日本政府、高機密情報向け「ソブリンクラウド」導入へ　米英の機密クラウド戦略から見るAI・データ主権

日本政府は2026年7月に決定した「日本成長戦略」で、機密性の高い情報を扱うために必要な情報保全・秘密保全措置を講じた「高機密ソブリンクラウド（仮）」の導入に向けた検討を明記しました。政府は、自律的な運営・管理を確保した上でクラウド技術をどう活用するかを早急に検討し、2026年中に最適な調達・契約・運用方法について一定の結論を得る方針です。

背景にあるのは、AI時代の国家安全保障では「機密情報を閉域網に置いて守る」だけでは十分ではなくなりつつあるという構造変化です。衛星、無人機、サイバー、電磁波などから生じる大量のデータを短時間で統合・分析し、意思決定へつなげるには、大規模な計算資源とデータ基盤が不可欠です。

米国防総省はAWS、Google、Microsoft、Oracleの4社と契約するJoint Warfighting Cloud Capability（JWCC）を通じ、非機密からSecret、Top Secretまで商用クラウド技術を利用できる調達環境を整えています。英国防省も「Cloud Strategic Roadmap for Defence」で、すべての機密区分にわたってハイパースケールクラウドを利用する方針を示し、現在はSECRET情報を扱うSecret Community Cloudの開発を進めています。

一方、日本が米英のモデルをそのまま導入すればよいわけではありません。外国企業への依存、国外法令の影響、暗号鍵や管理権限、運用人員、サプライチェーン、ベンダーロックイン、有事のサービス継続性など、国家レベルで管理すべき論点が残ります。

「クラウドかオンプレミスか」という二者択一ではなく、「機密情報を扱いながら、AI時代に必要な計算能力をどの主体の管理下で確保するか」が本質的な論点になっています。

高機密ソブリンクラウド構想のサマリー

• 日本政府は2026年7月の「日本成長戦略」で「高機密ソブリンクラウド（仮）」の導入に向けた検討を明記しました。
• 政府文書で確認できるのは、情報保全・秘密保全措置を備え、自律的な運営・管理を確保したクラウドの導入方針です。
• 2026年中に最適な調達・契約・運用方法について一定の結論を得るとしています。
• 現時点で、特定の米国クラウド事業者を採用することや、具体的な製品・サービスを導入することが政府から正式発表されたわけではありません。
• 米国防総省はJWCCでAWS、Google、Microsoft、Oracleの4社を採用し、非機密、Secret、Top Secretの3分類に対応する商用クラウド調達基盤を整備しています。
• JWCCの契約上限は最大90億ドルで、米本土のエンタープライズ環境から戦術的エッジまでを対象としています。
• 米陸軍ATECは2025年2月、Data MeshについてDoD Impact Level 6（IL6）の運用承認を取得し、Secretレベルのデータをクラウド環境で保存・処理・分析できる体制を構築しました。
• 米国防総省は生成AIについて180を超えるユースケースを把握し、ソフトウェア開発、戦闘被害評価、機密データを含む文書要約などへの利用可能性を検討しています。
• 英国防省は、OFFICIALだけでなくSECRET、TOP SECRETまでクラウド活用を拡大する戦略を掲げています。
• 英国では2026年3月以降、SECRET情報を扱うSecret Community Cloudの開発が進められています。現時点で「全面展開済み」とするのは正確ではありません。
• 米国CLOUD法は、米政府が米系クラウドのデータへ無制限にアクセスできる法律ではありません。有効な米国法上の手続きを前提に、米国の管轄下にある事業者が保有・管理するデータについて、保存場所にかかわらず開示を求められる場合があります。
• データを国内に保存するだけでは、法的管轄や運用主体を含む「データ主権」の問題は解消しません。
• 一方、BYOKなど顧客管理型の暗号鍵を使えばクラウド事業者が必ずデータを復号できなくなる、という理解も正確ではありません。
• ソブリンクラウドでは、データ所在地だけでなく、暗号鍵、ID、管理者権限、ログ、運用要員、法的管轄、障害時の継続性、他社への移行可能性まで含めて「誰が実効的に支配できるか」を設計する必要があります。

