EXPLAINER

耐量子計算機暗号

量子コンピューター時代の暗号の備えを知ろう

ネットでの買い物やカード決済を守っている暗号化技術。その一部が、将来の量子コンピューターで破られるおそれがあるといわれています。量子コンピューターとは何か、耐量子計算機暗号（PQC）への移行がなぜ急がれているのか。できるだけわかりやすく解説します。

LAST UPDATE

NOTEこの解説は小林修平が個人として発信するもので、チームみらいの公式見解ではありません。2026年11月12日現在の情報を元に執筆しています。詳しくはこちら

QUANTUM COMPUTER LAB

量子コンピューターとは

量子コンピューターは、特定の問題を桁違いに速く計算できる、新しい種類のコンピューターです。

ミクロの世界の物理法則（量子力学）を計算に使い、0と1を重ね合わせたまま計算して、波のような干渉で正しい答えが出やすくなるようにします。何でも速くなるわけではなく、この性質がうまく効く問題で力を発揮します。

STEP 1 / 6→ を押して次へ

ビットは、0か1のどちらか

いま社会に普及しているパソコンやスマートフォンは、すべての情報を0か1の「ビット」で計算しています。電圧の高低などで0か1を表し、一度に表せるのは1通りの並びだけです。

※この図は、考え方をつかんでもらうことを優先して単純にしたものです。0の波と1の波は確率振幅の大きさを表したたとえで、位相は描いていません。重ね合わせは、値が決まっているのに分からないだけの状態とは異なります。[1]「観測」は測定のことです。4枚目は、同じ結果に寄与する確率振幅どうしの干渉を表しています。5枚目はグローバーのアルゴリズムを単純にしたもので、水面の揺れや輪の波は演出です。総当りに対する高速化は平方根程度にとどまります。[2]6枚目の「桁違いに速くなる計算」の代表はショアのアルゴリズムで、大規模な誤り耐性量子コンピューターを前提としています。[3]

TODAY'S CRYPTOGRAPHY

いまの暗号のしくみ

インターネットで買い物をしたり、カードで支払ったりするとき、私たちの情報は暗号で守られています。

暗号には大きく分けて「共通鍵暗号」と「公開鍵暗号」の2種類があり、それぞれ役割を分担しています。

SYMMETRIC KEY

共通鍵暗号

同じ鍵で閉じて、同じ鍵で開ける

STEP 1 / 24

共通鍵暗号：同じ鍵で閉じて、同じ鍵で開ける

閉じる鍵と開ける鍵が同じ暗号です。2人が同じ鍵を持っていれば、途中で盗み見られても中身は読まれません。

※南京錠は、公開鍵暗号のしくみをつかむためのたとえです。実際のhttpsの通信（TLS 1.3）では、公開鍵で閉じた共通鍵を送るのではなく、楕円曲線暗号などを使って、2人が同じ共通鍵を作り出す方法が主に使われています。また公開鍵暗号は、秘密鍵で付けた署名を公開鍵で確かめる「電子署名」にも使われます（下の「2つの暗号の役割をくわしく読む」を参照）。

  • SYMMETRIC

    共通鍵暗号AES など

    閉じる鍵と開ける鍵が同じ暗号。処理が速く、大量のデータを暗号化するのに使われます。

    データそのものを暗号化する

  • PUBLIC KEY

    公開鍵暗号RSA・楕円曲線暗号 など

    誰でも使える「公開鍵」と、本人だけが持つ「秘密鍵」のペアを使う暗号。離れた相手と安全に鍵を受け渡したり、電子署名で本物であることを確かめたりするのに使われます。

    鍵を受け渡す・本物か確かめる

身近な使われ方

  • WEBサイト

    「https」の通信

    Chromeでのページの表示の95%以上がHTTPSで暗号化されています。[4]通信の始めに公開鍵暗号で鍵を受け渡し、その鍵で中身を共通鍵暗号で守ります。[5]

  • カード決済

    ICチップの本物確認

    クレジットカードのICチップの規格は、当初からRSAを土台にしており、楕円曲線暗号にも対応しています。[6]

  • メッセージ

    チャットアプリの暗号化

    メッセージアプリでも、公開鍵暗号で鍵を受け渡し、やりとりの中身を暗号化しています。[7]

2つの暗号の役割をくわしく読む

共通鍵暗号は、暗号化と復号に同じ鍵を使います。処理が速いので、通信やファイルの中身そのものを守るのに向いています。代表的なものが、米国の標準でもあるAESです。ただし、相手と同じ鍵を共有していなければ使えません。

