問題提起・現状認識
防衛省が本格的なクラウドシフトに踏み切ろうとしています。2024年12月に公表された「防衛省デジタル・トランスフォーメーション（DX）の推進について」では、クラウド活用をDX推進の中核施策として位置づけました（出典：防衛省「防衛省DXの推進について」2024年12月）。この動きは、単なるサーバー移行の話にとどまりません。国家安全保障に直結するデータをどこに、誰の管理下で保管するのかという根本的な問いを突きつけています。
いま防衛省が直面している論点は、大きく3つに整理できます。
第一に、機密データの取り扱い基準の厳格さです。 防衛省が扱う情報には「特定秘密」に該当するものが含まれます。特定秘密保護法（2014年施行）のもとでは、情報の保管・アクセス・伝達の各段階で厳密な管理が求められます。民間企業のクラウド移行とは比較にならないレベルのセキュリティ要件が存在するわけです。
第二に、データ主権の問題です。 データ主権とは、国家が自国のデータに対して排他的な管理権を持つべきだという考え方です。AWS GovCloudやMicrosoft Azure Governmentといった米国系ハイパースケーラー（大規模クラウド事業者）は、技術的な成熟度において圧倒的な優位性を持っています。しかし、米国のCLOUD法（2018年成立）により、米国政府が自国企業に対して海外サーバー上のデータ開示を要求できる法的根拠が存在します。防衛関連データを米国企業のインフラに載せることへの懸念は、技術論ではなく地政学的な緊張そのものです。
第三に、ゼロトラストアーキテクチャへの移行コストです。 ゼロトラストとは、「ネットワーク内部であっても無条件に信頼しない」というセキュリティ設計思想を指します。従来の官公庁ネットワークは、外部との境界にファイアウォールを設置する「境界防衛型」で構築されてきました。クラウド環境ではこの前提が崩れます。すべてのアクセスを都度検証する仕組みへの転換が必要になりますが、調達制度・運用体制・人材のすべてを同時に変えなければなりません。
実は、政府全体のクラウド導入自体は着実に進んでいます。デジタル庁が推進する「ガバメントクラウド」には、2023年度にさくらインターネットが国産事業者として初めて選定されました（出典：デジタル庁「ガバメントクラウドの対象となるクラウドサービスの決定」2023年11月）。AWS・Google Cloud・Microsoft Azure・Oracle Cloudと並ぶ5社体制です。しかし防衛省の要件は、一般行政システムとは次元が異なります。可用性（システムが止まらないこと）・完全性（データが改ざんされないこと）・機密性（許可なくアクセスされないこと）の3要素、いわゆるCIAトライアドを国家安全保障レベルで満たさなければなりません。
ここに重要な転換点があります。防衛省のクラウド導入は、技術選定の問題であると同時に、日本の安全保障とデジタル主権をどう両立させるかという制度設計の問題です。次のセクションでは、この動きを裏付ける具体的なデータと市場環境を見ていきます。
データに基づく現状分析
防衛省のクラウドシフトを理解するには、日本の防衛予算とIT投資の全体像を押さえる必要があります。ここでは3つの数字を軸に、現状を整理していきます。
防衛予算の急拡大とデジタル投資の位置づけ
2022年12月に閣議決定された「防衛力整備計画」では、2023年度から2027年度までの5年間で約43兆円の防衛費が計上されました（出典：防衛省「防衛力整備計画について」2022年12月）。GDP比2%への引き上げを目指す歴史的な転換です。
注目すべきは、この中に「情報通信・サイバー関連」経費が明確に組み込まれている点です。同計画ではサイバー防衛能力の強化を7つの重視分野の一つとして掲げ、サイバー関連の人員を約4,000人規模に拡充する方針を打ち出しています（出典：防衛省「防衛力整備計画」）。クラウド基盤の整備は、この人員拡充と表裏一体の関係にあります。システムが旧来のオンプレミス（自前サーバー運用）のままでは、どれだけ人員を増やしても運用効率が上がらないからです。
政府クラウド市場の規模感
政府全体のクラウド活用もデータで確認しておきます。総務省「令和6年版 情報通信白書」によれば、日本のクラウドサービス市場は2023年時点で約5兆円規模に達しています（出典：総務省「令和6年版 情報通信白書」2024年7月）。このうち、政府・自治体向けが占める割合は年々拡大傾向にあります。