項目	日本	米国	英国
基本方針	高機密ソブリンクラウド（仮）の導入に向け制度・調達方法を検討	JWCCを通じ商用クラウドを国防用途へ本格導入	Defence Cloud戦略で全機密区分へのクラウド活用を推進
現在の段階	2026年中に調達・契約・運用方法について一定の結論	4大クラウド事業者との契約を運用	OFFICIALの利用実績を基にSECRET／TOP SECRETへ拡大
主なクラウド事業者	現時点で正式決定を確認できず	AWS、Google、Microsoft、Oracle	複数の民間クラウド技術を活用
機密情報への対応	情報保全・秘密保全措置を備えた高機密環境を検討	JWCCでUnclassified、Secret、Top Secretに対応	OFFICIAL、SECRET、TOP SECRETの3分類
代表的な機密クラウド事例	高機密ソブリンクラウド（仮）	JWCC、ATEC Data Mesh IL6	Secret Community Cloud
AIとの関係	高機密データを含むAI活用基盤として重要性が増大	CDAO、Task Force Lima、JWCCなどを通じAI利用を推進	Digital Backbone、Defence AI戦略とクラウドを連携
主な課題	主権、外国事業者依存、秘密保全、調達・運用体制	大規模商用クラウドへの依存、サプライチェーン、継続性	米系クラウド依存、競争環境、データ主権、移行性

日本政府は「米国企業のクラウド採用」をまだ正式決定していない

2026年7月21日に決定された「日本成長戦略」では、機密性の高い情報について、自律的な運営・管理を確保した上で、必要な情報保全・秘密保全措置を講じたクラウドの導入を進める方針が示されました。

政府はこの構想を「高機密ソブリンクラウド（仮）」と位置付け、クラウド技術等の活用方法を早急に検討し、2026年中に政府として最適な調達・契約・運用方法について一定の結論を得るとしています。

重要なのは、この段階では「どの事業者の、どのクラウドを使うか」まで正式決定していないことです。

防衛省が民間クラウドを活用して機密情報のAI分析を進め、2027年度以降の移行に向けて準備するとの内容は国内メディアで報じられていますが、政府の成長戦略そのものは特定の米国企業やサービス名を指定していません。

したがって現段階では、「米国企業のクラウドへ日本の防衛機密を移すことが決まった」と整理するより、「高機密情報で商用クラウド技術を利用するための主権・秘密保全・調達モデルを政府が設計している段階」と見る方が正確です。

日本が求める「ソブリン」は国産クラウドだけを意味しない

「ソブリンクラウド」という言葉から、日本企業が国内データセンターだけで構築するクラウドを想像しがちですが、政府が示す「自律的な運営・管理」という要件は、それより広い概念として捉える必要があります。

国家安全保障で問われるのは、サーバーがどの国に置かれているかだけではありません。暗号鍵、特権管理者、ログ、更新権限、法的管轄、サプライチェーン、サービス継続性、他環境への移行可能性まで含め、国家が実効的な統制権を持てるかが焦点になります。

外国企業の技術を利用しながら、政府側が運用、暗号、ID、監査、契約、継続性を実効的にコントロールする構成も考えられます。一方、国内データセンターを利用していても、重要な管理権限やソフトウェア更新を国外の主体へ依存していれば、主権上の論点は残ります。

なぜ機密情報までクラウド化するのか　背景にAIと「意思決定速度」

軍事・安全保障分野でクラウド利用が拡大している最大の理由の一つが、AIとデータ分析です。

衛星画像、無人機のセンサーデータ、レーダー、サイバー脅威情報、電磁波情報、公開情報など、現代の安全保障環境で処理するデータ量は急速に増えています。

これらを個別の閉域システムに分散して保管しているだけでは、異なるデータを横断的に分析し、短時間で意思決定へ反映することが難しくなります。

米国防総省はAI導入の目的として「Decision Advantage（意思決定上の優位）」を掲げています。2023年には、生成AIについて180を超える利用可能性を把握していると説明し、ソフトウェアのデバッグ・開発、戦闘被害評価の高速化、公開情報と機密データセットからの文書要約などを例示しました。