その「最初に鍵をどう共有するか」を解決したのが公開鍵暗号です。公開鍵で閉じたものは、ペアになった秘密鍵でしか開けられません。公開鍵から秘密鍵を割り出すには、RSAなら巨大な数の素因数分解、楕円曲線暗号なら楕円曲線上の離散対数問題という数学の問題を解く必要があります。十分に大きな数では、従来のコンピューターでこれを現実的な時間で解く方法が知られていません。この「解けない」ことが安全性の根拠です。[3]

公開鍵暗号はもう一つ、電子署名にも使われます。秘密鍵で付けた署名を公開鍵で確かめることで、データが本物で、途中で書き換えられていないことを確認できます。

Webの通信を暗号化するTLS 1.3という仕組みでは、通信の始めに楕円曲線暗号などで鍵を共有し、その後のやりとりは共通鍵暗号で守ります。[5]私たちが意識することはほとんどありませんが、2つの暗号は毎日、何度も組み合わせて使われています。

鍵の正体は、0と1を並べた長い数字

図の鍵や南京錠は、実際には0と1をたくさん並べた数字です。共通鍵暗号では、閉じたときとまったく同じ並びの鍵でなければ開けられず、1つでも違えば中身は読めません。そのため、鍵を知らない人は、考えられる並びを1つずつ試す「総当り」をすることになります。下は、64個の0と1の並びを、1秒に1億回の速さで試していくようすです。

試した数（1秒に1億回）

0回

64個でも、並び方は約1,845京通り。1秒に1億回試しても、全部試すには約5,845年かかります。実際の鍵は128個以上なので、さらに桁違いです。

※実際の共通鍵暗号（AES）の鍵は128ビット以上で、候補は2の128乗（約3.4×10の38乗）通りあります。仮に1秒に100京回試せても、全部を試すには約10兆年かかり、宇宙の年齢（約138億年）よりはるかに長くなります。

公開鍵暗号は、数学の難問で守られている

公開鍵暗号の南京錠（公開鍵）と秘密鍵も、0と1を並べた数字です。2つはペアになるように計算で作られていて、南京錠から秘密鍵を割り出すには、とても解きにくい数学の問題を解く必要があります。たとえばRSAでは、何百桁もの数を、掛け合わせる前の2つの素数に分解する問題です。掛け算は一瞬でも、元に戻す計算は、従来のコンピューターでは現実的な時間で終わりません。

掛け算

101×211=21,311

一瞬で答えが出ます

元に戻す

21,311=？×？

小さい素数から順に割ってみる（0回目）

実際の暗号で使う数は何百桁もあり、もっと賢い解き方を使っても、従来のコンピューターでは現実的な時間で終わりません。

THE THREAT

量子コンピューターで何が問題になるのか

十分に大きく、誤りに強い量子コンピューターが実現すると、いま広く使われている公開鍵暗号が破られるおそれがあります。公開鍵暗号を支える素因数分解などの問題を、干渉を使って効率よく解く方法（ショアのアルゴリズム）が知られているためです。[3]

一方で、総当りが基本となる共通鍵暗号への影響は限られ、鍵を長くすれば守れるとされています。問題になるのは、主に「鍵の受け渡し」と「本物の確認」の部分です。[8]

  • 破られるおそれ

    公開鍵暗号RSA・楕円曲線暗号

    ショアのアルゴリズム（1994年）は、素因数分解を「くり返しの周期を見つける問題」に置き換え、その周期を干渉で浮かび上がらせます。鍵を長くしても手間がゆるやかにしか増えないため、鍵の長さでは守れません。秘密鍵を割り出されると、通信を読まれたり、署名を偽造されたりするおそれがあります。[3][8]

  • 影響は限られる

    共通鍵暗号AES

    グローバーのアルゴリズム（1996年、量子コンピューターの節の図の5枚目で見た探し方）で、鍵を探す手間は理論上、平方根程度に減ります。ただし手順を一つずつ順に進める必要があり、米国の標準技術研究所（NIST）は、AESは128・192・256ビットの鍵で引き続き使えるとしています。[2][8]

公開鍵暗号は、鍵を長くしても量子コンピューターから守れない

公開鍵暗号のRSAを支える素因数分解の手間を、従来のコンピューターと量子コンピューターで比べてみましょう。鍵の長さを変えると、伸び方の違いがわかります（64ビットのときを1とした比）。

