2026.10.24 06:00
2026.10.24 00:19
●この記事のポイント
政府はデータセンター・クラウドの安全認証制度を2027年度以降に導入する方針と報じられた。中国・ロシア系は事実上排除される一方、米メガクラウドとの競争は続く。305項目の要件を満たしてガバメントクラウドに正式採択されたさくらのクラウドの例、DCの約9割が東京・大阪圏に集中する現状を踏まえ、国産SaaS・ITベンダーの勝機と課題を解説する。
政府がデータセンター（DC）とクラウドサービスの安全性を国が審査・認証する制度づくりに乗り出した。10月19日付の日本経済新聞によれば、総務省と経済産業省が2027年度以降の導入を目指す。認証基準や審査主体といった詳細はまだ示されていない。それでも、国内のIT市場で長く続いてきた「安ければ選ばれる」構図に一石を投じる動きであることは間違いない。国産SaaSや国内の中堅ITベンダーにとって、これは本当に好機になり得るのか。制度の中身と市場の実態から冷静に見ていきたい。
●目次
問われるのは「どこにあり、誰が動かしているか」
報道で伝えられている枠組みはこうだ。対象は国内に立地するDC事業者と、国内にサーバーを持つクラウド事業者。金融や医療など重要な個人情報を扱う企業に、認証済みサービスの利用を促す。中国やロシアなどの影響下にある企業は、事実上この枠に入れなくなる見通しだ。
ただし、これは特定企業の利用を禁じる規制ではない。現時点では義務付けではなく「促す」制度として報じられている。既存契約への扱いも分かっていない。この点は押さえておきたい。
それでも影響は小さくない。従来のクラウド選定で最初に比べられてきたのは、月額費用と機能だった。そこに「データはどこにあるのか」「運用しているのは誰で、どの国の法律に従うのか」という問いが、国の基準として加わることになる。
金融や医療だけの話でもない。大手企業は取引先にもセキュリティ要件を課すようになっており、部品メーカーや物流会社も「どのインフラを使っているか」を説明する場面が増えている。認証制度ができれば、こうした調達条件や委託先審査で参照される可能性は高い。
「サーバーが国内にあることと、外国の法制度から切り離されていることは別の話です。米国や英国の指針でも、保存場所に加えて、資本関係や保守・運用の拠点、適用される法律まで確認するのが一般的になっています。日本の制度も、こうした国際的な考え方に近づく一歩だとみています」（サイバーセキュリティコンサルタント・新實傑氏）
「国産だから勝てる」わけではない
国内ベンダーが置かれてきた状況は厳しい。三菱総合研究所の試算では、2025年の日本の「デジタル赤字」は約6.7兆円。前年からわずかに縮小したものの、大幅赤字の構図は変わっていない。クラウドやソフトウェアへの支払いの多くが海外に流れている。
ここで誤解してはいけない点がある。新制度で「事実上排除」されると報じられているのは、中国やロシアなどの影響下にある事業者だ。国内に大規模DCを持つ米国系のメガクラウドは、政府情報システム向けの評価制度「ISMAP」でもすでに実績を積んでいる。新制度ができたからといって、国内勢が米国勢との競争から解放されるわけではない。
では、何が変わるのか。それは商談で問われる中身だ。「いくらか」「何ができるか」に加え、「資本関係はどうなっているか」「運用担当者はどこにいるか」「暗号鍵は誰が管理するのか」といった問いに、文書で答えられるかどうかが重みを増す。意思決定から運用までを国内で完結させている事業者は、その説明がしやすい。価格とは別の物差しで勝負できる余地は、確かに広がる。
その先例ともいえるのが、さくらインターネットだ。同社の「さくらのクラウド」は2023年11月、技術要件の充足を条件にガバメントクラウドに採択された。2026年3月27日、デジタル庁が305項目すべての技術要件への適合を確認し、正式採択となった。約3年をかけて要件を一つずつ埋めた経緯は、「国産」という看板だけでは評価されないことを示している。
「認証を取れば売れる、という単純な話にはならないでしょう。認証は商談の土俵に上がるための条件です。その先は、障害時の対応やサポート、機能の展開スピードで比べられます。ただ、これまで価格表で切られていた中堅ベンダーが、付加価値を説明する機会を得るのは確かです」（同）
SaaS事業者には注意点もある。ISMAPの運用では、登録済みの基盤上で構築したというだけで、その上のSaaSが登録済みとみなされることはない。新制度でも、基盤の認証が自社の評価にそのまま引き継がれるとは限らない。この前提で準備するのが現実的だ。
「東京・大阪に9割」をどう分散させるか
