｢防衛機密をクラウド運用｣って大丈夫？ 漠然とした不安の正体が｢錯覚｣である理由《リスクを"正しく"恐れる重要性》

外部への流出は確認されていませんが、外とつながっていない環境でも、誰にどこまで触らせるかの運用が緩んでしまうと、機密は漏れ得るということです。

これは防衛省のような特殊な組織だけの話ではなく、どの組織でも起こりうる事例です。守れるかどうかを分けるのは情報を保存する場所ではありません。情報に対して誰にどこまでの権限を与えるかを、きちんと管理できているかどうかにかかっています。

恐れるべきは「置き場所」ではなく「支配権」

防衛省は、「安全性と主権性を確保」することを前提にしていますが、クラウド移行にはどのようなリスクが想定されるでしょうか。

同省が求める性能のクラウドは現状、アメリカの巨大IT企業に実質的に限られているとみられ、アメリカ産のクラウドが候補として検討されています。

外国企業の基盤を使うとなれば、日本がどこまで管理・統制できるかが大きな課題です。ここでの統制とは、データの「鍵（暗号を解いて中身を読むための鍵）」と権限を最終的にどちらが握るか、いわば情報の「支配権」のことです。

その支配権がどちらに傾くかを大きく左右するのが法律の管轄。アメリカには CLOUD Act（クラウド法）があり、データの保管場所にかかわらず、管理する親会社や事業者がアメリカの司法管轄下であれば、開示命令の対象になり得ます。