暗号の引っ越しはいつまで？ NISTの最終版と「猫量子ビット」の見積もりを読む
量子コンピュータのニュースで「暗号を解くのに必要な量子ビットが減った」と聞くと、銀行の取引やメールの内容は大丈夫なのかと気になります。今回の本題は、米国立標準技術研究所（NIST）が示した、暗号を切り替えるための道筋です。そこに、猫量子ビットを使う研究者たちの見積もりを添えて読みます。
移行の目標年は、量子コンピュータが暗号を解けるようになる時期を予測したものではありません。また、研究論文に計算時間が書かれていても、その計算時間で動く装置がすでに完成したという意味ではありません。まず、この二つを分けておきましょう。
1．NISTがまとめた「暗号を切り替える道筋」
NISTは2026年10月27日、報告書「Transition to Post-Quantum Cryptography Standards」（NIST IR 8547）の最終版を公表しました。量子コンピュータによる攻撃に弱い暗号方式から、耐量子暗号へ移る方針や時期、移行で考慮する事柄をまとめています。2024年11月に案（ドラフト）が出され、今回が正式な最終版です。NISTの最終版の案内ページと履歴で確認できます。
耐量子暗号は、将来の量子コンピュータによる攻撃にも耐えられるよう設計された暗号です。利用者が量子コンピュータを買って使う、という話ではありません。量子計算そのものの基礎は、普通のパソコンとの違いで整理しています。
今回の文書は、暗号の名前だけを入れ替える説明でもありません。通信の仕組み、ソフト、機器、サービスなどが関係するため、組織ごとに移行の手間が違います。取引先の製品や、長く使ってきたシステムとのつながりも考える必要があります。
2．目標年と「非推奨・使用不可」を分ける
まず、次の段落に出てくる2030年末・2031年末・2035年は、米国の連邦政府のシステムについての移行目標・要件です。日本を含むすべての人や会社に、一律に適用される期限という意味ではありません。
連邦政府全体の移行完了の主な目標は2035年。一方、重要な資産や、被害の影響が大きいシステムには前倒しの期限があり、鍵を決める仕組みは2030年末まで、電子署名は2031年末までに、耐量子暗号へ移るよう求められています。特に機密性の高いデータを扱うほかのシステムにも、同じ優先順位が求められます。これは報告書本文13ページと、NISTの解説記事で確認できます。
これとは別に、NISTの標準・指針で、従来の暗号方式をどう扱うかという時期があります。このあと出てくる「安全性の強さ」は、今のコンピュータで破るのにどれくらいの手間がかかるかの目安で、数字が大きいほど破りにくいことを示します。
最終版の表2（本文15ページ）は、電子署名に使うRSAとECDSAについて、従来のコンピュータに対する安全性の強さが112ビット以上のもの、EdDSAは128ビット以上のものの区分を掲載しています。いずれも「2030年を過ぎた後に非推奨」「2035年を過ぎた後に使用不可」という記載です。上の連邦政府の期限と同じ数字ですが、意味は違います。こちらは、NISTの標準・指針の中で、その方式をどう扱うかの区切りです。この安全性の数字は、RSA-2048の鍵の長さや量子ビット数とは別の物差しです。
鍵を決める仕組みについても、表4の後の説明（本文17ページ）で、量子コンピュータによる攻撃に弱い従来の方式を、NISTの標準・指針では「2030年を過ぎた後に非推奨」「2035年を過ぎた後に使用不可」とすると述べています。ただし、「いま集めて、後で解く」心配への対策として、用途ごとの指針で、それより早い切り替えを求めたり勧めたりすることがある、とも書かれています。
非推奨は、リスクを調べたうえで利用を続けるか判断する段階。使用不可は、示された用途に使うことが認められなくなる段階です。ここでの使用不可はNISTの標準・指針上の扱いであり、世界のサービスがその日に一斉停止するという意味ではありません。非推奨になってから使用不可になるまでの移行期間は、リスクの低いシステムや、古い仕組みを抱える用途に配慮したものです。この期間があっても、重要な連邦政府システムに求められる前倒しの期限が延びるわけではありません。
3．なぜ、装置が完成する前に備えるのか
NISTが理由の一つに挙げるのは、「いま集めて、後で解く」という心配です。いまは読めない暗号化データでも、攻撃者が保存しておき、将来、十分な能力の量子コンピュータを使えるようになったら解読を試みるかもしれません。
長く秘密を守る必要があるデータでは、現在の安全性だけでは判断できないわけです。NISTは、こうしたデータについて、鍵を決める仕組みの耐量子標準であるFIPS 203への移行を優先する考え方を示しています。
