クラウド

クラウドの課題とは？ロックイン・データ主権・障害の集中を解説

2026/10/15 （更新: 2026/10/15） シリーズ「クラウド入門」 第10回 / 全10回

🤖 AIを使用して執筆

2009 年に挙げられた課題は、今も解けていない

カリフォルニア大学バークレー校の研究者たちは 2009 年の報告で、クラウドの普及を妨げる課題を十挙げた。その最初の三つが、サービスが使えなくなること、データを他へ移しにくいこと（ベンダーロックイン、略してロックイン）、データの機密性と監査である¹。報告は、一つの会社がクラウドを運営すること自体が、全体を止めうる一点になると書いている¹。利用者はデータとプログラムを別の事業者へ簡単に持ち出せず、値上げや障害、事業者の撤退に弱いとも書いた¹。データの扱いについては、多くの国がデータを国内に置くよう求めていると指摘し、欧州の利用者が米国の法律を心配する例を挙げている¹。

報告は、それぞれの課題に打ち手も添えた。とても高い可用性を得る道は複数の事業者を使うことしかないとし、ロックインには、操作の窓口（API、プログラムから事業者の機能を呼ぶための決まり）をそろえて、複数の事業者にサービスとデータを置けるようにすることを挙げた¹。データについては、置く地域を選んで各国の法律に合わせることを挙げている¹。今では、利用は少数の事業者に集まっている。調査会社の Synergy Research Group は、2026 年 4〜6 月の世界のクラウドの基盤の市場で、Amazon、Microsoft、Google の占める割合を、それぞれ 28%、20%、15% と推計している²。

三つの課題は、それぞれ主に違う立場の問いとして続いている。

以下、この順に、何が分かっていて、どこで答えが割れているかを見る。

ロックイン：乗り換えの費用は下がったが、複数の事業者で組むことには賛否がある

乗り換える利用者は少ない。英国の競争当局の CMA は 2025 年 7 月、英国と欧州経済領域のクラウドの市場で、事業者を乗り換える顧客は毎年 1% に満たないとした³。妨げとして、データを外へ出すときの転送の料金（egress fee）、事業者ごとに機能と操作の窓口が違うこと、社員の技能を他の事業者で生かしにくいことを挙げた³。CMA は、競争がうまく働いていないと結論づけた。そのうえで、Microsoft と AWS をデジタル市場の規制の対象とするかを調べることを優先するよう、CMA の理事会に勧めた³。

法律と事業者は、乗り換えの費用を下げてきた。欧州連合のデータ法は、利用者が別の事業者や自社の設備へ移れるよう、事業者に義務を課している⁴。2027 年 1 月 12 日からは、乗り換えのための料金を取ることを禁じ、それまでは費用を超えない額に限った⁴。事業者の側も、データ法の適用が始まる 2025 年 9 月より前に動いた⁵。Google Cloud は 2024 年 1 月、Google Cloud をやめて移る利用者の転送の料金をなくすと発表した⁶。AWS も 2024 年 3 月に同様の扱いを発表し、今の告知では、欧州のデータ法の方向に沿うとも書いている⁷。Azure も、移る利用者の転送の料金を取らないとしている⁸。ただし、どれも事業者を離れるときの扱いで、Google と AWS は、そのサービスのデータをすべて移すことなどを条件にしている⁹⁷。

乗り換えやすくすることと、複数の事業者を同時に使うこと（マルチクラウド）は、別の話である。後者には賛否がある。CMA は、乗り換えだけでなく、複数の事業者を併せて使うことを妨げる転送の料金も、競争の問題とみている³。一方、データ法は、複数の事業者を並べて使う場合には、費用を超えない範囲で転送の料金を取ることを認めている⁴。日本の政府の情報システムの基本方針は、一つのシステムを複数のクラウドで組むことを、構成を複雑にし費用を増やす傾向があるので避けるべきだとしている¹⁰。ただし、システムごとに別のクラウドを使うことは問題ないとしている¹⁰。ロックインを心配して複数の事業者を積極的に使う考え方があることも認めたうえで、データを移せることや合理的な価格の体系の公開などが確かなら、ロックインには当たらないとする¹⁰。CMA も、大きな利用者ほど複数の事業者を使うが、支出の多くは一つの主な事業者に集まっていると報告している³。

