タイSECの量子リスク・ガイドを取締役向けに要約:PQC移行の5ステップ
タイSECが2026年9月に公表した取締役向け量子リスク・PQC移行ガイドを要約。5つの主要ステップ、12か月の成果例、求めていないことを整理します。
タイSECの量子リスク・ガイドを取締役向けに要約:PQC移行の5ステップ
2026年9月、タイ証券取引委員会(SEC)のITリスク監督・検査部門が、取締役向けガイド『Quantum Risk Governance & PQC Transition』(全45ページ、タイ語)を公表しました。全9章と、取締役会で使える4つのツールからなります。引用は当社訳です。
要点: これは助言であり、法令ではありません。ガイド自身が「初期的な指針・助言であり、法的な要件や規制ではない」と明記しています(PDF 2ページ)。求めているのは、リスクの所在を把握し、優先順位を決め、事業を止めずに移行のロードマップを描くことで、技術の購入を急ぐことでも、暗号を一度に入れ替えることでもありません。まず、全体の成果に責任を持つ経営幹部を1人定め、暗号の利用箇所を洗い出します。
どんなガイドで、誰のためのものか
対象は資本市場の組織の取締役会と上級経営陣です(4ページ)。上場会社や証券会社といった限定はありません。顧客データ、取引、投資家の信頼に直接関わるため、IT部門だけのプロジェクトではなくガバナンスの課題として扱っています(7ページ)。PQCのアルゴリズム名は一つも出てこず、各章は「すべきこと/すべきでないこと」の表と5つの質問で締めくくられます。
なぜ今、取締役会の議題なのか
現在の暗号を破れる量子コンピュータ(CRQC)がいつ実現するかは、誰にも分かりません。ガイドはGlobal Risk Instituteの報告を引き、リスクが2030年代から重大になり得るとしています(1ページ)。今始める理由は3つです(PDF 2ページ)。
- 脅威より先にデータが危険にさらされる。 今日傍受された暗号データは将来解読され得ます(Harvest Now, Decrypt Later)。例は法定期間保存する取引記録や、未公表のM&A・大口注文の情報です(5〜6ページ)。
- 信頼が攻撃される。 電子署名や証明書が偽造されれば、偽の注文が本物として通り得ます(Trust Now, Forge Later)。オンライン口座開設、注文の署名、市場インフラ接続用の証明書が該当します(5〜6ページ)。
- 移行には時間がかかる。 レガシーシステム、証明書、鍵管理機器、取引先の対応には1年から数年かかり得ます(1ページ)。
弱いのはRSAやECCなどの公開鍵暗号で、AESへの影響ははるかに小さいとされます(5ページ)。参照する標準は、2024年公表のNIST FIPS 203〜205です(38ページ)。
タイ国家サイバーセキュリティ庁(NCSA)は2026〜2035年の量子対応フレームワークの草案を作成しており、SECのガイドは、これに沿った計画を「検討し得る」としています(2ページ)。3ページの表は、重要・高リスクシステムの高リスク部分について2030年までのリスク低減または移行を、一般システムについては2035年までの移行完了または適切な対応策を推奨しています。これは計画のための枠組みで、脅威の到来年の予測ではないと注記されています。
5つの主要ステップ
エグゼクティブサマリーは、組織に次の5ステップを勧めています(PDF 2ページ)。
1. 責任の所在を決める
全体の成果に責任を持つ経営幹部を定め、必要な意思決定権と予算へのアクセス、重要事項をCEOまたは取締役会へ直接報告する経路を確保します(15ページ)。役割分担はIIAのスリーラインモデルに沿って整理します(14ページ)。新しい独立した方針は不要で、既存のサイバーセキュリティやERMの枠組みに組み込めばよいとしています(14ページ)。範囲、高リスクシステム、期間、証拠のない「対応中」報告は受け入れないよう注意しています(7ページ)。
2. 暗号利用台帳(CBOM)を作る
