Quick Cut 009｜データセンター・クラウド安全認証——中国系排除で本当に安全になるのか｜Does Excluding China Make the Cloud Safe?

English · 简体中文 · 日本語

TokyoBrainie’s verdict｜判定

2027年度以降に導入予定のデータセンター・クラウド安全認証を、中国系サービスの事実上の排除、経済安全保障、データ主権、ISMAPとの関係、日本株への影響から検証する。

方向は妥当。ただし、国籍による排除を目的にすれば不十分。管理権限・法域・暗号鍵・復旧能力を、米国系・日本系を含む全事業者へ同じ物差しで問う制度にすべきだ。

Security is not a flag. It is the demonstrable ability to keep control of data, keys, operations and recovery under pressure.

まず、何が決まったのか

日本経済新聞は、政府がデータセンター（DC）とクラウドサービスの安全性を評価する認証制度を創設し、総務省と経済産業省が2027年度以降の導入を目指すと報じた。金融・医療など重要な個人情報を扱う企業には、認証済みサービスの利用を促す構想だ。報道では、中国系サービスは事実上認証を取得しにくくなるとされる。[1]

ここで大事なのは、現時点では制度の詳細基準が未公表だという点である。「中国企業を法律で一律禁止する」と決まったわけではない。また、今回の報道はDC・クラウドサービスの認証であり、中国製サーバー、メモリー、通信機器を直ちに全面排除する制度ではない。機器の供給網まで評価対象に入るかは、今後の設計を確認する必要がある。

なぜ新制度が必要なのか

クラウドの安全性は、サーバーが日本国内に置かれているかだけでは決まらない。

• 海外本社や国外拠点から管理者権限を行使できる
• 親会社が外国政府からデータ提出を強制される
• 暗号鍵を事業者側が保持する
• 保守・監視・障害対応が国外の要員に依存する
• 再委託先やバックアップ先が見えない
• 有事に契約、更新、復旧支援が止まる

政府の経済安全保障に関する提言も、DCとクラウドを大量のデータを処理・保存する社会・経済活動の基盤と位置づけ、防護措置の検討が必要だとしてきた。[2]

つまり今回の政策は、単なる「ハッキング対策」ではない。データ主権と事業継続性の審査である。

中国系を外す合理性はあるか

ある。ただし、それだけでは足りない。

中国では国家情報法、サイバーセキュリティ法、データ安全法などにより、企業が国家機関の要求から完全に独立していると外部から確認することが難しい。技術的な防御が強くても、親会社・運用要員・管理権限がその法域の影響下にあれば、金融・医療・防衛・重要インフラの機微データを預けるリスクは残る。

このため、「特定国だから感情的に排除する」のではなく、外国政府による強制アクセスを拒めるか、日本側だけで運用を継続できるかを証明できないため認証できないという設計なら合理性がある。

一方、米国にも域外適用を伴うCLOUD Actがある。日本系事業者でも海外製ソフトや国外運用に深く依存する場合がある。したがって、同じ物差しを中国系だけに当て、米国系・日本系には問わない制度では「安全認証」として論理が崩れる。

判定：政策は条件付きで賛成

結論：安全保障政策としては前進。ただし「中国ではない」ことを安全性の代用品にしてはいけない。

良い制度にするための7条件

1. リスク別の段階認証
   金融中枢、医療、一般企業を同じ強度で縛らず、データの機微度に応じて要求水準を変える。
2. 管理権限の可視化
   特権IDを誰が、どの国から、どの端末で使えるかを監査する。
3. 顧客管理鍵
   事業者だけでは復号できない顧客管理鍵、HSM、機密計算などを評価する。
4. 法域リスクの対称評価
   中国だけでなく、米国・日本を含む域外適用法、親会社支配、再委託を同じ枠組みで確認する。
5. 国内単独での復旧能力
   海外本社や国外要員が止まっても、国内で復旧・更新・脆弱性対応を継続できるかを試験する。
6. 退出可能性
   データ形式、API、移行時間、解約費用を評価し、認証事業者へのロックインを防ぐ。
7. 継続監視
   取得時だけの書類審査ではなく、重大インシデント報告、定期再審査、抜き打ち技術検証を組み込む。

既存制度との違い

日本にはすでに、政府情報システム向けのISMAP、企業のサプライチェーン対策を段階評価するSCS評価制度、クラウド管理策を扱うISO/IEC 27017などがある。

SCSでは★3が専門家確認付きの自己評価、★4が第三者評価と技術検証で、★5は高度攻撃への対応を想定する。[4] 新制度がこれらと重複すると、監査費用だけが増える。役割は次のように切り分けるべきだ。