データ主権：データの場所と、及ぶ法律は別である

データを国内に置けば、その国の法律だけが及ぶとは限らない。米国の CLOUD Act（2018 年）は、米国の法律に従う通信やクラウドの事業者に対し、保有または管理するデータを、それが米国の内にあるか外にあるかを問わず、提出などの義務に従うよう求めている¹¹。

この点の受け止め方は割れている。米国の司法省は、この法律は既存の法を明確にしただけで、データを求めるための厳しい基準は変わらないと説明している¹²。外国の法律とぶつかる場合は、裁判所が両国の利益を比べるとも書いている¹²。一方、欧州連合の司法裁判所は 2020 年 7 月、米国の公的機関によるデータの利用が必要な範囲に限られていないとして、個人データを米国へ移す枠組み（プライバシー・シールド）を無効とした¹³。欧州委員会は 2023 年 7 月、米国の情報機関によるアクセスを必要で釣り合う範囲に限るなどの約束を受けて、新しい枠組み（データ・プライバシー・フレームワーク）を認め、定期的に見直すとした¹⁴。

2025 年 6 月、フランスの上院の調査委員会で、Microsoft のフランス法人の渉外・法務の責任者が、宣誓のうえで問われた。公共調達の窓口を通じて Microsoft に預けられたフランスの市民のデータが、米国の政府の命令で、フランスの当局の明示の同意なしに渡されることはないと保証できるか、という問いである¹⁵。答えは「いいえ、保証はできません。ただ、繰り返しますが、そうしたことはまだ一度も起きていません」（拙訳）だった¹⁵。同じ場で責任者は、根拠のない要求には抵抗すると契約で約束しているとも述べている¹⁵。

事業者は、主権のためのクラウド（ソブリンクラウド）で応えようとしている。AWS は 2026 年 1 月、ほかのリージョンから物理的にも論理的にも分けたクラウドの提供を始めた。設備はすべて欧州連合の中に置き、運用は欧州連合の住民だけが担い、ドイツの法律に基づく法人が管理するとしている¹⁶。Microsoft は、欧州連合の中でデータを保管し処理すると約束する範囲を定めたが、限られた場合には範囲の外へデータが移ると自ら書いている¹⁷。Google は、現地の提携先が独立して運用する形をとり、フランスでは独立したフランスの法人が運用するとしている¹⁸。これらで外国の法律の影響を断てるかどうかを、事業者の文書は明言していない。

欧州連合は、法律の側でも応えている。データ法は、域内にある個人データでないデータについて、欧州連合の法とぶつかる外国の政府のアクセスや移転を防ぐ措置を、事業者に義務づけた⁴。外国の裁判所や行政機関がそうしたデータの移転やアクセスを命じても、国際的な取り決めに基づく場合に限って認めるとしている⁴。

日本の政府は、国と自治体が共同で使うガバメントクラウドに、国内企業か外国企業かを問わず同じ技術の要件を課している¹⁹。2021 年に AWS と Google Cloud を、2022 年に Microsoft Azure と Oracle Cloud Infrastructure を選び、外国の事業者による四つのサービスがそろった²⁰²¹。2023 年 11 月には、これらに加えて、国内の事業者であるさくらインターネットのさくらのクラウドを、2025 年度末までにすべての要件を満たす条件付きで選んだ²²。さくらインターネットは、さくらのクラウドを、「インフラから基盤まで自社開発」した国産のクラウドだと説明している²³。デジタル庁は 2026 年 3 月、要件を満たしたことを確かめたとしている¹⁹。経済産業省は、日本がクラウドのプログラムの供給を海外に頼っているため、このままでは海外から提供されるクラウドの停止や、日本が直接管理できない状況での情報への不当なアクセスのおそれがあるとしている²⁴。そのうえで、経済安全保障推進法に基づき、クラウドを安定して提供するための計画を認定して支援しており、認定した計画の多くは、AI のための計算資源としての GPU のクラウドである²⁵。

