ソブリンクラウドは「国内保管」だけではない｜8社に学ぶ選定と参入

ソブリンクラウドとは？4つの主権を設計する仕組み

ソブリンクラウドとは、組織や国・地域が、重要なデータとシステムへの支配力を保ちながら利用するクラウドです。「主権」は抽象的に見えますが、実務では次の4つに分けると理解できます。

4つは別々の確認項目ですが、実際にはつながっています。データを暗号化しても、鍵と特権権限を同じ事業者だけが持てば、利用組織が支配しているとは言い切れません。

例えば、データが東京にあっても、海外の運用担当者が特権権限を使うなら、運用主権は弱いかもしれません。逆に、外国企業の技術を利用していても、国内法人が運用し、鍵と更新の承認を顧客側で管理できる設計もあります。

なぜ今、クラウドの選定軸が変わっているのか

クラウドの選定は、機能、価格、速度、可用性が中心でした。現在は、それに「継続できるか」と「説明できるか」が加わっています。

背景には三つの変化があります。第一に、行政、金融、医療、エネルギーなどで、漏えいだけでなく、クラウドが止まった場合の社会的影響が大きくなりました。第二に、AIが大量の機密データとGPU基盤を使うようになり、データだけを国内に置いても説明が終わらなくなりました。第三に、経済安全保障やデジタル主権が、IT部門だけでなく、経営と調達の論点になりました。

日本でも、経済産業省はクラウドプログラムを経済安全保障推進法の「特定重要物資」に係る取り組みとして扱い、安定供給確保の支援策を進めています。クラウドは、便利なITサービスだけでなく、社会を支える供給基盤として見られ始めています。

ソブリンクラウドと国産・国内リージョンは何が違うのか

似た言葉の違いをはっきりさせると、過剰な仕様と不足する統制の両方を避けられます。名称より、契約と技術の実体を比較します。

「国産だから安全」「外資だから不適」とは言い切れません。選定時は、データの経路、ログ、鍵、保守拠点、再委託先、契約の準拠法、解約後の搬出方法をまとめて確認します。

対象業務は、機密度と停止影響で分ける

ソブリンクラウドの必要性は、企業規模ではなく業務で決まります。一つの企業でも、採用サイトと、決済、研究データ、工場制御では統制が違います。

次の表では、四つの領域で選択しやすい基本方針を整理します。右上だけをソブリン環境へ置き、ほかは通常環境とつなぐ設計も選べます。

この分類を先に行えば、「全部を移行するので高い」という議論を避けられます。ソブリン性が必要な業務を狭く定義し、周辺は通常のクラウドとつなぐ構成が現実的です。

日本のソブリンクラウドは、政策と調達から整い始めた

日本では、「ソブリンクラウド」という単一の公的認定があるわけではありません。一方で、ガバメントクラウドと経済安全保障の施策により、必要な機能と供給基盤の具体化が進んでいます。

デジタル庁のガバメントクラウドでは、2023年度の公募で多数の技術要件が設けられました。さくらインターネットの「さくらのクラウド」は開発計画による条件付き選定を経て、2026年3月27日に全要件を満たしたことが確認され、本番環境を提供できる状態になりました。

さらに、デジタル庁はガバメントAI「源内」の一部で、さくらのクラウド上へ国産基盤モデルを載せる評価検証を始めています。データだけでなく、計算基盤とAIモデルまで含めて供給の選択肢を増やす動きです。

ただし、政府に選定されたことと、民間企業のすべての業務に最適であることは別です。利用するマネージドサービス、開発生産性、他クラウドとの接続、価格、移行パートナーを業務ごとに比較する必要があります。

業界構造は、設備より「証明と運用」で分かれる

ソブリンクラウドは、データセンター一社で完成しません。ハードウェア、クラウド基盤、運用者、暗号鍵、監査、移行、業務アプリがつながって、初めて顧客の業務になります。

新規事業の余地は、大規模なデータセンター建設だけではありません。 顧客のデータを分類し、クラウドの設定へ変換し、証跡を集め、解約時に移せる状態を保つ仕事にもあります。