従来のコンピューター（数体ふるい法）

1倍（基準）

解くのにかかる時間の目安1秒未満

量子コンピューター（ショアのアルゴリズム）

1倍（基準）

解くのにかかる時間の目安約18秒

従来のコンピューターでは、鍵が長くなると手間が爆発的に伸びます。量子コンピューターでは伸び方がずっと緩やかなので、鍵を長くしても守れません。

※手間の伸び方は、従来のコンピューターで知られている中で、大きな数に最も速い計算方法（一般数体ふるい法）と、ショアのアルゴリズムの、計算量の式から求めた目安です。64ビットのときを1とした比で、実際の計算時間ではありません。[3]解くのにかかる時間の目安は、従来のコンピューターでは、2020年に829ビットの数（RSA-250）を、1つのCPUコアに換算して約2,700年分の計算で分解した実績をもとに、[9]量子コンピューターでは、2048ビットを誤りを含む物理量子ビット100万個未満で1週間未満とした見積もりをもとに、[10]それぞれの伸び方で広げたものです。従来の時間は1つのコアで計算した場合で、たくさんのコンピューターを並べれば短くなりますが、2048ビットでは何百万台を使っても現実的な時間にはなりません。量子コンピューターの時間は、まだ存在しない大規模な誤り耐性量子コンピューターを前提にしており、鍵が短いうちは従来のコンピューターより時間がかかります。

何が問題になるのかをくわしく読む

1994年、数学者のピーター・ショアは、量子コンピューターを使えば素因数分解と離散対数問題を効率よく解けることを示しました。[3]RSAも楕円曲線暗号も、この2つの問題が解けないことを安全性の根拠にしているので、十分な規模の量子コンピューターができれば、公開鍵から秘密鍵を割り出せることになります。NISTも、こうした方式を「量子コンピューターに弱い」方式として扱っています。[8]

共通鍵暗号については事情が違います。1996年に示されたグローバーのアルゴリズムは、鍵の総当たりの手間を理論上は平方根程度に減らします。[2]ただし、その手順は一つずつ順番に実行しなければならず、並べて速くすることが難しいため、NISTはAESを128・192・256ビットの鍵で引き続き使えるとしています。[8]日本の政府機関の方針でも、移行の主な対象は公開鍵暗号で、共通鍵暗号やハッシュ関数は鍵の長さなどの見直しを検討するとされています。[11]

POST-QUANTUM CRYPTOGRAPHY

耐量子計算機暗号（PQC）とは

耐量子計算機暗号（PQC：Post-Quantum Cryptography）は、量子コンピューターでも解くのが難しいと考えられている数学の問題を使った、新しい公開鍵暗号です。

いまのパソコンやスマートフォン、サーバーで動かせるので、特別な装置がなくても、いまの公開鍵暗号から移行できます。

LATTICE

量子でも解きにくい「格子」の問題

点が規則正しく並んだ「格子」の中で、目印（桃色）にいちばん近い点（青緑）を探す。点の並びが何百もの次元に広がると、この探し物は量子コンピューターでも難しいと考えられています。

  • しくみ

    量子でも解きにくい問題を使う

    「格子」と呼ばれる点の並びの問題や、ハッシュ関数、誤り訂正符号などを安全性の根拠にします。[12][13]

  • 動かす機械

    従来のコンピューターで動く

    特別な装置はいりません。光の性質を使って鍵を配る「量子鍵配送（QKD）」とは別の技術です。[14]

  • 使い方

    いまの暗号と組み合わせる

    新しい暗号の実績が浅いことに備え、いまの暗号と組み合わせて使う「ハイブリッド」の方式も使われています。[15][11]

米国の標準技術研究所（NIST）が定めた、耐量子計算機暗号の方式
方式用途もとにする数学標準化状況
ML-KEMCRYSTALS-Kyber鍵の受け渡し格子標準FIPS 2032024年8月[16]
ML-DSACRYSTALS-Dilithium電子署名格子標準FIPS 2042024年8月[17]
SLH-DSASPHINCS+電子署名ハッシュ関数標準FIPS 2052024年8月[18]
FN-DSAFALCON電子署名格子作成中標準を作成中[19]
HQCHQC鍵の受け渡し誤り訂正符号作成中2025年3月に選定、ML-KEMの予備[13]

もう使われ始めている

  • ブラウザ

    Chromeは2024年にML-KEMへ対応

    Chromeは2024年、いまの楕円曲線暗号とML-KEMを組み合わせた鍵の受け渡しに切り替えました。[15]