障害の集中：一社には強くても、社会には弱いことがある

クラウドは、一社ごとには障害に強くなりうる。金融安定理事会（FSB）は 2019 年、地理的に分かれた設備とセキュリティへの大きな投資によって、事業者は個々の金融機関の障害への強さを大きく高めうると書いた²⁶。同じ報告は、個々の会社のリスクは下がっても、各社が外部の提供者のリスクを適切に管理していなければ、金融の仕組み全体ではリスクが高まりうると続けている²⁶。とくに、多くの金融機関が同じ事業者に頼り、各社の管理も足りない場合には、大きな障害や事業者の破綻が全体に波及しうる（集中リスク）²⁶。しかも、どれだけの金融機関が同じ事業者を使っているかは、金融機関自身も当局も知らないことがある²⁶。

2025 年 10 月 19 日から 20 日にかけて、AWS の北バージニアのリージョンで、データベースのサービス DynamoDB に接続できなくなった。AWS の報告によれば、原因は、DynamoDB の接続先の名前を管理する自動の仕組みに潜んでいた欠陥だった²⁷。障害は米国の太平洋夏時間で 19 日の午後 11 時 48 分に始まり、20 日の午後 2 時 20 分に終わった。その間、利用者のアプリへの影響は三つの時間帯に分かれて出た²⁷。DynamoDB に接続できなかったのは最初の時間帯で、20 日の午前 2 時 40 分までだった。残りの二つでは、負荷分散の仕組みへの接続と、仮想マシンの新しい起動が失敗した²⁷。影響は利用者の通信だけでなく、DynamoDB に頼る AWS の社内のサービスにも及んだ。このリージョンに認証のサービスを設定していた利用者は、サインインもできなくなった²⁷。AWS は、問題の自動の仕組みを世界中で止めた²⁷。影響は北バージニアの外にも及んだ。ほかのリージョンでも一部の利用者が管理画面にサインインできず、データウェアハウスの Redshift では、すべてのリージョンで一部の認証の方法による問い合わせが失敗した²⁷。一方で、複数のリージョンに写しを持つ設定のテーブルを使っていた利用者は、ほかのリージョンの写しに接続できたが、北バージニアの写しとの間の複製は長く遅れた²⁷。この報告から分かるのは、一つのリージョンの欠陥が、そこに頼る事業者自身のサービスを通じて、ほかのリージョンの利用者にまで及んだことである。外部のどのサービスが止まったかは、この報告には書かれていない。

規制当局は、事業者そのものを監督し始めた。欧州連合では、金融機関のデジタルの業務の強靭性を定めた規則（DORA）に基づき、欧州の監督機関が 2025 年 11 月 18 日、AWS、Google Cloud、Microsoft を含む 19 社を、金融機関にとって重要な ICT 第三者提供者に指定した²⁸。監督は、金融の分野が少数の ICT の事業者に頼ることから生じる、仕組み全体と集中のリスクに対処するためのものである²⁹。ただし、監督は、金融機関が自らリスクを管理する責任を置き換えるのではなく、補うものだとしている²⁹。英国でも 2025 年 1 月から、財務省が指定した提供者を重要な第三者として監督する規則が始まった。規則の公表の時点では、まだ指定はなかった³⁰。財務省は 2026 年 7 月、Microsoft、Google Cloud、AWS、Oracle の欧州または英国の法人の 4 社を、13 日から重要な第三者とすると発表した³¹。英国の当局は、指定されたからといって、その提供者がほかより障害に強いことを意味しないとも書いている³⁰。欧州連合と英国の金融の規制は、クラウドを禁じるのではなく、使うことを前提に、事業者と利用者の両方を監督する道をとった。

使う側が決められることと、国や規制当局に委ねられていること

三つの課題は、どれも、借りる側が事業者に頼ることから生まれる。頼ることそのものは、クラウドを使う限り避けられない。違うのは、誰がその頼り方を決められるかである。

使う側が自分で決められることもある。データを外へ出せる形に保つこと、一つのリージョンの障害で止まらない構成にすること、自分がどの事業者の何に頼っているかを知っておくことである。

一方、データにどの国の法律が及ぶか、一社の障害が社会に広がらないかは、一つの利用者では決められない。各国の法律と国どうしの取り決め、規制当局の監督に委ねられており、どこまで頼ってよいかの答えは、立場によってまだ割れている。クラウドを使うとは、何を借り、何を自分の責任とするかを決めることだった。その線は、自分の判断だけでなく、こうした国と社会の答えによっても動き続ける。

この記事はAIを使用して執筆されました。内容には誤りが含まれる可能性があります。事実や数字の出典は脚注から確かめられます。