政府、データセンター・クラウドに安全認証制度を創設へ―中国・ロシア系の排除が議論される理由と海外の対策|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月20日更新日時: 2026年10月20日

日本政府が、国内のデータセンターやクラウドサービスを対象とする安全認証制度の創設を検討していると、2026年10月19日に日本経済新聞が報じました。金融・医療など重要な情報を扱う企業に認証済みサービスの利用を促し、中国・ロシアなどの影響下にある事業者を事実上排除する構想とされています。

背景にあるのは、データの保存先が日本国内でも、クラウド事業者の親会社や運用担当者が外国政府の法令・指示の影響を受ける可能性があることです。米国のNISTや英国のNCSCは、クラウドの安全性を判断する際、サーバーの設置場所だけでなく、事業者の支配関係、適用される法律、運用・保守上のアクセス権限まで確認するよう求めています。

データセンター安全認証制度のサマリー

2026年10月19日、日本経済新聞が政府によるデータセンター・クラウドの安全認証制度創設方針を報道しました。
報道によれば、総務省と経済産業省が2027年度以降の導入を目指しています。
対象には国内に立地するデータセンター事業者と、国内にサーバーを持つクラウドサービス提供者が想定されています。
金融・医療など機微な情報を扱う企業に、安全性を認証されたサービスの利用を促す構想です。
「中国・ロシア系の事実上の排除」は報道上の位置づけであり、10月19日時点で、企業名を指定した一律の利用禁止規則が施行されたわけではありません。
事業者の国籍だけでなく、外国政府による法的な情報アクセス、親会社の支配、国外からの保守運用、システム停止時の復旧可能性が論点となります。
日本にはすでに政府向けクラウド評価制度「ISMAP」があります。今回報じられた新制度を、既存のISMAPと同じ制度として扱うことはできません。
金融機関・自治体・官公庁向けのSaaS・システム開発事業者にも、顧客の調達条件や委託先審査を通じて影響が及ぶ可能性があります。ただし、新制度の認証取得義務がこれらの事業者へ一律に課されると決まったわけではありません。
詳細な認証基準、審査主体、失効・更新要件、既存契約への適用範囲については、今後の制度文書による確認が必要です。

項目	2026年10月19日時点の整理
政策の状況	新たな安全認証制度を創設する政府方針を日経が報道
担当省庁	総務省・経済産業省（報道）
導入時期	2027年度以降を想定（報道）
想定対象	国内立地のデータセンター、国内サーバーを持つクラウドサービス事業者（報道）
主な利用分野	金融、医療など重要情報を扱う業務（報道）
中国・ロシア系事業者の扱い	「事実上排除」との報道。個別の認証基準・排除条件は制度化前
既存制度との関係	ISMAP等との役割分担・重複審査の扱いは制度詳細の確認が必要

なぜデータセンターとクラウドを国が認証するのか

データセンターは情報の保存場所であると同時に、仮想サーバー、ネットワーク、ストレージ、認証・監視設備を運用する基盤です。クラウドを利用する企業は、ハードウェアの保守や障害対応、管理者権限の扱いをサービス提供者に委ねる部分があります。サービスの契約主体だけでなく、実際の運用会社や再委託先まで把握できなければ、重要情報に誰が接近できるか判断しにくくなります。

英国国家サイバーセキュリティセンター（NCSC）の「Cloud Security Principles」は、クラウドを選ぶ際に、保存・処理・管理を行う国、事業者の法的所在地、サービスを運用・保守する場所、物理データセンターの所有者、契約に適用される法令を確認するよう求めています。データの保存先が日本国内であることと、外国の法制度や管理者権限から隔離されていることは同義ではありません。

米国国立標準技術研究所（NIST）は2026年7月の『SP 1326』で、ICT調達先のデューデリジェンスに「外国の所有・支配・影響（Foreign Ownership, Control, or Influence：FOCI）」を含めています。出資関係だけでなく、製品・サービスの由来、供給網、事業継続性、基礎的なサイバー対策を組み合わせて評価する枠組みです。

