データセンター・クラウド安全認証と中国系排除の経済安保論点整理

安全認証構想が企業のデータ配置を左右する背景

政府が、データセンターとクラウドの安全性を評価する新たな認証の創設を検討していることが報じられました。金融や医療のように、漏えい・改ざん・長期停止の影響が大きい情報を扱う企業にとって、クラウド選定は調達部門だけの問題ではなくなります。

焦点はサイバー攻撃への技術的な防御だけではありません。サーバーがどこにあり、誰が運用を統制し、障害や有事に誰が復旧を決められるかまで含めた「実効支配」が問われます。中国やロシアの影響下にある企業を事実上排除する制度になり得るからこそ、安全保障と開放的な市場をどう両立させるかが重要です。

ISMAPを越える支配と供給継続性の評価軸

既存評価制度の役割と限界

日本にはすでに、政府情報システムで利用するクラウドを対象にしたISMAPがあります。国家サイバー統括室、デジタル庁、総務省、経済産業省が運営し、外部監査を経たクラウドサービスをリストに登録する仕組みです。政府機関は原則として、このリストに掲載されたサービスから調達します。

ISMAPの中心は、クラウドサービスが求められる情報セキュリティ管理策を実装・運用しているかの確認です。低リスクの業務向けにはISMAP-LIUも用意され、クラウド利用を広げながら安全性を担保する制度的な土台になっています。

ただし、クラウドの安全性は暗号化、アクセス制御、監視といった個別の技術対策だけでは決まりません。データを処理する基盤の所在地、親会社を含む資本・統治関係、保守を担う人員、ソフトウエア更新の経路、緊急時の運用権限も、サービス継続性を左右します。

報じられた認証構想の意義は、こうした要素を調達時に見える化する点にあります。既存のセキュリティ評価を置き換えるというより、重要データを預けるための経済安全保障上の評価層を追加するものとして捉えるべきです。

ガバメントクラウドの運用も参考になります。デジタル庁は2023年度調達で305項目の技術要件を示し、国内・外国企業を問わず、高い情報セキュリティとデータ保存の安全性を満たすことを条件にしています。新認証では、技術要件に加えて、企業の統治と供給継続性をどの程度まで評価対象にするかが分水嶺になります。

実効支配を見極める審査項目

「国内にデータセンターがある」ことは、重要な出発点ではあっても結論ではありません。国外の親会社や関連会社が管理者権限、暗号鍵、監視基盤、障害対応の指揮権を持つ場合、物理的なサーバーの所在地だけでデータへのアクセス可能性を判断することはできないためです。

審査で確認すべき第一の項目は、最終的な支配関係です。出資比率だけでなく、取締役の指名権、重要事項の拒否権、グループ内契約、運用委託先との関係を追う必要があります。表面上は国内法人でも、意思決定や技術運用が国外で統制されていれば、リスク評価は変わります。

第二は、データへの技術的アクセス経路です。管理コンソール、特権ID、監視ログ、バックアップ、鍵管理装置、遠隔保守回線のそれぞれについて、誰がどの条件で操作できるかを確認しなければなりません。暗号化を採用していても、鍵の保管と復旧手続きが同じ事業者に集中していれば、実質的な分離にはなりません。

第三は、サプライチェーンの追跡可能性です。サーバーやネットワーク機器だけでなく、仮想化ソフト、運用自動化ツール、脆弱性情報、更新プログラムまで、クラウドは多層の部品とサービスで成立しています。経済産業省と国家サイバー統括室が示すサイバーインフラ事業者向けの指針も、ソフトウエアの開発、供給、運用に関わる事業者と利用者が、それぞれの役割を認識して対策の実効性を高める考え方を打ち出しています。

重要なのは、特定国に関係する企業を一律に「危険」と扱うことではありません。法令による情報提供要請の可能性、国外からの支配の有無、アクセス権限の分離、監査可能性、インシデント時の指揮命令系統を、公開可能な基準に沿って評価することが必要です。国籍ではなく、具体的な支配・介入・復旧不能のリスクに基づく制度でなければ、認証への信頼は得られません。

