グローバル大手クラウド事業者がクラウドサービスセキュリティ認証（CSAP）の「下」等級を取得し、公共分野への展開を進めている。ただ、対象業務の限定や価格面の課題、公共事業特有の予算執行慣行が重なり、足元で導入拡大は進んでいない。

AWS、Microsoft、Google Cloudの3社は、2024年から2025年にかけてCSAPの「下」等級認証を相次いで取得し、公共クラウド市場に参入した。

認証取得の時期は、Microsoftが2024年12月、Google Cloudが2025年2月、AWSが同3月だった。

CSAP等級制度は、科学技術情報通信部の所管で、公共部門での民間クラウド活用を促す目的で導入された。利用機関の特性やシステムの重要度に応じて「上」「中」「下」に区分し、それぞれ異なるセキュリティ評価基準を適用する仕組みだ。このうち「下」等級は、個人情報を含まない公開公共データを扱うシステムなどが対象となる。

もっとも、「下」等級で参入できる領域は限定的で、グローバル各社にとって市場の魅力は相対的に大きくないとの見方がある。価格面でも不利になりやすく、公共クラウド分野で国内事業者が優位を保つ構図は大きく変わっていないようだ。

業界関係者によると、一部の研究機関を除けば、グローバルクラウドを採用する公共機関はまだ多くないという。

別の業界関係者は「『下』等級のシステムにAWSを入れるのはコストが高い。AWSを使うなら高度な機能を幅広く活用する必要があるが、『下』等級認証の範囲では利用できる領域になお制約がある」と話す。

公共事業の予算執行慣行も、グローバル各社には障壁となっている。公共案件では総額をあらかじめ固めて進めるケースが多い一方、グローバルクラウド各社は従量課金モデルを基本とする。大口顧客には柔軟に対応する場合もあるが、公共市場ではそうした調整が容易ではないとの指摘がある。

国内の民間クラウド市場の成長が以前ほどの勢いを欠く中、公共市場はグローバル各社にとって成長余地の大きい分野とみられている。「下」等級に続き、より上位の認証取得に動く可能性もあるが、現時点で具体的な動きは伝わっていない。

今後の焦点となるのが、公共クラウド向けセキュリティ認証制度そのものの見直しだ。

政府は、公共分野のクラウドセキュリティ認証を国家情報院による一元的な検証体系へ移し、CSAP制度自体は民間企業向けの自主的なセキュリティ認証へ転換する方針を進めている。

これまでは、クラウド事業者が公共機関にサービスを提供するには、CSAPの取得に加え、国家情報院のセキュリティ検証も受ける必要があった。政府は制度改編を通じ、こうした二重の認証負担を見直す考えだ。

国家情報院は、これを踏まえた新たなセキュリティ認証体系を整備する計画で、来年下半期から新制度を施行する方針だ。ただ、具体的な内容はまだ明らかになっていない。制度設計が固まれば、グローバル各社にとって新たな参入機会になるとの見方もあり、業界では今回の見直しが中長期的に公共市場での事業拡大を後押しする可能性があるとみられている。