金融機関・自治体・官公庁向けSaaS・システム事業者にも波及する可能性

今回報じられた認証制度の対象はデータセンター・クラウド事業者ですが、制度の導入後、金融機関や自治体、官公庁がシステムの調達条件に認証済み基盤の利用や運用体制の確認を盛り込めば、これらの組織にSaaSや業務システムを納入する企業にも対応が及ぶ可能性があります。例えば、金融機関向けの顧客管理・業務支援システム、自治体向けの住民サービス・申請受付システム、官公庁向けのクラウド型業務サービスなどです。これは制度案と既存の調達・委託先管理の仕組みから考えられる間接的な影響であり、現時点で各分野のSaaSに新認証の取得が義務付けられると決定したものではありません。

すでに金融庁は2026年4月、金融機関のサードパーティ・サイバーセキュリティリスク管理に関する調査報告書を公表しています。金融機関の監督指針でも、クラウドなど外部サービスの安全性評価、再委託先やシステム連携先に移送・転送されたデータの把握を求めています。新制度が調達上の評価基準として活用されれば、金融機関からシステムベンダーに対し、データの保存・処理場所、基盤提供事業者の支配関係、国外からの運用アクセス、再委託先の一覧などを説明する必要が生じる可能性があります。

官公庁では、既存のISMAPによってクラウドサービスの評価・登録制度が運用されており、デジタル庁は行政機関向けSaaS調達の仕組み「デジタルマーケットプレイス（DMP）」も整備しています。また、自治体向けにはガバメントクラウド上で窓口DX向けSaaSが提供されています。ISMAPの公式FAQは、認証済みのIaaS・PaaS上で構築したという理由だけでは、その上で提供するSaaS自体をISMAP登録済みとみなせないと明示しています。今回の新認証についても、基盤の認証がSaaSや個別の業務システムの認証へ自動的に引き継がれると判断することはできません。

SaaS・システム事業者は、顧客への説明に備えて、利用中のIaaS・PaaS・データセンター、バックアップ先、ログ・監視サービス、再委託先、保守運用を行う国や管理者権限を整理しておくと、調達条件が具体化した際に影響範囲を確認しやすくなります。新制度の対象範囲と既存契約への適用、認証済み基盤を使用することが発注要件となるかどうかは、今後の政府の正式な制度文書と各発注機関の仕様書に基づいて判断する必要があります。

中国・ロシアの影響下にある事業者を警戒する根拠

中国：国家情報法による協力義務と、通信インフラへのサイバー諜報活動

英国政府の対中事業リスク資料は、中国の2017年国家情報法について、中国国内の組織や個人が国家の情報活動への協力を求められる可能性を指摘しています。英国政府は、外国企業であっても中国国内で事業を行う場合にはこのリスクを考慮し、データ・施設・人員へのアクセスを求められる可能性について法的評価を行うよう助言しています。

中国に拠点や運用機能を持つことだけで、日本の顧客情報が直ちに中国政府へ提供されると決まるわけではありません。しかし、センシティブな医療情報、決済・金融情報、政府・研究開発情報を扱う場合、事業者自身が秘密保持契約や顧客の拒否意思だけでは対抗できない法的要求を受ける可能性は、契約前に検証すべきリスクです。

また、米CISAなどが2025年9月に更新した共同注意喚起「AA25-239A」は、中国政府が支援する攻撃者による通信、政府、交通、宿泊、軍事関連ネットワークを標的とした侵害活動を分析しています。ルーターを改変して長期的なアクセスを維持し、信頼済み接続を足掛かりに別のネットワークへ侵入する手口が報告されています。これは中国系クラウド事業者が攻撃に加担した証拠ではなく、通信・クラウド基盤が国家レベルの情報収集対象となり得ることを示す脅威情報です。

ロシア：情報機関への協力義務と有事のサービス継続リスク

英国NCSCは2022年3月、ロシアの法律には企業に連邦保安庁（FSB）への協力を求める規定があり、戦時下ではその圧力が高まる可能性があると指摘しました。英国の重要インフラ関連組織には、ロシアの影響下にある技術や、ロシアから提供される開発・保守サービスへの依存を再評価するよう推奨しています。

さらに2026年1月、NCSCはロシア寄りのハクティビスト集団が英国の自治体や重要インフラ事業者を標的にサービス妨害攻撃を続けていると警告しました。ただし、同資料は、国家との思想的な近さと国家による直接指揮を区別しています。

