC）がいつ登場するかには諸説あります。報告書は2030年から2050年ごろとする見方から永遠に完成しないとする見方まであると紹介しています。政府の中間とりまとめも、2039年より前にRSA-2048を解読できる量子コンピュータが実現する可能性を5％未満と推定する研究がある一方、2024年時点で15年以内に実現する可能性を39％から62％程度とする分析もあるとして、時期の正確な予測は困難だとしています。それでも準備が急がれる理由は、HNDL攻撃と、移行そのものにかかる時間の長さです。

モスカの不等式：X＋Y＞Zなら対策が必要

HNDL攻撃とは、暗号化されたデータを今のうちに収集・保管しておき、CRQCが登場した後に解読する攻撃です。報告書はMichele Moscaの指摘を引き、暗号システムの移行にかかる期間をX年、データを暗号で保護し続ける必要がある期間をY年、CRQCが登場するまでの期間をZ年としたとき、X＋Y＞Zとなる場合はHNDL攻撃への備えが必要になると説明しています。例えば移行に10年かかり、データを20年保護する必要があるシステムでは、移行完了の直前に作られたデータまで含めて、旧来の暗号による保護を30年間維持しなければなりません。その30年のうちにCRQCが登場すれば、データはHNDL攻撃の脅威にさらされます。

移行が長引く理由として、報告書は、公開鍵暗号がTLS通信、電子文書への署名、ICカード、アプリケーション独自の暗号化など多くの箇所で使われていて網羅的な把握に時間がかかること、開発委託先や製品ベンダー、接続先システムの管理部門など関係者が多いこと、PQCを組み込んだプロトコルや製品の普及がまだ途上であることを挙げています。政府の中間とりまとめも、RSAなどは暗号方式の提案から社会的な普及まで20年ほどかかったとして、長期の移行スケジュールを策定して準備する必要があるとしています。

NISTの標準：FIPS 203・204・205

アメリカの国立標準技術研究所（NIST）は、2016年2月にPQCの標準化計画を発表し、数十件の候補を評価したうえで、2024年8月13日に最初の3つのPQC標準を公表しました。NISTのPQC標準化プロジェクトの責任者は、システム管理者に対し、すぐに自システムへの組み込みを始めるよう促し、将来の標準を待つ必要はないと述べています。

このほか、Falconを元にした署名方式（FN-DSA）はFIPS 206として標準化される予定です。2026年8月5日更新のNISTのPQCプロジェクトページは、FalconとHQCを「標準化を継続中」の方式として紹介しています。HQCは、ML-KEMが破られた場合の予備となる鍵カプセル化方式として2025年3月11日に選定され、発表時点の予定では、約1年後にドラフト標準を公表し、2027年に最終化するとされていました。日本では、CRYPTRECがFIPS 203・204・205を対象に安全性評価と実装性能評価を順次進めており、その結果をCRYPTREC暗号リストに反映できるよう検討するとされています（政府の中間とりまとめ）。

NIST IR 8547：2030年・2035年の移行スケジュール案

NISTは2024年11月12日、量子脆弱なアルゴリズムからPQCへの移行方針を示す「NIST IR 8547 Transition to Post-Quantum Cryptography Standards」を初期公開ドラフト（ipd）として公表しました。意見募集は2025年1月10日に締め切られ、寄せられた意見は2025年1月21日に公開されています。2026年10月13日時点で、NISTのCSRCに掲載されているのはこの初期公開ドラフトだけで、最終版は公表されていません。

「非推奨（deprecated）」はリスクがあることを前提に利用でき、利用を続けるかどうかをデータの所有者が判断する状態、「使用不可（disallowed）」はその用途での利用が認められない状態です。ドラフトは、アメリカの国家安全保障覚書（NSM-10）が連邦政府のシステムのPQC移行を完了する主な目標年を2035年としていることを引き、長期の機密性が必要なシステムなどはより早い移行が必要になる場合があるとしています。また、ネットワーク通信へのHNDL攻撃のリスクを抑えるため、用途別のガイダンスで、一般的な使用不可の時期より前に量子耐性のある鍵確立への移行を求める場合があるとしています。

