Cost of Delay for Post-Quantum Migration: Putting Classical and Harvest-Now-Decrypt-Later Risk on One Ordered List

技術要約：ポスト量子移行における遅延コスト（Cost of Delay）

問題提起
組織は、セキュリティ業務の優先順位付けにおいて、極めて重要な意思決定のギャップに直面している。すなわち、資産をポスト量子暗号（PQC）へ移行することと、蓄積された古典的なセキュリティ上の脆弱性への対処との間で、どちらを優先すべきかという選択である。現在、これら2つの脅威には共通の測定単位が存在しない。古典的なリスクは通常、年間の期待損失額（通貨／年）として定量化されるが、既存の量子関連スコアリングモデル（例：QARS）は無次元の量子専用メトリクスである。その結果、意思決定者は、特定のPQC移行が古典的な脆弱性の修正よりも緊急であるかどうかを原理的に判断する方法や、単一のリソース制約下にあるバックログ内でこれらのタスクをどのように順序付けるべきかを判断する手段を持たない。さらに、既存のモデルは「競合リスク」の性質を考慮できていない場合が多い。つまり、量子コンピュータが登場する前に古典的な侵害が発生する可能性があり、その場合、リスクの二重計上や、先送りによる緊急性の誤認を招く恐れがある。

手法
本論文は、古典的リスクと「今収穫して後で解読する（Harvest-Now-Decrypt-Later: HNDL）」リスクの両方を、同一の単位である「通貨／年（$/year）」で表現する、統一された**遅延コスト（Cost of Delay: CoD）**フレームワークを提案する。

1. 数学的定式化:

   • 古典項 ($Co_c$): 年間損失期待値 ($\lambda V$) として定義される。ここで $\lambda$ は古典的な漏洩ハザード率、$V$ は資産価値である。
   • 量子項 ($Co_q$): 移行の延期によって不可逆的なHNDL損失が確定する割合として定義される。これは $r \cdot h \cdot I(\kappa, L)$ として計算される。
     • $r$ は年間ターンオーバー（年間の新規流入価値）である。
     • $h$ は攻撃者が記録可能なトラフィックの割合である。
     • $L$ は必要な機密保持期間である。
     • $I(\kappa, L)$ は、資産の耐用年数内、かつ古典的な侵害が発生する前に、暗号解読可能な量子コンピュータ（CRQC）が到来する確率を表す積分である。
   • 結合（Coupling）: モデルは、古典的なハザード（$\lambda$）とCRQCの到着時刻（$T_q$）が独立な確率変数であるという競合リスクの枠組みを使用する。量子項は、データが既に古典的に漏洩していない確率によってゲート（制御）されており、これにより二重計上を防いでいる。
   • CRQC到着則: モデルは、専門家の調査アンカー（2025年量子脅威タイムラインレポート）にワイブル分布を適合させ、CRQC到着の確率密度を推定することで、楽観的および悲観的なシナリオの両方を作成する。

2. 検証と分析:

   • 数学的証明: 単位不変性、結合の非加法性、および支配閾値の存在を含む、モデルの特性に関する12の命題を証明する。
   • 数値的検証: 実装は、モンテカルロ・シミュレーション、適応型求積法、および独立したJavaScript実装によって検証されている。
   • ケーススタディ: 本手法を4つの公開システム（MOSIP、Apache Fineract、OpenMRS、およびデモ用のウェブショップ）に適用し、公開文書から導出されたパラメータを使用している。
   • 統計的分析: 入力の不確実性は、摂動（オーディナルバンドからのパラメータの再描画）を通じて伝播され、ランキングの安定性を評価する。分散分解（Sobol' 指数）により、不確実性の要因を特定する。