• ISMAP：政府が利用するクラウドサービスの管理策
• SCS：利用企業・取引先を含む組織のサイバー対策
• 新制度：DC・クラウドの支配権、法域、国内継続性、供給網

日本企業・米国勢への影響

政府のガバメントクラウドではAWS、Google Cloud、Microsoft Azure、Oracle Cloudがすでに利用され、さくらのクラウドも条件付きで採択されている。[3]

したがって、新制度を「外資クラウド排除」と読むのは誤りだ。米国大手は日本国内リージョン、監査、暗号鍵、国内運用を強化して認証を取りに来る可能性が高い。むしろ勝負は、日本側がどこまで実効的な統制を要求できるかにある。

恩恵候補

• IIJ：国内クラウド、DC、ネットワーク、セキュリティを一体提供。IIJ GIOはISMAP登録実績がある。[5]
• さくらインターネット：国産クラウド、ガバメントクラウド採択による制度対応経験
• NTTグループ／NTT DATA：DC、ネットワーク、運用、ソブリン環境を束ねられる
• KDDI、SCSK、NEC、富士通：移行、運用監視、認証対応、ハイブリッドクラウド構築
• 認証・監査・ID管理・バックアップ・暗号鍵関連：制度対応そのものが新需要になり得る

ただし、これは銘柄の買い判定ではない。中国系クラウドの日本の機微業務における比率がすでに小さければ、単純なシェア移転は限定的になる。収益化を確認するには、認証利用が「推奨」にとどまるのか、業界ガイドラインや調達で事実上必須になるのかを見る必要がある。

想定される副作用

• 認証取得コストが中小事業者の退出を招く
• 認証事業者が少数になり、価格上昇と寡占化が進む
• 国内勢の機能不足により、AI・分析・開発速度が落ちる
• 一社集中によって障害時の被害が拡大する
• 「認証済みだから安全」という思考停止が起きる
• 顧客側の設定ミス、ID管理、バックアップ不備が放置される

特に危険なのは、供給元の安全性を上げる制度が、供給先の集中リスクを高めることだ。認証は単一クラウドへの集中ではなく、バックアップ、可搬性、代替事業者への移行訓練とセットでなければならない。

株式市場での読み方

短期的には「国策クラウド」「国産DC」「サイバーセキュリティ」のテーマ買いが起きやすい。しかし本当に利益へつながる経路は長い。

報道 → 基準案 → 認証申請 → 金融・医療の調達ルール変更 → 移行案件 → 売上 → 利益

途中で基準が緩くなったり、推奨止まりになったり、取得費用が先行すれば株価の物語だけが走る。

次に見る数字と文言

• 認証は任意、推奨、事実上必須のどれか
• 対象はDC施設、IaaS/PaaS/SaaS、運営会社のどこまでか
• 資本関係・親会社・再委託先・国外運用をどう評価するか
• 認証の有効期間と更新・取消条件
• 金融庁、厚生労働省、自治体ガイドラインへの組み込み
• 対象市場規模と移行期限
• 国内事業者の受注額、契約単価、追加CAPEX、利益率
• 認証済み事業者数と集中度

反対仮説

反対仮説A：既存制度で十分

ISMAP、ISO、FISC等で足りるなら、新制度は重複コストになる。反証には、新制度が法域・支配権・国内単独復旧という既存制度の穴を埋める必要がある。

反対仮説B：単なる国内産業保護

技術要件より国籍が前面に出れば、国産事業者への需要誘導が主目的と見られる。反証には、米国系・日本系にも同一の厳格な法域・管理権限審査を適用することが必要だ。

反対仮説C：中国系の利用が少なく実害も効果も小さい

直接のシェア移転は小さい可能性がある。ただし、制度対応、監査、暗号鍵、国内運用、移行支援という周辺市場は大きくなり得る。

最終判断

良い政策になり得る。しかし、良い見出しと良い制度は別である。

日本が認証すべきなのは「友好国の看板」ではない。データ、鍵、管理権限、復旧能力を日本側が実際に統制できることである。

中国系がその条件を満たせず結果として外れるなら合理的だ。最初から排除だけを目的にし、国内勢や米国勢の法域・運用品質を甘く見るなら、安全保障ではなく高価な安心マークになる。

Sources｜出典

• 日本経済新聞｜データセンター・クラウド、国が安全認証へ　中国系を事実上排除
• 内閣官房｜経済安全保障推進法改正に関する提言骨子（データセキュリティ）
• IPA｜SCS評価制度の詳細情報
• デジタル庁｜ガバメントクラウド整備の募集仕様
• IIJ｜IIJ GIOインフラストラクチャーP2のISMAP登録

Published: 20 October 2026 JST

Facts, inference and opinion are separated. The certification details remain under development; this analysis will be updated when draft criteria are published.

Original Notion archive