ソブリンクラウドとは？経済安全保障の観点で注目されるデータ主権についてくわしく解説

ソブリンクラウドが確保する主権

ソブリンクラウドの本質は、国や組織がクラウド環境における「主権」を確保することにあります。主権とは、自らの意思決定と制御権を維持し、外部からの不当な干渉や制約を受けないことを意味します。ソブリンクラウドにおいて確保すべき主権は明確に定まったものがないものの、おもに以下に分類されることが多いため本記事はこちらを定義として記載します。

ガバメントクラウド：「政府業務の効率化のためのクラウド」

おもに政府機関の業務効率化やデジタル化を目的としたクラウド基盤です。日本では、デジタル庁が推進する「政府共通クラウド基盤」としてAWS、Google Cloud、Azure、OCI、さくらのクラウドが選定されています。

ソブリンクラウド：「国家主権を守るためのクラウド」

経済安全保障の観点から国家の主権（データ、システム、運用など）を確保することが目的とされているため、必ずしも政府機関のみを対象としたものではありません。重要インフラや戦略的産業など、国家安全保障に関わる幅広い分野でのクラウド利用が想定されています。

クラウドサービスと経済の結びつき

デジタル化の進展により、クラウドサービスは経済活動との結びつきが急速に強まっています。経済産業省も「あらゆる国民生活・産業活動にとって不可欠」と形容するほど、クラウドサービスは現代のビジネスや社会インフラにおいて重要な役割を担っています。

IoT技術の進歩やデジタル変革（DX）の加速により、サイバー空間とフィジカル空間の融合が進み、金融取引、物流管理、製造ライン、公共サービスなど、多くの重要なシステムがクラウドを基盤としています。

また、生成AIの台頭によって、ビッグデータの価値が高まるなか、海外サービスの利用によって価値あるデータ資産が国外に蓄積される懸念も生じています。このような状況から、国産クラウド産業の育成と自立が経済安全保障の観点で重要視されるようになっています。

地政学的リスク

クラウドサービスの可用性を脅かす要因は、サイバー攻撃などのセキュリティ問題だけではありません。国際情勢の変化や各国の法制度の違いなど、地政学的な要因も大きなリスクとなります。

たとえば、ウクライナ侵攻の際には、グローバル企業がロシアでのサービス提供を停止するケースが発生しました。このように国際紛争や外交関係の悪化によって、海外クラウドサービスが突然利用できなくなるリスクが現実のものとなっています。

また、法制度の違いもリスク要因です。

たとえば、欧州のGDPRはEU域外へのデータ移転を厳しく制限しています。法規制の違いにより、北欧の自治体で米国企業のクラウドサービス利用を停止する判断を下すといったケースも生まれています。

このように、地政学的リスクはクラウドサービスの継続的な利用を脅かす重大な要因となっており、ソブリンクラウドはこうした国際情勢や他国の法制度変更による影響を最小化することを目指しています。

セキュリティの問題

デジタル化の進展に伴い、クラウド上に保存されるデータの機密性も急速に高まっています。重要な情報がデジタル化されることで業務効率は向上する一方、データ漏洩のリスクも同時に増大しているといえるでしょう。

病歴や犯罪歴などの要配慮個人情報、また国家の防衛関連情報や重要インフラの制御システムなど、流出すれば甚大な被害をもたらす情報がクラウド上で扱われるようになってきました。こうした機密情報をパブリッククラウドで扱う場合、利用者はクラウド事業者のセキュリティ対策に依存せざるを得ない状況です。

総務省の基準では、最高機密レベルの情報はクラウド上での取り扱いが禁止されていますが、デジタル化が進む現状では、高い機密性を持つ情報も適切な対策のもとでクラウド上に置く必要性が日々増しているのが実情です。

ソブリンクラウドは、これらの機密情報を安全に扱うための枠組みとして、データの所在地管理、アクセス権限の厳格な制御、強固な暗号化など、多層的なセキュリティ対策を提供することで、情報保護の新たな選択肢として注目を集めています。

