中国系クラウドは使えなくなる？2027年度の安全認証制度、銀行・病院への影響を解説

2026年10月19日、データセンターやクラウドに国が安全認証を設ける方針が報じられたよ。「中国系を事実上排除」という強い言葉が並んでいるけれど、一般の利用者が今すぐ口座を変えたり、アプリを消したりする必要はないよ。ただし制度の細かいルールはまだ公表されていなくて、決まっていないことも多いんだ。

このニュースを見たとき、私が最初に思ったのは「自分の銀行口座や病院のカルテのデータって、いまどこのクラウドに入っているの？」ということだった。きっと同じ疑問を持った人は多いはず。

そこでこの記事では、報道と公的な資料を照らし合わせながら、次の5つの疑問に順番に答えていくね。

• 2027年度以降、何が変わるのか
• 中国系クラウドは本当に日本で使えなくなるのか
• 銀行口座・病院のカルテ・マイナンバー情報はどうなるのか
• AWS・Azure・Google Cloudなどは対象になるのか
• 私たちは何か手続きする必要があるのか

なお、この記事は2026年10月19日時点で確認できた情報をもとにしているよ。事実、報道、今後の見込み、そして私の考えは、なるべく分けて書くようにするね。

2027年度から何が変わる？データセンター・クラウド安全認証制度とは

報道されている制度の骨格

報道によると、政府はデータセンター（データを保管するサーバーが並ぶ建物）やクラウドサービス（ネット経由で借りるコンピューターやソフト）の安全性を国が確かめる認証制度をつくる方針だよ。金融や医療など、重要な個人情報を扱う企業には、国が認証したサービスを使うよう促すのが狙いとされているんだ。

担当は総務省と経済産業省で、導入は2027年度以降。審査の対象になるのは、国内にあるデータセンターの事業者と、国内にサーバーを置くクラウドの提供者だと報じられているよ。

ここで大事なのは、これが「利用者に使うなと命じる制度」ではなく、「安全だと国が確かめたサービスを選びやすくする、そして重要な情報を扱う企業にはそれを選んでもらう」という考え方に見えること。私が読んだ範囲では、そう受け取るのが自然だと感じた。

現時点で確定していること・していないこと

報道の元記事は会員限定で、私は全文までは確認できなかった。そこで、確認できた範囲を表にしてみたよ。

項目	確認できていること	まだ決まっていない・確認できないこと
導入時期	2027年度以降を目指すと報道	具体的な開始月、認証の有効期間
担当	総務省・経済産業省と報道	正式な制度名、審査を実際に行う機関
対象	国内のデータセンター事業者、国内にサーバーを置くクラウド提供者と報道	海外のデータセンターを使う場合の扱い、サービスの種類ごとの基準
審査の中身	外国政府の影響を受けないことが重視される方向と報道	資本関係や設備の調達先をどこまで見るか、具体的な基準
義務かどうか	重要な個人情報を扱う企業に利用を促す、と報道	認証のないサービスを使うと違法になるのか、罰則はあるのか

「促す」と書かれていることがポイントで、少なくとも報道の段階では、使えば違法になるとは書かれていないんだよね。

経済安全保障推進法の改正との関係

もう一つ、混同しやすい話があるよ。2026年6月に改正経済安全保障推進法が成立して、基幹インフラ制度に医療分野が加わったんだ。内閣府などの資料や報道では、改正案は3月19日に閣議決定、6月10日に参議院で可決され、公布から1年6か月以内に施行されるとされているよ。

一方、データセンターやクラウドの安全確保については、有識者会議が2026年1月に出した提言で、データを守る仕組みを検討する方針が示されているよ。ただ、今回報じられた認証制度が法律のどこにどう位置づけられるのかは、私が確認できた公的資料には書かれていなかった。

つまり「医療が基幹インフラに加わった」ことと「クラウドの安全認証ができる」ことは、関連はありそうでも、同じ話ではないんだ。ここは今後の発表を待つしかないよ。

中国系クラウドは日本で使えなくなる？

「事実上の排除」ってどういう意味？

「事実上排除」という言葉は強く聞こえるけれど、報道を読むかぎり、法律に「中国企業は禁止」と書くという意味ではなさそうなんだ。特定の国名を挙げて禁じるのではなく、審査の条件を厳しくした結果、その条件を満たせない会社が出てくる、という仕組みを指す表現だと私は理解したよ。

