地方公共団体情報システムのガバメントクラウドの利用に関する基準【第 1.0 版】

令和４年（2022 年）10 月
デジタル庁

【構成】
１．本基準の目的・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・１
２．ガバメントクラウド及びガバメントクラウド接続サービスの定義・・・・・・・２
３．ガバメントクラウド及びガバメントクラウド接続サービスの調達・・・・・・・２
3.1 ガバメントクラウドの調達・・・・・・・・・・・・・・・・・・・・・・・２
3.2 ガバメントクラウド接続サービスの調達・・・・・・・・・・・・・・・・・６
４．ガバメントクラウドの提供方式・・・・・・・・・・・・・・・・・・・・・・８
4.1 基本的な考え方・・・・・・・・・・・・・・・・・・・・・・・・・・・・８
4.2 ガバメントクラウド個別領域の使途等・・・・・・・・・・・・・・・・・・18
4.3 ガバメントクラウドに構築可能なシステム・・・・・・・・・・・・・・・・19
4.4 提供環境への権限設定・・・・・・・・・・・・・・・・・・・・・・・・・19
５．ガバメントクラウド共同利用方式における責任分界・・・・・・・・・・・・・22
5.1 システム管理上の責任分界・・・・・・・・・・・・・・・・・・・・・・・22
5.2 SLA・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・26
5.3 ガバメントクラウドに起因して地方公共団体に発生した損害の賠償責任・・・27
5.4 個人情報等の取扱い・・・・・・・・・・・・・・・・・・・・・・・・・・28
６．ガバメントクラウド単独利用方式における責任分界・・・・・・・・・・・・・30
6.1 システム管理上の責任分界・・・・・・・・・・・・・・・・・・・・・・・30
6.2 SLA・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・31
6.3 ガバメントクラウドに起因して地方公共団体に発生した損害の賠償責任・・・31
6.4 個人情報等の取扱い・・・・・・・・・・・・・・・・・・・・・・・・・・31
１．本基準の目的
本基準は、地方公共団体が、標準準拠システム（標準化基準（地方公共団体情報システムの標準化に関する法律（令和３年法律第 40 号。以下「標準化法」という。
）第６条第１項及び第７条第１項に規定する標準化基準をいう。以下同じ。）に適合する基幹業務システムをいう。以下同じ。
）及び関連システム（4.3 において規定する「関連システム」をいう。）をガバメントクラウド上で運用管理する場合における、デジタル庁、地方公共団体、CSP（３において規定する「CSP」をいう。
）、ガバメントクラウド運用管理補助者（4.1.2 において規定する「ガバメントクラウド運用管理補助者」をいう。）及び ASP（４において規定する「ASP」をいう。
）間の責任分界の考え方を示すものであり、標準化法第７条第 1 項の共通する基準（同法第５条第 2 項第 3 号ハに関することに限る。
）の詳細を示したものである。
それぞれの主体間の責任分界については、主体間の契約によって規定されるところ、本基準は、これらの相互関係の全体像を示すことにより、地方公共団体、ガバメントクラウド運
用管理補助者及び ASP がガバメントクラウドを利用する上で責任を有する範囲を明確化し、もってデジタル庁、地方公共団体、CSP、ガバメントクラウド運用管理補助者及び ASP が
1

講ずるべき措置を明らかにすることを目的とする。
２．ガバメントクラウド及びガバメントクラウド接続サービスの定義
本基準におけるガバメントクラウドとは、デジタル庁が 3.1 のとおり調達するものであって、当該クラウド上で標準準拠システム等（標準準拠システム及び関連システムをいう。以下同じ。
）が利用できるよう、地方公共団体に対し提供するクラウドサービス等（クラウドサービス及びこれに関連するサービスをいう。以下同じ。）をいう。
本基準におけるガバメントクラウド接続サービスとは、ガバメントクラウドへの標準的な接続サービス1としてデジタル庁が 3.2 のとおり調達するものであって、地方公共団体の拠点とガバメントクラウドを専用線接続するために必要となるネットワークをポータル画
面及び API から短時間で構成できるサービスをいう。ガバメントクラウド接続サービスは、
庁内ネットワーク（地方公共団体の庁舎・出先機関を含めた団体が管理主体となるネットワーク及び同ネットワークを委託しているデータセンターに設置している情報システムをいう。以下同じ。
）とガバメントクラウド接続拠点とを接続する拠点接続サービス及びガバメ
ントクラウド接続拠点とガバメントクラウドとを接続するクラウド接続サービスで構成される。
３．ガバメントクラウド及びガバメントクラウド接続サービスの調達
3.1 ガバメントクラウドの調達
デジタル庁は、CSP（政府情報システムのためのセキュリティ評価制度（ISMAP）のクラ
ウドサービスリストに登録されたクラウドサービスから表１に規定する要件を満たすものを提供する事業者をいう。以下同じ。
）と契約を締結する。
デジタル庁は、CSP からクラウドサービス等の提供を受け、ガバメントクラウドとして当該クラウドサービス等を利用する環境を、地方公共団体に対し提供する。
表１ ガバメントクラウドの主な要件
要件
①

