LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

暗号の載せ替えは、影響範囲が読めないまま期限だけが先に決まる類の作業です。その期限が、はっきり数字で置かれました。

米国で2026年6月22日に大統領令14412「Securing the Nation Against Advanced Cryptographic Attacks」が署名され、2026年6月25日に連邦官報へ掲載されました*1。連邦情報システムをNIST承認の耐量子暗号（PQC）向けFIPSへ移行し、重要インフラの所有者・運用者の移行も支援するという方針です*1。

暗号を含む基盤を扱う立場に向けて、いつまでに何をするのかと何が新しく出てくるのかを一次情報から整理します。日本のシステムでも、棚卸しの進め方として読めます。

何が決まったのか

まず前提です*1。

背景はこう書かれています*1。大規模な量子コンピュータの登場は、とりわけそれが敵対者の手にある場合、広く用いられている暗号によるセキュリティの仕組みに重大な脅威をもたらすとされ、我が国に対する継続的なサイバー活動もまた、敵対者がいま米国の情報を収集し、大規模な量子コンピュータが稼働したのちに復号するというリスクを示していると述べられています*1。

いわゆるいま集めて、あとで復号するという筋書きが、明示的に理由として置かれています*1。そのうえで米国は、国の機微なデータ、重要インフラ、デジタル経済のために、暗号による保護を強める措置をとらなければならないとされています*1。

方針も明確です*1。連邦情報システムの、耐量子暗号（PQC）に関するNIST承認の連邦情報処理標準（FIPS）への移行を、責任をもって効果的に実行し、あわせて重要インフラの所有者と運用者の移行を支援することによって、国家安全保障を守り技術的な優位を保つことが米国の方針であると述べられています*1。

用語も条文で定義されています*1。耐量子暗号（PQC）は、量子コンピュータと古典的なコンピュータの双方による攻撃に耐えるよう設計された暗号アルゴリズムまたは方式とされています*1。高影響システムは、セキュリティの目的（機密性、完全性、可用性）の少なくとも1つについて、FIPS 199の潜在的影響の値が「高」と割り当てられた情報システムとされ、高価値資産（HVA）は、OMB覚書M-19-03のもとで高価値資産として指定された連邦の情報または連邦の情報システムとされています*1。

役割も新設されています*1。PQC移行の責任者（PQC migration lead）は、その機関の最高情報責任者に報告し、機関全体の暗号インベントリの管理、優先順位を付けたPQC移行計画の策定、PQCにおける機関横断の取り組みの調整に責任を負う、機関の職員または出向者と定義されています*1。

期限は2つに分かれている

ここが数字の話です*1。

まず着手までの日数です*1。この命令の日から30日以内に、各機関の長はそのPQC移行の責任者を特定し、その氏名と連絡先をOMB長官と国家サイバー長官に提供しなければならないとされています*1。

続いてガイダンスです*1。この命令の日から90日以内に、OMB長官は、CISA長官を通じて国土安全保障長官および国家サイバー長官と協議のうえ、各機関に対して次のことを求めるガイダンスを発出するとされています*1。

鍵確立が先、電子署名が1年後という順番です*1。参照する規格も条文で結び付けられており、鍵確立はFIPS 203「Module-Lattice-Based Key-Encapsulation Mechanism Standard」、電子署名はFIPS 186-5「Digital Signature Standard（DSS）」と同じ意味で用いるとされています*1。

試行も動きます*1。この命令の日から180日以内に、商務長官はNIST長官を通じて、NISTが所有または運用する情報システムの適切な一部について、PQC移行の試行プロジェクトを開始するとされ、遅くとも2027年12月31日までに完了するとされています*1。

調整の担い手も置かれています*1。OMB長官と国家サイバー長官が、この命令に定める国家のPQC移行の方針と戦略について、戦略的な調整と監督を主導するとされ、商務長官はNIST長官を通じ、NSA長官およびCISA長官を通じた国土安全保障長官と協議のうえ、実装の優良な実践やリスク管理の戦略を含む、PQCの実装に関する包括的な技術的手引きを各機関に継続的に提供するとされています*1。

暗号部品表（CBOM）という新しい成果物

設計と運用に直接つながるのはここです*1。

この命令の日から270日以内に、国土安全保障長官はCISA長官を通じ、NIST長官と協調して、暗号部品表（cryptographic bill of materials）の最低限の要素についての各機関の見解を記した公開のガイダンスを公表するとされています*1。