  • Webの通信

    人の通信の65%超が耐量子化

    Cloudflareは、同社を通る人の通信の65%超で、耐量子計算機暗号による暗号化が使われているとしています。[20]

  • メッセージ

    iMessageやSignalも対応

    メッセージアプリでも、HNDL攻撃に備えて、耐量子計算機暗号を組み込む動きが進んでいます。[21][7]

※ここで耐量子化されているのは主に鍵の受け渡しで、サイトが本物かを確かめる証明書（電子署名）の移行はこれからです。[20]

PQCのしくみと標準化をくわしく読む

耐量子計算機暗号は、量子コンピューターでも効率よく解く方法が見つかっていない数学の問題を安全性の根拠にしています。NISTが最初に選んだ4方式のうち3つは「格子」と呼ばれる、規則正しく並んだ点の構造にもとづく問題を、1つはハッシュ関数を使います。[12]2025年には、誤り訂正符号にもとづくHQCが、ML-KEMの予備として選ばれました。[13]

NISTは2016年に世界から候補を募り、2017年に82の候補が集まりました。[22][23]世界中の研究者が数年かけて安全性や性能を調べ、2022年に4方式を選び、2024年8月に最初の3つを標準として公表しました。[12][24]FALCONにもとづくFN-DSAと、HQCの標準は作成中です。[19]別の数学にもとづく署名の候補も追加で検討されていて、2026年5月に9方式が第3ラウンドに進みました。[25]

耐量子計算機暗号は、従来のコンピューターで動く暗号です。光の量子の性質を使って鍵を配る量子鍵配送（QKD）とは別の技術で、日本のサイバーセキュリティ戦略でも、それぞれ別の取り組みとして書かれています。[14]

新しい暗号は、長年使われてきたRSAや楕円曲線暗号に比べて実績が浅いことから、いまの暗号と組み合わせて使う「ハイブリッド」の方式がとられることがあります。Chromeの方式も、いまの楕円曲線暗号（X25519）とML-KEMを組み合わせたものです。[15]日本政府の中間とりまとめも、移行の過程でいまの暗号と併用することに触れています。[11]

WHY NOW

なぜ、いまPQCへの移行を急ぐのか

量子コンピューターが実用化されてから対策を始めたのでは、間に合いません。いま送っている暗号化されたデータが、すでに狙われているからです。

暗号を破れる量子コンピューターがいつできるかには諸説あり、2030年から2050年くらいとする見方などがあります。[26]日本の暗号の評価機関は、定量的な予測ではRSA-2048が破られるのは2039年以降とまとめ、[27]海外の専門家への調査では、10年以内にできる可能性を28〜49%としています。[28]実用化はまだ先と見られていますが、次の2つの理由から、PQCへの移行はいまから急がれています。

PQCへの移行が急がれる理由をくわしく読む

必要な量子コンピューターの規模の見積もりは、研究が進むにつれて小さくなってきました。2019年には、2048ビットのRSAを解くのに約2,000万個の量子ビットで8時間とされていましたが、2025年には100万個未満で1週間未満という見積もりが出ました。[29][10]2026年には、楕円曲線暗号を50万個未満の量子ビットで数分で解けるとする見積もりも示されています。[30]

ただし、これらはいずれも、いまより誤りの少ない、はるかに大きな量子コンピューターを前提にした理論上の数字です。いまの量子コンピューターは、国産機で256量子ビット、[31]海外でも、IBMが2023年に開発した大規模な試作チップで1,121量子ビットです。[32]見積もりの前提となる100万個とは、まだ大きな開きがあります。金融庁の検討会は、現時点の量子コンピューターは既存の公開鍵暗号の解読に現実的な脅威をもたらす水準にはないとしています。[26]実現する時期についても、見通しには大きな幅があります。日本の暗号の評価機関は、定量的な予測ではRSA-2048が破られるのは2039年以降とまとめ、[27]海外の専門家26人への調査では、暗号を破れる量子コンピューターが10年以内にできる可能性を28〜49%、15年以内では51〜70%としています。[28]

それでも対策が急がれる理由の一つが、HNDL（Harvest Now, Decrypt Later）攻撃です。暗号化されたデータを今のうちに集めて保存しておき、解読できるようになってから読むというものです。[11]医療や年金の記録、企業の機密、外交や安全保障の情報など、何年、何十年と秘密にしておくべき情報は、量子コンピューターが完成する前から狙われていることになります。

