「さくらのクラウド」正式採用が問いかけるもの—日本は今、クラウド主権の岐路に立っている

令和8年3月27日、デジタル庁はガバメントクラウドの第5の担い手として、さくらインターネットの「さくらのクラウド」を正式採用した。この一報を、私はシンプルな「1社追加ニュース」として読むべきではないと考えている。

ガバメントクラウドとは何か？

そもそも、ガバメントクラウドとは何か。一言でいえば、国と地方自治体が共通で使うデジタル基盤インフラである。税務・住民基本台帳・福祉など、かつてバラバラに構築されていた行政システムを、標準化してクラウドへ移行させる国家規模のプロジェクトだ。令和3年（2021年）から本格始動し、運用コスト削減・セキュリティ向上・迅速なシステム更新という三つの目標を掲げている。

選定のハードルは、けっして低くない。事業者は まずISMAP（政府情報システムのためのセキュリティ評価制度）への登録が前提となる。ISMAPは、ISO/IEC 27001などの国際基準に日本独自の統一基準を加え、第三者評価機関が審査する制度だ。しかし、ガバメントクラウドはさらにその上に305項目に及ぶ技術要件・非機能要件・監視体制を課している。これは「セキュリティ認証を持っている」だけでは通過できない、行政専用のクラウドとして機能するための適合審査である。

さくらのクラウド正式採用—何が起きたのか？

令和5年（2023年）、デジタル庁はさくらのクラウドを「条件付き」で採択した。技術力の見極めを兼ねた、いわば試験採用である。令和7年度末（2025年度末）までに全要件を満たすことが義務付けられ、今回それを完全にクリアしたことが確認された。

その結果、ガバメントクラウドの提供事業者は合計5社となった。AWS・Google Cloud・Microsoft Azure・Oracle Cloud Infrastructureという外資4社に、国産企業として初めてさくらのクラウドが加わったのだ。松本デジタル大臣が会見で「国産が入ることは国民の安心感にもつながる」と述べた言葉は、技術論を超えた政治的シグナルでもある。

クラウド主権という本質—なぜこれが重大な問題なのか

AWSやGoogle Cloudは優れたサービスだ。しかし、それらは米国企業であるという事実から逃れられない。米国では2018年にCLOUD Act（クラウド法）が成立しており、米国企業は米国の法執行機関から要請があれば、データの保存場所が例え日本国内であっても、そのデータを提出する義務を負う。「日本のサーバーにあるから安全」という直感は、法的には必ずしも正しくないのだ。

さらに、地政学的リスクも現実として存在する。米国が特定の国や企業に制裁を発動した場合、そのサービスの継続性が脅かされる可能性を完全には排除できない。医療・行政・インフラという国民生活の根幹に関わるシステムが、外国の法制度や外交政策の影響下に置かれる構造は、主権国家としての脆弱性と言わざるをえない。

さくらのクラウドは日本企業であり、日本国内のデータセンターを基盤としている。原理的に、外国法の域外適用リスクは低い。これがいわゆるクラウド主権（ソブリンクラウド）の概念であり、EUが強力に推進している方向性とも一致する。日本のガバメントクラウド要件はEU諸国と比べてまだ緩やかではあるが、今回の選定は、その意識が政策に反映された第一歩として評価できる。

経済安全保障と産業育成—官庁が果たすべき役割

技術・安全保障の観点だけではない。国内クラウド産業の育成という視点も、今回の意思決定の背景にある。

デジタル庁が当初、外資4社しか選べなかったのは技術要件の厳しさゆえだった。国内企業にとって、ガバメントクラウドという極めて高い基準への対応は、事業規模・投資力・技術人材の面で容易ではなかった。しかし、さくらのクラウドが2年以上をかけてその壁を乗り越えたことは、民間企業の技術蓄積として極めて大きな意味を持つ。

「官庁は国内企業を育てる責任を持つ」という考え方は、単なるナショナリズムではない。特定の外国事業者に過度に依存したデジタルインフラは、長期的に見て交渉力の非対称性・価格支配力・技術従属というリスクをはらむ。競争環境を整え、国産技術が伸びる余地を作ることは、市場原理とは別次元の公共的使命だ。

課題と今後の展望—楽観だけでは終われない

もちろん、課題は残る。ガバメントクラウド全体の移行は令和7年度末が目標だったが、一部自治体での遅れも指摘されている。さくらのクラウドが本番環境を提供し始めても、実際の移行スケジュール・コスト透明性・セキュリティ運用の実態は、今後継続的に検証されなければならない。

また、305項目をクリアしたことと、大規模トラフィックへの実運用耐性は別の話だ。国民生活を支えるシステムが安定稼働し続けるためには、障害対応・ベンダーサポート体制・継続的なアップデート能力など、運用フェーズでの証明が不可欠である。

結論—「1社追加」ではなく「主権の第一歩」として読む

さくらのクラウドの正式採用は、技術競争の勝利であると同時に、日本がデジタル主権を自前で構築し始めた象徴的な起点である。外資依存からの完全脱却を意味するわけではないが、選択肢を持つことの意味は大きい。依存から多様化へ、単一ベンダーリスクの低減へ、そして国内技術力の底上げへ——この流れが一過性のニュースで終わらないよう、後に続く国内事業者が育ち、真の競争環境が整うことを、引き続き注視していきたい。