だから「Alibaba Cloudが日本から撤退する」「どこかの会社が認証に落ちる」といった話は、現時点ではどこにも確定していない。これは大事なので、はっきり書いておくね。

国籍ではなく「外国政府の影響力」が問題になる理由

審査で見られるのは、会社の国籍そのものより、外国政府がその会社に影響を及ぼせる状態かどうか、だと考えられているよ。

よく例に出されるのが、中国の国家情報法。第7条に、組織や国民は国の情報活動に協力しなければならないという趣旨の定めがあると説明されているんだ。また、データ安全法の第36条は、国外の司法・法執行機関にデータを出す際に、中国の主管機関の承認を求める内容だと紹介されているよ。

こうした法律があると、中国企業やその子会社が日本のデータを預かっていた場合に、中国政府から求められたら断りにくい可能性がある、という心配が出てくる。報道ではロシアなども同じ文脈で挙げられているよ。ただ、これも「だから不合格」と決まった話ではなく、あくまで懸念の根拠として説明されているものだよ。

一般消費者の利用禁止とは別の話

ここが一番勘違いされやすいところだと思う。この制度が想定しているのは、金融や医療など重要な個人情報を扱う「企業」がどのクラウドを選ぶか、という話。私たち個人が、中国系のアプリやサービスを使うことを禁じる制度ではないんだ。

ちなみに、JC-STARという名前も一緒に報道されることがあるけれど、こちらは経済産業省の関連で運用されるIoT製品（ルーターやカメラなど）の安全性を評価する制度で、クラウドの認証とは別物だよ。また、政府機関向けのクラウド評価制度ISMAPとも、今回の新制度がどうつながるのかは、まだ発表されていないんだ。

銀行口座・病院のカルテ・マイナンバー情報はどうなる？

4分野を比べてみた

気になる4つの分野を、私なりに表にまとめてみたよ。「新制度との関係」は、報道と公的資料から読み取れる範囲の可能性として書いているので、決定事項ではないことに注意してね。

分野	扱う主な情報	新制度との関係（可能性）	一般利用者への直接の影響	今の時点で必要な対応
銀行	口座情報、取引履歴	金融機関が国の認証サービスを選ぶ流れが強まる可能性	目に見える変化はほぼない見込み	口座の変更は不要。通知や不審な連絡に注意
病院	電子カルテ、検査結果	医療は基幹インフラに加わった。クラウド選びにも影響する可能性	受診方法が変わる話ではない	手続きは不要。病院の案内を確認
行政	マイナンバー関連、税、住民情報	政府向けクラウドの評価制度ISMAPがすでにある	大きな変化は想定されにくい	手続きは不要。公式窓口の案内を確認
SNS・通販	購入履歴、会話、閲覧履歴	重要インフラの外側で、直接の対象とは報じられていない	利用禁止になるという報道はない	必要なら各サービスの設定を見直す

銀行と病院は「全部」ではなく「重要なところから」

銀行については、金融機関向けにはすでに業界の安全基準があって、各行はそれに沿って運用していると言われているよ。新制度は、その上でさらに「国が見た安全性」を選ぶ材料にするものと考えられるね。

病院は少し様子が違って、改正された経済安全保障推進法で医療が基幹インフラに加わったけれど、すぐに全国の病院が対象になるわけではないんだ。厚生労働省の案として、まず地方ごとに少なくとも1病院、その後は各都道府県に1病院以上へ増やしていく方針が報じられているよ。対象は主に特定機能病院などの大きな病院が念頭にあるとされていて、近所のクリニックがすぐ対象という話ではない。

行政とSNS・通販は別の仕組み

マイナンバーなど行政の情報は、デジタル庁が進める政府向けクラウドの仕組みで、ISMAPという基準を満たしたサービスが使われているよ。だから急に環境が変わるわけではなさそう。

SNSや通販、生成AIのサービスは、今回の制度が直接対象にするとは報じられていないよ。ただ、企業が個人情報を扱うルールは別に動いていて、2026年7月に個人情報保護法の改正が成立し、7月17日に公布されたんだ。施行は政令などの整備を経て、原則として公布から2年以内とされているよ。この改正で委託先の扱いも見直されていて、一部の解説では「第30条の3」といった条文番号も挙がっているけれど、私は条文そのものまでは確認できていないので、ここでは条番号を断定しないでおくね。気になる人は、個人情報保護委員会の公表資料を見てみてね。

