政府情報システムにおけるクラウドサービスの利用に係る基本方針
発行年月日：2018年6月7日
https://cio.go.jp/sites/default/files/uploads/documents/cloud_%20policy.pdf
概要
内閣官房IT総合戦略室は、標準ガイドライン付属文書に「政府情報システムにおけるクラウドサービスの利用に係る基本方針」を追加しました。
当該ガイドラインは、政府情報システムのシステムについて、クラウドサービスの採用をデフォルト（クラウド・バイ・デザイン）とし、クラウドサービス利用にあたってのガイドラインです。
クラウド・バイ・デフォルト原則に基づく利用検討プロセス
Step0:検討準備
クラウドサービスを利用するにあたって、対象となる業務を明確化して検討を行います。検討するポイントには以下のようなものがあります。
1) 業務の基本属性
(1) 主なサービス利用者（国民向けサービスか、職員向けサービスか）及
びその利用者の詳細
(2) インターネット利用を前提とした業務か否か
(3) サービスの種別（特定の業務か、コミュニケーション系か）等
(4) 他のサービスやシステムとの連携2) 必要なサービスレベル
(1) サービス提供時間
(2) 障害発生時の復旧許容時間
(3) 災害対策の要否等3) サービス・業務の定常性
(1) 定常的なサービス・業務か、試行的又は一時的なサービス・業務か4) 業務量
(1) 業務処理量の総量、単位時間当たりの処理量の予測
(2) 業務処理量の変動（増加・減少、ピーク特性等）予測5) 取り扱う情報
(1) 府省の情報セキュリティポリシー等に基づいた情報の格付け（機密性、
完全性、可用性）、取扱制限
Step1: SaaS（パブリック・クラウド）
検討結果を踏まえ、対象業務にかかわるシステムがパブリック・クラウドで提供されている場合は、パブリッククラウドの利用を検討します。
クラウドサービスの選定については、以下の事項を満たすものを利用することが示されています。
1) クラウドサービスの選定
(1) SaaS（パブリック・クラウド）においては、コミュニケーション系のクラウドサービスでは、十分な稼働実績を有し、運用の自動化、サービスの高度化、情報セキュリティの強化、新機能の追加等に積極的かつ継続的な投資が行われ、サービス終了のリスクが低い、クラウドサービスを選定するものとする。IaaS/PaaS をインフラ部分として構築された業務系の SaaS については、少なくとも、そのインフラ部分において、コミュニケーション系のクラウドサービスと同等の投資が行われていることが望ましい。
(2) 統一基準に定める「クラウドサービスの利用に関する遵守事項」を満たすクラウドサービスを選定するものとする。
(3) コミュニケーション系のクラウドサービスについては、クラウドセキュリティ認証等（「セキュリティクラウド認証等」参照）を必須とするものとする。業務系のクラウドサービスについては、そのインフラ部分において、クラウドセキュリティ認証等と同等のサービスであることが望ましい。
(4) クラウドサービスに保存される利用者データの可用性の観点から、我が国の法律及び締結された条約が適用される国内データセンタと我が国に裁判管轄権があるクラウドサービスを採用候補とするものとする。ただし、データの保存性、災害対策等からバックアップ用のデータセンタが海外にあることが望ましい場合、又は争訟リスク等を踏まえ海外にあることが特に問題ないと認められる場合はこの限りではない。2) 情報セキュリティ
(1) 特定秘密（特定秘密の保護に関する法律（平成 25 年法律第 108 号）第3 条第 1 項に規定する特定秘密をいう。）及び行政文書の管理に関するガイドライン（内閣総理大臣決定。初版平成 23 年 4 月 1 日。）に掲げる秘密文書中極秘文書に該当する情報をパブリック・クラウド上で扱わないものとする。
(2) クラウドセキュリティ認証等の認証基準、監査フレームワークの監査報告書の活用や個別の調査等により、クラウドサービス提供者から提供されているサービスが統一基準を満たしていることを確認するものとする。