クラウド化は単なるサーバーの外部委託ではなく、「大量の機密データをAIへ安全に供給できるデータ基盤」を構築する政策でもあります。

関連：AI 企業 パランティアとは 脅威と戦略は-その眼は英知の眼か破滅の眼か

米国は4社の商用クラウドをSecret・Top Secretまで利用

米国防総省の代表例がJoint Warfighting Cloud Capability（JWCC）です。

国防総省は2022年12月、Amazon Web Services、Google、Microsoft、Oracleの4社にJWCC契約を付与しました。

契約は最大90億ドルの上限を持つマルチベンダー方式で、国防総省の各組織は案件ごとに必要なクラウド能力を調達できます。

対象は一般的な非機密情報だけではありません。DoDはJWCCについて、

Unclassified、Secret、Top Secretのすべての機密区分に対応し、米国本土のエンタープライズ環境から戦術的エッジまでクラウド能力を提供するものと説明しています。

米国は「機密情報だから商用技術を使わない」のではなく、商用クラウドの計算能力や開発速度を利用しながら、機密区分ごとにネットワーク、認証、施設、人員、暗号、監査などの要件を変えています。

DoD Impact Level 6でSecretデータをクラウド処理

米国防総省では、クラウドで扱う情報の種類や影響度に応じてImpact Level（IL）を設定しています。

JWCCの調達説明では、IL6をSecret情報に対応するレベルとして位置付けています。

米陸軍Test and Evaluation Command（ATEC）は2025年2月、ATEC Data MeshについてIL6のAuthority to Operate（ATO）を取得しました。これにより、Secretレベルの機密データをクラウド型のデジタル基盤上で保存、処理、分析、可視化できるようになりました。

同システムは2023年11月からIL5で運用されていましたが、IL5ではControlled Unclassified Information（CUI）が対象でした。IL6への移行によって、Secret情報まで扱える範囲を広げています。

なお、IL6を単純に「物理的に完全分離されたクラウド」と定義するのは適切ではありません。具体的な要件はネットワーク接続、データ分離、認証、運用など複数の統制によって構成されます。

JWCCの「マルチクラウド」はベンダーロックインを自動的に解消しない

JWCCの大きな特徴は、複数のクラウド事業者が案件ごとのタスクオーダーを競争できる「マルチベンダー調達」です。

これは政府が単一事業者だけに調達先を固定するリスクを軽減します。

一方、あるワークロードがAWS、Azure、Google Cloud、Oracle Cloudの間を容易に移動できることまで保証する仕組みではありません。

特定事業者のデータベース、AI、IAM、監視、サーバーレスなどの独自サービスを深く利用すれば、技術的なロックインは依然として生じます。

英国のCompetition and Markets Authority（CMA）も、2025年のクラウド市場調査でAmazonとMicrosoftが大きな市場力を持つとし、データ転送料、相互運用性、スイッチング、マルチクラウドをめぐる障壁を指摘しました。

国家レベルのクラウドでは、複数社と契約するだけでなく、データ形式、API、コンテナ、ID、監査ログ、暗号鍵などについて、将来的な移行可能性をどこまで確保するかが重要になります。

英国防省もSECRET・TOP SECRETへクラウド利用を拡大

英国防省は2023年に「Cloud Strategic Roadmap for Defence」を公表しました。

同ロードマップでは、国防のDigital Backboneを構築するうえで、すべての機密区分にわたるハイパースケールクラウド能力が重要だと明記しています。

公表時点で、英国防省は400を超えるOFFICIALレベルのワークロードをパブリッククラウドへ移行しており、その経験を基にSECRET、TOP SECRETへの移行を加速する方針を示しました。

英国政府の情報分類はOFFICIAL、SECRET、TOP SECRETの3段階です。SECRETでは高度な能力と意図を持つ攻撃者を想定した強化された保護統制が求められ、TOP SECRETではさらに高い保証水準が要求されます。

