｢防衛機密をクラウド運用｣って大丈夫？ 漠然とした不安の正体が｢錯覚｣である理由《リスクを"正しく"恐れる重要性》

日本国内にデータセンターを構えても、日本の法律だけで守られるとは言い切れないのです。ただしデータが暗号化され、復号の鍵を日本側が握っていれば、クラウド事業者が開示命令を受けても、渡せるのは中身を読めない暗号文だけです。そのため、守りの決め手は保管場所ではなく、鍵を日本側が持ち続けられるかと言えるでしょう。

一方、暗号化やアクセス記録の管理機能は、大手クラウドのほうが手厚いこともあります。24時間の監視や、誰がいつどのデータを見たか等の記録を自前で同水準まで揃えられる組織は多くありません。

だからこそ「破られやすさ」ばかりに気を取られると、鍵と権限を最終的に誰が握るのか、という肝心の問いが抜け落ちます。

国が決めようとしているのは「使う条件」

時事通信によると、こうした支配権の確保については、国家サイバー統括室（25年7月に内閣官房に発足したサイバー政策の司令塔）が、安全性と統制を確保する条件を今年度中に整える予定です。保管場所や管理権限を持つ人の要件、アクセス管理などを定め、防衛省以外の政府機関や特定秘密まで対象に含めるとされています。

注目したいのは、「使うか使わないか」ではなく「どういう条件なら使えるか」を先に決めようとしている点で、禁止か全面許可かの2択にしていません。

こうして条件を先に決めてからデータを預ける発想自体は、海外にも国内にもあり、目新しいものではありません。

アメリカ防総省は22年12月、機密度の低い情報から最高機密まで同じ仕組みで扱える省内共通のクラウド環境「JWCC」について、最大90億ドル規模の契約枠を設け、アマゾン、マイクロソフト、グーグル、オラクルの4社を選定しました。