認証があっても「完全に安全」にはならない

ここは強調しておきたいんだけど、安全認証ができても、個人情報の漏えいがゼロになるわけではないよ。実際、クラウドの設定ミスや、パスワードの使い回し、フィッシング詐欺のように、サーバーの外側で起きる被害はたくさんある。たとえば、アカウント乗っ取りと詐欺の手口は、楽天で何が起きてる？アカウント乗っ取りと詐欺の全手口と今すぐできる防衛策でも整理しているので、気になったら読んでみてね。

AWS・Azure・Google Cloudは今後も利用できる？

事業者別に整理してみた

結論から言うと、「AWSやAzureが使えなくなる」と決まった事実は、私が確認した範囲では見つからなかったよ。新制度の認証を誰が取れるのかも、基準が公表されていないので、現時点では誰にも分からないんだ。

下の表は、各社が公表している国内拠点と、政府向けの評価制度ISMAPの確認ポイントを並べたものだよ。国内拠点は各社の公開情報で知られている範囲で、「新制度に通る・通らない」を評価するものではないよ。

事業者	国内の拠点（公開情報）	運営の特徴	ISMAPなど既存制度の確認ポイント
AWS	東京・大阪リージョン	米国企業の日本法人	ISMAPリストで登録サービスを確認
Microsoft Azure	東日本・西日本リージョン	米国企業の日本法人	ISMAPリストで登録サービスを確認
Google Cloud	東京・大阪リージョン	米国企業の日本法人	Looker、Vertex AIなど一部サービスで登録が公表されている
Oracle Cloud	東京・大阪リージョン	米国企業の日本法人	ISMAPリストで登録サービスを確認
Alibaba Cloud	東京リージョン	中国企業グループ	ISMAPリストで登録の有無を確認。新制度での扱いは未発表
さくらインターネット	北海道・東京・大阪などの自社拠点	日本企業	ISMAPリストで登録サービスを確認
NTTグループ	国内に多数	日本企業	サービスごとに確認
IIJなど国内事業者	国内に複数	日本企業	サービスごとに確認

正直に書くと、ISMAPの登録状況はサービスごとに違っていて、私が公式リストを一社ずつ照合しきれたわけではないんだ。だから「確認ポイント」という書き方にしているよ。

国産だから安心、外資だから危険とは言えない

ここでありがちなのが、「国産クラウドなら安全、外国のクラウドは危ない」という単純な見方。でも、審査で見られるのは国籍だけではなく、データの保管場所、運用する人、暗号鍵を誰が持つか、外国の法律の影響を受けるか、といった中身だと考えられているよ。

国産だからといって設定ミスがないわけではないし、外資でも国内に運用拠点を置いて、厳しい管理をしているところもある。事業者名だけで判断せず、サービスごとの公表資料を見るのが近道だよ。

日本にサーバーがあっても安心とは限らない理由

ここが、この記事でいちばん「意外と知られていないポイント」だと思う。「日本にサーバーがある＝日本の法律で守られている＝安心」と考えがちだけれど、実はそう単純じゃないんだ。

データの保存場所と管理者は別

サーバーの建物が東京や大阪にあっても、それを動かして管理している人が海外にいることはあるよ。海外にいる管理者が日本のサーバーの中身にリモートで入れる設計なら、保存場所だけ日本でも、管理は海外ということになってしまう。

だから新制度でも、場所だけでなく、誰がどこから運用するのかが問われる可能性があるよ。

暗号鍵を誰が持っているか

データは暗号化して保管するのが一般的だけれど、その暗号を解くための「鍵」を誰が持っているかも大事なんだ。クラウド事業者が鍵まで持っていると、事業者がデータを出す必要に迫られたときに中身が読める状態になりうる。一方、利用する側（たとえば日本の企業）が鍵を自分で持つ設計なら、事業者だけでは中身を読めない。

「ソブリンクラウド」という言葉を最近よく聞くよね。これは、データの保存場所、運用する人、暗号鍵、適用される法律の4つを、自国の主導でコントロールできるクラウドのこと。国産クラウドだけでなく、外資のクラウドでも、鍵を日本側で管理するなどの工夫で近づけようとする動きがあるよ。

米国のCLOUD Actとはどういう法律？

米国には2018年に成立したCLOUD Actがあって、米国の捜査当局は、米国のクラウド事業者に対し、データが米国の外にあっても保全や提出を求められる場合がある、とされているよ。