もう一つの理由は、移行そのものに長い時間がかかることです。日本政府の中間とりまとめは、RSAなどの暗号方式が提案されてから社会に普及するまでに20年ほどかかったとしています。[11]

世界と日本の動き

米国、EU、英国、カナダなど多くの国が、2035年ごろまでにPQCへの移行を終えるスケジュールを定めています。[11]日本政府も2025年、政府機関などのシステムを原則として2035年までに移行することを目指す方針を示し、2026年度中に工程表をつくる予定です。[11]

世界の動きをくわしく見る

  1. 2022年5月 米国

    2035年までに量子のリスクをできる限り減らす

    大統領覚書（NSM-10）で、2035年までに、実現可能な限り量子のリスクを減らすという目標を掲げました。[33]

  2. 2025年3月 英国

    2028年・2031年・2035年の3段階

    英国の国家サイバーセキュリティセンターは、2028年までに暗号の洗い出しと計画づくり、2031年までに優先度の高い移行、2035年までにすべての移行を終える目安を示しました。[34]

  3. 2025年6月 EU

    高リスクの用途は2030年末までに

    加盟国が連携して進める工程表で、2026年末までに各国が最初の取り組みを実施し、高リスクの用途は2030年末まで、できる限り多くのシステムを2035年末までに移行するとしました。[35]

  4. 2026年1月 G7

    金融分野の移行に向けた声明

    G7のサイバー・エキスパート・グループが、金融分野で協調して移行のロードマップを進めるための声明を公表しました。[36]

  5. 2026年6月 米国

    連邦政府の重要なシステムは2030〜31年末までに

    大統領令で、連邦政府の価値の高い資産や影響の大きいシステムについて、鍵の受け渡しを2030年末まで、電子署名を2031年末までに耐量子計算機暗号へ移す方針を示し、具体的な指針づくりを指示しました。[37]

  6. 2026年10月 米国

    いまの公開鍵暗号は2035年以降使わない

    NISTは、量子コンピューターに弱い公開鍵暗号を2030年以降は非推奨とし、2035年以降は使用を認めないとする方針を確定しました。[19]

日本の動きをくわしく見る

  1. 2024年11月

    金融庁の検討会が報告書

    預金を扱う金融機関に向けて、優先度の高いシステムは2030年代半ばを目安に、耐量子計算機暗号を使える状態にすることが望ましいとしました。[26]

  2. 2025年6月

    政府に関係府省庁の連絡会議

    耐量子計算機暗号への移行は急を要する課題だとして、政府機関などでの利用について話し合う会議が設けられました。[38]

  3. 2025年11月

    原則として2035年までの移行を目指す

    中間とりまとめで、政府機関などの移行を原則として2035年までに行うことを目指し、2026年度に工程表を作るとしました。特に機微な情報や長く守る情報は、より早い移行も含めて検討します。[11]

  4. 2025年12月

    サイバーセキュリティ戦略に明記

    閣議決定した戦略に同じ方針を書き込み、重要インフラや民間の事業者の円滑な移行も後押しするとしました。[14]

  5. 2026年3月

    政府が使う暗号のリストにML-KEMを追加

    電子政府で使う暗号のリスト（CRYPTREC暗号リスト）に、耐量子計算機暗号のリストを新たに設け、ML-KEMを載せました。[39]

  6. 2026年10月

    電子署名の追加に向けて意見募集

    総務省・デジタル庁・経済産業省が、ML-DSAやSLH-DSAなどの電子署名をリストに加える改定のイメージ（確定前の案）について、意見の募集を始めました。[40]

  7. 2026年度中（予定）

    政府機関の移行の工程表

    政府機関などの移行の工程表（ロードマップ）を、2026年度中に策定する予定です。[11][41]

※「2035年」は政府機関などを対象とした目標で、民間の事業者に義務づけるものではありません。金融庁の報告書の「2030年代半ば」も、移行を終える期限ではなく、使える状態にしておく目安です。[11][26]

CHALLENGES

PQCへの移行の課題

PQCへの移行は、ソフトウェアを1つ入れ替えれば終わる作業ではありません。

どこで暗号が使われているかを調べるところから始まり、古い機器の入れ替えや、相手のあるシステムとの調整も必要になります。

どこで使っているか分からない暗号の棚卸し

なぜ難しいか

暗号は、Webサイト、社内のネットワーク、機器の中のソフトウェアなど、あらゆる場所に組み込まれています。どこでどの暗号を使っているかを把握していなければ、移行の計画も立てられません。[26]

