日本政府は、電力網機器に続き、データセンターやクラウドにもセキュリティ認証を導入する方針を示し、中国系企業の参入障壁を高めている。重要な個人情報を扱う金融機関や医療機関に対して、政府が認証したサービスの利用を推奨し、データ管理に関する審査・監督も強化する方針である。特定国を直接禁止するのではなく、認証をサービス選択の基準とするよう促す形だ。
20日、日経新聞によると、日本政府は国内のデータセンター事業者と日本にサーバーを持つクラウドサービス提供者を対象に、2027年度（2027年4月開始）以降、安全認証制度を導入する計画である。事業者の企業情報や情報漏洩を防ぐためのリスク管理体制、設備調達先などを審査し、安全性を認証する方針が検討されている。政府は、安保に関わる重要な個人情報を扱う金融機関や医療機関、研究所などに認証を受けた事業者との契約を推奨する考えだ。日経は、中国やロシアなどの影響下にある企業を事実上排除する制度になると分析している。
さらに、日本政府は重要な個人情報を保存・提供する企業に対して、データの保管・管理状況を事前に報告することを義務付ける方針である。政府は報告内容を審査し、情報漏洩の恐れがあると判断した場合、該当データの保管・提供を中止するよう命令または勧告できるようにする計画だ。2027年1月に召集される定期国会に経済安全推進法改正案を提出し、法改正に合わせて新たな認証制度を運用する予定である。認証を受けたサービスを利用するかどうかは企業が決定するが、重要な個人情報を扱う企業はデータ管理状況を政府から審査・監督されるため、認証を受けていないサービスを選択することは難しいと日経は説明している。
制度導入の背景には、データセンター・クラウドの利用拡大とセキュリティへの懸念がある。生成型人工知能（AI）の普及により、日本でもデータセンターの建設が本格化しており、世界のクラウド市場では米国のアマゾンやマイクロソフトに加え、中国のアリババが台頭している。しかし、日経によれば、日本にはこれまで重要データを保存・処理するデータセンター・クラウド事業者全般を管理する制度が存在しなかった。中国など安全上の懸念がある国の影響下にあるサービスが広がると、緊急時にサイバー攻撃で情報が漏洩したり、サービスが停止する可能性が指摘されてきた。
日経は、中国資本で設立された企業が中国の法律に基づき、中国政府の情報収集に協力しなければならない懸念を伝えた。中国国家情報法は、国家の情報収集活動に協力する義務を課している。国防動員法は、緊急時に中国政府が要求すれば、企業が施設や設備を国家に提供することを規定している。
日本政府は、経済産業省傘下の情報処理推進機構（IPA）が運営する『JC-STAR』を参考に新たな認証制度を整備する計画である。JC-STARは、ネットワーク機器を含むIoT製品のセキュリティレベルを評価して認証する制度である。特定国の製品を排除する規定はないが、日経によれば、これまで認証を受けた中国製品は存在しない。日本は2027年4月から電力網に接続する太陽光発電・エネルギー貯蔵装置（ESS）などの設備にJC-STARの基本グレードであるレベル1基準の適合を義務付ける予定である。JC-STARは等級に応じて審査要件が異なる。レベル1とは異なり、行政機関・重要インフラ用の上位等級ではソフトウェア構成要素に対する評価機関の審査が必要であり、取得のハードルが高いと日経は説明している。
地方自治体の情報機器購入基準も強化する方向である。日本総務省は、自治体が機器を購入する際、供給業者と製品のセキュリティリスクを調査・管理することを義務付ける方針を示した。製造国を基準に購入を制限することはないが、自らリスクを管理することが難しい自治体には、JC-STARや政府のクラウドセキュリティ評価制度である『ISMAP』の認証リストから製品・サービスを選択するよう推奨する。日経は、これにより一部の海外製品の納入機会が大幅に減少する可能性があると指摘している。
ただし、日本企業が運営するクラウドでも大規模なサイバー攻撃の被害が発生している。ソフトバンクの子会社IDCフロンティアは今月7日、ランサムウェア攻撃を受け、サービスを利用する企業・自治体495か所に被害が及んだ。会社は8日、一部の顧客データは顧客が別途保管したバックアップがなければ復元が難しいと明らかにした。新たな認証制度が外国政府の影響力だけでなく、事業者が実際に攻撃を防ぎ、被害を復旧する能力をどれだけ充実して検証できるかが課題として残る。
一方、最近、日本政府が中国企業を対象にセキュリティ認証を強化するのは、中国との関係が悪化している中でのことである。日本と中国は昨年、高市早苗総理の『台湾有事発言』により両国間の関係が悪化し、様々な制裁を行い合い、関係が大きく冷却した状態である。
* この記事はAIによって翻訳されました。
