まず政府系のシステムで採用されているクラウドとデータ保管と、電子署名について、調査した結果から
ーーーー
- マイナンバーカード関連データの「置き場」とクラウド事業者
まず重要なのは、マイナンバーカードそのものの情報が、単純に1社のクラウドへ丸ごと保管されているわけではないという点です。
マイナンバーカードには、JPKI-AP（公的個人認証）、券面AP、券面事項入力補助AP、住基APなどが搭載されています。署名用電子証明書・利用者証明用電子証明書はカードのICチップ内に格納されます。
一方、電子証明書の発行・失効等を管理する公的個人認証サービス（JPKI）は、J-LISが運営する別のシステムです。富士通の資料でも、J-LISが電子証明書の発行・失効・廃止を一元管理する構成が説明されています。
クラウドについては、現在の政府・自治体システムでは「ガバメントクラウド」が重要なデータ基盤の一つです。2026年3月時点で対象となるCSPは次の5社です。
クラウド事業者 サービス
Amazon Web Services AWS
Google Google Cloud
Microsoft Microsoft Azure
Oracle Oracle Cloud Infrastructure
さくらインターネット さくらのクラウド
2026年3月27日に、さくらのクラウドが技術要件をすべて満たしたことが確認され、5社体制になっています。
利用規模については、2025年9月30日時点でガバメントクラウドを利用するシステムは5,237システムで、その内訳は国147、地方公共団体5,090システムです。
さらに、デジタル庁の令和6年度調査では、自治体が「採用または採用を検討しているCSP」の回答数は、AWSがシングル295＋マルチ71、OCIがシングル58＋マルチ71、Google Cloudがマルチ1、Azureがマルチ2でした。これはマイナンバー情報そのものの保存量・シェアではなく、自治体のガバメントクラウド採用・検討状況なので、そこは区別する必要があります。
したがって、「マイナンバー関連の重要データをクラウド事業者別に何％保管しているか」という直接的な統計は、今回確認した公表資料からは出せません。公表されているのは主に「政府・自治体システムのCSP利用状況」です。
⸻
- 富士通が説明しているマイナンバーカードの署名規格
こちらは富士通の資料が見つかりました。
富士通の技術論文「マイナンバーカードの技術仕様と利活用方式」では、カードに搭載される電子証明書を、
- 署名用電子証明書
- 利用者証明用電子証明書
の2種類として説明しています。署名用電子証明書は、電子文書に電子署名を付与し、本人が作成・送信したことや改ざんされていないことを確認するために使われます。
富士通「マイナンバーカードの技術仕様と利活用方式」
ただし、署名アルゴリズムの現在の正式な規格については、富士通資料だけでなく現行の法令・デジタル庁資料を見るのが適切です。
2026年4月の総務省告示では、個人番号カード用の署名用電子証明書・利用者証明用電子証明書に関する発行者署名について、
RSA方式、2048ビット
と明記されています。
また、現在のデジタル庁の実装ガイドラインでは、署名対象データをSHA-256でハッシュ化し、そのDigestInfoを用いて署名処理する手順が示されています。
したがって、実装面では概ね、
署名対象データ → SHA-256 → RSAによる署名
という理解になります。
なお、ここには「カード利用者が行う電子署名」と「J-LIS等が電子証明書に付ける発行者側の署名」があります。両者を混同しないことが重要です。
調査結果の要約
項目 確認結果
カード内の主要領域 JPKI-AP、券面AP、券面事項入力補助AP、住基AP等
署名用電子証明書 カードIC内
電子証明書の管理 J-LISの公的個人認証サービス
ガバメントクラウドCSP AWS / Google Cloud / Azure / OCI / さくらのクラウド
ガバメントクラウド利用システム 5,237システム（2025年9月末）
AWS採用・検討 366回答（295単独＋71マルチ）
OCI採用・検討 129回答（58単独＋71マルチ）
署名関連の方式 RSA 2048 bit
データのハッシュ SHA-256
富士通資料 「マイナンバーカードの技術仕様と利活用方式」
特に「マイナンバー関連の重要データが、AWS・Azure・Google・OCI・さくらのどこに何％置かれているのか」という統計を作る場合、ガバメントクラウド全体の5,237システム統計と、J-LISのJPKI、公金受取口座、マイナポータル、自治体標準化システム等を分けて調査する必要があります。この切り分けまで行えば、クラウド事業者別の構成をかなり具体的に追えます。
ーーーーーーーーーー
これについて
政府系クラウドでアメリカ性のクラウドを使うのは非常にまずい。
日本人のデータの保管をアメリカを中心とするITベンダーに保管しておくことは非常に危険であると筆者は考えています。
可能であれば、NTTdataとNEC、富士通、日立を中心とした国産SIer+振興ベンチャーあたりでオンプレミスのデータ保管を国内事業者に発注して、データ保管の依存リスクを極端に下げるべきと考えています。
また、PRISM計画のように既にアメリカに渡る＝軍か諜報機関に知らずに譲渡されていると考えた方がいいです。日本の国内ベンダーはさくらインターネット以外にも手を挙げるべきです。
富士通の電子署名採用の規格を載せている二つ目の理由は、RSAやハッシュ関数といった計算量困難性に依存した一方向関数を仮定した電子署名の運用を直ちにやめましょう。
これを理解していないと、偽造電子署名をやりたい放題やられます。
SHA-1の衝突が2SATを経由して解かれているように、SHA256が解かれないというのは割と早計。
クラウド自体も、VMwareがデファクトスタンダードになっていたり、主要なクラウドやDBを安いという理由で外国に依存しているのはリスクの高い行為と考えています。
ハイパーバイザーとセットで、国内のサプライヤーに組み込み、データのリスクを下げるべきというのが主張です。
今年IBMの説明会に参加して来ましたが、経産省の進めているRapidasのようにIBMの技術提供とセットの場合もあるので、これは一筋縄とは行かないとも考えている。
技術者のいいところは技術を知っていて正しく使えることですが、政治家や官僚がこれを正しく知らないと、ベンダーに簡単に騙されて悪用されてしまうので、相当注意しましょうという注意喚起でした。