ただ、ここも単純化は禁物。令状などの法的な手続きが前提で、誰のどんなデータでも自由に見られるわけではないんだ。事業者側が異議を申し立てる仕組みもある。制度がどう働くかは個別の要件次第なので、私は「米国系だから危険」とは言い切れないと考えているよ。

こうした外国法のリスクをどう評価するのかが、日本の新制度の難しいところ。具体的な扱いは、基準の公表を待つ必要があるね。

災害用バックアップが海外にある場合

見落としがちなのが、バックアップだよ。本番のデータは国内にあっても、災害に備えたコピーが費用の安い海外リージョンに置かれているケースがあるんだ。

こうなると「国内保存」とうたっていても、バックアップ先の国の法律が関わる可能性がある。企業の担当者は、バックアップの保存先と通る経路まで確認したほうがいいよ。個人情報の漏えいが話題になったときも、原因が委託先やシステムの管理にあることが多いので、東京メトロ情報漏洩、自分は対象？のような記事も、背景を知る参考になると思うよ。

クラウドの利用料金は値上がりする？

最初にはっきりさせておくと、値上がりが決まったわけではないよ。ここで書くのは、あくまで可能性と私の試算だよ。

値上がりの可能性が語られる理由

理由として挙げられているのは、おもに次の点だよ。

• 新しい審査や監査への対応費用が、事業者に発生する可能性
• データセンターを国内で増強するための設備投資
• AIの普及による電力需要の増加
• 国産クラウドへの需要が増え、価格競争の環境が変わる可能性

とくに電力は、制度とは別にすでに大きな課題なんだ。

電力の数字を計算してみた

調査会社ガートナーが2026年6月に発表した予測によると、日本のデータセンターの電力消費は、2025年の18TWhから2026年に23TWh、2027年に29TWhへ増えるとされているよ。私は数字を確かめたくて、増加率を計算してみた。

• 2025年→2026年：（23−18）÷18＝約27.8%の増加
• 2026年→2027年：（29−23）÷23＝約26.1%の増加
• 2025年→2027年：29÷18＝約1.61倍（約61%増）

2年間で消費量が1.6倍近くになる計算で、私はこの数字を見て、正直ちょっと驚いた。電力の確保はデータセンター増設の制約になりうるので、料金に響く可能性は否定できないよ。ただし、あくまで予測であって、利用料金に直結すると決まったわけではないよ。

仮に値上がりしたらいくら？計算してみた

中小企業を例にして、クラウドの利用料が月20万円の場合を試算してみたよ。数字は仮定なので、実際の値上げ率ではないからね。

• 年間の支払い：20万円×12か月＝240万円
• 5%上がった場合：240万円×0.05＝年間12万円の増加
• 10%上がった場合：240万円×0.10＝年間24万円の増加
• 20%上がった場合：240万円×0.20＝年間48万円の増加

月額に直すと、5%で月1万円、10%で月2万円、20%で月4万円の増加だね。私は、10%でも年24万円と聞くと、小さな会社には無視できない金額だと感じた。こうした負担が、取引先や最終的にはサービス価格に転嫁される可能性もあるよ。

中小企業への影響

認証を取るための体制づくりは、大手より中小のほうが負担に感じやすいはず。システムの会社や、金融・医療の取引先を持つ会社は、取引先から「安全なクラウドを使っているか」と聞かれる場面が増えるかもしれない。ただ、これも制度の詳細が出てからの話だよ。

私たちが今すべきことは？

一般の利用者は、特に何もしなくて大丈夫

ここまで読んで、「じゃあ私は何をすればいいの？」と思ったかな。答えは、この制度のために新しく手続きをする必要はなし。銀行口座を作り直したり、アプリを解約したりする必要もないよ。

不安をあおるような話にも注意してね。制度の名前を使った「口座を移さないと危ない」といった連絡は、詐欺の可能性があるよ。心配になったら、各サービスの公式サイトか、公式アプリから確認しよう。

そのうえで、いつもやっておくと安心なのは、パスワードの使い回しをやめること、二段階認証を使うこと。これは制度に関係なく、私自身も気をつけているよ。

企業の担当者が今のうちにできること

企業の担当者は、制度の詳細が出る前でもできる準備があるよ。やりすぎて不要なシステム改修をするのは避けつつ、次のことを確認しておくといいと思う。

• 使っているクラウドサービスの一覧と、運営会社・資本関係
• データの保管場所（バックアップも含めて）
• 委託先や再委託先がどこの会社か
• 誰がどこからアクセスできるか、暗号鍵を誰が管理しているか
• 契約書に、監査、データの返却や削除が書かれているか