CBOMは、どのシステムがどの暗号を何のために使い、誰が所有し、何に依存しているかの台帳で、クラウド、パッケージソフト、API、認証局など自社が直接管理しないものも含めます(17ページ)。仮の例として、ベンダーの注文システムや外部のe-KYC APIを使う証券会社なら、両サービスを調査範囲に含め、提供元から暗号の利用情報を入手します。ガイドは資産台帳と結び付け、単一のツールやアンケートに頼らないよう勧めています(18ページ)。関連情報として、資産台帳と外部の攻撃対象領域も参照してください。CBOMの作成では、これらの情報をシステム文書や提供元の情報と併せて確認します。最初にどこを調べるか迷うなら私たちにご相談ください。調査の実作業はパートナーを通じて行います。詳しくはCBOMと暗号アジリティの記事で。
3. 事業リスクで優先順位を付ける
事業モデル、システムの重要度、データの秘匿期間、法的な制約、委託先への依存を考慮します(PDF 2ページ)。10年を超えて保存するデータだけを高リスクとみなすような固定基準は、使うべきでないとしています(18ページ)。注文の署名システムは長期データが少なくても、偽造されれば被害はすぐ出ます。個人データはタイの個人情報保護法(PDPA)上の安全管理にも関わります(18ページ、PDPAの基本)。
第3章はモスカの不等式X + Y > Zを使います。Xはデータを秘密に保つ必要がある残りの期間、Yは移行に必要な期間、Zは量子コンピュータが現在の暗号を破れるようになるまでの推定期間で、X + Y > Zなら、必要な秘匿期間を通じてデータを保護できない可能性があります。早い・想定どおり・遅いの3ケース以上で考えるよう勧めています(12〜13ページ)。HNDLとモスカの記事もご覧ください。
4. 切り替え前にテストする
本番前にテストし、管理された範囲のパイロットから始めることもできます(PDF 2ページ)。PQCは単なるソフト更新ではなく、プロトコル、アプリ、機器、取引先接続の改修が要る場合があり(9ページ)、ログイン時間や取引速度にも影響し得ます(20ページ)。証券会社なら、注文が最も集中する時間帯の結果を確認したいところです。旧暗号とPQCの併用(ハイブリッド)も、それだけで安全になるわけではありません(9〜10ページ)。
5. 継続的に移行できる力をつける
暗号アジリティ、つまりサービスを中断せず、毎回大規模なシステム再構築を行うことなく、アルゴリズムを適時に変更・廃止できる能力です(20ページ)。これを開発、調達、監査に組み込みます(PDF 2ページ)。ガイドは、新規調達すべてにPQC対応を含め(22ページ)、重要サービスのTORや契約で少なくとも6項目を定め(22〜23ページ)、PQC対応済みという言葉だけでなく証拠を求めるよう勧めています(22ページ)。取引先のPQC対応の記事もご覧ください。
最初の12か月の「例」
エグゼクティブサマリーは最初の12か月の成果を挙げ、「例」に下線を引いています(PDF 2ページ)。自社の成果目標を定める際の参考例で、提出を義務付けるものではなく、特定の暦年にも結び付けられていません。
- 責任者と各部門の役割が明確
- 重要システムの暗号利用台帳と、未調査部分の明示
- 先に対応するデータ・システム・取引とその理由
- 取引先・委託先のリスク管理
- ロードマップと初期予算
- 本番前に試すパイロット
- 進捗、残存リスク、課題、予算、決定事項の取締役会への報告
第9章は各段階の実施年や所要期間を固定していません。第1段階の成果には「最初の12か月の計画」が含まれます。また、27ページはNCSAの2026〜2035年の枠組みを参考にすることも検討できるとしていますが、各段階に年を割り当ててはいません。
ガイド全体を1枚の表で
| 部分 | ページ | 内容 |
|---|
| 第1章 戦略的リスク | 5–8 | HNDLとTNFL、取締役会の議題である理由 |
| 第2章 技術の選択肢 | 9–11 | PQCが基盤、QKD・QRNGは特定用途 |