1

詳細
・クラウドサービスに係るアクセスログ2等

不正アクセス防止やデータ暗号化なガバメントクラウドと地方公共団体の庁内システムとの接続方法は、令和５年度から令和７年度については、原則として、ガバメントクラウド接続サービスを活用した接続とする。デジタル社会の実現に向けた重点計画（令和４年６月７日閣議決定）において「ガバメントクラウドと地方公共団体の庁内システムとの接続方法の当面の選択肢」としていた
LGWAN を活用した接続については、選択肢とすることも含め引き続き検討を進める。
2

デジタル庁が収集するログは、ガバメントクラウドの運用管理に関するログであり、地2

どにおいて、最新かつ最高レベルの情の証跡を保存し、デジタル庁からの要求

報セキュリティが確保できること。

があった場合は提供すること。なお、証跡は１年間以上保存することが望ましい。
・インターネット回線とクラウド基盤との接続点の通信を監視すること。
・クラウドサービスにおける脆弱性対策の実施内容をデジタル庁が確認できること。
・クラウドサービス上で取り扱う情報について、機密性及び完全性を確保するためのアクセス制御、暗号化及び暗号鍵の保護並びに管理を確実に行うこと。
・ISO/IEC27001（情報セキュリティマネジ
メントシステム）又はそれに基づく認証を取得していること。また、当該認証の証明書等の写しを提出すること。
・ISO/IEC27018（パブリッククラウドにおける個人情報保護）若しくはそれに基づく認証を取得していること又は同等の取扱いを行うこと。
・クラウドサービスの情報セキュリティ水準を証明する以下のいずれかの証明書等の写しを提出すること又は同等の実績を有することを示すこと。
①ISO/IEC27017（パブリッククラウドにおける情報セキュリティ）又は ISMS ク
ラウドセキュリティ認証制度に基づく認証②セキュリティに係る内部統制の保証報
告書（SOC 報告書（Service Organization

方公共団体が利用権限を有するガバメントクラウド個別領域の設定等により地方公共団
体も取得することが可能である。一方、ガバメントクラウド上のアプリケーションの運用に関するログはデジタル庁による収集の対象とせず、ASP が収集することを想定している。
3

Control Report））③第三者監査人による情報セキュリティ
監査により対策の有効性が適切である
ことを証明する報告書（クラウド情報
セキュリティ監査制度に基づく CS マークが付された CS 言明書等）
・クラウドサービスのサプライチェーンリ
ス ク へ の 対 応 と し て 、 NIST SP800-53
rev4 又は相当以上の規格に対応する監査
フレームワークに対応し、第三者監査人
により適切であると言明された報告書等を示すこと。
②

クラウド事業者間でシステム移設を・提供されている全てのマネージドサービ

可能とするための技術仕様等が公開さスに関する技術情報及び用例等がインタれ、客観的に評価可能であること。

ーネット上に複数年間公開されていること。

③

システム開発フェーズから、運用、廃・いわゆる COTS（commercial off-the-shelf）

棄に至るまでのシステムライフサイク

3として広く提供されているサービスでルを通じた費用が低廉であること。

あり、個別に開発されたものではないこと。

④

契約から開発、運用、廃棄に至るまで ・クラウドサービスの廃止、サービス内容
国によって統制ができること。

の変更等に伴い契約を終了する場合は、他のクラウドサービス等に円滑に移行できるよう、原則、１年以上の期間をもって事前にデジタル庁へ通知すること。な
お、１年に満たない場合には、クラウドサービス上で稼働する情報システムの移行期間を考慮した対策方法を提示しデジタル庁と協議すること。
・クラウドサービスの契約を終了する場
合、クラウドサービス上に保存された地
方公共団体のデータについて、汎用性のあるデータ形式に変換して提供するとと

3

特定の情報システムの為に開発されたものではなく、既製品として広く一般に販売されているものを指す。
4

もに、クラウドサービス上において復元できないよう抹消し、その結果をデジタ
ル庁に書面で報告すること。なお、実施方法等の詳細については、デジタル庁と協議するものとする。
・デジタル庁、地方公共団体及びアプリケーション提供事業者が、それぞれ自らの意思によりクラウドサービス上で取り扱う情報を確実に抹消できること。
⑤

