日本にも、水準を満たすクラウドを事前に評価・登録するISMAP（政府情報システムのためのセキュリティ評価制度）があります（ただし一般の政府情報システム向けで、特定秘密などは適用対象外）。
「使う条件」を見極める3つの問い
とはいえ、国が「使う条件」を整えると言ってもそれだけでは安心できず、その条件の中身次第でクラウド移行の意味は大きく変わります。評価するときに見ておくべき点は、次の3つに絞られます。またこれは、「日本」を「自社」に読み替えると企業がクラウドを使う際に考えるべき内容とも重なります。
なかでも重要なのが、1つ目の「鍵と権限を日本側が握れるか」です。最終的にデータを読めるのは鍵を握る側であり、鍵を持つからこそ本当の管理者なのです。クラウドサービスには事業者に鍵を渡さない方式もあるため、外国企業の基盤を使うことがそのまま統制を手放すことにはなりません。
ただし鍵を握るとは、その鍵を守り抜く責任がそっくり自分の側へ移ることでもあります。鍵を日本側で持ち続け、なおかつ守り切れるのか。そこまで条件に盛り込めるかで移行の成否は決まります。
2つ目でつまずきやすいのは、自前のほうが有事に強いと考えてしまう点です。この思い込みを覆すのが、戦火のなかでクラウドへ舵を切ったウクライナです。マイクロソフトの2022年の報告書「ウクライナの防衛: サイバー戦争の初期の教訓」によれば、ロシアはウクライナ政府のデータセンターを巡航ミサイルで狙いました。
そこで同政府はデジタル基盤を欧州各地のデータセンターに分散させ、行政と軍の活動を保ちました。建物ごと失われる事態まで想定するなら自前で抱え続けるほうがむしろ危ういという判断ですが、そのまま日本に当てはめることはできません。
ウクライナの場合、移行先の事業者の母国はたまたま支援側でしたが、日本の有事にどう動くかは政治情勢しだいです。だからこそ、1社に集約せず別の基盤へ移して運用を続けられる状態を、平時のうちに用意しておく必要があります。
この問いは有事だけのものではありません。
※ログイン後、コメント入力が可能です。