金融庁の検討会報告書（2024年11月）の要点

金融庁は2024年7月から10月にかけて「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」を全3回開催し、2024年11月26日に報告書を公表しました。メンバーには3メガバンクや預金取扱金融機関に係る業界団体の代表者、暗号に関する有識者などが参加し、金融ISAC、CRYPTREC事務局、FISC、日本銀行金融機構局、内閣サイバーセキュリティセンター（NISC）がオブザーバーを務めました。報告書は、検討会が行政運営上の意見交換の場であり、法令に基づく審議会等ではないと注記しています。

対応時期の目安：2030年代半ば

報告書のエグゼクティブサマリーは、各組織内の優先度の高いシステムについて、技術進展や海外規制動向を注視しつつ、2030年代半ばを目安にPQCのアルゴリズムを利用可能な状態にすることが望ましいとしています。本文の推奨事項では「2030年代前半から半ばまで」を目安とし、この期限は固定ではなく、法令・規制やCRQCの進展を見ながら柔軟に見直すものだとしています。さらに、期限までに移行が終わらない場合を不測の事態と捉え、事前共有鍵による通信の秘匿化（適用できる環境は極めて限定的と注記）、暗号化通信の利用を必要最低限にするポリシー、特に重要な文書の物理的な原本の厳重な保管といった代替策を検討しておくことが望ましいとしています。

優先して対応するシステムの考え方

報告書は、重要度が高く、量子脆弱性をもち、悪用される可能性が比較的高いシステムから対応するのが基本だとし、3つの条件すべてに当てはまるものを優先する考え方を例示しています。また、長期の保護が想定される用途として、容易に入れ替えられないハードウェアのファームウェアに対するコード署名と、TLS通信の鍵共有を、早急な着手が望ましい例に挙げています。TLSでは保存期間の長い情報と短い情報が混在し、区別せずに同じように処理されることも想定されるため、鍵共有を優先して対応することが望ましいとしています。

経営層の役割と体制

報告書は、PQC対応を自社のリスクマネジメントにおける重要課題と位置づけ、経営層が全社施策としてリーダーシップを発揮し、各システムの暗号の利用状況やデータの重要性・保存期間を把握したうえで移行方針を決定することが望ましいとしています。国内の金融機関は外部委託先への依存度が高い一方、ベンダーの準備状況にはばらつきがあるため、ベンダーの対応に完全に依拠せず、自社でオーナーシップをもって取り組むことを求めています。社内では、ビジネス部門、サイバー部門、IT部門、リスク管理部門、内部監査部門、広報部門などの役割と責任を明確にし、暗号の専門人材が不足する場合は外部パートナーを含めてリソースを確保するよう促しています。

2025年の金融庁の要請：準備の先送りは不適切

報告書の公表後、金融庁は金融機関との意見交換会でもPQC移行への着手を求めています。2025年6月6日の新形態銀行との意見交換会の連絡事項では、量子コンピュータが悪用されるとインターネットバンキング等に使われている暗号が解読され、顧客情報等の機密性が損なわれるリスクがあると指摘しました。そのうえで、大規模なシステム更改は通常数年に一度程度でPQCへの移行のタイミングは限られているとして、まだ先の問題と捉えて準備への着手を先送りすることは不適切であり、直ちに取り組むよう求めています。

• ロードマップ：検討の開始から移行までの一連の作業について、直ちにITベンダーとも相談しながらロードマップを作成する。金融ISACでロードマップのひな型が検討されているが、完成を待たずに自社でできることに着手する。
• インベントリとリスク評価：情報資産を網羅的に把握し、それぞれにどの暗号が使われているかをリスト化したインベントリを整備する。量子コンピュータの実現で危殆化するリスクや、HNDL攻撃に備えて今から対策すべきリスクを評価し、重要性・緊急性も評価する。
• フォローアップ：金融庁は、金融ISACや業界団体と連携し、検査・モニタリング等も活用して、各金融機関と金融業界全体のPQC移行に向けた対応状況を推進・フォローする。