英国も「最高機密ならクラウドを利用しない」のではなく、情報分類に合わせて保護水準を引き上げながらクラウド能力を利用する方向へ進んでいます。

Secret Community Cloudは2026年3月に「開始」ではなく開発中

英国政府のデジタル政府ロードマップでは、「2026年3月から、SECRET区分で業務を行うためのSecret Community Cloudを開発する」としています。

2026年1～3月期の政府進捗報告でも、国防省がSecret Community Cloudを開発中と説明しています。

したがって、2026年3月にSecret Community Cloudが全面的に運用開始・展開されたとするのは正確ではありません。

現時点では、国防省がNational Security Digital Centreの支援を受け、国家安全保障コミュニティや公共部門がSECRET情報を扱うための共通クラウド環境を開発している段階です。

また、SCCは名称の通りSECRET区分を対象とする構想であり、これを英国のTOP SECRET向けクラウドそのものと同一視することも避ける必要があります。

CLOUD法は「米政府が自由にクラウドを見る法律」ではない

米国企業のクラウドを国家機密へ利用する際、必ず論点になるのがCLOUD Actです。

CLOUD法は2018年に成立し、Stored Communications Actを改正しました。

米司法省の説明では、米国の管轄下にあるクラウドサービス事業者は、有効な米国の法的手続きに応じる場合、その事業者のpossession, custody, or control、つまり保有・管理下にあるデータについて、米国外に保存されていても提出を求められる可能性があります。

ここから「日本国内のデータセンターに置いてもCLOUD法の影響を受け得る」というデータ主権上の論点が生まれます。

一方、「米国企業を利用すると米政府がいつでも自由にデータを閲覧できる」という説明は正確ではありません。開示には米国法上の有効な手続きが必要であり、対象データが事業者の保有・管理下にあるか、どの法人が契約主体かなど、具体的な法的・技術的構成によって評価は変わります。

英米データアクセス協定はCLOUD法のリスクを消す制度ではない

英国と米国はCLOUD Actに基づくデータアクセス協定を締結し、2022年10月3日に発効しました。

この協定により、両国の捜査当局はテロや重大犯罪の捜査など一定の条件下で、相手国の対象事業者へ電子データを直接請求できる枠組みを持っています。

しかし、この協定があるから米国法によるデータ主権上の論点が解消されたわけではありません。

同協定は重大犯罪への対処を目的とする法執行協力の枠組みであり、英国政府の国家機密クラウドを米国法の影響から包括的に除外する制度ではありません。

日本が高機密クラウドを設計する際にも、データローカライゼーション、契約法、国外法令、政府間協定をそれぞれ別のレイヤーとして評価する必要があります。

BYOKなら事業者が復号できない、とは限らない

クラウドのデータ主権対策として「Bring Your Own Key（BYOK）を利用し、政府だけが暗号鍵を管理すればクラウド事業者はデータを読めない」と説明されることがあります。

しかし、BYOKはそれだけでクラウド事業者から平文データへのアクセス可能性を排除する仕組みではありません。

英国NCSCはクラウドの鍵管理について、クラウド事業者のKMS内部で生成された鍵の利用を基本的に推奨しており、BYOKは必ずしも追加のセキュリティを提供せず、むしろ管理の複雑性を増やす可能性があると説明しています。

重要なのは「誰が鍵を作ったか」だけではなく、鍵を利用する権限、復号API、処理中の平文、特権管理者、鍵の停止・破棄権限などです。

本当にクラウド事業者から平文へのアクセスを技術的に遮断することが要件なら、クライアントサイド暗号化、外部鍵管理、秘密計算などを含め、処理方式そのものを設計する必要があります。

「BYOK＝データ主権」という単純な図式では不十分です。

英国NCSCの14原則は「義務」ではなくクラウド評価の指針

英国立サイバーセキュリティセンター（NCSC）は、クラウドサービスを安全に選定するための「14 Cloud Security Principles」を公開しています。