じいじのやわらか解説：たとえるなら、今は開けられない箱を誰かが持ち去り、将来の道具で開けようとする心配です。あとから手元の箱の鍵を替えても、持ち去られた箱まで替えられるとは限りません。「いつ解けるか」だけでなく、「いつまで中身を守りたいか」も考えると、移行を急ぐ理由が見えてきます。これは仕組みを考えるためのたとえです。
耐量子暗号に取り組む会社の例は、SEALSQと量子安全の記事でも扱っています。この記事は特定の銘柄の売買を勧めるものではありません。
4．約2万3千個で3.14日――査読前の見積もり
移行の背景を考える材料として、Alice & Bobの研究者らによる論文があります。暗号の研究者が論文を公開する場所（IACR ePrint）に、2026年10月28日に掲載されました。著者10人のうち9人にAlice & Bobの所属があり、掲載情報は、査読前の論文を示す「Preprint」です。査読とは、ほかの専門家が論文を審査すること。ここでは査読済みの成果として扱わず、査読前の見積もりとして読みます。
論文が示したのは、RSA-2048の素因数分解に必要な資源の見積もりです。猫量子ビットという方式を使い、約2万3千個で3.14日と計算しています。題名の個数は22,593個です。論文の数字は、実際の装置で暗号を解いた実績ではありません。
前提は、誤り訂正の1周期が100万分の1秒、反応時間が10万分の1秒、位相の誤りの確率が1万回に5回、ビット反転の誤りはないものとする、という仮定です。ビット反転が起こるまでの時間が約1時間でもよい、という条件に緩める場合は、ビット反転に対する誤り訂正をもう一段重ねる見積もりとなり、必要な個数は約4万5千個になります。小さな個数だけを切り出さず、こうした条件と一緒に読む必要があります。論文の概要・著者欄・履歴が根拠です。
猫量子ビットは、量子ビットに起こる誤りのうち「ビット反転」を、装置のつくりで起こりにくくする方式だと会社は説明しています。そのぶん、誤り訂正では主に「位相の誤り」に対処する、という考え方です。誤り訂正そのものが不要になるわけではありません。基本の仕組みは、量子エラー訂正の解説をご覧ください。
なお、Alice & Bobには、この論文を紹介した2026年10月29日付の公式発表もあります。会社による紹介と、論文が査読済みかどうかは別のことです。本記事では、過去の見積もりに比べて何分の1か、実用装置が何年にできるかまでは結論にしません。
5．じいじの考えと、今回出た言葉
じいじが今回の二つの資料から受け取ったのは、暗号の引っ越しには、研究の進展を待つだけでは足りないということです。必要な資源の見積もりが変われば、準備の判断材料も変わります。ただし、見積もりが小さくなったことを、装置の完成や、目の前のサービスの危険度にそのまま置き換えることはできません。
ニュースを読むときには、「誰の移行目標か」「どの用途か」「見積もりの前提は何か」の三つを確かめたいと思います。個人が今日何かを交換すべきだと、この論文だけから決めることはできません。
今回出た言葉
耐量子暗号（PQC）：量子コンピュータによる攻撃への耐性を目指す暗号。
鍵を決める仕組み（鍵確立）：通信相手と暗号に使う鍵を決める仕組み。
電子署名：文書などの作成者や、内容が改ざんされていないことを確かめる仕組み。
RSA-2048：RSA方式のうち鍵の長さが2048ビットのもの。
資源見積もり：ある計算に必要な量子ビット数や時間を、条件を置いて算出すること。
非推奨：リスクを調べたうえで、使い続けるか判断する段階。
使用不可：示された用途に使うことが認められなくなる段階。
猫量子ビット：ビット反転の誤りを起こりにくくする量子ビットの方式。
査読：ほかの専門家が論文を審査すること。
6．出典と確認範囲
確認日：2026年11月5日。NISTの案内ページ、ニュース記事、最終版PDFの原文テキストを照合しました。政府システムの期限は本文13ページ、用語は14ページ、電子署名の扱いは表2・15ページ（PDFの22ページ目）に基づきます。表4は抽出文の一部で方式名と行の対応を十分に確認できず、個別の行は紹介していません。鍵を決める仕組みの従来方式の時期は、表4の後の本文17ページ（PDFの24ページ目）に基づきます。PDFの表の画像表示と、2024年の案からの全変更点は確認していません。
論文は掲載ページの概要・著者欄・履歴を確認しました。位相の誤りの確率の原表記は p_Z = 5 × 10⁻⁴ です。論文本文の全計算を再現・検証したものではなく、実機による暗号解読も試していません。会社の公式発表は存在と説明を確認しましたが、比較倍率や実用化時期の見通しは本記事の結論に採用していません。