| 第3章 時間軸 | 12–13 | モスカの不等式、計画枠としての2030〜2035年 |
| 第4章 役割と責任 | 14–16 | 責任者、スリーライン、取締役会への報告 |
| 第5章 CBOM | 17–19 | 台帳の範囲、少なくとも5つの優先順位要素 |
| 第6章 暗号アジリティ | 20–21 | 無停止の切替、実負荷テスト、ロールバック |
| 第7章 サプライチェーン | 22–24 | 委託先の順位付け、証拠、TOR、代替策 |
| 第8章 人材 | 25–26 | 12〜24か月の役割別スキル計画 |
| 第9章 5段階計画 | 27–28 | 着手、調査、試行、移行、定常化 |
| ツール1 ガバナンス質問集 | 29–32 | 段階別の質問、証拠、検討事項 |
| ツール2 リスク選別表 | 33 | 先に追うべき事項 |
| ツール3 ダッシュボード | 34–35 | リスクの所在、変化、決めること |
| ツール4 主要委託先サマリー | 36 | 計画を止め得る委託先 |
ダッシュボードの数値はすべて仮のもので、説明用の例にすぎずSECの要件や期待ではないと明記されています(34ページ)。ステップ2の一部にソフトウェアを使うなら料金ページを確認し、予算化の前にパートナーに範囲を確かめてもらってください。
ガイドが求めていないこと
SECは従うことを強制している?
いいえ。ガイドは3か所(PDF 2ページ、4ページ、42ページ)で位置付けを示し、42ページでは「SECの要件や基準ではない」としています。罰則、検査、SECへの報告にも触れていません。
2030年や2035年までに終える必要がある?
2026〜2035年はNCSAの草案で、SECは「検討し得る」としています(2・27ページ)。3ページの目標は「すべき」で、第3章は2030〜2035年を計画の枠とし、脅威が来る日ではないとしています(13ページ)。12か月の成果も、自社の目標を定めるための参考例です。
QKD、特定のスキャナー、新しい委員会が要る?
いいえ。PQCが基盤で、QKDとQRNGは代替にならない追加の選択肢です(9〜10ページ)。42ページは、技術・製品・サービスへの言及がSECによる承認や支持を意味しないと明記しています。CBOMを扱う17〜18ページには、所定のファイル形式やCBOM標準の指定はありません。独立した新方針は不要で(14ページ)、取締役会への報告は少なくとも四半期ごとに行うことを推奨しています(15ページ)。
次の取締役会で何から聞くか
すべての質問を一度に使う必要はありません(29ページ)。初めてなら、第1章の2問が出発点です(8ページ)。量子リスクは全社のリスク台帳に載っているか、責任者は誰か。長期の保護が必要で、今日傍受されて将来解読され得るデータや取引はどれか。
そのうえで、まだ測定できていない部分を聞いてください。12か月の例も未調査部分の明示を挙げています。zcrXの暗号ポスチャでは、Agentを入れたホストやビルドシステム上の証明書とアルゴリズムがquantum-safe、ready、not readyで評価され、Agentのないホストは安全とはみなされず「未測定」と表示されます。見えるのはこの範囲で、取引先のシステム、優先順位付け、計画、移行そのものは貴社チームとパートナーの仕事です。zcrXの測定範囲は、PQC移行準備のページにまとめています。
このシリーズの続き
お問い合わせ
最初の暗号利用台帳をどのシステムから始めるか、取締役会の前に何を準備すべきか、無料でご相談いただけます。zcrはソフトウェアを提供し、調査・計画・移行の実作業はパートナーを通じて行います。
出典
- タイSEC — 取締役向け 量子リスク・ガバナンスとPQC移行ガイド(2026年9月、PDF、タイ語) — 2026年10月27日に確認。「Nページ」は文書に印刷されたページ番号、「PDF 2ページ」は印刷番号のないエグゼクティブサマリーです。引用は当社訳です。