通信中データの保護、資産保護とレジリエンス、顧客間の分離、ガバナンス、運用セキュリティ、サプライチェーン、IDと認証、管理インターフェース、安全なサービス利用などを評価する枠組みです。

ただし、14原則を「すべての英国公的機関に法的に義務付けられた適合制度」と説明するのは正確ではありません。

NCSCは、特に機微なデータをクラウドへ置く場合に、サービス事業者が自組織のセキュリティ要件を満たしているかを評価するためのガイダンスとして14原則を提示しています。

また、クラウド事業者が安全であっても、利用者側がテナント、ID、権限、ネットワークなどを安全に設定する責任は残ります。

セキュリティ対策Labでは、政府情報システム向けのクラウド評価制度についてISMAPとは？政府の情報システムに求められるクラウドセキュリティ評価制度を解説で整理しています。

高機密情報向けクラウドでは、既存の政府クラウド評価に加え、秘密保全、人的クリアランス、暗号、閉域接続、サプライチェーンなど、より厳格な統制が必要になります。

「オンプレミスなら安全」という前提も崩れている

機密情報をクラウドへ置くことに不安が生じるのは自然ですが、比較対象となるオンプレミス環境を無条件に安全とみなすこともできません。

自前システムでは、ハードウェア更新、OS、脆弱性対応、監視、ログ、バックアップ、物理セキュリティなどを組織自身で継続的に維持する必要があります。

さらに、インターネットから隔離された閉域網であっても、USBメモリ、保守端末、サプライチェーン、内部不正などを経由する侵害リスクは残ります。

セキュリティ対策Labでは、自衛隊、機密端末50台以上に中国製マルウェアが混入したUSBへ約1年間接続として、クローズ系環境でも外部媒体を介したリスクが生じる事例を取り上げています。

閉域であることは重要な防御策の一つですが、それ自体が安全性を保証するわけではありません。

日本にとって最大の論点は「米国依存」より「実効支配」

日本の高機密ソブリンクラウドを考える際、米国製クラウドへの依存は重要な論点です。

しかし、「外国製か国産か」だけに議論を絞ると本質を見失います。

仮に国産クラウドを採用しても、その基盤を構成するCPU、GPU、仮想化ソフトウェア、ネットワーク機器、AIモデル、暗号モジュール、監視ツールの多くを国外技術へ依存する可能性があります。

逆に米国のハイパースケーラーを利用しても、日本政府専用の運用体制、政府側の独立したID・鍵・監査管理、厳格な契約上の統制、代替環境への移行手段などを組み合わせることで、依存リスクを低減できる余地があります。

重要なのは、危機発生時に日本政府が自ら意思決定できる範囲です。

外国政府の政策変更、ベンダーのサービス停止、海外通信の断絶、重大インシデントなどが発生しても重要任務を継続できるか。アカウント、暗号鍵、ログ、データ移行を政府自身が制御できるか。ソブリン性を測る指標は、企業の国籍だけでなく「国家が必要な時にどこまで実効的な統制権を行使できるか」に置く必要があります。

高機密クラウドは「AIの戦力化」を支える国家インフラになる

米国では、JWCC、CDAO、データ基盤、AI政策が別々に存在しているわけではありません。

商用クラウドの計算能力を調達し、軍が保有するデータを整理し、安全な環境でAIへ供給し、そこで得られた分析を司令部から戦術的エッジまで利用する一連のデジタル基盤を構築しています。

英国も同様に、クラウドをDigital Backboneの中核に位置付けています。

日本の高機密ソブリンクラウドも、単なる「秘密文書の保存場所」になれば戦略的価値は限定されます。

衛星、無人機、サイバー、電磁波、画像、文書などの異種データを統合し、AIモデルが安全に利用できる形に変換し、その分析結果を必要な組織へ短時間で届けるところまで設計できるかが重要です。

セキュリティ対策Labでは、防衛省、サイバー攻撃を想定した大容量通信網を整備でも、防衛省が大量データの流通と継続的な指揮統制を支える通信基盤を強化する動きを取り上げています。