主な貢献

1. 統一された通貨: 古典的リスクと量子リスクの両方を、単一の遅延コスト（通貨／年）として表現する定式化を提供し、恣意的な重み付けや正規化定数の必要性を排除した。
2. 競合リスクの結合: 量子項を古典的ハザードと結合することで、二重計上を排除することを数学的に証明した。本論文は、結果として得られるメトリクスが、個別の古典的スコアと量子スコアの加重和にはならないことを証明している。
3. 支配閾値 ($\lambda^*$): 古典的ハザード率に関する特定の閾値の導出。この閾値を下回る場合、資産の金銭的価値に関わらず、量子項が総遅延コストを支配する。これにより、PQC移行が特異的に緊急となる資産クラス（低古典ハザード、長い耐用年数、記録可能、高いターンオーバー）を特定できる。
4. スケジューリングの最適性: 定常的な損失率の下での作業の順序付けにおいて、この統一された遅延コストによって資産をランク付けすることが最適であることを、Smithの法則を用いて証明する。本論文は、古典的な作業と量子的な作業を別々のキューとして保持することによる「代償」を定量化している。
5. 実証的検証: 4つのシステムに対する厳密な統計分析を行い、長寿命の資産については、量子項が優先順位を決定的に変更することを示す一方で、中寿命のシステムでは、その再順序付けが入力ノイズ（分析者の意見の相違）による影響よりも小さくなることが多いことを示している。

結果

• 再順序付けの影響: MOSIP（国家識別システム）のケーススタディにおいて、量子項を含めることで、「登録パケット」の順位が古典的のみのランキングにおける第6位から第1位へと上昇した。4,000回の摂動シミュレーションのうち55%において、この資産はトップ2に留まったが、古典的のみのランキングでは一度もトップ2に入らなかった。
• 信号対雑音比（S/N比）: MOSIPにおいて、量子項は入力の不確実性よりも頻繁に資産のペアを再順序付けした（信号対雑音比は1.36）。Fineract、OpenMRS、Boutiqueなどの他のシステムでは、再順序付けは分析者の判断によるノイズよりも小さかった。
• 分散要因: 感度分析により、資産価値 ($V$) と年間ターンオーバー ($\tau$) が量子項の不確定性の73〜91%を説明することが明らかになった。CRQCの具体的な到着日は、特に資産の耐用年数が30年を超える場合（到着確率が飽和している場合）、分散の3〜17%しか説明しなかった。
• スケジューリング効率: シミュレーションの結果、統一された遅延コストによってランク付けされた単一のバックログは、動的計画法から得られる厳密な最適解の5〜10%以内に収まった。一方、古典的なキューと量子的なキューを別々に維持すると、コミットされた損失が27〜150%増加する。
• QARSとの比較: 統一されたCoDモデルは、QARS（Quantum-Adjusted Risk Score）とは異なるランキングを生成した。これは、QARSが古典的ハザードを考慮せず、価値を連続的な通貨ではなく離散的なバンドとして扱うためである。

意義と主張
本論文は、新しい数学的理論や検証された経験的結果を提供するのではなく、新しい優先順位付け手法の構築と検証を行うことを控えめに主張している。

• 実用的有用性: PQC移行を、問題を隔離することなく、既存のリスクレジスタに統合するための原理的な方法を提供する。また、量子脅威が優先順位を変更する場所（長寿命、静穏、記録可能なデータ）と、変更しない場所を明確に特定している。
• 意思決定支援: 単一の「較正されたスコア」を算出するのではなく、仮定（例：CRRC到着日、割引率）の下でランキングがどのように変化するかを報告することで、意思決定者に不確実性の境界を示している。
• 限界: 著者は、パラメータは公開文書から仮定されたものであり、実務家から聞き取ったものではないこと、また結果は例示的であることを明記している。モデルは機密性が主要なリスクであることを前提としており（完全性・可用性は無視）、古典的な攻撃者と量子の攻撃者が独立していることを前提としている。また、到着則は2つのデータポイントを補間したものであり、15年を超えて外挿されている。
• 結論: 量子項は、特定の種類の長寿命データに対してのみ、優先順位を決定的に変える。ほとんどの中寿命システムについては、量子項はリスクの「大きさ」を変えることはあるが、入力の不確実性というノイズを超えて順位を入れ替えるまでには至らない。主要な価値は、異質な脅威を単一の経済的根拠に基づいたタイムライン上で比較できる能力にある。