国内外8社のソブリンクラウドを比較する

各社の取り組みは、「国産か外資か」で分けると違いが見えません。独立したリージョンを作る、地域企業が運用する、自前スタックを持つ、顧客拠点で動かすといった、実装モデルで比較します。

比較すると、機能の豊富さ、地域内の運用支配、独自スタック、公的資格は同じ軸ではありません。自社の業務が何を優先するかによって、適するモデルは変わります。

8社は、4つの主権をどう実装しているのか

企業事例は、製品名やデータセンター数だけでは実務に使えません。各社がどこを分離し、どこを共通化し、顧客に何を確認させるのかを見ます。

さくらインターネットは、国内開発と政府調達をつなぐ

さくらインターネットは、日本国内のデータセンターと運用体制を持つクラウド事業者です。さくらのクラウドがガバメントクラウドの要件を満たしたことで、国内事業者でも政府が求める機能を実装する道筋が具体化しました。

強みは、保管場所と運用主体を説明しやすいことです。一方、顧客が必要とするDB、AI、開発支援、国際展開の機能は、グローバルクラウドと同じとは限りません。選定では、主権要件と開発生産性を分けて比べます。

NTT DATAは、グローバル技術を国内運用に分ける

OpenCanvas Type-Oracle Alloyは、NTT DATAの国内データセンターで運用され、150以上のOracle Cloud Infrastructureサービスを国内で利用できるとしています。これは、技術の開発元と、契約・運用を担う地域企業を分けるモデルです。

顧客にとっては、閉域ネットワーク、既存システムの運用、日本語の窓口とクラウド機能を組み合わせられる点が価値です。確認すべきは、ソフトウェア更新、障害時の分担、技術供給者が必要とする接続の範囲です。

AWSは、欧州向けに独立したクラウド区画を作る

AWS European Sovereign Cloudは、2026年1月に一般提供が始まりました。EU内に置かれ、通常のAWSリージョンから物理的・論理的に分離された独立クラウドです。EU居住者による運用など、地域内の運用独立性を強めています。

この形は、AWSの広い開発機能と、より強い分離を両立させようとするものです。ただし、利用中の通常リージョンとはアカウントやサービスの扱いが異なります。移行と災害復旧をどの区画で行うかが選定の要点です。

Microsoftは、業務ごとに主権の強さを選べるようにする

Microsoft Sovereign Cloudは、欧州リージョンのパブリッククラウド、顧客環境に置くプライベートクラウド、地域パートナーが運用するクラウドをまとめた考え方です。Azureだけでなく、Microsoft 365、セキュリティ、Power Platformも対象にしています。

同社は、欧州向けに顧客が暗号鍵を管理する機能や、運用アクセスの承認と記録を強化しています。利用者側は、「Microsoftのソブリン」と一括りにせず、どの形を選ぶか、日常運用で追加される承認負担はどれくらいかを見ます。

Oracleは、リージョン・顧客拠点・地域運用を使い分ける

OracleのSovereign Cloudは、EU Sovereign Cloud、政府向けクラウド、顧客のデータセンターにクラウドリージョンを置くDedicated Region、地域事業者が運用するOracle Alloyなど、複数の形を持ちます。

EU Sovereign Cloudは、EU内で物理的に分離されたリージョンとして提供されています。Alloyは、クラウド機能を地域企業のブランドと運用で提供する形です。この適用例がNTT DATAです。一社の製品群の中でも、責任主体は形によって変わります。

STACKITは、事業会社のIT基盤を外部へ開く

STACKITは、独シュワルツ・グループのSchwarz Digitsが提供するクラウドです。小売など大規模なグループ事業で磨いたIT基盤を、ドイツとオーストリアのデータセンターから提供しています。

この事例は、クラウド専業ではない事業グループが、自社需要と規制対応を起点に基盤を事業化できることを示します。但し、調達側は、大手クラウドと比べた機能差と、必要な開発ツールが揃う時期を確かめる必要があります。