EU

EUではアメリカのCLOUD ACT法の制定をきっかけに、GAFAMなどのハイパースケーラーが提供するクラウドサービスのリスクを認識し、主権確保の取り組みを進めています。ドイツ主導のもと、2019年に「GAIA-X Project」が立ち上がり、「主権の確立とEU独自のデータインフラ構築」を最大の目標として掲げています。

EUでは主権を「デジタル社会において、国家が独立して経済安全保障を実現するための能力」と定義し、「データ」「運用（運営）」「ソフトウェア」をソブリンクラウドの重要な主権と位置づけています。

加えて、EUではGDPR（EU一般データ保護規則）により個人データの保護を強く規制しており、EU域外へのデータ転送には厳格な条件が設けられています。これを背景に、Oracle社のOCI（Oracle Cloud Infrastructure）を採用した独自のクラウドサービスを構築し、フランクフルトやマドリードにソブリンクラウド専用のリージョンを設けるなどの取り組みも進められています。

アメリカ

アメリカでは、国防総省においてオープンソースソフトウェア（OSS）の採用を優先する方針を示しています。これは開発コスト削減やアジリティの実現だけでなく、ベンダーロックインやサプライチェーンリスクを排除し、システムの主権を保つためでもあります。

AWSが提供するAWS GovCloudは、アメリカ在住のアメリカ国民である従業員によりシステム運用がおこなわれており、アメリカ国内法に従う義務があるアメリカ国民のみが運用することで、システム運用の主権を確保しています。

アメリカではソブリンクラウドに関する特定の法律は存在しませんが、ヘルスケアや金融サービスなどの特定の産業において、連邦および州レベルの法律によってデータを保護する仕組みがあります。また、一部の産業や機関ではデータをアメリカ国内でのみ保存することが法的に要求されており、これがアメリカのソブリンクラウドに関連する取り組みとなっています。

日本

日本では、ハイパースケーラーが提供するクラウドを利用するケースが多数を占めており、ソブリンクラウドが十分に整備されているとは言い難い状況です。現状では、デジタル庁が日本政府の共通クラウド基盤（ガバメントクラウド）としてAWS、Google Cloud、Azure、OCI、さくらのクラウドを選定しています。

2024年6月に閣議決定された「デジタル社会の実現に向けた重点計画」では、「取り扱う情報の機密性等に応じてパブリッククラウドとプライベートクラウドを組み合わせて利用する、いわゆるハイブリッドクラウドの利用を促進する」という方針が示されています。これによって、クラウド利用がより一層加速すると予想されています。また経済安全保障の観点から、「2027年度までに国内に事業基盤を有する事業者が、基盤クラウドを持続的に提供できる体制を構築し、重要なデータを自律的に管理可能なクラウドを確保する」という目標も掲げられています。

金融業界をはじめとする規制業界では、厳格な規制環境下でも業務をおこなうための安全なクラウド環境を構築するために、ソブリンクラウドの活用が進んでいます。今後は官民問わず、国産ソブリンクラウドの必要性と利用が高まっていくことが予想されます。

4つの主権の確保

さくらインターネットでは、3つの主権（データ主権、システム主権、運用主権）に加え、独自の視点から「技術主権」を加えた4つの主権の確保に取り組んでいます。

国産クラウドならではのメリット

さくらインターネットの国産ソブリンクラウドには、主権確保以外にも独自のメリットがあります。

セキュリティと信頼性の確保

さくらインターネットは、ISMAP（政府情報システムのためのセキュリティ評価制度）の認証を取得しています。これにより、政府機関や地方自治体をはじめとする公共セクターに対しても、高い安全性と信頼性を備えたクラウドサービスを提供することが可能になっています。

ISMAPの厳格な基準を満たすことで、ソブリンクラウドに求められるセキュリティ要件を十分に満たし、データ主権の根幹となるデータ保護機能を強化しています。政府の調達基準に適合したクラウドサービスとして、公共性の高い情報システムにも安心して採用いただける環境を整えています。