NCSCは同時に、国籍だけを見れば安全性を判断できるわけではないとも説明しています。ロシア製品を慌てて置き換えることで、かえって停止事故を起こす危険もあるためです。新制度を企業のリスク管理に落とし込む際も、事業者の所有・支配、実際の管理者権限、代替手段、移行時の安全性を一緒に確認する必要があります。

日本のISMAP、自治体調達制度、今回の認証制度はどう違うのか

日本では、政府情報システムが利用するクラウドサービスを事前評価・登録する「ISMAP」がすでに運用されています。政府調達では、登録されたクラウドサービスから選定することが原則です。ISMAPはクラウドサービス単位の評価制度であり、国内のデータセンター事業者全体を対象とする新認証構想と同一ではありません。既存制度の仕組みは、セキュリティ対策LabのISMAPの評価基準と運用の解説でも整理しています。

また、自治体のIT機器・クラウド調達についても、サプライチェーン・リスクを評価するルールの整備が進んでいます。セキュリティ対策Labは自治体の中国製IT機器調達に関する報道と制度の違いを取り上げています。ただし、この分野では「中国製品を排除」とする初期報道と、その後の制度文書との間に違いがあります。新たなデータセンター認証についても、報道上の「事実上排除」と、制度で明文化される審査条件を分けて検証する必要があります。

海外でも共通の考え方があります。欧州ネットワーク情報セキュリティ機関（ENISA）はクラウドサービス向け認証制度「EUCS」の候補案を示しており、IaaS、PaaS、SaaSに横断的なセキュリティ基準と保証レベルを設ける構想を説明しています。ただし、参照したENISA資料は候補・草案段階の説明であり、EUCSがすでにEU全域で運用されているとの意味ではありません。

国内のクラウド障害が示す、認証とは別の課題

経済安全保障上のリスクとは別に、国内事業者でもクラウドの停止やデータ復旧の問題は起こります。2026年10月にはIDCフロンティアの「IDCFクラウド」への不正アクセスが起こり、東日本リージョン1の利用企業・自治体に影響しました。10月18日にはバックアップサービスの再開が発表された一方、スナップショット機能の停止が続いています。詳細はIDCFクラウド第6報とバックアップ再開の状況で報じています。

これは中国・ロシア系企業による攻撃や関与を示す事例ではありません。国内で運用されるサービスであっても、障害の封じ込め、バックアップの独立性、別環境への復旧能力を評価しなければならないことを示しています。

一方、日本政府が検討する高機密情報向けソブリンクラウドは、重要データをどこで処理するかに加え、アクセス権限や運用権限を誰が保持するかという問題に対応する構想です。今回の認証報道も、国内設置の確認だけでなく、データと運用の統制権を検証する流れの中で捉える必要があります。

データセンター・クラウド選定で企業が確認したい6項目

金融機関、医療機関、大規模な個人情報を扱う企業がサービス選定・契約更新で確認したいのは、少なくとも次の項目です。

審査項目	確認する内容
出資・支配関係	契約先の親会社、実質支配者、再委託先、外国政府による所有・支配・影響の有無
データへの法的アクセス	保存・処理国だけでなく、親会社・運用拠点に適用される法律、公的機関への開示要請への対応方針
運用管理者の権限	国外からの特権アクセス、保守委託の権限、操作ログ、顧客による承認・停止機能
暗号鍵とデータの管理	鍵の保管場所・管理主体、事業者管理者による復号の可否、バックアップとログの配置
障害時の継続・撤退	リージョン障害時の復元可否、バックアップの分離、契約解除・制裁・保守停止時の移行手順
証跡と第三者評価	ISMAP、ISO/IEC 27001・27017などの評価範囲、監査報告、サプライチェーンの説明資料

新制度の詳細が示された場合は、認証の対象がデータセンター施設なのか、クラウドサービス単位なのか、運用主体や再委託先も評価に含むのかを確認することになります。金融機関・自治体・官公庁向けシステムを提供する企業は、顧客の調達要件への反映と、自社サービスが利用する認証対象基盤を併せて確認する必要があります。既存のISMAP登録やISO認証があるだけで、新制度に自動的に適合すると判断しないよう注意が必要です。