OVHcloudは、独自基盤に公的資格を重ねる

OVHcloudは、データセンター、サーバー、ネットワーク、クラウドを幅広く自社で設計・運用する欧州企業です。2026年9月1日、フランスの政府機関ANSSIが運用するSecNumCloud資格を、パブリッククラウド型のSNC Cloud Platformが取得したと発表しました。

資格は、事業者の自己宣言ではなく、技術、運用、法的支配などを定められた基準で確認する手段になります。ただし、資格は事業者の全サービスに自動で広がるわけではありません。対象サービスと拠点を確認することが重要です。

Bleuは、地域企業と大手クラウドの役割を分ける

Bleuは、CapgeminiとOrangeが設立したフランス企業です。Microsoft AzureとMicrosoft 365の技術を使いながら、フランス国内の法人、データセンター、運用人員、契約で提供する形を取っています。

価値は、大手クラウドの機能と、地域企業の運用支配を両立させることです。一方、利用企業は、対象機能の提供状況、SecNumCloud資格の状況、MicrosoftからBleuへの更新経路、障害時の責任を詳しく確認する必要があります。

事例から見える勝ち筋は、単独完結ではない

8社の取り組みに共通するのは、すべての技術を自前で作ることではありません。自社が握る支配点を決め、他社の技術を使いながら責任を分けています。

勝ち筋は三つあります。

1. 題客ごとに主権の強さを変える：パブリック、独立リージョン、地域運用、完全分離を使い分ける
2. 技術と運用の主体を分ける：グローバル技術を使いつつ、地域企業が契約と運用を持つ
3. 証明を継続サービスにする：資格の一時取得で終わらず、設定、ログ、鍵、再委託先の変化を追う

実務の焦点は、契約と技術の食い違いを減らすことです。契約に「国内保管」と書いてあっても、メタデータ、サポートログ、障害解析用のデータが外部へ出れば、意図した統制とは異なります。

ソブリンクラウドの構想を、六つの詰まり方で整理する

点数を付ける診断ではありません。主権、対象業務、費用、資格、責任分界の未確認条件を見つけます。

01　国内に置けば十分と考える

データ、運用、技術、法律の四つに分けます。

• ログも国内か
• 誰が特権を持つか
• どの法が及ぶか

02　全システムを移そうとする

機密度と停止影響で対象業務を絞ります。

• 機密度は高いか
• 停止影響は大きいか
• 通常クラウドで足りないか

03　製品名から選ぶ

必要な支配点を先に決め、複数方式を比べます。

• 鍵は誰が持つか
• 更新は誰が承認するか
• 復旧は誰が指揮するか

04　クラウド料金だけを比べる

監査、移行、人員、停止を含む総コストで見ます。

• 監査工数はいくらか
• 二重運用は必要か
• 解約時に移せるか

05　資格名だけで安全と判断する

対象サービス、地域、運用範囲を確認します。

• 資格の対象は何か
• 利用地域と一致するか
• 有効期限はいつか

06　一社へすべて任せる

責任を分けても、事故時の指揮系統は一本にします。

• 契約主体は誰か
• 障害責任は誰か
• 代替経路はあるか

ソブリンクラウドへ参入する4つの方法

新規参入では、ハイパースケーラーと同じクラウドを作る必要はありません。 顧客が未解決の仕事は、要件の翻訳、鍵とアクセスの中立管理、複数クラウドの運用、業界アプリに残っています。

