PQCには責任が必要です。技術だけではありません。

いいえ。指標には明確な定義と、その裏付けとなる証跡が必要です。どの資料が必要かは、具体的な監査の枠組みの中で明確にします。

責任者が、標準、製品、自社インフラにおける重要な変更を確認します。得られた知見は、管理された形でポリシー、インベントリ、対策計画に反映されます。

暗号技術の移行は、単一のプロジェクトよりも長い期間を要します。インベントリ、意思決定、責任分担を貴社の既存の業務プロセスに組み込みます。これにより、アプリケーション、サプライヤー、推奨事項に変更があっても対応でき、その経緯も後から確認できます。

暗号技術ポリシーと責任分担を策定 例外の理由、責任者、期限を規定 調達とサプライヤーに対する要件を策定 信頼できるデータに基づき移行の進捗を報告 貴社の監査プロセス向けに技術的証跡を取りまとめ

暗号技術ポリシーと役割モデル 例外対応と更新の手順 インベントリ、意思決定、テストを含む証跡パッケージ

一元的なポリシーには、それを各アプリケーションで実行する担当者が必要です。技術面の責任者、業務上のリスク判断、承認をそれぞれ割り当てます。ポリシーには、許可されたアルゴリズム、選定基準、変更時の手順を明記します。例外には、理由と再確認の期日を付けます。暗号技術の維持管理が孤立したプロジェクトリストで終わらないよう、既存のセキュリティプロセスと変更管理プロセスを活用します。

調達や契約更新の際には、暗号技術の依存関係、アップデート経路、対応予定について情報を求めることができます。各情報は、発表済み、提供済み、あるいは具体的な環境でテスト済みといったステータスとともに記録します。指標では、把握済みのシステム、評価済みのリスク、正常に移行を終えた用途を区別します。インベントリに登録した証明書の数が多くても、重要なオフラインシステムがまだ含まれていないという事実を覆い隠してはなりません。

インベントリ、意思決定、テストレポートを結び付け、実施状況を把握できるようにします。技術文書は社内外の監査を支援するものであり、別途必要となる法的評価や正式な認証の代わりにはなりません。検収では、責任分担と、変更または例外の具体例を確認します。これにより、この手順が日常業務の中で機能するかどうかが分かります。

技術的な成果を、承認、調達、そして継続的に維持管理できる証跡と結び付けます。これにより、製品や標準、社内の担当体制が変化しても、備えを実行に移せる状態を保つことができます。

決定と例外には、責任者と再検討のきっかけが定められています。 証跡はインベントリおよび対策と結び付けられています。 調達要件では、具体的な能力と限界を確認します。

例：調達チームが「PQC対応」とうたう2件の提案を受け取ります。必要なユースケースを、アルゴリズム、インターフェース、ライフサイクルに関する検証可能な質問へと落とし込みます。決定内容には、実証済みの能力と未履行の確約事項を記録し、後続のプロジェクトチームが同じ基盤の上で作業を続けられるようにします。

アルゴリズムや製品、移行対応策については、決定内容、根拠、適用範囲を文書化します。期限付きの例外には、責任者と再検討のきっかけとなる条件が必要です。こうした情報がなければ、技術的な未解決事項がそのまま恒久的に残ってしまうことが少なくありません。 関連のない独立したリストを個別に作成するのではなく、インベントリ、リスク評価、対策を結び付けて管理します。これにより、あるシステムがなぜ優先されたのか、どのようなテストが実施されているか、次の段階を妨げている前提条件は何かを説明できるようになります。業務側の責任と技術的な実装は、それぞれ明確に区別して示します。

新しい製品には、暗号機能、アップデート対応能力、移行経路に関する具体的な情報が求められます。「PQC対応」という謳い文句にとどまらない、具体的なサプライヤー向けの質問を作成します。証跡はバージョンと利用予定に即したものであり、メーカーの一般的なプレゼンテーション資料だけに基づくものではありません。 定期的な見直しでは、ロードマップと実際の進捗状況を照合します。アーキテクチャや製品に大きな変更があった場合は、インベントリを更新します。この文書は社内の統制や監査を支援するものであり、外部認証や所管機関による正式な評価に代わるものではありません。

暗号インベントリと保護要件 IT部門、情報セキュリティ部門、アプリケーション責任者、OTOKO®の暗号技術スペシャリスト CBOM、システムごとの保護要件とデータの保護期間、BSI TR-02102に対するギャップ分析

ロードマップ、目標アルゴリズム、移行フェーズ アーキテクチャ部門、情報セキュリティ部門、PKI運用部門、調達部門 移行ロードマップ、暗号ポリシー、PKIおよびHSMの目標像、運用モデル