目的も一文で書かれています*1。これらの要素は、ハードウェアまたはソフトウェアの要素が利用している暗号資産の自動的な評価を可能にするものでなければならないとされています*1。人が読む資料ではなく、機械が突き合わせられる形が想定されている、という読み方になります。

あわせて暗号インベントリの管理が、PQC移行の責任者の職責として定義に組み込まれています*1。FCCの機器認証改革で扱ったSBOM（ソフトウェア部品表）と同じ発想を、暗号の側に当てたものと位置づけられます。

重要インフラへの広がりも定められています*1。国家安全保障覚書22に定めるセクターリスク管理機関として機能するすべての機関は、CISA長官を通じて国土安全保障省と協力し、重要インフラの所有者と運用者がPQC移行計画を策定するのを支援するとされています*1。

対外的な働きかけもあります*1。国務長官は、NIST長官、国土安全保障長官、国家サイバー長官、War長官、国家情報長官と協力し、主要国の外国政府と業界団体を特定して働きかけ、NISTが標準化したPQCアルゴリズムへの移行を促すとされています*1。

進捗の報告も定期化されます*1。この命令の日から180日以内に、およびPQC移行が完了するまで毎年、NSA長官は国家安全保障システムの国家管理者としての立場で、国家安全保障システムを所有または運用する機関のPQC移行の状況について、国家安全保障システム委員会を通じて大統領に報告を提出するとされています*1。

調達の側から来る2つの規則案

受託する側に関わるのはこちらです*1。

1つ目です*1。この命令の日から180日以内に、連邦調達規則会議（FAR Council）は、CISA長官を通じた国土安全保障長官およびNIST長官と協議のうえ、対象となる受託者に対し、PQCに適合するアルゴリズムを取り入れたすべての該当するFIPSを含め、NISTのFIPSに2030年12月31日までに適合することを求めるよう、連邦調達規則（FAR）を改正する規則案を公表するとされています*1。

2つ目です*1。この命令の日から270日以内に、FAR Councilは、受託者の脆弱性開示プログラムに関するFARの要件と契約条項を改正する規則案を公表するとされ、狙いは対象となる受託者がNISTのガイドラインに沿った脆弱性開示方針（VDP）を実装し、かつそのVDPが暗号に関する脆弱性の報告を組み込むことだとされています*1。

報告に含めるものも具体的です*1。暗号化が行われていないことの検査と、FIPSで承認されていないアルゴリズムの使用の検査を含むとされています*1。「弱い暗号」ではなく「暗号がない」ことまで検査の対象に挙げられている点は、実装の点検項目としてそのまま使えます。

日本の開発現場での使いどころ

直接の対象は米国の連邦機関と受託者ですが、移行の段取りの型として読めます。

第一に、責任者を先に決めることです。命令は30日以内に責任者を特定とし、その職責を暗号インベントリの管理、優先順位を付けた移行計画、機関横断の調整と定義しています*1。棚卸しより先に、担当を決めて名前を出すという順番です。

第二に、棚卸しの単位です。対象はHVAと高影響システムで、FIPS 199の影響度で切られています*1。自社なら止まると事業が止まる系から並べる、という置き換えになります。全システム一律の棚卸しは、期限のある作業と相性がよくありません。

第三に、鍵確立と署名を分けることです。期限が2030年12月31日と2031年12月31日で1年ずれています*1。実際、TLSの鍵交換は比較的差し替えやすい一方、証明書チェーンやコード署名は関係者が多く時間がかかります。この順番と間隔は、自社の計画にも当てはめやすい形です。

第四に、CBOMを前提に情報を集めることです。公開されるのは自動的な評価を可能にする最低限の要素です*1。いまのうちにどのライブラリのどのバージョンが、どのアルゴリズムを、どの用途で使っているかを機械可読で持っておくと、要素が公表されたときに詰め替えるだけで済みます。

第五に、点検項目に「暗号化されていない」を入れることです。VDPの規則案は暗号化の欠如の検査とFIPS非承認アルゴリズムの使用の検査を挙げています*1。強度の話に寄りがちですが、そもそも掛かっていない経路を洗い出す観点は先に必要です。

誤解されやすいのは、2030年まで手を付けなくてよいという受け取り方です。命令が理由に挙げているのはいま収集され、あとで復号されるリスクで*1、これはいま流れているデータの保存年限の話です。長く秘密であるべきデータほど、前倒しの理由が強くなります。