FISC安全対策基準 第14版との関係

2026年3月に発行されたFISC安全対策基準（金融機関等コンピュータシステムの安全対策基準・解説書）第14版は、改訂分野の1つに耐量子計算機暗号（PQC）を挙げ、金融庁の検討会報告書に示される「PQC移行に関する留意点や対応時期」などを反映したと説明しています。どの基準項目がどう変わったかは公開ページからは分からないため、具体的な記載は購入版で確認する必要があります。報告書自体も優先対応の判断軸の例としてFISCの「特定システム」を挙げているので、FISC安全対策基準の対照表でPQCの項目を管理し、クリプト・インベントリや移行計画を証跡として紐づけておくと、検査や内部監査への説明がしやすくなります。

政府とG7の目安：2035年が共通の到達点

日本政府は2025年6月30日に「政府機関等における耐量子計算機暗号（PQC）利用に関する関係府省庁連絡会議」の初会合を開き、2025年11月に中間とりまとめを公表しました。中間とりまとめは、アメリカ、EU、イギリス、カナダなど多くの国が2035年までを期限として移行を進めていることを踏まえ、政府機関等のPQCへの移行を原則として2035年までに行うことを目指し、2026年度に工程表（ロードマップ）を策定するとしています。対象は政府機関等ですが、PQCへの移行は重要インフラ事業者や民間事業者も考慮しなければならない課題だとして、円滑な移行を後押しするとしています。金融は、政府の行動計画が定める重要インフラの1分野です。

G7財務大臣・中央銀行総裁に助言するG7サイバー・エキスパート・グループ（CEG）は、2026年1月12日に「金融セクターにおける耐量子計算機暗号への移行に向けた協調的なロードマップの推進に関するステートメント」を公表し、金融庁が仮訳を掲載しています。ステートメントは指針や規制上の期待を示すものではないとしたうえで、多くのガイダンスが移行全体の目標として2035年を挙げていることを紹介し、最重要のシステムは例えば2030年から2032年を目標に優先して対応することで、リスクが早く顕在化した場合の影響を減らせるとしています。移行の取組は「認識と準備」「検出とインベントリ」「リスク評価と計画」「移行実施」「移行検証」「検証とモニタリング」の6つのフェーズに整理されていますが、多くの取組は並行して繰り返し行われるとしています。

クリプト・アジリティとハイブリッド方式

クリプト・アジリティとは、システムで使っている暗号方式から別の暗号方式へ、スムーズに、影響を最小限にしながら移行できるシステムの特性です。PQCは比較的新しい技術で、報告書は、NISTの標準化の第4ラウンドに進んだ候補（SIKE）に解読手法が見つかった例を挙げています。そのため、量子脆弱な暗号からPQCへの1回の移行だけでなく、複数回の暗号移行を想定しておくことが望ましいとしています。報告書が挙げる具体的な方法は次のとおりです。

• 暗号の呼び出しを抽象化する：アプリケーションのメインルーチンでは抽象化した暗号機能を呼び出すだけにして、具体的なアルゴリズムやパラメータの処理を分離します。
• 標準に沿った製品を選ぶ：標準化されたPQCアルゴリズムとパラメータを選択できる製品や、標準化されたプロトコル仕様に沿って実装された製品を導入します。
• 有効期限を短めにする：電子証明書やICカードなど、第三者に配布するものは有効期限を比較的短く設定します。
• プロトコルを更新する：PQCが適用されない可能性があるプロトコルやバージョンはアップグレードします。報告書はTLS 1.2からTLS 1.3への移行を例に挙げています。
• 証明書と鍵を一元管理する：電子証明書のライフサイクルを一元管理し、自動更新できる管理基盤の活用を進めます。