情報が漏れたとき、何を先にすればいいかは、タイムズカー情報漏洩で何をすればいい？の記事も参考にしてみてね。

まとめ

今回のポイントを、短く整理するね。

• 2027年度以降の導入を目指して、データセンター・クラウドの国の安全認証が検討されていると報じられた
• 「中国系を事実上排除」は、国名を禁じるのではなく、審査条件の結果としてそうなる、という意味合いとみられる
• 特定の会社の認証可否や撤退は、確定していない
• 一般の利用者は、口座変更やアプリ削除などの手続きは不要
• 日本にサーバーがあっても、運用する人、暗号鍵、バックアップの場所で状況は変わる
• 料金の値上がりは予測の段階で、決まった話ではない

制度の具体的な審査基準や対象範囲は、今後の発表で明らかになるよ。気になる人は、内閣官房、総務省、経済産業省、デジタル庁、個人情報保護委員会などの公表資料を確認してね。

よくある質問

Q. 制度はいつから始まる？

2027年度以降の導入を目指すと報じられているよ。具体的な開始月や認証の有効期間などは、まだ公表されていないんだ。

Q. 中国系クラウドは使えなくなる？

使えなくなると決まった事実は確認できていないよ。報道は、金融や医療など重要な個人情報を扱う企業に、国が認証したサービスを使うよう促す仕組みだと伝えている。個人が使えなくなる話ではないよ。

Q. AWSやAzureは対象になる？

国内にサーバーを置くクラウドの提供者が審査の対象と報じられているので、対象になる可能性はあるよ。ただ、認証を取れるかどうかは基準が未公表で、現時点では分からないんだ。

Q. 病院の電子カルテは安全？

認証制度だけで安全が保証されるわけではないよ。医療は2026年の法改正で基幹インフラ制度に加わったけれど、まずは大きな病院から段階的に対象になる方針が報じられている。手続きが必要になれば病院から案内があるはずだよ。

Q. 銀行口座を変更する必要はある？

変更の必要はないよ。この制度は金融機関などの企業がクラウドを選ぶ話で、預金者に手続きを求めるものではないんだ。

Q. LINEやTikTokも対象？

LINEやTikTokの利用が禁止されるという報道は、私が確認した範囲ではないよ。今回の制度は、データセンターとクラウドの事業者が対象と報じられているんだ。

Q. 国内サーバーなら安全？

必ずしもそうとは限らないよ。保管場所が国内でも、運用する人が海外からリモートで入れたり、暗号鍵を海外の事業者が持っていたり、バックアップが海外にあったりすると、状況は変わるんだ。

Q. 中小企業も準備が必要？

すぐに義務が生じるとは報じられていないよ。ただ、金融や医療の取引先がある会社は、取引先から確認を求められる可能性があるので、利用しているクラウドの棚卸しをしておくと安心だよ。

Q. 認証を取得しないと違法？

現時点で、認証のないクラウドの利用が違法になると確認できる資料はないよ。報道は「促す」と伝えていて、義務や罰則の有無は今後の発表待ちだよ。

Q. 認証で情報漏えいを完全に防げる？

完全には防げないよ。設定ミス、パスワードの使い回し、フィッシングなど、クラウドの外側で起きる被害も多いので、認証はリスクを減らす一つの手段と考えるのがいいと思う。

おすすめアイテム

パスワード管理は1Password

クラウドの安全認証が進んでも、パスワードの使い回しによる乗っ取りは別の話だよね。サイトごとに違うパスワードを作って覚えてくれる1Passwordを使えば、どこか一か所で漏れたときに被害が広がるのを抑えやすくなるよ。

ビサイユのトートバッグ

データは国やクラウド事業者が守ってくれる部分と、自分で守る部分があるよね。持ち歩くカード類は、スキミング防止ポケット付きのビサイユのトートバッグに入れておくと、少し安心して出かけられるよ。超軽量で撥水加工だから、通勤にも休日にも使いやすいんだ。

軽量ショルダーBCS-140

病院や銀行の手続きで書類やカードを持ち歩く日は、手ぶらに近い身軽さがうれしいよね。軽量ショルダーBCS-140は、撥水加工とスキミング防止に加えて収納も多いから、外出先でも中身を整理しやすいよ。