全文は連邦官報で公開されています*1。適用の可否は事情により変わりますので、確認を挟みながら進めてください。

まとめ：PQC移行で押さえる3つの視点

米国で2026年6月22日に大統領令14412「Securing the Nation Against Advanced Cryptographic Attacks」が署名され、2026年6月25日に連邦官報へ掲載されました。連邦情報システムをNIST承認のPQC向けFIPSへ移行し、重要インフラの所有者と運用者の移行も支援するという方針です。押さえたい視点は三つです。第一に、期限。命令の日から30日以内に各機関がPQC移行の責任者を特定して通知し、90日以内にOMBがガイダンスを発出します。ガイダンスは、国家安全保障システムを除くHVAと高影響システムのインベントリの見直し、鍵確立について2030年12月31日まで、電子署名について2031年12月31日までのPQCへの移行、そして計画の提出を求めます。鍵確立はFIPS 203、電子署名はFIPS 186-5が参照されます。第二に、暗号部品表。命令の日から270日以内に、CISAがNISTと協調して暗号部品表（cryptographic bill of materials）の最低限の要素についての公開ガイダンスを公表します。これらの要素は、ハードウェアまたはソフトウェアの要素が利用している暗号資産の自動的な評価を可能にするものでなければならないとされています。PQC移行の責任者の職責にも、機関全体の暗号インベントリの管理が含まれます。第三に、調達。180日以内に、対象受託者へ2030年12月31日までのFIPS適合を求めるFAR規則案が、270日以内に、NISTのガイドラインに沿った脆弱性開示方針（VDP）の実装と暗号の脆弱性の報告の組み込みを求めるFAR規則案が公表されます。後者には暗号化の欠如の検査とFIPS非承認アルゴリズムの使用の検査が含まれます。あわせてCMVPの手続が180日以内に見直され、暗号モジュールの検証が加速されます。

よくある質問

出典

1. *1　参考：The White House「Executive Order 14412: Securing the Nation Against Advanced Cryptographic Attacks」（連邦官報 2026年6月25日）（https://www.federalregister.gov/documents/2026/06/25/2026-12909/securing-the-nation-against-advanced-cryptographic-attacks）。大統領令14412が2026年6月22日に署名され2026年6月25日に連邦官報へ掲載されたこと、大規模な量子コンピュータが暗号によるセキュリティの仕組みに脅威をもたらすことと敵対者がいま情報を収集し後に復号するリスクという背景、連邦情報システムをNIST承認のPQC向けFIPSへ移行し重要インフラの所有者と運用者の移行を支援する方針、PQCと高影響システム（FIPS 199の潜在的影響が高）とHVA（OMB覚書M-19-03）とPQC移行の責任者（CIOに報告し暗号インベントリ管理と優先順位付き移行計画と機関横断の調整を担う）とCMVP（FIPS 140-3）と電子署名（FIPS 186-5）と鍵確立（FIPS 203）の各定義、OMB長官と国家サイバー長官による戦略的な調整と監督およびNISTがNSAとCISAと協議して継続的に技術的手引きを提供すること、30日以内のPQC移行責任者の特定と通知、90日以内のOMBガイダンス（国家安全保障システムを除くHVAと高影響システムのインベントリ見直し／鍵確立を2030年12月31日まで／電子署名を2031年12月31日まで／計画の提出）、180日以内のNISTによる試行プロジェクトの開始と2027年12月31日までの完了、セクターリスク管理機関がCISAを通じて重要インフラの移行計画策定を支援すること、国務長官による外国政府と業界団体への働きかけ、180日以内および毎年のNSA長官による国家安全保障システムのPQC移行状況の報告、270日以内のCISAとNISTによる暗号部品表の最低限の要素の公開ガイダンスと暗号資産の自動的な評価を可能にすること、費用を抑える機会（クラウド基盤の移行・PQCツールの共同調達・合同研修・中央での技術支援）の調整、180日以内のCMVPの手続の見直しによる検証の加速、180日以内のFAR規則案（対象受託者に2030年12月31日までのFIPS適合を求める）、ならびに270日以内のFAR規則案（NISTガイドラインに沿ったVDPの実装と暗号の脆弱性の報告の組み込み、暗号化の欠如とFIPS非承認アルゴリズムの使用の検査を含む）の一次情報として。確認日は2026年9月7日。（2026年9月確認）
2. *2　参考：The White House「Executive Order 14412（全文テキスト）」（https://www.federalregister.gov/documents/full_text/text/2026/06/25/2026-12909.txt）。上記大統領令の連邦官報掲載全文。第1条の背景と方針、第2条の定義、第3条の調整、第4条の移行の加速、第5条の主導、第6条の調達、第7条の一般規定の原文の確認に使用。確認日は2026年9月7日。（2026年9月確認）

Tweet