安全性の議論は、DCの立地の問題ともつながっている。総務省の「令和7年版 情報通信白書」は、国内DCのおよそ9割が東京圏・大阪圏に集中していると指摘している。大規模な地震や停電が起きれば、影響が一気に広がりかねない。
政府が進めるのが、電力と通信の整備を一体で考える「ワット・ビット連携」だ。官民懇談会の取りまとめ（2025年6月）は、DCの地方分散を継続的に促す方針を示し、既存の集積地から離れた「GW級」の拠点を複数つくるという長期目標を掲げた。
動きは具体化している。総務省は2026年7月、分散型DCの実証7件を採択した。九州電力が主導する「九州版ワット・ビットモデル」や、北海道の大学やさくらインターネットなどが加わる分散AI処理の実証、栃木県のケーブルテレビ事業者と組む地域分散DCの実証などだ。
再生可能エネルギーに恵まれ、冷涼な地域に拠点を置けば、電力コストと脱炭素の課題にも対応しやすい。そこに「運営主体が明確」という安全性の要素が重なれば、地方DCは災害対策と経済安全保障の両方で選ばれる理由を持つ。
「地方には電力の余力や土地がある一方、通信回線の冗長性や運用人材の確保という課題もあります。政策の後押しだけでなく、利用企業にとって扱いやすい接続環境と保守体制をどう整えるかが、定着の分かれ目になるでしょう」（エネルギー政策研究家・佐伯俊也氏）
制度の詳細を待つ間にできること
制度の詳細が示されるのはこれからだ。だからこそ、今のうちに手をつけられることは多い。
まずユーザー企業。自社が使っているクラウドやSaaSについて、「データの保管場所」「運営会社の資本関係」「保守の拠点」を一覧にしておくことだ。重要なデータを扱うシステムから優先して確認すればよい。取引先から問われたときにすぐ答えられる状態は、それ自体が信頼になる。データ管理の体制として、統合報告書などで開示する材料にもなる。
ただし、急な乗り換えは勧めにくい。英国国家サイバーセキュリティセンター（NCSC）も、2022年の指針で、国籍だけで安全性は判断できず、拙速な置き換えが障害を招く危険があると注意を促している。契約更新の時期に合わせて計画的に見直すのが現実的だ。
次に国内ベンダー。制度が始まるまでの期間は、仕込みの時期だ。できることは大きく三つある。
1．資本関係、運用体制、再委託先、暗号鍵の管理方法を、顧客向けの資料として公開できる形に整える
2．ISMAPやISO/IEC 27017など、既存の第三者評価を取得・更新し、証跡を残す運用を習慣にする
3．顧客が別のサービスに移る際のデータの取り出し方法も明示する
三つ目は意外に思われるかもしれない。だが「使いやすく、やめやすい」ことは、解約しにくいことより長期的な信頼につながる。
「発注側の担当者が本当に知りたいのは、何かあったときに誰がどう動くかです。認証マークは入口にすぎません。その問いに具体的に答えられるベンダーが、最後に選ばれています」（新實氏）
「守り」の制度を「説明力」の競争につなげる
経済安全保障の制度は、本来はリスクを抑えるための「守り」の仕組みだ。それでも、「安さ」ではなく「説明できる信頼」が比べられる市場が広がれば、国内のIT企業には強みを示す場が増える。
ただし、その機会は自動的にやってくるものではない。米国のメガクラウドとの競争は続き、機能や価格の差が消えるわけでもない。認証を「お墓付き」として待つのではなく、自社の透明性を積み上げる契機として使えるかどうか。制度の詳細が示されるまでの数年間の動きが、その後の立ち位置を左右しそうだ。
（文＝BUSINESS JOURNAL編集部、協力＝新實傑／サイバーセキュリティコンサルタント）
【主な参照データ・出典】
日本経済新聞「データセンター・クラウド、国が安全認証へ」（2026年10月19日）
セキュリティ対策Lab「政府、データセンター・クラウドに安全認証制度を創設へ」（2026年10月20日更新）
三菱総合研究所「日本：デジタル関連収支（2025年）」（2026年2月9日）
さくらインターネット ニュースリリース（2026年3月27日）
デジタル庁「ガバメントクラウド」
総務省「令和7年版 情報通信白書」データセンター、海底ケーブル等
ワット・ビット連携官民懇談会 取りまとめ1.0（2025年6月）
総務省「令和8年度ワット・ビット連携関連実証」採択結果（2026年7月15日）
英国NCSC「Use of Russian Technology Products and Services Following the Invasion of Ukraine」（2022年3月）
RANKING
RELATED POSTS
ニューアングル