デジタル庁のガバメントクラウドは、2025年度末までに各省庁の基幹システムを順次移行する計画で進んでいます。実は、地方自治体の移行も同時並行です。全国約1,700の自治体が2025年度末を期限に20の基幹業務システムを標準化・クラウド移行する方針でしたが、総務省は2025年3月に一部システムの移行期限を延長する方針を示しました（出典：総務省「地方公共団体の基幹業務システムの統一・標準化」関連資料）。政府クラウドの需要規模は巨大ですが、移行の難しさも同時に浮き彫りになっています。
国産クラウドとハイパースケーラーの力の差
ガバメントクラウドに選定された5社の実力差も重要なデータです。世界のIaaS（Infrastructure as a Service、クラウドインフラ提供サービス）市場において、AWS・Microsoft Azure・Google Cloudの上位3社で市場シェアの約65%を占めています（出典：Gartner「Worldwide IaaS Public Cloud Services Market Share」2024年）。圧倒的な規模の経済。
一方、さくらインターネットは2024年1月に政府のクラウド基盤整備に向けて最大700億円の投資計画を発表しました（出典：さくらインターネット株式会社 2024年1月プレスリリース）。国内データセンターの拡充と、ガバメントクラウド要件への対応を加速させる狙いです。しかし正直なところ、グローバルのハイパースケーラーが年間数兆円規模の設備投資を行っている現実と比べると、桁が異なります。
ここに防衛省クラウド導入の核心的な緊張があります。技術的成熟度と運用実績ではハイパースケーラーが圧倒的に優位です。しかしデータ主権の観点からは、国産クラウドへの期待が高まっている。この2つの軸をどう評価するかが、次のセクションで分析する構造的な要因へとつながっていきます。
構造的な要因の分析
防衛省のクラウド導入がなぜこれほど複雑な問題になっているのか。その背景には、技術・制度・人材という3つの層にまたがる要因が絡み合っています。順番に見ていきます。
視点1：調達制度の硬直性
最も根深い要因は、日本の公共調達制度がクラウド時代に適応できていない点です。
防衛省を含む官公庁の調達は、会計法および予算決算及び会計令に基づく「一般競争入札」が原則です。公平性・透明性を担保するための仕組みですが、クラウドサービスの調達には致命的な相性の悪さがあります。クラウドは本来、使った分だけ支払う従量課金モデルです。しかし官公庁の予算制度は、年度ごとに金額を確定させる「固定費」の発想で設計されています。利用量が変動するクラウドの料金体系と、単年度で予算を消化する会計制度。この2つはそもそもかみ合いません。
会計検査院は2023年度の検査報告で、政府情報システムの調達において仕様策定の不備やコスト超過の事例を複数指摘しています（出典：会計検査院「令和4年度決算検査報告」2023年11月）。調達仕様書を書く段階でクラウドの特性を正しく反映できていないケースが散見される、という問題提起です。
防衛省の場合、これに加えてセキュリティ要件の特殊性が重なります。調達仕様にISMAP（政府情報システムのためのセキュリティ評価制度）の認証取得を必須条件として盛り込む必要があり、さらに防衛省独自のセキュリティ基準を上乗せしなければなりません。結果として、入札に参加できる事業者が極端に限定される。競争原理が働きにくい調達環境が生まれています。
視点2：CLOUD法とデータ主権の法的緊張
2つ目の要因は、法制度をめぐる国際的な緊張です。
前のセクションでも触れた米国CLOUD法（Clarifying Lawful Overseas Use of Data Act、2018年成立）は、米国企業が保有するデータに対して、そのデータが物理的にどの国に保管されていても、米国政府が法的に開示を求められる仕組みです（出典：U.S. Congress, CLOUD Act, H.R.4943, 2018）。
実は、この法律が直接的に「日本の防衛データが米国に筒抜けになる」ことを意味するわけではありません。CLOUD法の適用には裁判所の令状が必要であり、対象も犯罪捜査に限定されています。しかし問題の本質は、法的な可能性が存在すること自体にあります。防衛省が扱う情報の性質を考えれば、「理論上アクセス可能」という事実だけでリスク評価を見直す必要が出てきます。
