eMudhraが、グローバルなSSL/TLS証明書ビジネスから撤退すると発表しました。証明書の世界では珍しいニュースではありませんが、今回は単なる事業見直しというより、最近起きたSSL/TLS関連の出来事をきっかけに、会社がどこに資源を振り向けるべきかをはっきりさせた判断だと読めます。しかも、対象は同社の事業全体から見ればごく一部にすぎない一方で、外からの注目は大きくなりすぎていたようです。セキュリティ事業では、技術的な損失よりも、信頼の毀損が経営判断を左右することがある。その典型に見えます。
eMudhra Limitedは2026年10月22日、取締役会がグローバルなSSL/TLS certificate businessから自主的に撤退することを決めたと発表しました。発表文の主題は「SSL/TLSをやめる」ことですが、背景として説明されているのは、最近起きた自社のグローバルSSL/TLS certificateに関するインシデントです。会長のV. Srinivasan氏によると、同社はこの件を慎重に扱い、発見から14時間以内に影響を受けたCAを失効させ、速やかに開示したとしています。さらに、影響を受けたCAからend entity certificatesは発行されておらず、インフラ侵害もデータ漏えいもなく、物理的・論理的なセキュリティ管理も維持されていたと説明しました。
そのうえで同社は、グローバルSSL/TLSはeMudhra全体の売上の約1%を占める小さな事業にすぎないとしています。一方で、data sovereigntyやcomplianceの要求は年々厳しくなり、運用の複雑さとコストは増え続けている。しかも、巨大な事業者の中にはSSL/TLSを無料で提供するところもあり、eMudhraにとってこの分野の収益性や投資対効果は、会社全体の売上規模と比べるとかなり低下しているという見方です。そこに、SNS上での拡散が事業規模に対して過剰な scrutiny を呼び込んだ。取締役会はその点も踏まえ、グローバルSSL/TLSから撤退するのが会社と株主にとって正しいと判断したわけです。
ただし、撤退といっても顧客への切り替えをすぐに切る話ではありません。発表では、G1 RSA roots は移行が完了するまで引き続き顧客を支え、browser programs や顧客と連携して移行を進めるとしています。影響を受ける顧客には、パートナー経由で無料の証明書置き換えを行うとも述べています。本文は途中で切れていますが、revocation や certificate status service に触れており、証明書の有効性確認や失効情報の扱いも、移行の一部として整える意図があると読めます。要するに、当面は混乱を抑えながら、SSL/TLSからは静かに身を引く構えです。
この発表でいちばん面白いのは、撤退理由が「技術的に維持できないから」ではなく、「やる意味が薄くなったから」とかなり経営寄りに整理されていることです。しかもeMudhra自身が、SSL/TLSは売上の約1%にすぎないと明言している。ここまで小さいなら、攻め続けるより畳むほうが合理的だ、という判断はたしかに成り立ちます。セキュリティ事業は一見すると規模の大小では測れませんが、実際には監査、更新、ブラウザ対応、失効対応、各国の規制への追従など、固定費が積み上がりやすい。収益が薄いまま義務だけ増えるなら、撤退は自然です。
ただ、私はこの件を「1%の事業を切った」とだけ見るのは少しもったいないと思います。重要なのは、グローバルSSL/TLSという市場そのものが、昔ほど魅力的ではなくなっている点です。無料証明書の存在は、単に価格競争を起こすだけではありません。証明書を売ること自体の価値を市場に問うてしまう。そこへ各国のdata sovereigntyやcomplianceが重なると、グローバルに一律で運営する強みがむしろ弱点になる。eMudhraの判断は、その構造変化をかなり率直に認めたものだと見ています。
もう一つ引っかかるのは、同社が「インフラは侵害されていない」「データ漏えいもない」と強調しているのに、結果として撤退を選んでいることです。普通なら、被害が限定的なら立て直しに向かいそうです。それでも手を引くのは、SSL/TLSビジネスでは技術的な無傷さより、外部からの見え方のほうが重いからでしょう。証明書は、発行した瞬間に終わりではなく、ブラウザ、利用企業、監査、失効情報、周辺の信頼連鎖まで巻き込んで機能します。だから一度「怪しい」という印象が広がると、実害の有無とは別に、営業や更新のたびに尾を引く。
ここでSNS上のamplificationを問題にしているのも象徴的です。SNSは誤解を拡散するだけの場ではありませんが、セキュリティ事故では、技術的な説明が追いつく前に評価が固まってしまうことがある。今回の発表は、その現実をかなり冷徹に受け止めた結果に見えます。つまり、eMudhraは「証明書の安全性を証明する」より、「証明書事業に付きまとう説明コストが高すぎる」と判断したのではないか、と思います。信頼を売る商売では、正しさだけでは足りないのです。
発表の中で実務的に重要なのは、撤退を決めても顧客の証明書をすぐ止めない点です。G1 RSA roots は移行完了まで使い続け、影響を受ける顧客にはパートナーから無料で代替証明書を提供するとしています。これは、撤退時の典型的な地雷をかなり意識した設計です。SSL/TLS証明書は、Webサイトやサービスの可用性に直結します。移行が雑だと、HTTPS警告が出たり、証明書更新の失敗でサービス停止につながったりする。だから、会社が事業から離れるときほど、顧客側の運用を守る必要がある。
一方で、この対応はかなり「守り」です。無料で差し替えを出すのは短期的には顧客離脱を抑えるためですが、長期的にはeMudhraがこの市場で勝負し続ける気がないことも示します。撤退すると言い切りながら、browser programs との調整や顧客移行を丁寧にやるのは、信頼産業として当然です。ただ、そこに手間をかけるくらいなら、最初から主力事業に集中したほうがいいという判断にもつながる。見方を変えれば、今回の発表は「失敗のリカバリー」でもあり、「事業ポートフォリオの整理」でもあるわけです。
eMudhraは、自社を「SSL/TLSだけの会社ではない」と強く位置づけています。発表でも、より広いdigital solutions portfolioに触れ、これからはcore enterprise solutions と、SSL/TLS以外のtrust services に力を注ぐとしています。ここはかなり大事です。証明書ビジネスの撤退は弱さの表明にも見えますが、逆にいえば、同社は自分たちがどこで稼ぐ会社なのかを絞り込もうとしている。市場から見ると、それは撤退ではなく再定義です。
ただ、ここで問われるのは「次に何を伸ばすのか」が抽象論で終わらないかどうかです。eSignature、identity & access、KYC、certificate lifecycle management といった領域は、たしかに周辺市場としては広い。でも、広いだけでは勝てません。SSL/TLSを切るなら、その分の営業力、技術者、サポート、ブラウザ対応の知見をどこへ移すのかが問われる。私は、同社がもし本当に enterprise 向けの trust service に集中できるなら、今回の撤退はむしろ筋のよい選択になると思います。逆に、単に「炎上したから逃げた」だけなら、今回の判断は短期的には正しくても、長期ではブランドの扱いを難しくするでしょう。