データ基盤を一体で捉える設計

データセンターとクラウドを別々に認証しても、利用企業のリスクは取り切れません。データセンターは電力、冷却、通信、物理入退室、耐災害性を担い、クラウドは仮想化、データ処理、認証、バックアップ、運用自動化を担います。実際のサービス停止や情報流出は、その接点で起きます。

経済産業省と総務省は、デジタルインフラ整備の検討で、レジリエンス、エネルギー・通信の確保、経済安全保障を一体の論点として扱っています。AIの利用拡大で計算需要が急増するなか、GPUを並べる建屋を増やすだけでは不十分です。電力供給の継続性、複数回線への接続、地域分散、復旧訓練まで設計された基盤でなければ、重要情報を安全に預けられません。

認証を実効的にするなら、施設、クラウド基盤、運用受託、通信接続をまたぐ評価が必要です。例えば、首都圏の一つの事業者に処理系とバックアップ系を集中させていないか、障害時に別地域へ切り替えられるか、通信や電力の障害が同時に起きた場合の復旧優先順位を定めているかを確認する設計が考えられます。

国家サイバー統括室の重要インフラ向け資料でも、クラウド基盤の障害を想定し、利用企業とクラウド事業者がサービス水準を事前に合意し、バックアップ、連絡体制、復旧優先順位を整える重要性を示しています。認証が「安全な事業者」のラベルで終わるのではなく、障害発生後にも社会機能を守れるかを検証する仕組みになるかが問われます。

金融・医療で変わるクラウド調達と運用責任

認証が調達条件になった場合の影響

金融、医療、決済、公共サービスでは、データの漏えいだけでなく、利用不能による二次被害が大きくなります。国の認証が重要情報を扱うサービスの推奨要件、あるいは取引先の選定条件になれば、クラウド調達の評価表は大きく変わります。

企業は価格、機能、開発者の使いやすさに加え、認証の有無と適用範囲を確認することになります。IaaSだけが認証済みでも、その上で使うデータベース、分析基盤、生成AI、バックアップSaaSが対象外なら、システム全体としての要件を満たすとは限りません。認証の単位が法人なのか、リージョンなのか、個別サービスなのかを見極める必要があります。

調達部門には、単に「認証済み」と記載された提案を選ぶのではなく、データ分類ごとに必要な保証水準を定める役割が生じます。匿名化済みの分析データ、顧客の本人確認情報、診療情報、暗号鍵、基幹システムの管理ログを同じ基準で扱えば、過剰投資か安全性の不足を招きます。

認証がないサービスの利用を直ちに禁止すれば、選択肢は狭まり、移行コストも膨らみます。そのため、高リスク情報から段階的に適用し、既存システムには移行猶予を設ける設計が現実的です。重要情報を扱わない開発環境や一時的な計算用途まで同じ制度に組み込めば、必要な技術導入まで遅らせかねません。

利用企業に残る設定と復旧の責任

認証は利用企業の責任を代行するものではありません。IPAのガイドラインが示す通り、クラウドでは情報システムの一部が提供事業者の管理下に置かれるため、自社運用とは異なる観点で対策を考える必要があります。サービス形態がSaaS、PaaS、IaaSのどれかによっても、利用側が担う設定範囲は変わります。

例えば、多要素認証の適用、退職者アカウントの削除、公開設定の点検、データ分類、端末の防御、アプリケーションの脆弱性対応は、認証済みのクラウドを選んでも自動的には完了しません。運用設定の誤りや過大な権限付与は、優れたデータセンターの耐障害性では防げない問題です。

契約面では、障害通知の期限、ログの保管・提供、脆弱性情報の連絡、国外からのアクセスが必要になった場合の手続き、委託先変更時の通知、契約終了時のデータ返却・消去を明確にすべきです。監査報告書を年に一度受け取るだけでは、ソフトウエア更新や組織再編によって日々変化するリスクに追いつけません。

特に見落としやすいのが、復旧可能性です。バックアップを取っていても、復元に必要なアカウント、暗号鍵、設定情報、アプリケーションの依存関係が別々に管理されていなければ、障害時に復旧できません。経営者は「何時間で戻るか」だけでなく、「どのデータを、どの順序で、誰の権限で戻すか」を確認する必要があります。

