説明

ニュージーランドにはポスト量子暗号の移行期限がありますか？

by Simon McCorkindale

要約

いいえ。ニュージーランドは、ポスト量子暗号への移行期限を設定していない唯一のファイブアイズ加盟国です。NZISM第2.4節は、各機関にポスト量子暗号（PQC）の動向を監視し、暗号システムの棚卸しを行い、移行計画を策定することを求めていますが、期日は設定されていません。

各国が設定した期限

他の国・地域はガイダンスから具体的な期日へと移行しています：

  • アメリカ合衆国。 2026年6月22日に署名された大統領令14412により、各機関は高価値資産および高影響度システムについて、鍵確立のPQC移行を2030年12月31日までに、デジタル署名のPQC移行を2031年12月31日までに完了することが義務付けられました。CNSA 2.0は2035年までの完全移行を目標としています。
  • イギリス。 NCSCのロードマップでは、2028年までに現状把握、2031年までに優先度の高い移行、2035年までに完了を定めています。
  • オーストラリア。 ASDのガイダンスでは、2026年末までに精緻化された移行計画の策定、2028年に移行開始、2030年までに完了することを求めています。
  • 欧州連合。 2026年までに戦略策定、2030年までにリスクの高い移行、2035年までに完全移行。

詳細および出典は、Everyone else just set a dateと、The quantum threatの規制一覧表に記載されています。

NZISM第2.4節が求めること

ニュージーランドの規範文書はNZISM（ニュージーランド情報セキュリティマニュアル）です。第2.4節は、各機関にPQCの動向の監視、暗号システムの棚卸し、移行計画の策定を義務付けています。NZISMでの使用が承認されたPQCアルゴリズムはまだなく、移行期限も設定されていません。

また、これらの規定に付随する公的な執行メカニズムも存在しません。2026年4月に締め切られたDPMCの重要インフラに関するコンサルテーションでは、暗号化について実質的な言及がありませんでした。この点は、DPMCの重要インフラコンサルテーションへの提出書で私たちが指摘した課題です。

NZ組織にとっての意味

期限がないことは、リスクがないことを意味しません。他国・地域で設定された期限は、さまざまな経路でニュージーランドにも影響を及ぼします。オーストラリアの親会社、米国連邦サプライヤーとの契約、あるいは大手プロバイダーによるサービス仕様の変更などがその例です。オーストラリアの親会社の子会社である大手4行では、暗号化に関する意思決定はシドニーやメルボルンで行われています。

暗号化を抽象化し、ハードコードされたアルゴリズムを排除し、実効性のある棚卸しを構築した組織は、将来のニュージーランドの規制当局、オーストラリアの親会社、またはサプライヤーのいずれから期限が来ても対応できる準備が整っています。

始め方

期日ではなく、データから始めましょう。Why get ready?では、私たちが用いるフィルターを説明しています。データを秘密に保つ必要がある期間、保護するシステムの移行にかかる時間、そして実用的な量子コンピューターが現実的に登場しうる時期の3点です。ほとんどのシステムは優先的に移行する必要はありませんが、一部は例外となります。

レディネス・スナップショットをご覧いただくか、無料の外部ポスチャーチェックをお試しください。