機密性１「経済産業省におけるクラウド導入の論点～霞ヶ関中央省庁での初のシンクライアント導入～」経済産業省大臣官房情報システム厚生課情報システムリスク研究官堀田博幸 1. はじめに例えばセールスフォース・ドットコム社は日本において 2001 年 4 月にサービスを開始し、今では国内で数千社の顧客を有しているように、もう日本の民間企業においてはクラウドサービスは先進的ではなく、既に普及期に入っている技術である。しかし、霞ヶ関の中央省庁においては、クラウドサービスの導入事例としては、１０例程度の業務システムを数えるのみであり、官庁の主要な業務である政策企画立案などを支える「情報基盤システム」へのシンクライアントの導入に至っては経済産業省が初の取組みとなる。経済産業省においてシンクライアント導入の際に議論を行った点として、セキュリティを向上させ、システムコストを安くすることのほか、国の行政機関に固有のものと考えられる論点もあった。以下に、中央省庁でのクラウド導入状況を簡単に示し、経済産業省におけるシンクライアント導入の際に議論した点を報告する。 2. 政府におけるクラウド技術利用方策の位置づけ我が国において、国としてのクラウドサービス利用に対する考え方としては、「デジタル新時代に向けた新たな戦略三カ年緊急プラン」（2009 年 4 月 9 日、IT 戦略本部）が打ち出されたことを受けて、「政府情報システムの整備の在り方に関する研究会」において検討が進められてきた。昨年４月に取りまとめられた最終報告書では、「政府共通プラットフォーム」（霞ヶ関クラウド）の構築等の方向性が打ち出され、現在は総務省を中心に導入に向けた取組みが進められている。その調達仕様書によれば 2012 年度第 4 四半期から本番運用する予定である。また、「新たな情報通信技術戦略」（2010 年 5 月 11 日、IT 戦略本部）においては、『クラウドコンピューティング技術を活用した「政府共通プラットフォーム」により、各府省別々に構築・運用している政府情報システムの統合化・集約化を進める』として、今後の電子政府でのクラウド技術の利用が位置づけられている。 3. クラウドサービスを利用した業務システムの他省庁における導入事例中央省庁でのクラウドサービス利用の例としては、2009 年 5 月のエコポイント制度での例が知られているが、最近の例をあげると、先の東日本大震災に関連して、①農林水産省において、自治体などが提供する住まい・農林水産業関係の雇用・活用できる農地などの受入れ情報を、自治体を通じ被災者に提供するための「農山漁村被災者受入れ情報システム」（富士通の SaaS 型 CRMate システムを活用）の開発を行い、運用に供している。また、②文部科学省において、被災地域で必要としている支援と地方公共団体などが実施可能な支援を登録させ、お互いに閲覧・連絡をすることで、円滑なマッチングを図ることを目的とした「東日本大震災、子供の学び支援ポータルサイト」（日本ユニシスとシニアデックスにより SaaS 形式で情報提供）の開発を行って、運用に供している。この他、③外務省において、官房業務システムに対し、PaaS または IaaS 形態でサービスを行うプライベートクラウド「業務系共通プラットフォーム」（日立製作所が構築）を整備した例がある。これは、官房業務システムに対して、運用・保守の一元管理、システムに必要な IT リソースの外務省全体での最適化とともに、IT 部門におけるシステム運用・管理にかかる負担低減などで、省内の各業務部門に対するサービスレベルの向上を目指すこととしているものである。 1 機密性１以上のシステムは、東日本大震災への対応として迅速な開発が求められた結果、それを可能とする既存のクラウドソフトを活かしたり、旅費、会計業務等基本的に一部の職員が時宜に応じて利用する省内の業務システムのサーバ利用を最適化し、導入および運用コストを下げるために仮想化技術を導入したものであると考えられ、全省的に職員が恒常的に、または頻繁に利用するクラウドシステムとは言い難いと思われる。 4. 経済産業省におけるシンクライアントシステムの導入とその意味について 4.1 中央省庁での政策立案等に必要な情報システムとは各府省で個別業務毎に作っている業務システムは、ほとんど各府省毎に固有のシステムである。このようなシステムは、政府全体で、2010 年 9 月現在、約 2,100 システム存在する。それらシステムは、必ずしも全職員が利用することを想定しているものではなく、個々の府省で業務に関係した個々の職員のみが使用する限定的な範囲でのシステム化のケースが多い。これに対して、中央省庁における、主要かつ共通的な業務としては、政策立案、予算案作成、法律案作成などの情報系業務が主たるものである。