自治体システムに迫る“2025年の崖”─デジタルガバメントの要請が地域SIerを直撃

2022年11月17日(木)佃均（ITジャーナリスト）

リスト

ここにきて、自治体システムの“2025年の崖”がにわかに現実味を帯びてきた。2022年10月3日、デジタル庁が「ガバメントクラウド（ガバクラ）」に、Microsoft AzureとOracle Cloud Infrastructure（OCI）を追加すると発表、4日後の10月7日、政府は「地方公共団体情報システム標準化基本方針」を閣議決定している。「自治体基幹システムをクラウドで標準化するデジタルガバメント（デジガバ）の目標期限＝2025年度末の延長は許さない」とクギを差したかたちだ。ガバクラとデジガバに移行する自治体の年間IT予算は約5000億～6000億円。直撃を受ける地域SIerに変革のときが迫っている。

自治体にとって“いいこと尽くめ”だが……

　デジタル庁が所管するガバメントクラウド（ガバクラ）には、これまで、Amazon Web Services（AWS）、Google Cloud Platform（GCP）が採用されている。今回追加された、Microsoft AzureとOracle Cloud Infrastructure（OCI）を合わせて選択肢は4つ、米国のメガクラウドのそろい踏みとなった。

　「地方公共団体情報システム標準化基本方針」発表と同日の2022年10月7日には、米グーグルCEOのサンダー・ピチャイ（Sundar Pichai）氏が岸田文雄首相と面談して、「2024年までに日本市場に総額1000億円を投資する」と伝え、ガバクラで一気に優位に、という意欲を示している。

　方針を受けて、地方自治体（区市町村）は、4つのクラウドの特性や利用メリットを勘案して選択し、それぞれの上で稼働させるパッケージ型の標準システムをIaaS/SaaS/ASPの形態で利用することになる。パッケージ型標準システムは、住民基本台帳や住民・固定資産税、国民年金、介護保険など、自治体が所管する17の基幹業務だ。標準仕様はすでに完成していて、自治体システム市場で一定のシェアを持つベンダーがそれに準拠したパッケージの開発に取り組んでいる。

　開発と言っても、ゼロから作るのではない。既存システムを標準仕様に合わせて改造（縮退・拡張・変更など）するかたちだ（図1）。それをガバクラに載せ、全国1741の地方自治体が利用する。計画によると、2023年度から移行を開始して2025年度に完了する（図2）。

図1：パッケージ標準化のイメージ（出典：総務省）
拡大画像表示

図2：デジタルガバメントの移行スケジュール（出典：総務省）
拡大画像表示

　地方自治体はシステムを個別に構築・運用しなくなる。端末や周辺機器は別として、データ処理用のサーバーを保有する必要もない。データ仕様も共通化されるので、バッチ型で処理していた大量印刷物の作成・発送業務からも解放される。

　自治体がベンダーロックインから解放されるばかりでなく、コストと運用負荷が大幅に軽減される。法制度の変更に伴うシステム改造も柔軟・迅速になる──等々、地方自治体にとっては“いいこと尽くめ”に見える（図3）。ただし今回のシステム改革は基幹業務が中心なので、対住民サービスの向上には結びつかない。

図3：デジタルガバメントのイメージ（出典：デジタル庁）
拡大画像表示

　いずれにせよNFH（NEC、富士通、日立）やNTTグループは、SaaS/ASPベンダーとして生き残れるかもしれない。しかし地域SIer（共同計算センター的立場にある情報処理サービス業やデータセンター、受託アウトソーサーなど）や特定ソフトウェアベンダーにとっては、まさに「2025年の崖」というわけだ。

ナショナルクラウドの議論も

　ガバメントクラウドに採用されるには、政府が定めるセキュリティ評価制度（ISMAP：Information System Security Management and Assessment Program）をクリアしていることが前提だ。

　不正アクセス防止やデータ暗号化対策、技術仕様の透明性、システムライフサイクルを通じた費用、国による統制、国内にデータセンターがあって国外に情報を持ち出さない、紛争は日本の裁判所が管轄し契約の解釈は日本の法律に基づくこと等々だ。2018年6月に定められた政府調達における「クラウド・バイ・デフォルト原則」が裏づけとなっている（関連記事：AWS/GCP採用に続く次の一手は？デジタル庁のガバメントクラウド先行事業）。

　2022年10月現在、ISMAPリストには43のクラウドサービスが登録されている。読者が思いつく企業はおおむね入っているのだが、「その他デジタル庁が求める技術仕様」が曲者だ。関係者によると、約350の機能・安全性要件のほかに、60件前後の「その他」があるらしい。非機能要件なのか追加の機能要件なのか不明だが、国産クラウドベンダーはそれをクリアできないでいる。

　そうでなくとも、2022年5月、富士通クラウドテクノロジーズの「FJcloud-V/ニフクラ」が、ロードバランサーの脆弱性を突かれて不正アクセスを受け、8月29日にISMAP再監査となっている。加えて7月にはNTTドコモ、KDDIの大規模な通信障害が発生した。経済産業省の一部には、「米国勢には及ばないか……」と諦めムードがないでもない。

　これを受けて「基準を見直すべき」とする意見もあれば、「情報安保の観点だけで国産にこだわるのはいかがなものか」とする意見もある。その一方、ガバクラとは別に外交や防衛にかかる機密情報を管理する「ナショナルクラウド」を、という向きもある。

　この「ナショナルクラウド」、マイクロソフトが米独で提供している「政府の要望に対応するカスタマイズサービス」の名称と重なるのは偶然なのだろうか（画面1、関連リンク：Answering Europe’s Call: Storing and Processing EU Data in the EU）。あるいは、グーグルの1000億円投資計画もその流れなのか。ともあれ、このテーマについて答えが出るには、しばらく時間がかかりそうだ。