データセンタの物理的所在地を日本

・情報資産はデジタル庁が指示しない限り国内とし、情報資産について、合意を得日本国内に保管されること。

ない限り日本国外への持ち出しを行わ・障害発生時の情報資産の退避先はデジタないこと。

ル庁が指定した場合を除き全て日本国内であること。
・運用系の情報資産はデジタル庁が指定した場合を除き全て日本国内に保管される
こと。

⑥

⑦

一切の紛争は、日本の裁判所が管轄・原則として準拠法については日本法とするとともに、契約の解釈が日本法にし、国際裁判管轄は東京地方裁判所とす基づくものであること。

ること。

政府機関等からの開示請求に応じ、・政府機関等からの開示請求に際しては、当該請求に係る異議申し立て等に対応

速やかにデジタル庁に通知するとともにすること。また、主権免除の適用につい協議に応じること。また、当該請求に対て当該 外国政府機関等に通知 するこ

して必要に応じて異議申し立て等の適切と。

な対応を取るとともに、国内法以外に基づく開示請求であった場合は主権免除の適用について当該外国政府機関等に通知
すること。

⑧

・全てのデータセンターは Tier３4相当であ

その他デジタル庁が求める技術仕様
を全て満たすこと。

り、建築基準法（昭和 25 法律第 201 号）の新耐震基準に適合していること。
・全てのデータセンターは、活断層などの地理的リスクを考慮して設置されている

4

地震や火災に対する高い安全性を確保し、電源やネットワークについて冗長構成であることなどを定めている。
5

こと。
3.2 ガバメントクラウド接続サービスの調達
デジタル庁は、NSP（表２に規定する要件を満たす機器及び回線等をサービスとして提供する事業者をいう。以下同じ。
）からサービスの提供を受け、ガバメントクラウド接続サー
ビスとして当該サービスを利用する環境を、地方公共団体に対し提供する。
表２ ガバメントクラウド接続サービスの主な要件
要件

詳細

各拠点への終端装置の設置からガバメント

・全国規模でサービス提供が可能で、通信クラウドへの接続までを一つのサービスと経路は海外を経由せず日本国内に閉じた

して提供

ネットワークサービスであり、かつ、インターネット回線を経由しない閉域ネット
ワークサービスとする。
・当該サービスは庁内ネットワークと接続する拠点接続サービス（アクセス回線サービス）及びクラウドサービスと接続するクラウド接続サービスで構成される。
・ガバメントクラウド接続サービス区間において契約帯域と冗長構成を確保するサービス構成で提供すること。

拠点接続サービスの提供

・原則、帯域確保型の回線を採用し安定して通信帯域を確保する。通信帯域は最大1Gbps まで複数選択可能とすること。
・接続回線は 2 回線での冗長構成を可能なものとすること。
・回線終端装置のインターフェースは、100BASE-T、1000BASE-SX、1000BASELX、1000BASE-T から提供すること。
・ルーティングプロトコルは BGP 及び
Static が利用可能とすること。
・サービスインターフェースとして、ブラウザから利用できる日本語のポータルから以下の操作を可能とすること。
① アクセス回線の帯域変更申し込み② 回線利用状況の確認・アクセス回線状
6況の診断③ 情報参照④ 連絡先の変更等
・サポートデスクは 24 時間 365 日体制で、電話による問い合わせ窓口が用意されていること。
・SLA として以下を定めていること① ネットワーク稼働率：料金月単位のネットワークの稼働率が 99.99％以上② ネットワーク遅延：料金月単位の平均
遅延時間が基準値 50m 秒以内③ 上記 SLA を満たさない場合の補償の定義がされていること。
・料金は回線帯域や SLA に応じて単価が設定され公開されており、誰でも参照可能
なこと。
クラウド接続サービスの提供

・通信帯域は、最大 1Gbps まで複数選択可
能とすること。
・ガバメントクラウドへの接続は東日本エリア及び西日本エリアからの独立したク
ラウド接続サービスを有すること（被災時に自動で切り替わる冗長化設計を可能とする。
）。
・接続部では、仮想ルータ機能として BGP
にて動的制御の設定を可能とする。
・経路広告の制御設定は、Ingress と Egress
で設定を可能とする。
・中継網 PE Router～接続部間では、BGP に対して MED の付与による経路重みづけの設定を可能とする。
・接続部～クラウドサービス間では、BGPに対して AS-PATH 等の付与による経路
重みづけの設定を可能とする。
・設定により接続クラウド間のルーティン
グが可能なこと。
・SLA として、ネットワーク稼働率 99.99%
7以上とすること。
・料金は回線帯域や SLA に応じて単価が設定され公開されており、だれでも参照可
能なこと。