しかし、それら情報系業務に使用するワープロ、メール、グループウェア、表計算などのいわゆる「業務生産性向上ソフトウェア」を使用した「情報基盤システム」に対しては、これまで中央省庁では、クラウドサービスを活用し、使い勝手やセキュリティなどの向上を図るといった視点で構築されたものは無かった。その理由として、そういったソフトウェアにクラウドサービスという技術を採用することに対し、前例がなかったことや、国の施策に関する情報へのセキュリティ確保方策など技術の面で、また、データセンター事業者の事業の成熟度の面においても、不安があったのだろうと思われる。 4.2 経済産業省が構築しようとする情報基盤システム経済産業省がこれから導入を行おうとしている次期情報基盤システムは、省内 LAN とその上で動作するメール、ワープロなどの「業務生産性向上ソフトウェア」を合わせた「基盤情報システム」に対して、初めてクラウドサービスを全省的に導入し、約 10,000 人規模での DaaS （Desktop-As-A-Service（画面転送型仮想デスクトップ技術によるシンクライアントシステム）) 環境を実現しようとするものであり、それにあたっては、パブリッククラウド形態からオンプレミス形態まで許容する仕様としている。その仕様では、全職員が省内で使用するシンクライアント PC については、省内執務室、会議室を問わず同一のクライアント PC を利用可能とする予定である。また、クライアント PC は、経済産業省との間で VPN 接続をすることにより、出張先や自宅など外部からでも、ほぼ執務環境とおなじＰＣ利用環境となることを実現することとしている。これは、クラウドサービスの導入という点ではこれまでに紹介した外務省などの SaaS、PaaS、 IaaS 型システムの例と共通点を持つが、それらはファットクライアント上で動作させている。一方、一つの府省で全職員の業務に密着したシステムについて、DaaS 型によるシンクライアントを採用し、従来のような、ピーク時にも対応しうるようなハードウェアスペックを決める方式から、必要な規模、量の業務サービスを受ける方式としたことにより、コスト削減効果やワークスタイル変革の可能性も含めて、本格的にクラウドサービスのメリットを享受するという意味では、経済産業省の取り組みはそれらより、さらに踏み込んでいるものである。また、シンクライアントシステムにおいては、ハードディスク等の記録媒体を持たないシンクライアント PC を導入することとなるが、それにより、業務データをサーバに一元管理し、情報漏洩リスクを軽減するなどの効果をねらっている。この他、安全性、信頼性の確保として、USB メモ 2 機密性１リ等の外部記憶装置の接続を管理し、利用制限がかけられる環境とするほか、外部記憶装置に保存する業務データは自動的に暗号化される仕様であり、また、外部へのデータ提供は暗号化（パスフレーズ付き）した上で行なわれ、情報漏洩リスクの軽減が図られることとしている。さらに、シンクライアント PC の利用にあたっては、ID 及びパスワードを用いた知識による利用者認証に加えて、国家公務員証カード等を用いた所有物による利用者認証の実施も行う。このような、安全性、信頼性を確保しつつ、一般的な業務生産性向上をねらって、情報システムの向上を図ることは重要であり、中央省庁全体としてのクラウドサービス実現のための一つのモデルケースとなることをねらっている。 5. シンクライアント（クラウドサービス）導入の仕様を決定する際に特に考慮した事項 5.1 データ管理やトラブル発生時における予見可能性の確保についてクラウドサービスを導入するにあたっては、WTO 協定により内外無差別の調達手続によることが民間企業における調達と異なる点であり、そのような中で、今後の運営等にあたって特段の問題が生じないような方策を明確に講じておく必要がある。海外の事例を調査したところ、米国における SaaS 等サービスの調達を行う際の RFQ (Request For Quotation) に記載されている事項等として、GSA (U.S. General Services Administration) が昨年５月に IaaS のサービスを調達した際に公表した RFQ のケースでは、データセンターは、地理的に離れた２つ以上の、という制限があるとともに、CONUS (the Continental United States) に置くこととされており、また、RFQ が参照している NIST SP800-53 内において「システムおよびサービスの調達方針と手順は、適用法、大統領令、指令、方針、規制、基準、およびガイダンスに準拠する」とあった。 5.1.1 データセンターの立地場所等について海外の事例を参考として、経済産業省の次期情報基盤システムで各サービスを提供するデータセンターは日本国内に立地することとしている。クラウドサービスを提供する事業者によっては、海外にデータセンターをもっている場合があり、より安価なサービスを受けられる可能性はあるが、海外にデータが置かれた場合、データを保護するための制度として日本国法が及ばない場合には予見が困難な事態が発生することが懸念されるためである。