高機密クラウドは、この通信基盤とAI・データ基盤を結ぶ国家安全保障インフラとして捉える必要があります。

日本政府が制度設計で確認すべき7つの論点

日本政府が2026年中に調達・契約・運用方法について結論を出すのであれば、少なくとも次の論点を切り分ける必要があります。

1. データ分類：どの秘密区分までクラウド利用を認め、情報ごとにどのセキュリティ要件を適用するか。
2. 法的管轄：データ所在地だけでなく、契約主体やクラウド事業者が受ける国外法令をどう評価するか。
3. 暗号と鍵管理：誰が復号可能か、処理中の平文へ誰がアクセスできるか。
4. 運用主権：特権管理者、障害対応、パッチ適用、ログ、監査について政府がどこまで統制権を持つか。
5. サプライチェーン：クラウド事業者だけでなく、半導体、ソフトウェア、保守会社、再委託先、運用人員をどう評価するか。
6. レジリエンス：大規模障害、通信障害、有事の国際通信制限などを想定し、国内・エッジ側で継続すべき機能をどう定義するか。
7. 出口戦略：価格、政策、技術、外交環境が変化した際に別のクラウドや政府管理環境へ移行できるか。

情報システム部門への示唆

高機密ソブリンクラウドは政府・防衛分野のテーマですが、民間企業のクラウド戦略にも共通する論点があります。

特に重要なのは、「国内リージョンだから安全」「BYOKだから事業者はデータを見られない」「マルチクラウドだからロックインしていない」といったラベルだけで評価しないことです。

クラウドの実効的な支配関係を確認するには、契約、技術、運用を横断して評価する必要があります。

情報システム部門では、データの保存地域とバックアップ地域、契約主体と適用法、国外法令、暗号鍵の生成・保管・利用・失効権限、クラウド事業者側の特権管理者アクセス、重要ログ、再委託先、障害時の代替手段、データ返却・削除、他環境への移行可能性、AIサービスへ投入したデータの保持・学習利用条件などを確認する必要があります。

政府分野ではさらに、秘密取扱者の適格性、物理施設、閉域接続、同盟国との情報共有条件などが加わります。

日本の高機密ソブリンクラウド構想は、「機密情報を民間クラウドへ置いてよいか」という議論だけでは捉えきれません。

AIによる意思決定速度を高めるために商用技術を取り込みながら、日本政府がデータとシステムに対する最終的な統制権を維持できるか。その設計が、今後の防衛・情報能力を左右する重要な論点になります。

出典

• 日本成長戦略 – 内閣官房
• Department of Defense Announces Joint Warfighting Cloud Capability Procurement – U.S. Department of Defense
• Joint Warfighting Cloud Capability Award Planned for December – U.S. Department of Defense
• ATEC Data Mesh achieves authority to operate at DoD Impact Level 6 – U.S. Army
• Remarks by Deputy Secretary of Defense Kathleen H. Hicks on the State of AI in the Department of Defense – U.S. Department of Defense
• Cloud Strategic Roadmap for Defence – UK Ministry of Defence
• Upgrading outdated legacy systems in key public services – UK Government
• Roadmap quarterly report: January-March 2026 – UK Government
• Government Security Classifications Policy – UK Government
• The Cloud Security Principles – UK National Cyber Security Centre
• Choosing and configuring a KMS for secure key management in the cloud – UK National Cyber Security Centre
• The Purpose and Impact of the CLOUD Act – U.S. Department of Justice
• Landmark U.S.-UK Data Access Agreement Enters into Force – U.S. Department of Justice
• CMA announces package of actions on business software and cloud services – UK Competition and Markets Authority
• ISMAPとは？政府の情報システムに求められるクラウドセキュリティ評価制度を解説 – セキュリティ対策Lab
• 防衛省、サイバー攻撃を想定した大容量通信網を整備 – セキュリティ対策Lab
• 自衛隊、機密端末50台以上に中国製マルウェアが混入したUSBへ約1年間接続 – セキュリティ対策Lab