<aside> ⚖️

TokyoBrainie’s verdict｜判定

2027年度以降に導入予定のデータセンター・クラウド安全認証を、中国系サービスの事実上の排除、経済安全保障、データ主権、ISMAPとの関係、日本株への影響から検証する。

方向は妥当。ただし、国籍による排除を目的にすれば不十分。管理権限・法域・暗号鍵・復旧能力を、米国系・日本系を含む全事業者へ同じ物差しで問う制度にすべきだ。

</aside>

Security is not a flag. It is the demonstrable ability to keep control of data, keys, operations and recovery under pressure.

• Read the Full Analysis in English｜英語全文を読む
• 阅读全文（简体中文）｜中国語全文を読む

まず、何が決まったのか

日本経済新聞は、政府がデータセンター（DC）とクラウドサービスの安全性を評価する認証制度を創設し、総務省と経済産業省が2027年度以降の導入を目指すと報じた。金融・医療など重要な個人情報を扱う企業には、認証済みサービスの利用を促す構想だ。報道では、中国系サービスは事実上認証を取得しにくくなるとされる。[1]

ここで大事なのは、現時点では制度の詳細基準が未公表だという点である。「中国企業を法律で一律禁止する」と決まったわけではない。また、今回の報道はDC・クラウドサービスの認証であり、中国製サーバー、メモリー、通信機器を直ちに全面排除する制度ではない。機器の供給網まで評価対象に入るかは、今後の設計を確認する必要がある。

なぜ新制度が必要なのか

クラウドの安全性は、サーバーが日本国内に置かれているかだけでは決まらない。

• 海外本社や国外拠点から管理者権限を行使できる
• 親会社が外国政府からデータ提出を強制される
• 暗号鍵を事業者側が保持する
• 保守・監視・障害対応が国外の要員に依存する
• 再委託先やバックアップ先が見えない
• 有事に契約、更新、復旧支援が止まる

政府の経済安全保障に関する提言も、DCとクラウドを大量のデータを処理・保存する社会・経済活動の基盤と位置づけ、防護措置の検討が必要だとしてきた。[2]

つまり今回の政策は、単なる「ハッキング対策」ではない。データ主権と事業継続性の審査である。

中国系を外す合理性はあるか

ある。ただし、それだけでは足りない。

中国では国家情報法、サイバーセキュリティ法、データ安全法などにより、企業が国家機関の要求から完全に独立していると外部から確認することが難しい。技術的な防御が強くても、親会社・運用要員・管理権限がその法域の影響下にあれば、金融・医療・防衛・重要インフラの機微データを預けるリスクは残る。