四つの方法は、単独で完結するものではありません。自社が顧客との設計を握り、クラウド、監査、法務、運用の不足を提携で補う形が現実的です。

最初から四つを同時に始める必要はありません。自社がすでに持つ顧客接点と運用資産に最も近い一つを選び、責任を持てない部分を先に切り分けます。

主権要件を、調達と設定へ翻訳する

規制文書とクラウドの機能名の間には距離があります。その距離を埋め、「このデータはこの環境」「この操作は二人承認」「このログは七年保存」と設定に変える仕事です。

一度のコンサルティングで終わらせず、規制とサービスの変更を追って更新すると、継続収入を作れます。ただし、調査報告書を納品するだけでは、顧客の運用は変わりません。

鍵とログを、クラウド事業者から分離する

顧客が暗号鍵を持ち、重要操作を外部で承認し、改ざんされにくいログへ残す参入方法です。特定のクラウドに閉じないことが価値になります。

ただし、暗号鍵の管理を強くしすぎると、緊急復旧や通常運用が止まります。安全だけでなく、鍵紛失、承認者不在、障害時の代理権限まで商品に含めます。

複数のクラウドを、業務別に運用する

一社へ全てを寄せるのではなく、機密度と停止影響によって複数環境へ配置します。モニタリング、設定差分、請求、バックアップ、復旧訓練を共通化する運用事業です。

価値は、特定のクラウドを売ることではなく、業務ごとに適した選択を続けることです。ただし、何もかも共通化しようとすると、各クラウドの強い機能を使えなくなります。

業界の一業務を、ソブリン環境で商品化する

医療画像の共同利用、金融の不正検知、製造の設計AI、自治体の文書処理など、機密度の高い一業務を選びます。基盤自体はパートナーのクラウドを使い、事業者はデータ定義、画面、権限、監査証跡を提供します。

参入の条件は、「安全なクラウドで動きます」ではなく、業務の手戻り、確認時間、監査工数、データの再利用など、顧客価値を示せることです。

懸念は、機能差・価格・人材・責任分界に出る

ソブリン性を強めれば、自動的に優れたシステムになるわけではありません。分離と承認が増えるほど、機能、コスト、運用速度に影響が出ます。

特に注意したいのは、ソブリンクラウド自体が新しい集中リスクになることです。国内一社だけに寄せ、その会社の電力、回線、人材、供給網に問題が起きれば、「国内だから安心」とは言えません。独立性と複数化を同時に考えます。

自社は、参入・提携・待機・見送りのどこにいるか

新規事業の判断は、技術的に作れるかだけでは足りません。 顧客が、強い主権要件のために追加費用と運用負担を受け入れるかが商品成立の条件です。

当社の見立てでは、現時点で参入しやすいのは、業務分類と調達仕様の標準化、特権操作の証跡管理、業界SaaSの移行です。反対に、差別化のないクラウド再販売や、大規模DCを建ててから顧客を探すモデルは、資本負担と価格競争が重くなります。

ソブリンクラウドの選定で見落とせない7項目

ベンダーの説明は、「域内保管」「国内運用」「顧客管理鍵」といった強い言葉に集約されがちです。選定側は、その言葉がどの範囲まで及ぶかを確認します。

1. 本体データだけでなく、メタデータ、ログ、保守データも対象か
2. 特権権限で触れる会社、国、居住者、再委託先は誰か
3. 顧客管理鍵を使う場合、クラウド事業者だけで復号できないか
4. ソフトウェア更新と脆弱性対応を誰が承認し、どこから配信するか
5. 障害時に、会社の境界を越えて一連の責任を持つ人がいるか
6. 解約や地編変化の際、データ、鍵、設定、ログを移して再現できるか
7. 証明書や資格の対象が、利用するリージョンとサービスに一致するか

セキュリティの基本として、接続元だけで信用せず、ID、端末、業務、リスクに応じてアクセスを判断する必要があります。ゼロトラストの実装と参入余地では、クラウドの場所とは別に、利用者と権限を制御する考え方を解説しています。

AI時代は、データ以外の主権も問われる

AIでは、業務データをどこに置くかだけでは足りません。モデル、学習・評価データ、GPU、プロンプトと応答ログ、外部ツールへの接続を含めて支配関係を見る必要があります。

特にAIエージェントは、情報を読むだけでなく、承認、発注、更新などの操作を行います。ソブリンクラウドにAIを置いても、エージェントが外部SaaSへ無制限にデータを送れば、設計した境界は崩れます。AIエージェントの新規事業と統制も併せて確認すると、基盤と利用権限を一続きで設計できます。

今後の参入余地は、国産AIモデルそのものだけではありません。複数モデルを許可済み環境で切り替え、コンテキスト、記憶、権限、評価ログを共通管理する層にもあります。AIのコンテキスト設計では、モデル以外の実装層を整理しています。