欧州では、この問題に対する具体的な制度対応がすでに進んでいます。EUは2023年1月にEUCSS（EU Cybersecurity Certification Scheme for Cloud Services）の草案を策定し、最高レベルの認証にはEU域内の法人による運営を求める方向で議論を進めました（出典：ENISA, EU Cybersecurity Certification Scheme for Cloud Services, 2023）。データ主権を制度として担保しようとする動き。日本にはこれに相当する包括的な法的枠組みがまだ存在しません。
ガバメントクラウドにさくらインターネットが選定された背景には、こうしたデータ主権への意識の高まりがあります。ただし、さくらインターネットのクラウド基盤が防衛省レベルの可用性・耐障害性を備えているかどうかは、技術評価として別の論点です。ここにジレンマがあります。主権を重視すれば技術的な成熟度で妥協が必要になり、技術力を優先すれば主権リスクを受け入れなければならない。
視点3：セキュリティ人材の圧倒的な不足
3つ目の要因は、人材です。正直、これが最も深刻かもしれません。
総務省「ICTサイバーセキュリティ総合対策2024」では、日本のサイバーセキュリティ人材の不足数が依然として数万人規模であることが指摘されています（出典：総務省「ICTサイバーセキュリティ総合対策2024」2024年8月）。民間企業ですら人材確保に苦戦している状況で、防衛省がクラウド環境を運用できる専門人材をどう確保するかは、切実な課題です。
防衛力整備計画で掲げたサイバー関連人員約4,000人体制の実現には、自衛隊内部での育成と外部からの登用の両方が必要になります。しかし、クラウドセキュリティの専門知識を持つエンジニアの市場価値は年々上昇しています。民間のクラウドエンジニアの年収と自衛官の給与体系には大きな開きがある。処遇面での競争力が不足しているのが実態です。
ちなみに、米国国防総省はこの問題に対して「CDAO（Chief Digital and Artificial Intelligence Office）」を2022年に設立し、民間からの人材流動性を高める施策を打っています（出典：U.S. Department of Defense, CDAO公式サイト）。ポストごとに民間水準の報酬を設定できる柔軟な雇用制度が背景にあります。日本の公務員制度でこれと同等の柔軟性を実現するのは、現行制度のままでは困難です。
調達制度・法的枠組み・人材基盤。この3つの要因は、それぞれが独立した課題であると同時に、互いに影響し合っています。調達制度が硬直的だからクラウドに最適化された人材を柔軟に登用できず、法的枠組みが未整備だから調達要件の策定に時間がかかる。個別の問題を解決するだけでは不十分であり、3つの要因を同時に動かす制度改革が求められています。
次のセクションでは、この環境の中で主要プレイヤーがどのような戦略を取っているのかを比較していきます。
プレイヤーごとの戦略比較
防衛省のクラウド導入をめぐり、主要プレイヤーの動きが活発化しています。ここでは、AWS・Microsoft・さくらインターネット・NEC/富士通の4陣営に分けて、それぞれの戦略と差別化要因を整理します。
AWS：GovCloudの実績と日本市場への布石
防衛・政府向けクラウドで最も豊富な実績を持つのがAWSです。米国国防総省やCIAとの大型契約を通じて蓄積した運用ノウハウは、他社が容易に追いつけない水準にあります。AWS GovCloudは、米国政府の厳格なセキュリティ基準であるFedRAMP High認証を取得済みです（出典：AWS公式サイト「AWS GovCloud (US)」）。
日本市場に対しても、AWSは着実に布石を打っています。2023年には東京・大阪リージョンに加え、日本国内のデータセンター投資を拡大する方針を表明しました。AWSは2027年までに日本国内に約2.26兆円を投資する計画を公表しています（出典：Amazon Web Services 2024年1月発表）。ガバメントクラウドの認定事業者としてISMAP登録も済んでおり、技術的な準備は整っている状態です。
課題は明確です。前セクションで触れたCLOUD法の存在。技術力で選べばAWSが第一候補になる場面は多いものの、データ主権の論点が意思決定を複雑にしています。