４．ガバメントクラウドの提供方式
4.1 基本的な考え方
4.1.1 ガバメントクラウド個別領域利用権限
地方公共団体が、ガバメントクラウドのクラウドサービス等を利用するためには、ガバメ
ントクラウドのクラウドサービス等を利用する権限を有する必要がある。
地方公共団体は、ガバメントクラウドのクラウドサービス等を利用する権限を得るために、CSP と個別の契約を締結するのではなく、より効率的に調達を行うため、デジタル庁
が、CSP と「ガバメントクラウド提供契約」を締結し、CSP からガバメントクラウドのク
ラウドサービス等を一括して提供を受けるとともに、デジタル庁が、地方公共団体と「ガバメントクラウド利用権付与・運用管理委託契約」を締結して、地方公共団体に対し、一括して提供を受けたガバメントクラウドのクラウドサービス等を、それぞれの地方公共団体が利用できる範囲（以下「ガバメントクラウド個別領域」という。
）に分けてクラウドサービ
ス等を利用する権限（以下「ガバメントクラウド個別領域利用権限5」という。
）を付与する。
4.1.2 ガバメントクラウド運用管理補助者
地方公共団体は、自ら直営で、ガバメントクラウド個別領域利用権限を行使し、ガバメン
トクラウド個別領域のクラウドサービス等の運用管理をする方式（以下「ガバメントクラウ
ド単独利用方式」という。
）を採用することが可能である。
この場合、地方公共団体は、事業者と「ガバメントクラウド運用管理補助委託契約」を締
結し、ガバメントクラウド個別領域利用権限の一部又は全部を当該事業者（以下「ガバメントクラウド運用管理補助者」という。）に付与し、ガバメントクラウド個別領域のクラウドサービス等の運用管理の補助を委託することができる。
4.1.3 ガバメントクラウド共同利用方式の推奨
一方で、複数の地方公共団体が同一のガバメントクラウド運用管理補助者に委託をする
場合（複数の地方公共団体による委託が予定される場合の当初の一の地方公共団体による委託の場合を含む。
）、当該ガバメントクラウド運用管理補助者に対し、運用管理に必要とな

5

当該利用権限は、ガバメントクラウド個別領域の停止、廃止等を含む、当該ガバメントクラ
ウド個別領域に係る全ての権限である。

8

るガバメントクラウド個別領域利用権限を付与し、当該ガバメントクラウド運用管理補助者が、複数の地方公共団体のガバメントクラウド個別領域利用権限を行使してクラウドサービス等の運用管理を行う方式（以下「ガバメントクラウド共同利用方式」という。
）を採用することも可能である（図３）。
ガバメントクラウド共同利用方式のメリットは、主に次の３点である。
第１に、ガバメントクラウド共同利用方式において 4.1.4 で後述するように契約関係上はガバメントクラウド個別領域利用権限をデジタル庁が地方公共団体に付与し、地方公共団
体が保有するが、地方公共団体がガバメントクラウド個別領域のクラウドサービス等の運用管理を個別に行わないことを前提として、手続き上は地方公共団体を介さず、デジタル庁
が直接、ガバメントクラウド運用管理補助者においてガバメントクラウド個別領域利用権
限を行使できるよう措置することとし、関係者間での手続きを簡素化する。
第２に、ガバメントクラウド共同利用方式を採用した場合、地方公共団体が ASP（地方公共団体が標準準拠システム等を利用するために、業務アプリケーション等の構築、提供、運用保守等の提供を受ける一切の事業者（ガバメントクラウド運用管理補助者を除く。
）をいう。以下同じ。
）から提供を受けるアプリケーションを選択し、当該アプリケーションの利用に必要なクラウドサービス等の運用管理をガバメントクラウド運用管理補助者に委ねることで、地方公共団体は既製品のシステムを利用するのに類似した利用形態を採用することが可能となり、運用管理の負担を軽減できることが期待される。
第３に、ガバメントクラウド共同利用方式においては、ガバメントクラウド運用管理補助者があらかじめ運用管理の方法等を提案してそれを複数の地方公共団体が選択することで、複数の地方公共団体のガバメントクラウド個別領域のクラウドサービス等の運用管理を効率的にまとめて行うことが可能となる。
地方公共団体は、ガバメントクラウド共同利用方式若しくはガバメントクラウド単独利用方式のいずれか又は両方を合わせた方式によりガバメントクラウドを利用することができるが、上述のとおり、ガバメントクラウド及び地方公共団体の標準準拠システム等の効率的な運用の観点から、デジタル庁としては、ガバメントクラウド共同利用方式を選択することを推奨する。
図１ ガバメントクラウドの提供方式の基本的枠組み

9

4.1.4 ガバメントクラウド提供に関する契約関係＜注＞標準化法に基づき定められる「標準化に関する基本方針」（令和４年 10 月７日閣議決定）において、「地方公共団体の基幹業務システム等が活用するガバメントクラウドの利用料については、クラウド利用料は地方公共団体が現行システムで負担する運用経費に相当するものであること、標準準拠システムを効率的に構築・運用していくための競争
環境を適切に確保していく必要があること、ガバメントクラウド上の各種サービスへの円滑な接続など他の環境にはない利点があることを踏まえ、ガバメントクラウドの利用に応じて地方公共団体に負担を求めることについて、業務全体の運用コストや利用料等の見通しの情報を明らかにした上で、デジタル庁、総務省、財務省、地方公共団体等が協議して検討を行う」こととされていることから、以下のガバメントクラウド利用料の具体的な負担の方法についての記述は、地方公共団体に負担を求める場合の記載をしている
ものであり、今後の検討により変更があり得る。

