Post-Quantum Cryptography Migration Readiness in Global Capability Centres: A Governance Framework for Enterprise Transition

技術要約：グローバル・ケイパビリティ・センターにおける耐量子計算機暗号移行への準備態勢

問題提起
NIST（米国国立標準技術研究所）による耐量子計算機暗号（PQC）標準（FIPS 203, 204, 205）の最終決定は、極めて重要な暗号移行を開始させた。しかし、企業の採用状況は依然として低く、グローバル・ケイパビリティ・センター（GCC）にとって重大な脆弱性を生み出している。GCCは、複数の規制管轄区域にわたって機密性の高いクロスボーダー・データを処理する、オフショアの戦略的拠点である。これらは、以下の特性を持つ特有の「ガバナンス欠如」に直面している：

• クロスボーダーの依存関係： ある管轄区域で暗号化されたデータが、別の管轄区域へ送信される。
• ガバナンスの非対称性： 移行戦略は本社で策定されるが、異なる規制制約下にあるGCCチームによって実行される。
• 規制の重複： インドのGCC単体でも、500を超える個別の法的義務をナビゲートしなければならない。
• 集中的なリスク： サイバーセキュリティ提供ハブ（SOCやサイバー・フュージョン・センター）として機能しているため、GCCにおける暗号学的失敗は、グローバルなセキュリティ体制を危うくする。

既存のフレームワークは、アルゴリズムのパフォーマンス依存性、クロス管轄区域間のコンプライアンス、および親会社と子会社の整合性の交差点を扱うことができていない。さらに、「今、収集し、後で解読する（Harvest Now, Decrypt Later: HNDL）」という脅威モデルは、現在の標準の下で保護されているデータがすでにリスクにさらされていることを示唆しており、「モスカの不等式」（移行に要する時間が、実用的な量子コンピュータが存在するまでの時間を超えること）に抵触している。

手法
本研究は、以下の2つの主要な構成要素からなる文献ベースの質的研究デザインを採用している：

1. 統合的文献レビュー（ILR）： 2018年以降の72のソース（38の査読付き論文、18の標準規格、16の業界レポート）を体系的に収集・合成した。ソースは、Scopus、IEEE Xplore、ACM Digital Library、Web of Science、および規制機関（NIST、NSA、CISAなど）から抽出された。
2. 主題分析（Thematic Analysis）： ブラウンとクラークの6段階プロトコルに従い、データを4つのドメイン（PQC移行の課題、ガバナンス・メカニズム、GCCの特性、パフォーマンス依存性）にコーディングし、147の初期コードを特定した。これらを5つの明確なガバナンス・テーマへと合成した。

本研究は、PQCガバナンス研究の断片的な性質に対処するため、実地でのテストを明示的に避け、既存文献の概念的な統合に依拠している。

主な貢献
本論文は、PQC移行のナラティブを、純粋な技術的移行からエンタープライズ・ガバナンスの課題へとシフトさせることで、サイバーセキュリティ・ガバナンス研究を前進させるものである。主な貢献は以下の通りである：

1. 5つのガバナンス・テーマの特定： 72のソースの主題分析から導出。
2. PQC-GCCガバナンス・フレームワーク（PGGF）の開発： 分散型かつマルチ管轄区域型のGCC環境向けに特別に設計された、新しい5レイヤー × 6フェーズ・モデル。
3. パフォーマンス証拠の統合： 本フレームワークは、測定可能な運用的結果を伴うガバナンス上の決定として、アルゴリズム選択に経験的なマルチレイヤー・パフォーマンス・データを独自に組み込んでいる。
4. 分析的評価： 既存のモデル、設計原則、およびNIST CSF 2.0のカバー率に対するフレームワークの評価。

結果およびフレームワークのアーキテクチャ
本研究は、特定された5つのテーマをPGGFへと合成している。PGGFは以下で構成される：

• 5つのガバナンス・レイヤー：

  • レイヤー1（戦略的ガバナンス）： 取締役会レベルの量子リスク、親会社とGCCの整合性、および「対応時間（Time-to-React）」KPIに対処する。
  • レイヤー2（暗号資産ガバナンス）： 暗号構成要素表（CBOM）、モスカのリスク分類、およびクロスボーダーのHNDL評価に焦力する。
  • レイヤー3（技術的移行ガバナンス）： パフォーマンスに基づいたアルゴリズム選択を統合する。決定的なのは、アルゴリズムのランキングがプロトコル層によって変化することである（例：ML-KEM/ML-DSAはプリミティブレベルではx86上で高速に動作するが、ARMアーキテクチャではTLS/VPNレベルでのエンドツーエンド遅延が低くなる。HQCは最大100倍の実行時間を要する）。
  • レイヤー4（コンプライアンス・ガバナンス）： 米国（CNSA 2.0）、EU（NIS2/DORA）、英国（NCSC）、およびインド（DPDP法 2023）の規制要件をマッピングする。
  • レイヤー5（タレント・ガバナンス）： PQCセンター・オブ・エクセレンス（CoE）の確立、知識移転、および量子脅威に関するコミュニケーションを確立する。

• 6つの移行フェーズ：

  1. 開始（Initiate）： エグゼクティブ・スポンサーシップとリスク評価。
  2. 発見（Discover）： CBOMの作成とHNDLの評価。
  3. 戦略策定（Strategize）： パフォーマンスに基づいたアルゴリズム選択。
  4. 試行（Pilot）： マルチレイヤーの概念実証（PoC）ベンチマーキング。
  5. 移行（Migrate）： 段階的なロールアウト。
  6. 維持（Sustain）： 継続的なクリプト・アジリティ（暗号の機敏性）の維持。

評価および意義の主張
本論文は、PGGFが以下の8つの重要な基準を満たす唯一のフレームワークであることを主張している：PQCの網羅性、GCCへの特異性、マルチ管轄区域サポート、クリプト・アジリティ、成熟度モデリング、パフォーマンス認識、ハードウェア認識、および段階的進行。

• NIST CSF 2.0との整合性： 本フレームワークは、NIST CSF 2.0のすべての機能（Govern, Identify, Protect, Detect, Respond, Recover）を完全にカバーしている。
• 設計原則： レイヤード抽象化、エビデンスに基づく根拠、およびコンテキスト感受性を含む6つの原則を遵守している。

中心的な知見
本研究は、分散型エンタープライズ環境におけるPQC移行の主要な障壁は、技術的能力ではなく、ガバナンスの準備態勢であると結論付けている。PGGFは、理論的な暗号学的進歩とエンジニアリングの実現可能性の間の溝を埋めるために必要なアーキテクチャを提供するものである。

限界と今後の課題
著者らは、これが文献由来のフレームワークであり、実地調査に基づく研究ではないことを認めている。知見はインタビューやケーススタディではなく、公開された情報源に基づいている。また、インドのGCCに地理的な焦点が置かれているため、汎用性が制限される可能性がある。今後の課題として、専門家パネルによる評価、2〜3のGCCを対象としたパイロット・ケーススタディ、およびBFSI（金融・銀行・保険・金融サービス）やヘルスケア分野へのセクター別適応が提案されている。