Microsoft：Azure Governmentとセキュリティクリアランスの強み
Microsoftの戦略は、AWSとは少し異なる角度からの攻め方です。Azure Governmentに加え、Microsoft 365 GCCHigh（Government Community Cloud High）という、政府機関向けに分離された環境を提供しています（出典：Microsoft公式ドキュメント「Azure Government」）。
実は、Microsoftの最大の差別化要因はクラウド基盤そのものではありません。Office製品群との統合性です。防衛省を含む官公庁では、日常業務でMicrosoft Officeが広く使われています。既存の業務環境とシームレスに接続できる点は、移行コストの観点から大きなアドバンテージとなります。
米国ではMicrosoftが国防総省のJEDI（Joint Enterprise Defense Infrastructure）契約をめぐるAWSとの競争を経て、後継のJWCC（Joint Warfighting Cloud Capability）では複数社採用の枠組みに入りました（出典：U.S. Department of Defense, JWCC契約発表 2022年12月）。マルチクラウド時代の政府調達モデル。この経験が日本市場での提案にも反映されています。
さくらインターネット：国産クラウドの旗手
データ主権の観点から最も注目を集めているのが、さくらインターネットです。2023年11月にガバメントクラウドの認定を受けた唯一の国産事業者。最大700億円の投資計画を掲げ、石狩データセンターの拡張を進めています（出典：さくらインターネット 2024年1月プレスリリース）。
しかし、正直なところ課題は山積しています。グローバルのハイパースケーラーが提供する200以上のマネージドサービス（運用管理付きクラウドサービス）と比較すると、さくらインターネットのサービスラインナップには明らかな差があります。防衛省レベルの耐障害性や冗長構成（システム障害時に自動で切り替わる仕組み）を担保するには、技術面での急速なキャッチアップが不可欠です。
差別化のポイントは、日本法のみに準拠するガバナンス体制。CLOUD法の適用を受けない点は、防衛用途において決定的な優位性になりえます。
NEC・富士通：SIerとしてのポジション
見落とされがちですが重要なプレイヤーが、NECと富士通です。両社はクラウド基盤そのものを提供する立場ではなく、システムインテグレーター（SI）として防衛省との長年の取引実績を持っています。防衛省の基幹システムの設計・構築・運用保守を担ってきた蓄積は、クラウド移行の文脈でも無視できません。
NECは2024年に防衛・官公庁向けDX推進体制を強化する方針を示し、クラウドネイティブな開発体制への転換を進めています（出典：NEC 2024年度中期経営計画関連資料）。富士通も「Uvance」ブランドのもとで政府向けクラウドソリューションの展開を加速させています。
両社の役割は、ハイパースケーラーと防衛省の間をつなぐ「翻訳者」。クラウド事業者が提供する汎用サービスを、防衛省固有の要件に合わせてカスタマイズし、運用まで一貫して支える存在です。
4陣営の比較から見える構図
整理すると、技術力のAWS・Microsoft、主権のさくらインターネット、現場知見のNEC・富士通という棲み分けが浮かび上がります。防衛省のクラウド導入は、単一ベンダーへの依存ではなく、マルチクラウド＋国内SIerという組み合わせに落ち着く可能性が高いと分析できるでしょう。
次のセクションでは、こうしたプレイヤー構図を踏まえて、今後3〜5年の展望と具体的な提言を示していきます。
今後の予測と提言
ここまで見てきた技術・制度・人材の3要因とプレイヤー構図を踏まえ、今後3〜5年の展望を示します。私は、防衛省のクラウド導入が2つの分岐点を経て進むと見ています。
分岐点1：マルチクラウド体制の制度化（2026〜2028年）
最初の分岐点は、マルチクラウドの調達モデルが制度として確立するかどうかです。
米国国防総省は2022年12月にJWCC（Joint Warfighting Cloud Capability）契約を通じて、AWS・Microsoft・Google Cloud・Oracle Cloudの4社によるマルチクラウド体制を正式に採用しました（出典：U.S. Department of Defense, JWCC契約発表 2022年12月）。単一ベンダーへの依存を避け、用途ごとに最適なクラウドを選ぶ仕組みです。