①

ガバメントクラウド共同利用方式／単独利用方式に共通する契約関係
ガバメントクラウド共同利用方式／単独利用方式に共通して、デジタル庁、地方公共団体、

CSP、ガバメントクラウド運用管理補助者及び ASP のうち２者間では、主に以下の（ア）～（エ）の 4 本の契約関係があり、図２のとおりとなる。
（ア） ガバメントクラウド提供契約（デジタル庁・CSP 間）（イ） ガバメントクラウド利用権付与・運用管理委託契約（デジタル庁・地方公共団体
間）（ウ） ガバメントクラウド運用管理補助委託契約（地方公共団体・ガバメントクラウド
運用管理補助者間）
10

（エ） アプリケーション等提供・保守契約（地方公共団体・ASP 間）
図２ 地方公共団体へのガバメントクラウド提供に関する契約関係

なお、デジタル庁が NSP の提供するガバメントクラウド接続サービスを調達し、地方公共団体へ提供するガバメントクラウド接続サービスに関する契約関係については本項目の「CSP」を「NSP」へ、「ガバメントクラウド」を「ガバメントクラウド接続サービス」へ読み替えたとおりとなる。
（ア） ガバメントクラウド提供契約（デジタル庁・CSP 間）
デジタル庁は、地方公共団体が利用するクラウドサービス等をまとめて提供するため、CSP と「ガバメントクラウド提供契約」を締結する。
具体的には、次の内容の契約を締結する。
・ デジタル庁は、CSP に対し、クラウドサービス等利用料相当額を支払う。
・ CSP は、デジタル庁に対し、地方公共団体が利用するクラウドサービス等を提供する。
・ デジタル庁は、地方公共団体が利用するクラウドサービス等の運用管理義務を負う。
（イ） ガバメントクラウド利用権付与・運用管理委託契約（デジタル庁・地方公共団体間）
デジタル庁は、それぞれの地方公共団体に対しクラウドサービス等を提供するため、それぞれの地方公共団体と「ガバメントクラウド利用権付与・運用管理委託契約」を締結する。
具体的には、次の内容の契約を締結する。
・ 地方公共団体は、デジタル庁に対し、クラウドサービス等利用料を負担する。
11

・ デジタル庁は、個々の地方公共団体に対し、ガバメントクラウド個別領域利用権限を付与する 。
・

デジタル庁はガバメントクラウド個別領域のクラウドサービス等の運用管理を地方公共団体に委託し、地方公共団体は当該クラウドサービス等の運用管理義務を負う。

（ウ） ガバメントクラウド運用管理補助委託契約（地方公共団体・ガバメントクラウド運用管理補助者間）
地方公共団体は、ガバメントクラウドの運用管理を行う事業者と「ガバメントクラウド運
用管理補助委託契約」を締結して、ガバメントクラウド個別領域利用権限の一部又は全部を付与し、当該ガバメントクラウド個別領域のクラウドサービス等の運用管理を委託することができる（ガバメントクラウド共同利用方式においては前提となる。）。
具体的には、次の内容の契約を締結する。
・ ガバメントクラウド運用管理補助者は、ガバメントクラウド個別領域のクラウドサービ
ス等の運用管理義務を負う。
・ 地方公共団体は、ガバメントクラウド運用管理補助者に対し、地方公共団体がデジタル庁との間で「ガバメントクラウド利用権付与・運用管理委託契約」を締結することを条件としてガバメントクラウド個別領域利用権限の全部又は一部を付与する。
・ 地方公共団体は、ガバメントクラウド運用管理補助者による運用管理の対価として、ガ
バメントクラウド運用管理補助者に対し、運用管理委託料を支払う。
（エ） アプリケーション等提供・保守契約（地方公共団体・ASP 間）
地方公共団体は、ガバメントクラウド個別領域において標準準拠システム等のアプリケーション等を利用するため、ASP と「アプリケーション等提供・保守契約」を締結する。
具体的には、次の点について締結することになる。
・ 地方公共団体は、ASP に対し、デジタル庁から利用権限を付与されるガバメントクラウ
ド個別領域等においてアプリケーション等を提供・保守することを承認する。
・ ASP は、地方公共団体に対し、ガバメントクラウド個別領域等において標準準拠システ
ム等のアプリケーション等を提供し、保守を行う。
・ 地方公共団体は、ASP に対し、アプリケーション等利用料・保守料を支払う。
なお、同一事業者が、ASP とガバメントクラウド運用管理補助者を兼務することは可能である。
また、選定する CSP ごとの具体的運用については、CSP 独自の用語等が存在することか
ら、本基準とは別途示す予定である。