国産優遇ではなく多層化が必要な理由

認証が国内事業者を育成する契機になる可能性はあります。内閣府は経済安全保障推進法に基づき、クラウドプログラムを特定重要物資に指定し、安定供給確保を支援しています。国内で計算資源と運用能力を確保することは、供給途絶リスクへの備えとして重要です。

もっとも、国内資本であることと、十分な可用性・安全性・開発力を備えることは同義ではありません。逆に海外企業を含めて多様な選択肢を確保できれば、特定の事業者への依存を減らし、障害や価格変動に対応しやすくなります。認証の目的は国籍による置き換えではなく、重要データを預ける選択肢を増やすことに置くべきです。

実務では、機微データは高い認証水準の国内運用環境へ、一般的な業務データは複数クラウドへ、学習・検証用の計算資源は分離した環境へ配分するような多層化が有効です。アプリケーションとデータを移し替えられる設計、標準的なインターフェース、定期的な移行訓練も、認証と並ぶ経済安全保障の対策になります。

排除の透明性と市場競争を両立する制度条件

海外でも、クラウドの評価は技術対策から主権・統治へ広がっています。欧州委員会が提案したCloud and AI Development Actは、データの域内処理に加え、第三国からの独立性、ソフトウエア供給網の透明性、所有・支配関係を段階的に評価する枠組みを示しています。欧州のサイバーセキュリティ認証でも、クラウドサービス向け制度の準備が進みます。

この動きが示すのは、データの所在地だけで安全保障を語れないという事実です。同時に、主権を重視する認証ほど市場への影響が大きく、要件の根拠と審査手続きの透明性が欠かせません。審査対象、証拠書類、更新頻度、認証の取消条件を曖昧にすれば、利用企業は中長期の投資判断をできなくなります。

特定国の企業を事実上排除する結果を伴うなら、なおさら個別のリスクに応じた説明が必要です。資本関係の変化、買収、役員交代、運用委託先の変更が起きた場合に、認証をどう見直すのかも制度の中核になります。過去の審査だけで安全とみなす静的な認証では、クラウドの変化速度に対応できません。

また、過度に重い監査は新規参入を妨げ、国内のクラウド・SaaS企業の競争力を弱めます。リスクに応じて要求水準を分け、共通の監査証跡を再利用できるようにし、異議申し立てや改善の機会を設けることが重要です。安全保障と競争政策を対立させず、説明可能で更新可能な制度として実装できるかが成否を決めます。

経営者が今から整えるデータ統治の確認事項

新認証の詳細が公表される前でも、企業が着手できることは明確です。まず、顧客情報、医療・金融データ、営業秘密、暗号鍵、ログを分類し、どの国・地域のどのサービスで処理・保管・バックアップされているかを一覧化する必要があります。委託先のさらに先にある再委託先まで把握することが出発点です。

次に、各サービスの実効支配と運用経路を確認します。親会社、遠隔保守、特権ID、鍵管理、障害時の連絡先、データ消去の証跡を調べれば、認証制度が始まった際の適合性確認も速くなります。調達・法務・情報システム・事業部門を分けず、同じ台帳を共有する体制が欠かせません。

安全認証は、クラウドを避けるための制度ではありません。重要なデータと社会機能を守りながら、信頼できる計算資源を使い続けるための基準です。企業は認証マークの有無だけで判断せず、データ統治、復旧力、移行可能性を自社の競争力として整えることが求められます。

参考資料:

• ISMAP概要
• クラウドサービス事業者向け各種手続き
• ガバメントクラウド
• サプライチェーン強靱化の取組
• 基幹インフラ役務の安定的な提供の確保に関する制度
• デジタルインフラ整備に関する有識者会合の中間とりまとめ
• サイバーインフラ事業者に求められる役割に関するガイドライン
• 重要インフラ事業者等における情報セキュリティ対策
• 中小企業の情報セキュリティ対策ガイドライン第4.0版
• EU Cybersecurity Certification Framework
• SecNumCloud提供事業者
• Cloud and AI Development Act