GAO監査、CFO法対象の全24連邦機関が耐量子暗号移行に未準備であることを指摘

2026年10月7日・2分で読めます

米国政府説明責任局（GAO）は、公開監査報告書（GAO-27-108740）を公表し、CFO法対象の全24連邦機関における耐量子暗号（PQC）への準備状況を評価しました。調査結果によると、審査対象となった24機関のうち、未分類の連邦ITシステムを将来の量子復号脅威から保護するために行政管理予算局（OMB）が要求する中核的な準備実践を完全に実施している機関はゼロでした。

この公開報告書は、2025年9月に発行された機密監査の非機密版です。過去1年間、GAOは国家サイバー局長室（ONCD）と協力し、機密の運用詳細を編集しながらも、構造的な政策評価は維持しました。監査は、量子脆弱な暗号資産の優先順位付きインベントリの確立、複数年にわたる移行資金評価の策定、機関環境内での運用PQCアルゴリズムテストの実施という3つの必須実践の柱に対する各機関の進捗を測定しています。

[GAO連邦機関PQC準備監査指標（GAO-27-108740）]
評価の柱	特定された機関の欠陥と運用上のギャップ	体系的な根本原因
• 暗号資産インベントリ	• 24機関中23機関が暗号インベントリを維持する文書化されたプロセスを欠いている• 24機関中19機関が自動検出ツールを使用していない	• 高価値資産（HVA）、公開鍵基盤（PKI）システム、2035年以降も機密性が高いデータの除外；対称アルゴリズムを量子脆弱と誤分類
• 移行資金評価	• 24機関中21機関が不完全なコスト予測を提出• 3機関が資金データを提出せず	• PQC統合商用製品のベンダー見積もりの欠如；未精緻なベースライン予測への依存
• 運用PQCテスト	• 24機関中23機関が運用PQCソフトウェアまたはハードウェアテストを実施していない	• 24機関中18機関が内部技術暗号専門知識の深刻な不足を報告し、文書化された人材育成計画を欠いている

直ちに対応すべき主な動機は「今収穫、後で復号」戦術の脅威です。これは、中国などの敵対国家が現在の暗号化トラフィックをボーダーゲートウェイプロトコル（BGP）再ルーティングや海底ケーブル傍受によって取得し、暗号学的に重要な量子コンピュータ（CRQC）が登場した際に復号するというものです。GAOが引用する調査データによると、量子専門家の過半数がCRQCが早ければ2030年代に登場する可能性があると予測しています。OMBの政府全体の概算では、優先システムの移行とアップグレード不可能なレガシーインフラの交換に71億ドルが必要とされていますが、各機関は深刻な技術人材不足に直面し続けており、標準化された暗号部品表（CBOM）自動化ツールも不足しているため、重要な連邦データが将来の量子攻撃にさらされたままとなっています。

この監査は、連邦政府全体の重要な執行期限と整合しており、国家安全保障システム政策委員会（CNSSP）15が含まれます。これは、2027年からすべての新しい商用国家安全保障システムにPQCサポートを義務付け、2030年までにレガシー非準拠ハードウェアの完全な段階的廃止を要求しています。機密報告書の基礎となる部分で、GAOは23機関に対して89件の的を絞った勧告を発行し、自動化されたCBOMインベントリの実施と専用の移行予算の確立を求めています。

完全な公開報告書はGAO公式ポータルこちらで確認でき、ExecutiveGovの幹部要約はこちらで確認できます。

GQIポータル

QCRのライターチームは、量子産業の検証済みデータベースであるGQIファクトリーで、すべての企業、取引、技術を追跡しています。次は、すべての記事を関連するプレーヤーにリンクして、QCRの有料プランで提供します。

プレーヤー→量子産業全体の企業と機関をセグメント別に掲載。
スコアカード→ハードウェア、ソフトウェア、資金調達などでプレーヤーを比較。

ニュースレター

Quantum Computing Reportからの最新レポートと分析。無料で、いつでも購読解除できます。

すべてのフィールドは必須です。あなたのメールアドレスは公開されません。

名前

メール

関連記事