12

②

ガバメントクラウド共同利用方式の契約関係（ⅰ）地方公共団体・ガバメントクラウド運用管理補助者間の「ガバメントクラウド運用管理補助委託契約」
地方公共団体は、標準準拠システム等のアプリケーション等を提供する ASP やガ
バメントクラウド運用管理補助者と協議し、地方公共団体・ガバメントクラウド運用
管理補助者間で、ガバメントクラウド個別領域のクラウドサービス等の運用管理の補助業務をガバメントクラウド運用管理補助者に委託する 4.1.4（ウ）「ガバメントクラ
ウド運用管理補助委託契約」を締結する。
（ⅱ）デジタル庁・地方公共団体間の「ガバメントクラウド利用権付与・運用管理委託契約」
地方公共団体は、デジタル庁に対し、標準準拠システム等のアプリケーション等をガバメントクラウド上で利用することや、「ガバメントクラウド運用管理補助委託契約」を締結したガバメントクラウド運用管理補助者等にガバメントクラウド共同利用
方式を希望すること等を記載したガバメントクラウドの利用申請（以下「利用申請」
という。
）を行う。
デジタル庁は、当該利用申請が別途デジタル庁の定める基準6に適合するものであると認めるときは、当該利用申請を承認する（以下「利用承認」という。）。
そのうえで、デジタル庁・地方公共団体間で 4.1.4（イ）「ガバメントクラウド利用権付与・運用管理委託契約」を締結する7。
ガバメントクラウド利用権付与・運用管理委託契約上、ガバメントクラウド個別領
域利用権限についてはデジタル庁からの付与を受けて地方公共団体が保有するが、ガバメントクラウド共同利用方式においては、手続きとしては、地方公共団体がガバメ

6

本基準においては、標準準拠システム等を複数の地方公共団体が利用することが見込まれる
場合について、次の点を主に規定する。①当該標準準拠システム等で取り扱う地方公共団体の情報について、他の地方公共団体の情報と論理的に分離し、他の地方公共団体がアクセス出来ないようにしなければならないこと。②当該論理的な分離方法について、利用を希望す
る地方公共団体が了承するとともに、専用仮想ネットワーク空間を分離する方法によらない場合は、当該方法についてデジタル庁の承認を得なければならないこと。

7

利用する CSP により、複数地方公共団体共同のガバメントクラウド個別領域利用権限を設定できない場合においては、デジタル庁はガバメントクラウド個別領域利用権限を自らに設定した上で、地方公共団体の指定するガバメントクラウド運用管理補助者に対してガバメントクラウド個別領域利用権限の一部を設定する。この場合、ガバメントクラウ
ド個別領域利用権限を付与した後、デジタル庁の有するガバメントクラウド個別領域利用権
限に対し多要素認証（MFA）によるログイン制御を行い、当該 MFA に係る暗号鍵を利用申請した地方公共団体から委託を受けたガバメントクラウド運用管理補助者に預託することにより、デジタル庁は当該地方公共団体の同意なく権限を行使出来ないようにする。

13

ントクラウド個別領域のクラウドサービス等の運用管理を個別に行わないことを前提として、デジタル庁が地方公共団体を介さず直接に、ガバメントクラウド運用管理
補助者においてガバメントクラウド個別領域利用権限を行使できるよう措置することとし、手続きを簡素化する。
（注１）共同利用方式の場合、複数の地方公共団体が同一のクラウドサービス等を利用することも可能となる。この場合、デジタル庁が複数の地方公共団体分のクラウドサービス等利用料を受領したうえで、合計額相当額を CSP に支払う。
（注２）地方公共団体が負担するクラウドサービス等利用料等の金額については、当該地方公共団体の標準準拠システム等が利用するクラウドサービス等に応じて CSP
がデジタル庁に請求することとなる金額に相当する額とすることを原則とし、その具体的な算出方法などについては別途定める。
（注３）国の予算により、一部又は全部のクラウドサービス利用料等の支払いが行われる場合にあっては、国により支払われた金額を控除した額を地方公共団体がデジタ
ル庁に対し負担するべきクラウドサービス等利用料とする。
図３