示されている対応

暗号を使っている箇所を一覧にする「クリプト・インベントリ」を作ることが、政府の中間とりまとめや金融庁の報告書で示されています。[11][26]

すべては一度に移せない優先順位の決め方

なぜ難しいか

人手や予算には限りがあり、すべてのシステムを同時には移行できません。何年も秘密にすべき情報は、HNDL攻撃によって、いまの通信の時点ですでに危険にさらされています。[11]

示されている対応

政府の方針では、特に機微な情報や長く守る必要のある情報を扱うシステムは、より早い移行も含めてシステムごとに検討するとしています。[11]

長く使われる機器がある機器の入れ替え

なぜ難しいか

ICカードや工場の制御機器、組み込み機器などは、一度設置すると何年も使われ、ソフトウェアだけでは暗号を変えられないこともあります。暗号方式の提案から社会に普及するまでに20年ほどかかったともされます。[11]

示されている対応

暗号の方式を後から入れ替えやすい設計にしておく「クリプト・アジリティ」の考え方が重視されています。カードの業界団体も、オフラインの取引での対策を検討しています。[11][42]

鍵や署名が大きくなる性能への影響

なぜ難しいか

耐量子計算機暗号の鍵や署名は、いまの暗号よりかなり大きくなります。たとえばML-KEM-768の公開鍵は1,184バイト、ML-DSA-65の署名は3,309バイトで、いま広く使われる楕円曲線暗号の数十バイトに比べて大幅に増えます。[16][17]

示されている対応

通信量や処理の負担を確かめながら、用途に合った方式や大きさを選ぶ必要があります。日本の暗号のリストでも、どの強さの方式を載せるかが検討されています。[40]

署名の移行はこれから証明書と電子署名

なぜ難しいか

ブラウザなどでは鍵の受け渡しの耐量子化が進む一方、サイトが本物かを確かめる証明書などの電子署名の移行は、まだこれからです。[20]政府の会議では、情報通信研究機構（NICT）の調査報告をもとに、利用者側に比べてサーバー側の対応が遅れていることが話し合われています。[41]

示されている対応

米国は、連邦政府の重要なシステムの署名の移行期限を2031年末としました。日本でも、電子署名の方式を暗号のリストに加える改定が検討されています。[37][40]

政府だけでは終わらない民間・重要インフラ

なぜ難しいか

電力や通信、金融などの重要インフラや民間の事業者も、同じ課題を抱えています。移行は、取引先や利用者とのあいだで足並みをそろえる必要があります。

示されている対応

サイバーセキュリティ戦略は、政府機関に限らない課題として、関係府省庁が連携して重要インフラや民間の事業者の円滑な移行を後押しするとしています。[14]

※課題は2026年11月時点に公表されている政府の資料などをもとに整理したもので、網羅的なものではありません。

INSIGHT

小林修平

チームみらい 衆議院議員

今回は「耐量子計算機暗号（PQC）」について特集記事を書きました。量子コンピューターの話題は、私たちの暮らしにはあまり関係のない、しばらく先の話に聞こえるかもしれません。けれど実は、いま私たちが毎日使っている暗号の安全に関わる問題で、いまのうちから注目しておいたほうがよいテーマです。

インターネットでの買物やカード決済、スマートフォンのメッセージも、様々な暗号化技術によって守られています。暗号を解読するためには、現実的には不可能なほど長い時間がかかることによって安全が担保されています。どれほど性能のよいコンピューターを使っても、宇宙の年齢より長くかかる。だから安心して使える。いまの暗号は、そういう前提の上に成り立っています。

ところが量子コンピューターは、その前提を崩すかもしれません。いまのコンピューターでは事実上解けない計算の一部を、短い時間で解いてしまう可能性が見えてきたのです。もしそれが現実になれば、世界中で使われている暗号の一部が意味をなさなくなります。通信や決済、行政や医療のシステムまで社会の土台が揺らぎ、世界中で大きな混乱が起きかねません。

こうした事態に備えて、世界の国々はすでに動き出しています。量子コンピューターが誕生しても破られない新しい暗号「耐量子計算機暗号（PQC）」への置き換えについて各国で議論が進んでおり、具体的な移行期限を定める国も出てきました。