防衛省も同様の方向に進む可能性が高いと分析できるでしょう。具体的には、機密性の高い情報は国産クラウド（さくらインターネット）、大規模データ処理や演習シミュレーションにはAWSやAzureという使い分けです。ただし、この体制を実現するには、現行の単年度会計・一般競争入札を前提とした調達制度の改革が不可欠です。
実は、デジタル庁が2025年度に進めているガバメントクラウドの運用ガイドライン改定が、ひとつの試金石になります。ここでマルチクラウド環境における責任分界点（どこまでが事業者の責任で、どこからが省庁の責任か）が明文化されれば、防衛省の調達設計にも道筋がつきます。逆にこの整備が遅れれば、クラウド導入そのものが2〜3年単位で停滞するリスクがあります。
分岐点2：セキュリティクリアランス制度の実効性（2027〜2029年）
2つ目の分岐点は、人材の問題です。
2024年5月に成立した「重要経済安保情報の保護及び活用に関する法律」（セキュリティクリアランス法）は、民間人にも適性評価を行い、機密情報へのアクセス資格を付与する制度です（出典：内閣官房 経済安全保障関連法案 2024年）。この制度が2027年頃に本格運用されれば、民間のクラウドエンジニアが防衛省のシステムに直接関与できる道が開けます。
ここに重要な転換点があります。現状では、防衛省のシステム運用に携わるには防衛省職員か限られた契約企業の社員である必要があります。セキュリティクリアランス制度が機能すれば、クラウド事業者のエンジニアが適性評価を経て機密システムの構築・運用に参加できるようになる。人材不足の突破口です。
ただし、制度が形だけのものにとどまるリスクもあります。適性評価の基準が厳格すぎれば対象者が限定され、逆に緩すぎれば制度の信頼性が損なわれます。米国のセキュリティクリアランス制度は数十年の運用実績がありますが、日本は事実上のゼロからのスタート。制度設計の精度が、クラウド人材確保の成否を左右します。
3〜5年後に見える風景
以上を踏まえ、2029年頃の着地点として3つの予測を示します。
第一に、「ハイブリッド主権モデル」の確立です。 国産クラウドと外資系ハイパースケーラーを組み合わせ、データの機密度に応じて保管先を分ける運用が標準化されるでしょう。純粋な国産一本化は技術的に非現実的であり、外資一辺倒は政治的に許容されません。現実的な落としどころ。
第二に、防衛省専用のクラウド運用組織の新設です。 米国のCDAO（Chief Digital and Artificial Intelligence Office）に相当する組織が、防衛省内に設置される可能性が高いと見ています。デジタル庁との連携を前提としつつ、防衛固有の要件に特化した組織体制。サイバー関連人員4,000人体制の受け皿にもなります。
第三に、日本版「政府クラウドセキュリティ認証」の策定です。 EUのEUCSSに相当する、政府クラウドの安全性を多段階で認証する独自制度が整備されると予測します。ISMAPの発展形として、防衛用途を最上位レベルに位置づける枠組みです。
提言：同時並行で動かすべき3つの改革
最後に、具体的な提言を3点述べます。
1. 調達制度の柔軟化。 複数年契約・従量課金への対応を会計制度レベルで認める法改正が急務です。クラウドの本質は柔軟性にあります。固定費の枠組みに押し込めたままでは、技術的なメリットを享受できません。
2. データ主権に関する法的枠組みの整備。 CLOUD法への対抗措置として、日本国内に保管された政府データに対する外国政府のアクセスを制限する法的根拠を明確にすべきです。経済安全保障推進法の延長線上に位置づけることが現実的な選択肢です。
3. 官民人材流動性の制度的担保。 セキュリティクリアランス制度を活用し、民間エンジニアが防衛システムに関与できるキャリアパスを設計する必要があります。「回転ドア」型の人材交流を制度化することが、技術力と安全保障の両立に向けた鍵となります。
防衛省のクラウド導入は、単なるIT投資の話ではありません。日本がデジタル時代の安全保障をどう設計するかという問いそのものです。技術・制度・人材の3つを同時に動かせるかどうか。ここに、今後5年間の日本の防衛DXの成否がかかっています。