ガバメントクラウド共同利用方式における「ガバメントクラウド個別領域利用権限

の付与」

14

（ⅲ）地方公共団体・ASP 間の「アプリケーション等提供・保守契約」
地方公共団体・ASP 間で標準準拠システム等の利用に関する「アプリケーション等
提供・保守契約」を締結する。
なお、「ガバメントクラウド運用管理補助委託契約」の当事者となるガバメントクラウド
運用管理補助者、「アプリケーション提供契約」の当事者となる ASP 及び地方公共団体の３者において、ASP 又はガバメントクラウド運用管理補助者に帰責性のある損害が発生した
場合にガバメントクラウド運用管理補助者と ASP 間で、デジタル庁を介さずに直接損害賠
償請求を行うことを可能にする旨の合意をすることも選択肢として想定される。
また、ガバメントクラウド運用管理補助者と ASP が同一の者となることも想定され、この場合、権利義務関係は簡素化される。ガバメントクラウドの機能停止、機能低下、損壊等（SLA 不充足を含む。
）による損害又は標準準拠システム等の機能停止、機能低下、損壊等による損害が発生した場合に生じるデジタル庁、地方公共団体及び ASP 等（ASP 及びガバ
メントクラウド運用管理補助者を兼ねる場合をいう。以下同じ。
）の 3 者の間で想定される契約責任は、表３のとおりとなる8。詳細については後述する。
なお、デジタル庁が NSP の提供するガバメントクラウド接続サービスを調達し、地方公共団体に提供する場合のガバメントクラウド接続サービスの機能停止、機能低下、損壊等（SLA 不充足を含む。
）による損害又は標準準拠システム等の機能停止、機能低下、損壊等による損害が発生した場合に生じるデジタル庁、地方公共団体及び ASP 等の 3 者の間で想定される契約責任は、表３の「CSP」を「NSP」へ、「クラウド」を「ネットワーク」へ読み替えたとおりとなる。
図４ ASP とガバメントクラウド運用管理補助者が同一の者となる場合

8

個別の契約責任については、各主体の間での具体的な合意内容による。
15

表 3 ガバメントクラウド共同利用方式においてガバメントクラウドの機能停止、機能低下、損壊等（SLA 不充足を含む）による損害又は標準準拠システム等の機能停止、機能低下、損壊等による損害が発生した場合の契約責任
A.デジタル庁に損害

B. 地 方 公 共 団 体 に 損

C.ASP 等 に 損 害 発 生発生（主にクラウ

害発生（主にクラウ（主に標準準拠シスドの損壊による損

ド又は標準準拠シ

テム等の損壊による害を想定）

ステム等の機能停対応工数発生等の損止・機能低下による害を想定）

損害を想定）(1) デ ジ タ ル 庁

・デジタル庁固有のデジタル庁は地方公

地方公共団体は ASP 等に損害につい損害については賠償

共団体に対しガバメ

に対し、アプリケーシての帰責性あ

責任不発生

ントクラウド利用権

ョン等提供・保守契約

り・CSP に損害が発生

付与・運用管理委託契

上又はガバメントクラ

した場合、デジタル

約違反による損害賠

ウド運用管理補助委託

庁の CSP に対する償責任を負う

契約上の損害賠償義務

賠償責任が発生を負い、デジタル庁はガバメントクラウド利
用権付与・運用管理委
託契約上、地方公共団
体から当該損害につい16

て求償を受け賠償する義務を負う(2) 地 方 公 共 団

地方公共団体はデジ

賠償責任不発生

地方公共団体は ASP 等

体に損害につタル庁に対しガバメに対しアプリケーショ

いての帰責性ントクラウド利用権

ン等提供・保守契約上あり

付与・運用管理委託

又はガバメントクラウ

契約違反により賠償

ド運用管理補助委託契

責任を負う

約上の義務違反により賠償責任を負う9(3)ASP 等 に 損

地方公共団体はデジ

ASP 等は地方公共団

害についてのタル庁に対し、ガバ体に対しアプリケー

帰責性あり

メントクラウド利用

ション等提供・保守契権付与・運用管理委

約上又はガバメント

託契約上の損害賠償

クラウド運用管理補義務を負い、ASP 等

助委託契約上の賠償

は地方公共団体から責任を負う

賠償責任不発生

当該損害についてア
プリケーション等提供・保守契約上又はガバメントクラウド
運用管理補助委託契
約上の求償を受け賠償する義務を負う③ ガバメントクラウド単独利用方式の契約関係（ⅰ）デジタル庁・地方公共団体間の「ガバメントクラウド利用権付与・運用管理委託契約」
地方公共団体は、デジタル庁に対し、ガバメントクラウド個別領域のクラウドサービ
ス等に対する運用管理を自ら行いながら当該クラウドサービス等を利用した標準準拠
システム等を単独で利用する旨を申請する。
地方公共団体は、当該申請に対するデジタル庁の承認を得た場合には、デジタル庁と、ガバメントクラウドの利用に関して 4.1.4（イ）「ガバメントクラウド利用権付与・運用
管理委託契約」を締結する。

