安全認証制度で国内IT市場が変わる…クラウド選びは「安さ」から「説明できる信頼」へ

●この記事のポイント
政府はデータセンター・クラウドの安全認証制度を2027年度以降に導入する方針と報じられた。中国・ロシア系は事実上排除される一方、米メガクラウドとの競争は続く。305項目の要件を満たしてガバメントクラウドに正式採択されたさくらのクラウドの例、DCの約9割が東京・大阪圏に集中する現状を踏まえ、国産SaaS・ITベンダーの勝機と課題を解説する。

　政府がデータセンター（DC）とクラウドサービスの安全性を国が審査・認証する制度づくりに乗り出した。10月19日付の日本経済新聞によれば、総務省と経済産業省が2027年度以降の導入を目指す。認証基準や審査主体といった詳細はまだ示されていない。それでも、国内のIT市場で長く続いてきた「安ければ選ばれる」構図に一石を投じる動きであることは間違いない。国産SaaSや国内の中堅ITベンダーにとって、これは本当に好機になり得るのか。制度の中身と市場の実態から冷静に見ていきたい。

●目次

• 問われるのは「どこにあり、誰が動かしているか」
• 「国産だから勝てる」わけではない
• 「東京・大阪に9割」をどう分散させるか
• 制度の詳細を待つ間にできること
• 「守り」の制度を「説明力」の競争につなげる

問われるのは「どこにあり、誰が動かしているか」

　報道で伝えられている枠組みはこうだ。対象は国内に立地するDC事業者と、国内にサーバーを持つクラウド事業者。金融や医療など重要な個人情報を扱う企業に、認証済みサービスの利用を促す。中国やロシアなどの影響下にある企業は、事実上この枠に入れなくなる見通しだ。

　ただし、これは特定企業の利用を禁じる規制ではない。現時点では義務付けではなく「促す」制度として報じられている。既存契約への扱いも分かっていない。この点は押さえておきたい。

　それでも影響は小さくない。従来のクラウド選定で最初に比べられてきたのは、月額費用と機能だった。そこに「データはどこにあるのか」「運用しているのは誰で、どの国の法律に従うのか」という問いが、国の基準として加わることになる。

　金融や医療だけの話でもない。大手企業は取引先にもセキュリティ要件を課すようになっており、部品メーカーや物流会社も「どのインフラを使っているか」を説明する場面が増えている。認証制度ができれば、こうした調達条件や委託先審査で参照される可能性は高い。

「サーバーが国内にあることと、外国の法制度から切り離されていることは別の話です。米国や英国の指針でも、保存場所に加えて、資本関係や保守・運用の拠点、適用される法律まで確認するのが一般的になっています。日本の制度も、こうした国際的な考え方に近づく一歩だとみています」（サイバーセキュリティコンサルタント・新實傑氏）

「国産だから勝てる」わけではない

　国内ベンダーが置かれてきた状況は厳しい。三菱総合研究所の試算では、2025年の日本の「デジタル赤字」は約6.7兆円。前年からわずかに縮小したものの、大幅赤字の構図は変わっていない。クラウドやソフトウェアへの支払いの多くが海外に流れている。

　ここで誤解してはいけない点がある。新制度で「事実上排除」されると報じられているのは、中国やロシアなどの影響下にある事業者だ。国内に大規模DCを持つ米国系のメガクラウドは、政府情報システム向けの評価制度「ISMAP」でもすでに実績を積んでいる。新制度ができたからといって、国内勢が米国勢との競争から解放されるわけではない。

　では、何が変わるのか。それは商談で問われる中身だ。「いくらか」「何ができるか」に加え、「資本関係はどうなっているか」「運用担当者はどこにいるか」「暗号鍵は誰が管理するのか」といった問いに、文書で答えられるかどうかが重みを増す。意思決定から運用までを国内で完結させている事業者は、その説明がしやすい。価格とは別の物差しで勝負できる余地は、確かに広がる。