具体的に言うと、例えば、Google のデータセンターが東京にあるかどうか公式には明らかではないが、利用者のデータは海外にも分散して配置されていると思われる。さらに、Google のファイルシステムでは公開されている情報が少なく、利用者から見てデータがどこにどのような形式で情報が格納されているのか、またはデータセンタでどのような運用を行っているのか、わかりににくい。これは例えば Amazon Web Services でも、リージョンを選べること以外はほぼ同様であろう。そのような状況下においては、データセンター内のデータの管理状況について、わずかではあろうが、懸念が生じ、データの管理や保護に関して不安が残ることとなる。経済産業省などの中央省庁が扱うデータの中には、今後の政策の方向性や国際交渉への対処方針などに関する機微なデータや、種々の許認可に関連して提出された個人情報などをはじめ国民・企業・経済にまつわる情報が含まれることから、予見可能性をもって職員がデータ管理や保護、場合によってはシステム監査を適切に行うことに対する要請がある。したがって、データは経済産業省から見て一定の管理の下に置かれるべきである。このため、仕様書において、日本国法が確実に及ぶ日本国内にデータセンターが立地すること、か 3 機密性１つデータセンター内に保存されるユーザデータは暗号化されることを条件とした。 5.1.2 国内法令に対応する事業者としたことについて海外の事例を参考として、ASP、SaaS 等のサービスを使用する場合は、国内法令に対応した事業者を採用することした。これは、海外の事業者の場合、日本においてクラウドサービスを行っていたとしても、トラブルが発生したとき、解決のための法の準拠地や裁判管轄が海外となる可能性があり、その場合、不慣れな海外の法廷、海外の法律の適用などによる、予見が困難な事態が発生することが懸念されるためである。具体的に言うと、例えば、Google Apps 及び Amazon Web Services の各サイトにおいて、それぞれ利用規約が和文で開示されているが、それによると、準拠法について、Google においては「本契約は、…カリフォルニア州法に準拠するものとします。本契約から生じた紛争または本契約に関する紛争について、…カリフォルニア州サンタクララ郡の裁判所の人的および専属的管轄権に従うことに同意するものとします」とあり、Amazon においては、「AWS サイトをご利用いただいた場合、米国ワシントン州法が、…本利用規約、およびお客様とＡＷＳとの間に起きる可能性のあるあらゆる種類の紛争について、これを規制することに同意していただいたものとします」とある。これでは、万が一トラブルが発生した場合に、予見が困難な問題を生じさせる可能性がある。このため、仕様書において「ASP、SaaS 等のサービスを使用する場合は、国内法令に対応する事業者を採用すること」とした。 5.2 その他、クラウドサービスを利用した場合に想定される問題への対応の例 5.2.1 ベンダーロックインの排除クラウドサービスを利用した場合に、よく懸念される点として、クラウド事業者間でデータのインターオペラビリティがないことから、一つのベンダーのサービスにロックインされてしまうことがある。これは経済産業省として、定期的に情報基盤システムを更改していることから、避けなければならない点であるし、民間企業においてもシステムの更新はあるだろう。このため、仕様書において、「本システムのサービス契約後、次期に導入するシステム（平成 28 年 10 月予定）（以下、「次期システムという。」）への移行に伴い、…次期システム構築事業者への支援を行うこと」とし、データ移行を保障し、ベンダーロックインを避けることとした。 5.2.2 データの確実な消去先の米国 GSA の RFQ において、「応札者は、データのライフサイクルを通じて磁気データを管理しなければならない」とあるが、データを消去する指示をコンピュータに行った場合、また、クラウドサービスの利用を終了した場合、データが確実に消去され、外部への漏洩を防止することは重要な視点である。これに関しては仕様書において「本システムで使用したハードディスクを保守交換等によりデータセンタ外部へ持ち出す場合は、ハードディスクの完全消去を行うこと」、「本システムで使用したハードディスクについては、契約終了後に、使用した領域の完全消去を行うこと」としている。これにより、データセンタから故障したあるいは使用済みのハードディスクが排出されることを通じて情報が漏洩することを防止することとしている。 6. 終わりに経済産業省における次期情報基盤システムは、10 月 15 日現在では、機能証明書の審査中である。各社からの工夫された提案について期待するところが大きいものである。 4