防衛省が、これまで自前のシステムで管理してきた機密性の高い情報について、民間クラウドを利用した運用へ移行する方針であることが分かった。時事通信が8月1日に伝えた。

部隊の指揮や外国との情報共有に関する情報を対象とし、衛星や無人機の普及によって急増するデータを横断的に連携・分析するほか、人工知能（AI）の本格導入につなげる。2027年度予算で移行準備に必要な経費を要求する方針だ。

高機密情報はこれまで、セキュリティの問題から、クラウド上で扱わないことが原則とされ、利用を前提とした政府横断的な基準は整備されていなかった。

内閣官房の国家サイバー統括室は今年度中に、データの保管場所や管理権限を持つ担当者の要件、アクセス管理などを定める基準を整備する。基準は防衛省以外の政府機関にも適用し、情報の機密度に上限を設けず、特定秘密も対象とする方針だという。

背景には、防衛分野で扱うデータ量の増大と、自衛隊ごとに構築されてきた情報システムの分断がある。

防衛省が2025年7月に策定した「防衛省次世代情報通信戦略」は、基盤的な通信ネットワークである防衛情報通信基盤（DII）について、ネットワークとシステムが分かれて計画・整備されることが多く、運用ニーズの変化やデータ量の増大に対して都度変更を加えている実態があるとし、「運用ニーズの変化等に臨機に対応する効率的な情報通信リソースの割り当てが困難」だと指摘した。

陸海空の各自衛隊が個別のニーズに合わせてシステムを構築してきたため、「組織全体として横断的なデータ運用、情報共有や状況認識・把握等に制約がある」とも記している。

その上で同戦略は、将来的に「現状のオンプレミス型を主体としたインフラ整備を脱却し、ハイブリッド・クラウドへの移行を進める」と明記した。

つまり自前でサーバーやネットワーク機器を買い揃え、自らの管理施設内（オンプレミス）に設置・運用するシステム形態から、民間企業が提供するパブリック・クラウドを組み合わせて運用する形態へ移行される。

具体的には、2029年度をめどに進める省クラウドの整備で、新たな防衛情報通信基盤の構築を見据えた柔軟性を持たせる方針となっている。

予算面でも、クラウド化に向けた事業はすでに始まっている。

防衛省の「防衛力抜本的強化の進捗と予算　令和7年度予算の概要」によると、2025年度予算では「防衛省クラウド（仮称）基盤の整備」に970億円を計上しており、各自衛隊間の情報共有機能を強化し、一元的な指揮統制を可能にする狙いがある。陸上自衛隊のクローズ系クラウドでAIを活用する「陸自AI基盤の整備」にも29億円を盛り込んだ。

サイバー対策では、一過性の「リスク排除」から継続的な「リスク管理」へ考え方を転換する。情報システムの運用開始後も常時継続的にリスクを分析・評価し、必要なセキュリティ対策を実施するリスク管理枠組み（RMF）の実施に277億円を充てている。

情報保全の分野では、自衛隊員・防衛省職員（特定秘密を取り扱う者）が「情報を漏らすおそれがないか」を審査する適性評価を実施する体制の確立や、適性評価の申請・登録、保全区画への入退室を一元管理するシステムの導入に向けた調査研究も盛り込まれている。

また民間クラウドへの依存は、新たな安全保障上の課題を伴う。

防衛省の戦略は、民間技術について「見込まれる価値に応じた一定のリスクを甘受しつつも取り込む」とする一方、外国製品のシェア拡大や国内製品の海外開発を踏まえ、「サプライチェーンの脆弱性を悪用したセキュリティ・リスクの可能性」を指摘している。

防衛省の自前システムをめぐっては、2020年秋に中国共産党軍のサイバースパイが自衛隊の機密性の高いシステムに侵入していたのを、米国家安全保障局（NSA）が発見したと米紙ワシントン・ポストが2023年8月7日に報じた。同紙は元米高官らの話として、攻撃側が深く継続的にアクセスし、防衛計画や能力、軍事上の弱点に関する情報を狙っていたと伝えた。

ITmedia NEWSによると、これに対し松野博一官房長官は同月8日の記者会見で、「報道は承知している。サイバー攻撃により防衛省が保有する機密情報が漏えいした事実は確認していない」と述べた。米国との連携については「詳細については事柄の性質上、答えは差し控える」とした。国際ジャーナリストの山田敏弘氏はForbes JAPANに寄稿し、松野氏が中国軍によるシステム侵入の有無についてはコメントしなかったと指摘している。

米国防・安全保障専門メディアBreaking Defenseによると、米国防総省は日本に先行し、複数の民間クラウドを機密情報の運用に利用している。

2022年12月には、AWS、グーグル、マイクロソフト、オラクルの4社に「統合戦闘クラウド能力」（JWCC）を発注した。契約総額は最大90億ドルである。2024年10月時点で、米国の機密区分のうち上から2番目にあたる「Secret」の情報を扱える認可（インパクト・レベル6、IL6）を得ていたのはオラクル、マイクロソフト、AWSの3社で、グーグルが2025年初めに続く見込みと報じられた。

国防情報システム局（DISA）でJWCCの統合プログラムを率いるジョン・ホール中佐は、4社すべてがIL6で運用できることについて、ベンダーロックインを防ぎ、業務ごとに適した事業者を選べるようになり、料金面での競争も可能になると説明した。

アクセンチュアが公開した解説記事「政府機関向けパブリッククラウドに関する制度の動向（後編）」によると、欧州では、米国企業への依存や法的管轄、政府によるサービス遮断の可能性をめぐり、「主権クラウド」の議論が続いている。

米国のCLOUD Actでは、米国の司法管轄権に服する事業者に対し、国外に保存されたデータの開示を命じる手続きが定められている。データが日本国内に保管されていても、提供企業が米国に法人格を持つ場合は開示要請の対象となり得る。

ただし、基幹的なデジタルサービスを遮断する権限は米国だけの問題ではないとの指摘もある。グルノーブル・アルプ大学のテオドール・クリスタキス教授は、制裁制度とプラットフォーム統治、越境インフラが絡み合う構造的な問題であるとし、サービス遮断を最後の手段に限定する明確で予測可能な国際的ルールが必要だと論じている。

防衛省は2027年度予算で移行準備の経費を要求する。国家サイバー統括室が今年度中に整備する運用基準の具体的な内容は、まだ示されていない。