日本でも、政府が2035年までの移行を目指す方針を示し、準備を一歩ずつ進めています。ただ、政府機関がいつまでに何を移すのかというロードマップは、この記事を書いている時点ではまだ示されていません。主要な諸外国と比べるとやや遅れている印象です。この課題感から、まずはこの問題を大臣や国会議員含む多くの方に知っていただきたいと考え、経済産業委員会の質疑でも取り上げてみることにしました。

暗号を破れるほどの量子コンピューターが実用化されるのは、もうしばらく先になりそうです。ただ、それを待ってから動き出すのでは間に合いません。いま送り合っているデータを集めておき将来まとめて解読する「HNDL攻撃」は、量子コンピューターが完成する前からすでに始まっているかもしれないからです。

では私たちは何から始めればよいのでしょうか。最初の一歩は、自分たちのシステムのどこでどの暗号が使われているのかを洗い出して一覧にすること。いわゆる「暗号インベントリ」の作成から取り掛かりましょう。何を守っていて、どこを入れ替えなければならないのかが分からなければ、移行の計画は立てられません。政府機関だけでなく企業や自治体など、あらゆる組織にとってこれがいま急ぐべき仕事だと考えています。

誤解のないように添えておくと、量子コンピューターは決して悪者ではありません。むしろ、私たちの未来を大きく変えるかもしれない、とても期待されている技術です。たとえば新薬の候補となる分子のふるまいの解析や、電池や触媒の新しい材料探し、物流やエネルギーの最適な組み合わせ探しなど、いまのコンピューターでは手に負えなかった問題に挑めるようになると期待されています。

だからこそ、量子コンピューターという新しい技術の恩恵を安心して受け取れるように、いまのうちからPQCへの備えを進めておくべきです。私も国会の場で、このテーマに引き続き注目していきたいと思います。

最後に編集後記です。今回の記事の執筆は正直とても難しかったです。私は量子力学や暗号化の専門家ではないので、量子の重ね合わせ、誤り耐性、QKD（量子鍵配送）……と、調べれば調べるほど知らない言葉が出てきて何度も頭を抱えました。解説のビジュアルを作っては再描画を繰り返し、どうにか現在の形に落とし込むことができました。「量子？なにそれ美味しいの？」と感じていた方に、少しでも「なるほど」と感じてもらえたらとても嬉しいです。

