ガバメントクラウド対応の「次」に起きること ―― NISTの恐怖と突然の停止命令の可能性

calm_t_1_sideb

2026年1月6日 20:33

ガバメントクラウド対応が一区切りを迎えつつある。

「地方公共団体情報システムの標準化・共通化」への対応は、
多くの自治体システムベンダにとって、ここ数年の最優先課題だったはずだ。

制度整理、調達要件、運用モデルの統一。
現場の努力は本物だったし、行政ITとしての前進でもあった。

ただし、ここで一つ、
極めて重要な勘違いが生まれつつある。

―― これで終わった、という勘違いだ。

■ 標準化が意味したものの正体

今回の標準化・共通化が達成したのは、
「国内行政システムとして最低限、同じ土俵に立つ」ことだった。

しかし実態を見れば、
多くのシステムは設計思想を変えないまま、
オンプレミスの構造をガバメントクラウド上に移植しただけではないだろうか。

いわゆる Lift & Shift。
古い家を、賃料の高い土地に移したにすぎない。

これは進化ではない。
延命措置だ。

そして、この「延命」が、
次のフェーズで致命傷になる。

■ ガバメントクラウドの基盤は「米国クラウド」

忘れてはならない前提がある。
ガバメントクラウドは、事実上、
AWS / Azure / Google Cloud といった
米国クラウド事業者を前提としている。

つまり、日本の自治体システムは、
意識するしないに関わらず、
すでに米国の安全保障思想の延長線上に置かれている。

ここで登場するのが NIST だ。

■ NISTは「推奨」ではなく、「踏み絵」になる

NIST SP800 シリーズは、
よく「米国のセキュリティガイドライン」と説明される。

だが実態は違う。
これは設定集でも、努力目標でもない。

NISTが問うのは、こういうことだ。

・そのアプリケーションは、どんなセキュリティ思想で設計されたのか
・どんな開発プロセスで作られているのか
・変更や障害にどう向き合う体制なのか
・安全であり続けることを、どう保証しているのか

つまり、
「安全な製品か」ではなく、
「安全であり続ける組織と工程か」を問う規格だ。

ここで、責任分界点の誤解を一度、完全に潰しておく必要がある。

「クラウドはNISTを満たしています」
この言葉は、アプリケーション層では一切の免罪符にならない。

AWSやAzureが保証するのは、
あくまで「床と壁が頑丈であること」だけだ。

その部屋の中で、
誰が鍵を持ち、どう振る舞い、どう管理しているかまでは保証しない。

その責任は、100% アプリケーションに帰属する。
（つまり、アプリベンダに帰属する）

■ なぜ「突然止まる」可能性があるのか

NISTは努力目標ではない。
基本構造は Yes / No の二値判定だ。

・設計および開発プロセスの証跡を提示できるか
・その工程が再現可能であると説明できるか
・改ざんされていないことを継続的に保証できるか
・脆弱性が発見された際の検知・対応・是正プロセスを持つか
・第三者監査に耐える説明責任を果たせるか

これらは「実装しているか」ではなく、
「証明できるか」が問われる。

証拠を出せなければ、未準拠。
クラウド基盤（IaaS / PaaS）が準拠しているかどうかは、
アプリケーション層の免罪符にはならない。

そして重要なのは、
止まり方が「二層化」しているという点だ。

日本国内の制度運用だけを見れば、
多くの場合、止まり方は静かだ。
法律で即座に禁止されることは少ない。
代わりに起きるのは、次のような手続き上の判断である。

・ガバメントクラウド利用要件からの除外
・更新時の再認定不可
・補助金・交付金要件からの脱落
・「継続利用は推奨できない」という通知

結果として、
次の契約更新ができない。
新規調達の対象にならない。
そして、システムは止まる。
音もなく、責任追及もなく、
ただ「選ばれなくなる」という形で。

しかし、ここに米国発のルールが重なると、話は変わる。

大統領令や連邦法（NDAA 等）に基づき、
NIST準拠が国家安全保障要件として位置づけられた場合、
重大な脆弱性が発見され、
かつ是正プロセスがNIST基準を満たしていないと判断されれば、

・是正命令
・期限付き改善要求
・最悪の場合、一時的な利用停止

が「即時」に発動する可能性がある。

これは行政指導ではない。
サプライチェーン規制としての停止だ。

クラウド基盤が米国法の直接支配下にある以上、
アプリケーション層だけが
この流れから逃げ切ることはできない。

これは私の妄想だろうか？

元CISA（米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁）長官のJen Easterly氏は、Foreign Affairs誌（2025年10月）への寄稿でこう断言している。

「責任は消費の場ではなく、生産の場（ベンダー）になければならない」

米国政府は、世界最大のバイヤーとしての「調達力」を武器に、安全でないソフトウェアを市場から排除しにかかっている。
その波が、日本の自治体システム市場に届かないと考える方が不自然だ。

■ 技術の問題ではない。思想と構造の問題だ

NISTが前提とするのは、

・ゼロトラスト
・継続的監視
・変更前提の設計
・DevSecOps

１０年を超える運用の産物を、ただガバメントクラウドへ移しただけ。
境界防御、属人運用、年次監査……
そうした「古い前提」のまま上げたシステムは、
後付けでは耐えられない。

必要になるのは、
部分改修ではなく、
アーキテクチャと開発文化の作り直しだ。

これは技術課題ではない。
経営判断そのものだ。

■ 「選択」ではなく「選別」の時代へ

これから起きるのは二極化だ。

一方は、
莫大な投資を受け入れ、
NIST水準の設計・開発・運用を内包した
少数のメガベンダ。

もう一方は、
対応コストを負えず、
準拠証明を出せないまま、
入札資格を失っていくベンダ。

これは「備えるか、備えないか」の話ではない。
「生き残るか、退場するか」だ。

■ 予測

ガバメントクラウド対応は終わった。
だが、それは準備運動にすぎない。

本番はこれから始まる。
しかも、静かに、確実に。

問われているのは、
仕様書への対応力ではない。
国際基準の世界で、
自社のシステムが
生存可能な構造を持っているかどうかだ。

その問いに、
まだ答えを用意できていない企業は、
すでにカウントダウンに入っているのでは無いだろうか。

Calm(t + 1) Side-B

Side-A Project: https://note.com/calm_t_1

🌙クラウドに於ける責任共有モデル

Let
R(t) : Total Responsibility
C(t) : Cloud Provider Coverage

Then
YourRisk(t) = R(t) − C(t)

In the era of Lift & Shift,
YourRisk(t) was invisible.
NIST makes it visible.

If Capability(t) < YourRisk(t),
Then System = Halt.