令和6年12月19日付で下記の通り質問主意書を提出しました。
政府からの答弁があった際には、こちらに掲載いたします。
 
『ガバメントクラウドのセキュリティ基準見直しに関する質問主意書』

提出者　神谷宗幣

 　　　　
　現在、デジタル庁が所管する政府共通のクラウドサービスの利用環境である「ガバメントクラウド」は、クラウドサービス事業者（以下「ＣＳＰ」という。）を米国企業（主にアマゾンウェブサービス（ＡＷＳ））に依存している。
 　
　しかし、平成三十年三月に成立した米国ＣＬＯＵＤ法に基づき、米国政府は、米国の管轄下にある企業に対し、データの保存場所にかかわらず、企業が管理するデータの開示を要求することができる。また、令和元年十月に署名された日米デジタル貿易協定第十一条第一項は、「いずれの締約国も、情報（個人情報を含む。）の電子的手段による国境を越える移転が対象者の事業の実施のために行われる場合には、当該移転を禁止し、又は制限してはならない。」としており、米国企業が日本国内データセンターで管理する情報も、米国政府の要求により開示されるおそれがある。
 　　
　ただし、前記協定第十一条第二項では、「締約国が公共政策の正当な目的を達成するために必要」な措置であれば、一定の条件下でデータ移転を規制できると明記されている。このことから、現状においても、米国企業によるデータの国外移転を規制する措置を講じることは可能と考えられる。
 　　
　経済産業省も、基盤クラウドプログラムを外国企業に依存するリスクを指摘しており、「特定重要物資の指定等に関する政令」（令和四年十二月二十日閣議決定）に基づき、「経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律」（以下「経済安全保障推進法」という。）上の「特定重要物資」にクラウドプログラムを指定した。また、「インターネットその他の高度情報通信ネットワークを通じて電子計算機（入出力装置を含む。）を他人の情報処理の用に供するシステムに用いるプログラムに係る安定供給確保を図るための取組方針」（令和五年一月十九日（令和六年二月五日改定））では、以下示されている。
 　　

・　基盤クラウドプログラムは、その供給の多くを特定少数国・地域に依存している（中略）、供給途絶が発生した場合に国民生活・経済活動に甚大な影響が生じ得る状態にある。

・　海外からネットワーク経由で提供される基盤クラウドの停止やそれに伴う利用者の事業そのものが停止する、我が国が直接管理できない状況下で情報に不当にアクセスされる等のリスクがある。

・　我が国が自律的に管理すべき重要データを扱う情報システムも他国に依存するおそれがある。

　
 
　このように、政府や自治体その他公的機関が扱う国民や企業の極めて重要なデータを管理するガバメントクラウドを外国ＣＳＰに依存している現状は、外国政府からのデータ開示要求、不当アクセス、供給停止などの重大なリスクを抱えている。
 
　したがって、これらの重大なリスクを一刻も早く解消すべく、政府自らクラウドプログラムを構築するか、少なくともＣＳＰを自国企業（外国資本でない企業）とするようガバメントクラウドの体制を根本的に見直すべきと考える。以上を踏まえ、現状のＣＳＰに対する規制の在り方について、以下のとおり質問する。
 
一　
ガバメントクラウドを担うＣＳＰに対し、政府が以下の義務を課しているか示されたい。

　１　データの保存場所を国内とする義務

　２　データを国外移転しない義務

　３　データを米国政府や外国機関に開示しない義務

 
　また、これらの義務に関係する規定及び内容、根拠となる法令、ガイドライン又は契約等を示されたい。さらに、我が国がＣＳＰに対して講じ得る、データの国外移転を禁止する措置又はデータの外国機関に対する開示を禁止する措置に関する規定について示されたい。
 
二　
令和二年六月に運用を開始した「政府情報システムのためのセキュリティ評価制度」（ＩＳＭＡＰ）におけるＣＳＰに対する要求事項には、以下の項目が含まれているのか。含まれている場合は、その内容を示されたい。

　１　データの保存場所に関する事項

　２　データの国外移転禁止に関する事項

　３　外国政府や外国機関に対するデータ開示の禁止に関する事項

　４　供給途絶や事業停止に備えた事項

 
三　
ＩＳＭＡＰの運用開始以降、経済安全保障推進法の制定や特定重要物資の指定が行われた。その際に示されたリスクに対応するため、ＩＳＭＡＰの改定が必要であると考えるが、政府の見解を示されたい。
 
四　
データの保存場所、データの国外移転及びデータの外国政府への開示等に関し、より強力に規制するため、ＥＵにおける標準契約条項（ＳＣＣ）や拘束的企業準則（ＢＣＲ）を参考にした規制を導入すること、あるいは、「行政機関の保有する個人情報の保護に関する法律」や「個人情報の保護に関する法律」を改正することについて、政府の見解を示されたい。
 
　右質問する。