Webエンジニアとしては、ssh-keygen で耐量子計算機暗号の鍵がデフォルトで生成されるようになったら嬉しいですね。

今後も様々な議論やテーマを取り上げていきたいと思っております。気に入って頂けた際にはぜひSNSでシェア頂けますと幸いです。次回もお楽しみに！

免責事項
発信の主体
この解説ページは、小林修平が個人として作成し、発信するものです。所属するチームみらいの公式見解ではなく、党の政策や方針を示すものでもありません。
情報の時点
記載の内容は2026年11月12日時点で確認した情報にもとづいています。量子コンピューターの研究や各国の方針、暗号の標準は日々動いており、公開後の変化を反映していない場合があります。内容は予告なく変更、追記、削除することがあります。
正確性について
正確性と中立性に配慮して作成し、根拠とした資料は参考文献に示していますが、内容の正確さ、完全さ、最新性を保証するものではありません。量子コンピューターの実現時期や必要な規模は、研究者や機関によって見通しが大きく異なります。
図と体験について
量子ビットの波の図や暗号の図解、鍵の数え上げは、しくみを伝えるために単純にしたものです。手間の伸び方の数値は計算量の式から求めた目安で、実際の計算時間を示すものではありません。
専門的な助言ではありません
この解説は、一般的な情報の提供を目的とするもので、個別のシステムの安全性の評価や移行についての助言ではありません。具体的な対応は、専門家や関係機関の資料をご確認ください。
外部サイトについて
参考文献のリンク先は、作成者が管理していない外部のサイトです。リンク先の内容について責任を負うものではなく、リンク先は変更、移転、削除されることがあります。
責任の範囲
この解説の内容を利用したこと、または利用できなかったことによって生じたいかなる損害についても、作成者は責任を負いません。最終的な判断は、参考文献に挙げた原典などをご自身でご確認のうえ行ってください。
参考文献42件
  1. 一家に1枚 量子と量子技術〜量子コンピュータまでの100年！〜（文部科学省、2025年4月、理化学研究所 Q-Portal 掲載）
  2. L. K. Grover, A fast quantum mechanical algorithm for database search（ACM STOC、1996年）
  3. P. W. Shor, Algorithms for Quantum Computation: Discrete Logarithms and Factoring（IEEE FOCS、1994年）
  4. HTTPS by default（Google、2025年10月28日）
  5. RFC 9846: The Transport Layer Security (TLS) Protocol Version 1.3（IETF、2026年7月）
  6. EMV® Chip Specifications To Support Elliptic Curve Cryptography（EMVCo、2021年10月）
  7. Quantum Resistance and the Signal Protocol（Signal、2023年9月19日）
  8. Post-Quantum Cryptography FAQs（米国国立標準技術研究所 NIST）
  9. F. Boudot ほか, Factorization of RSA-250（2020年2月28日）
  10. C. Gidney, How to factor 2048 bit RSA integers with less than a million noisy qubits（arXiv、2025年5月）
  11. 政府機関等における耐量子計算機暗号（PQC）への移行について（中間とりまとめ）（内閣官房、2025年11月）
  12. NIST Announces First Four Quantum-Resistant Cryptographic Algorithms（NIST、2022年7月5日）
  13. NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption（NIST、2025年3月11日）
  14. サイバーセキュリティ戦略（2025年12月23日閣議決定）
  15. A new path for Kyber on the web（Google Security Blog、2024年9月13日）
  16. FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard（NIST、2024年8月13日）
  17. FIPS 204: Module-Lattice-Based Digital Signature Standard（NIST、2024年8月13日）
  18. FIPS 205: Stateless Hash-Based Digital Signature Standard（NIST、2024年8月13日）
  19. NIST IR 8547: Transition to Post-Quantum Cryptography Standards（NIST、2026年10月27日）
  20. Cloudflare targets 2029 for full post-quantum security（Cloudflare、2026年4月7日）
  21. iMessage with PQ3: The new state of the art in quantum-secure messaging at scale（Apple、2024年2月21日）
  22. Announcing Request for Nominations for Public-Key Post-Quantum Cryptographic Algorithms（NIST、2016年12月20日）
  23. NIST IR 8240: Status Report on the First Round of the NIST Post-Quantum Cryptography Standardization Process（NIST、2019年1月）
  24. NIST Releases First 3 Finalized Post-Quantum Encryption Standards（NIST、2024年8月13日）
  25. NIST IR 8610: Status Report on the Second Round of the Additional Digital Signature Schemes for the NIST Post-Quantum Cryptography Standardization Process（NIST、2026年5月14日）
  26. 預金取扱金融機関の耐量子計算機暗号への対応に関する検討会 報告書（金融庁、2024年11月26日）
  27. CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版（CRYPTREC、2025年3月）
  28. Quantum Threat Timeline Report 2025（Global Risk Institute・evolutionQ）
  29. C. Gidney, M. Ekerå, How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits（arXiv、2019年）
  30. R. Babbush ほか, Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations（arXiv、2026年3月）
  31. 世界最大級の256量子ビットの超伝導量子コンピュータを開発（富士通・理化学研究所、2025年4月22日）
  32. IBM Quantum roadmap to 2033 — IBM Quantum Condor（IBM、2023年12月4日）
  33. National Security Memorandum on Promoting United States Leadership in Quantum Computing While Mitigating Risks to Vulnerable Cryptographic Systems（米国、2022年5月4日）
  34. Timelines for migration to post-quantum cryptography（英国 国家サイバーセキュリティセンター、2025年3月20日）
  35. A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography（EU加盟国・欧州委員会、2025年6月）
  36. G7サイバー・エキスパート・グループによる金融セクターにおける耐量子計算機暗号への移行に向けた協調的なロードマップの推進に関するステートメントの公表について（金融庁、2026年1月15日）
  37. Executive Order 14412: Securing the Nation Against Advanced Cryptographic Attacks（米国大統領令、2026年6月22日）
  38. 政府機関等における耐量子計算機暗号（PQC）利用に関する関係府省庁連絡会議の開催について（内閣官房、2025年6月30日）
  39. 電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）（デジタル庁・総務省・経済産業省、2026年3月30日最終更新）
  40. 「電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）」の改定（PQC対応）に対する意見募集（総務省・デジタル庁・経済産業省、2026年10月27日）
  41. 政府機関等における耐量子計算機暗号（PQC）利用に関する関係府省庁連絡会議 幹事会（第5回）議事要旨（内閣官房、2026年3月30日）
  42. Quantum Computing and EMV® Chip – What's the Threat?（EMVCo、2025年6月3日）

※各資料の内容は2026年11月時点で確認したものです。

解説の一覧へ戻る