イノベーション総研は、主権要件を事業要件へ変える

ソブリンクラウドの企画は、IT製品の比較だけでは足りません。規制や契約を強くするほど、顧客の費用と日常運用は重くなります。その負担を上回る価値がどの業務にあるかを先に確かめます。

イノベーション総研は、次の順序で事業構想を整理します。

• 題客の業務とデータを、機密度と停止影響で分ける
• データ、運用、技術、法律の必要水準を決める
• クラウド、運用、鍵、監査、業務アプリのパートナー構造を描く
• 顧客が買う最小単位と、事業者が負う責任を同時に決める
• 参入、提携、待機、見送りの条件を先に言語化する

特定クラウドの販売を前提にせず、顧客の事業と自社の強みから、どの層を握るべきかを整理します。技術起点の新規事業支援では、市場構造、顧客価値、知財、提携先、撤退条件までを一つの事業設計にまとめます。

ソブリンクラウドについてよくある質問

選定や参入の検討で出やすい疑問を、判断に使える短い答えへまとめます。名称だけで決めず、対象業務と責任分界へ戻って確認してください。

Q. ソブリンクラウドは、データを国内に置けば満たせますか？

A. 満たしません。データとバックアップの保管場所に加え、運用者、特権権限、暗号鍵、更新、契約、準拠法、解約時の移行を確認します。必要な強さは業務ごとに異なります。

Q. 国産クラウドなら、外国法の影響を受けませんか？

A. 一概には言えません。契約主体だけでなく、技術供給者、親会社、再委託先、サポート拠点の所在地と関与を見ます。法的評価は、対象データと契約に応じて専門家の確認が必要です。

Q. ソブリンクラウドは、一般的なクラウドより高いですか？

A. 専用環境、地域限定の運用、多重承認、監査、二重化のため、単価は高くなる場合があります。ただし、比べるのは利用料金だけではありません。監査、事故、停止、データ移行、人員を含めた総コストで比較します。

Q. すべての業務をソブリン環境へ移すべきですか？

A. その必要はありません。データの機密度、停止時の事業影響、規制、契約をもとに業務を分けます。強い主権が必要な業務を狭く定め、通常のクラウドと併用する構成が現実的です。

Q. 新規参入には、データセンターが必要ですか？

A. 必須ではありません。業務と規制の分類、調達仕様、外部鍵、特権アクセスの承認、証跡自動収集、マルチクラウド運用、業界SaaSにも参入余地があります。自社は顧客接点と業務知識を握り、基盤は提携で補う方法があります。

まとめ｜ソブリンクラウドは、対象業務から設計する

ソブリンクラウドは、国内のデータセンターを買う話ではありません。データ、運用、技術、法律の4つの主権を、業務の機密度と停止影響に応じて設計する考え方です。

国内外8社の事例は、実装の形が一つではないことを示しています。独立リージョン、地域企業による運用、欧州の独自基盤、顧客拠点のプライベート環境には、それぞれ違う強みと制約があります。

新規事業としては、巨大クラウドを作るより、顧客の要件を設定へ翻訳する仕事、鍵と証跡を中立管理する仕事、業務別に複数クラウドを運用する仕事、特定産業のSaaS・AIを安全に動かす仕事が現実的です。入口は技術ではなく、顎客が有償で解きたい一つの業務です。

参考文献

本文の動的な事実と企業事例は、次の公的機関・各社の公式情報で確認しました。サービス範囲や資格は変わるため、実際の調達時には対象機能と契約を再確認します。

• 経済産業省「クラウドプログラムの安定供給確保」
• デジタル庁「ガバメントクラウド」
• デジタル庁「ガバメントAI 源内における国産クラウド上での国産基盤モデルの試用開始」
• NTT DATA「OpenCanvas Type-Oracle Alloy」
• AWS「Opening the AWS European Sovereign Cloud」
• Microsoft Learn「What is Microsoft Sovereign Cloud?」
• Oracle「Sovereign Cloud」
• STACKIT公式サイト
• OVHcloud「SNC Cloud PlatformがSecNumCloud資格を取得」
• Bleu「Qui sommes-nous?」