ハイブリッド方式は、1つの暗号機能に既存の暗号とPQCを組み合わせて使い、どちらか一方が危殆化しても安全性を保つことを目指す方法で、主に完全移行までの過渡期に使われます。報告書は、独自に実装すると全体の安全性が最も弱い方式に依存してしまうおそれがあるとして、IKEv2のハイブリッド方式（RFC 9370）など、標準化済み・検討中の方式に沿って利用することが望ましいとしています。性能面では、PQCは鍵のサイズ、署名のサイズ、計算量の少なくとも1つで既存の公開鍵暗号より多くのリソースを使うため、TLSのサーバ証明書の格納や、1台のWebサーバが同時に処理できるコネクション数への影響が指摘されています。過渡期にはPQC対応・未対応の接続先が混在する前提で、両方の接続を実現する機能も検討する必要があります。

金融機関はどこから始めるか：6つのステップ

1. 経営層の関与と体制を決める：PQC移行をリスクマネジメントの課題として経営陣に報告し、移行方針、責任者、関係部門（IT、サイバー、リスク管理、内部監査、事業部門など）の役割を決めます。意思決定の内容と理由は、議事録や決裁記録に残します。
2. クリプト・インベントリを作る：自社開発のシステムと外部から提供されたシステム・製品の両方を対象に、優先度の高いシステムから、暗号の利用箇所、用途、アルゴリズム、鍵長、鍵の管理方法などを一覧にします。IT資産の台帳がすでにある場合は、使用中と利用可能な暗号アルゴリズムの項目を追加する方法もあります。
3. 優先順位を付ける：データを保護すべき期間、業務の重要性、インターネットや外部システムとの接点、多重防御の有無を基準に優先順位を付けます。HNDL攻撃の影響を受けやすいTLSの鍵共有や、長く使い続ける機器のファームウェア署名は早めに評価します。
4. 移行計画にクリプト・アジリティを組み込む：大規模なシステム更改・改修のタイミングに合わせて、PQCへの移行と暗号の切り替えやすさを組み込み、優先度の高いものから期限を設定します。期限に間に合わない場合の代替策も計画に含めます。
5. ベンダーとクラウド事業者に確認する：開発ベンダー、製品ベンダー、クラウド事業者にPQC対応のロードマップを確認し、新規契約や更新の際に対応時期を条件に含めることを検討します。
6. 記録し、定期的に見直す：インベントリはシステム更改のたびに更新し、標準化、規制、CRQCの動向を踏まえて計画を見直します。リスクを受容した判断も、理由とともに記録します。

クリプト・インベントリに記録する項目の例

情報の集め方として、報告書はシステム担当者へのヒアリング、開発ベンダーや製品ベンダーへのヒアリング、ネットワークスキャンツールによる発見、アプリケーションコードの解析を挙げ、インベントリは一度作って終わりではなく、定期的に、またシステム更改のたびに更新することが前提だとしています。CISA、NSA、NISTのファクトシートは、製品に組み込まれた暗号は発見ツールで見つけにくいため、ベンダーに組み込み暗号の一覧を求めるべきだとしています。台帳の形式について、報告書はEcmaの国際標準として採択されたCycloneDX v1.6が定めるフォーマットの利用も有効な選択肢だとしています。

ベンダーとクラウド事業者に確認すること

• PQC移行のロードマップ：PQCアルゴリズムの試験と製品への組み込みの時期。CISA、NSA、NISTは、ベンダーが自社のPQCロードマップを公表することが望ましいとしています。
• 組み込まれた暗号の一覧：製品やサービスが内部で使っている暗号アルゴリズムと鍵長。
• 対応の方法と費用：新しい製品がPQCを組み込んだ状態で提供されるか、既存製品がいつ、どのような更新でPQCに対応するか、移行に伴う費用はどの程度か。
• クラウドでの有効化：クラウドサービスでPQCを使うために、設定の変更やアプリケーションの更新が必要か。
• ベンダー自身の体制：トップマネジメントの関与、クリプト・インベントリの整備、移行の優先順位付けの方針。報告書は、FS-ISACが示すこうした質問例を実際のヒアリングに活用できるとしています。