総務省：地方公共団体におけるASP･SaaS導入活用ガイドライン（案）」に対するパブリックコメントの募集

地方公共団体におけるASP･SaaS導入活用ガイドライン（案）がとりまとめられ，これについてのパブリックコメントの募集が開始されている。意見募集期間は，2010年2月20日から3月21日までとのこと。

　「地方公共団体におけるASP･SaaS導入活用ガイドライン（案）」に対する意見募集
　総務省: 2010年2月19日
　http://www.soumu.go.jp/menu_news/s-news/02gyosei07_000021.html

　[関連サイト]

　総務省 パブコメ 「地方公共団体におけるASP・SaaS導入活用ガイドライン（案）」
　http://maruyama-mitsuhiko.cocolog-nifty.com/security/2010/02/aspsaas-da5a.html

このガイドラインそれ自体としては，よくまとまっていると思う。

しかし，適法性確保という点では致命的な欠陥がある。この欠陥は，現時点での基本的枠組みを維持しようとする限り，解決方法のない欠陥だ。

地方自治体は，日本国憲法に基づく一定の自治権があり，条例制定権がある。その条例によって各地方自治体の個人情報の保護や情報セキュリティの確保が図られている。そして，それは自治体によって区々になっているのだが，国（総務省）が地方自治体の条例制定権に口をはさむことはあからさまな憲法違反行為となる。それが良いことであるのかどうかは別として，日本国の国家体制は，日本国憲法によってこのように定められているのだから，そのような国家体制を変更するためには，日本国憲法の改正を要する。

ところで，複数の地方自治体が共通の外部リソースであるASPやSaaSを共用するとした場合において，当該自治体のセキュリティポリシーが異なっている場合には，当該ASPやSaaSの中においてポリシーのコンフリクトが発生し得る。この場合，当該ASPやSaaSは地方自治体から委託を受けて業務処理をするという従属的な立場にあるので，当該ASPやSaaSが自分でもっているセキュリティポリシーは地方自治体のセキュリティポリシーよりも劣後させなければならない。そうでなければ，委託者である地方自治体が当該ASPやSaaSに対して情報セキュリティ上の統制を有しているということにはならない。このことから，国家主権上の障害により地方自治体の統制を及ぼすことのできない外国のASPやSaaSに対して業務委託をすることは許されないという結論が導き出される。それと同時に，複数の地方自治体のセキュリティポリシーが異なっている場合，当該ASPやSaaSが劣後的な地位しか有してはならない以上，そのセキュリティポリシーを上位のものとして適用することができないことになり，結果的に，セキュリティポリシーの選択不能状態が発生することになる。要するに，事業者としては，どのポリシーを選択すべきかを自らの意思で決定することのできる立場にはないので，サービスを提供することができない。この文脈においては，委託者である地方自治体の「統制」を貫徹することが可能かという点が重要なので，「受託者であるASPやSaaSにおいて情報セキュリティが確保されているから大丈夫だ」という主張は，全く意味を持たない。なぜなら，受託者であるASPやSaaSにおいて情報セキュリティが確保されているというためには，受託者であるASPやSaaSのセキュリティポリシーが委託者である地方自治体のセキュリティポリシーよりも優越的であり，受託者としての統制が貫徹できるということを保証すると，地方自治体の統制が貫徹できないというトレードオフの関係が成立しているからだ。この関係を解消することのできる方法は，現時点では存在しない。この世界では，女王であるか奴隷であるかの二者択一しか存在し得ないのだ。そして，複数の女王が共存することはできない。

以上のことから，地方自治体が業務委託することのできるASPやSaaSは，①日本国の主権に服する事業者が提供するサービスであり，かつ，②当該地方自治体の委託業務のみを処理すること（コンフリクトが発生するような委託者からの業務を一切受託しないこと）が保証されており，かつ，③人情報の保護や情報セキュリティの確保に関しては地方自治体のポリシーに完全に服従し，かつ，④システム監査に関しては物理層や人事面を含め地方自治体の完全な監査に服することが適法性確保のための最小限の要件であることになる。簡単に言えば，SaaSやASPなどが当該地方自治体に対して法的にも物理的にも完全に隷属する関係にある場合にのみ，適法性の要件が満たされる。なお，これらの点と関連して，個人情報保護法上のルールの競合問題につき，『個人情報保護条例と自治体の責務』（ぎょうせい）で私見を述べたことがあるが反響はなかった。誰も問題の本質を理解することができないらしい。

ところで，現実問題として，このような要件を満たすことのできる事業者は存在し得るだろうか？

存在するはずがない。

それでは，そもそもパブリッククラウドというビジネスモデルそれ自体が成立しない。

しかし，事実がそうであるから，存在する以上は適法として扱うということはできない。事実としてヤクザやマフィアは存在するし，社会において事実上の支配を有している部分がかなりある。しかし，事実がそうであるからといって，それだけのことで彼らが適法な存在とされることなどあり得ない。このことは，非常に有名な企業が提供するサービスであっても全く同じであり，有名な企業が提供するサービスだから自動的に適法になるなどということは絶対にあり得ないことなのだ。「裸の王様」を読み直してほしい。

というわけで，私は，パブリッククラウドというビジネスモデルは，適法性確保という観点からは，最初から成立し得ない違法な存在なのではないかと思うようになってきた。

日本国だけではなく米国を含めどの国においても，政府は，既に数多くの企業が提供してしまっているパブリッククラウドというビジネスをそれ自体として「違法だ」というだけの度胸も知恵もないだろう。だから，今後，どの国においても憲法違反の状態が発生する可能性は極めて高い。どの国の政府も憲法違反の状態の下で提起される訴訟による国家賠償責任を尽くすための資金を今から確保しておくべきだろう。

ちなみに，上記のような意見が採用される可能性はないので，私はパブリックコメントを提供しない。しかし，現在主流となっている情報セキュリティの基本原理（とりわけ「統制」の考え方）を前提とする限り，私が示す見解は極めて正当だ。私的に政府部内の職員の人々と意見交換してみると，ほぼ全員が私の意見に賛成しており，理論的には袋小路だということを理解している（←私は現時点では政府の委員でも何でもないので，守秘義務がない。）。しかし，彼らは，公務員であり，上司の命令に従って働くべき義務を負い，独自の意見を外部に表明することができない。かくして，国は破滅の道へと突き進むことになるのだ。