(3) クラウドサービス利用時の伝送路は暗号化するものとする。格納されるデータやデータベースについても、機微な情報については暗号化を行うものとする。データの暗号化に使用する鍵については、クラウドサービス提供者側よりも利用者側で管理することが望ましく、選択可能な場合は利用者側で鍵管理が可能な暗号機能を選ぶものとする3) クラウドサービスの利用
(1) データバックアップは、クラウドサービスの全体的な災害や障害に備え、クラウドサービスの外部でも保管することが望ましい。
(2) 将来、他のクラウドサービスに移行可能となるように、データ移行の手段を情報システムの要件定義当初から考慮しておくものとする。
(3) 情報システムの運用において管理に必要なログの種類とクラウドサービス上取得できるか否か、その際の利用料金等をあらかじめ確認しておくものとする。
Step2: SaaS（プライベート・クラウド）
Step1までの検討結果を踏まえ、対象業務の性質によって、パブリッククラウドではなく、プライベートクラウドが望ましい場合があります。
Step3:IaaS/PaaS の利用検討
Step2までの検討結果を踏まえ、SaaS の利用が難しい場合は、IaaS/PaaSの利用が検討されます。クラウドサービスの選定については、以下の事項を満たすものを利用することが示されています。
1) クラウドサービスの選定
2) 情報セキュリティ
※上記はSaaSのものと同様
3) クラウドサービスの利用
(1) IaaS/PaaS（パブリック・クラウド）の利用においては、「３.３3)クラ
ウドサービスの利用」の(2)に掲げる事項と同様の取扱いとするものとす
る。
(2) データバックアップは、データの完全性やデータリカバリのコストのバランスを踏まえ、同一クラウドサービスの内部で複数作成するものとする。また、クラウドサービスの全体的な災害や障害に備え、クラウドサービスとは別に外部でも保管することが望ましい。
(3) 24 時間 365 日のサービス提供が必要不可欠である情報システムについてはサービスの冗長化を行う。フェイルオーバー時の運用についてもあらかじめ準備を行っておくものとする。
4) システム移行
既存システムをクラウドサービスに移行させる際には、クラウドに最適化されたアプリケーションとして改修した上で移行することが望ましい。
5) オンプレミス等と連携するシステム形態について
パブリック・クラウドを利用する際に、オンプレミスやプライベート・クラウド上で運用する情報システムとパブリック・クラウド上で運用する情報システムとを連携させるシステム形態については、情報システムの複雑性が増し、結果として高コストとなること及び複雑性に起因する情報セキュリティ対策の困難さが増すことに留意するものとする。例えば、システム移行や既存システムとの連携等で当該形態とならざるを得ない場合や、連携させるオンプレミスやプライベート・クラウドが利用を検討しているパブリック・クラウドよりも明確に高い水準の情報セキュリティ対策を実装している場合は、メリットとリスクを明確にした上で利用するものとする。
Step4: IaaS/PaaS（プライベート・クラウド）
Step3 までの検討結果を踏まえ、IaaS/PaaS（パブリック・クラウド）の利用が難しい場合は、IaaS/PaaS（プライベート・クラウド）の利用を検討します。
ここで利用が想定されるのは独自の業務にかかわる小規模のシステムが例に挙げられています。
上記の検討を踏まえてもクラウドの利用が向かないものについてはオンプレミスの利用が検討されます。
補足：クラウドネイティブについて
クラウド・バイ・デフォルト（クラウドファースト）はシステムを導入する際に、クラウドを使うことを、まず検討するというような意味となります。
さらに踏み込んだ（進んだ、突っ込んだ）言葉として、クラウドネイティブという言葉があります。
クラウドネイティブはシステムをクラウド上に構築するだけではなく、そのうえで実行されるアプリケーションについてもクラウド環境に最適化（これがつまり、コンテナを利用すること、と理解しています。）することも意味します。
クラウドネイティブは「Cloud Native Computing Foundation」（CNCF）が推進しており、そのような考え方をまとめています。