9

地方公共団体と ASP の契約責任の関係については、両者の契約により上記以外の関係とすることも差し支えない。
17

（ⅱ）地方公共団体・ガバメントクラウド運用管理補助者間の「ガバメントクラウド運用管理補助委託契約」
地方公共団体は、ガバメントクラウド運用管理補助者と、ガバメントクラウド個別領域のクラウドサービス等の運用管理に係る 4.1.4（ウ）「ガバメントクラウド運用管理補
助委託契約」を締結することができる。
（ⅲ）地方公共団体・ASP 間の「アプリケーション提供契約」
地方公共団体・ASP 間で標準準拠システム等の利用に関する「アプリケーション等
提供・保守契約」を締結する。
共同利用方式の場合と同様、単独利用方式においても、ガバメントクラウド運用管理
補助委託契約」の当事者となるガバメントクラウド運用管理補助者、「アプリケーション提供契約」の当事者となる ASP 及び地方公共団体の３者において、ガバメントクラ
ウド運用管理補助者の帰責性により ASP に損害が発生した場合にガバメントクラウド
運用管理補助者と ASP 間で、デジタル庁を介さずに直接損害賠償請求を行うことを可能にする合意をすることも選択肢として想定される。
また、ガバメントクラウド運用管理補助者と ASP が同一の者となることも想定され、この場合、権利義務関係は簡素化される。
この場合、ガバメントクラウドの機能停止、機能低下、損壊等（SLA 不充足を含む）
による損害又は標準準拠システム等の機能停止、機能低下、損壊等による損害が発生した場合に生じるデジタル庁、地方公共団体、ASP 等の 3 者の契約責任は、ガバメント
クラウド共同利用方式と同様である（表 3）。
4.2 ガバメントクラウド個別領域の使途等ガバメントクラウド個別領域利用権限を有する者10は、以下の点について厳守する。
当該ガバメントクラウド個別領域のクラウドサービス等は、検証及び本番稼働、災害対策等の地方公共団体がガバメントクラウド上で業務を行うための利用に限って提供されるものであることから、ASP 又はガバメントクラウド運用管理補助者は標準準拠システム等の開発行為等専ら ASP 又はガバメントクラウド運用管理補助者の利益になる行為に利用して10ガバメントクラウド共同利用方式の場合はガバメントクラウド運用管理補助者の役職員であり、ガバメントクラウド単独利用方式の場合は地方公共団体の職員又はガバメントクラウド
運用管理補助者の役職員である。

18

はならない11。
なお、
デジタル庁は、ガバメントクラウド個別領域利用権限の付与や監査ログの収集管理、
外部 NW 接続管理、DNS（Domain Name System：ドメインと IP アドレスを対応付けて管理するシステムをいう。
）等、ガバメントクラウド個別領域に共通する管理機能をガバメン
トクラウド管理領域において提供する。ガバメントクラウド管理領域は、ガバメントクラウ
ド個別領域とは別の領域であり、後述するとおり、デジタル庁にガバメントクラウド個別領域内の機能の利用を可能とする権限を付与するものではない。
4.3 ガバメントクラウドに構築可能なシステム① ガバメントクラウドに構築可能なシステム
ガバメントクラウドに構築可能なシステムは、次のとおりである。
(a) 標準準拠システム(b) 関連システム② 関連システム
関連システムは、標準準拠システムと業務データの API 連携等を行うシステムの他、標準準拠システムと同じくガバメントクラウドに構築することが効率的であると地方公共団
体が判断するシステムについて広く対象とする12。
4.4 提供環境への権限設定① ガバメントクラウド共同利用方式の場合ガバメントクラウド個別領域利用権限を付与されたガバメントクラウド運用管理補助者
は、当該ガバメントクラウド運用管理補助者の中から指定した者（①において「担当者」と

11

例えば、標準準拠システム等を開発する行為は、当該開発により完成した標準準拠システム
等を他の地方公共団体向けに再販することが ASP の利益となるため、提供される環境内で当該開発行為を実施してはならない。一方、実際のデータをセットアップした上でシステムエ
ンジニアがテストを行う行為は、クライアントの地方公共団体ごとにデータをセットアップ
し調整を行う必要があり、ガバメントクラウド上で業務を行うため必須の行為であるため、提供される環境内で行うことができる。ただし、ガバメントクラウド等に関連する固有の環
境や固有の機能の検証が必要な場合は、実際のデータの導入を前提とせずに提供される環境内で行うことができる。また、地方公共団体職員が操作研修を行う行為は、地方公共団体がガバメントクラウド上で業務を行うために必須の行為であるため、提供される環境内で行うことができる。

12

システムについて、セキュリティなどの別の制約（例：基幹業務システムについては、インターネット等への接続が一般的に認められていない。）がある場合は、その制約に従うものであり、関連システムと判断されることをもって当該制約が解除されるものではない。

19

いう。
）にガバメントクラウド個別領域利用権限に基づく行為を行わせるとともに、当該担
当者の行為について責任を負うものとする。担当者以外にガバメントクラウド個別領域利用権限に基づく行為を行わせてはならない。
また、ガバメントクラウド運用管理補助者は、ガバメントクラウド個別領域利用権限に基づき行う業務を委託する場合（再委託等を含む。
）には、委託を受けた者のうち当該ガバメ
ントクラウド運用管理補助者が必要と認める者（①において「委託先担当者」という。）に、
ガバメントクラウド個別領域利用権限を付与することができる。この際、当該ガバメントク
ラウド運用管理補助者は、委託先担当者がガバメントクラウド個別領域利用権限に関する規定を遵守するよう監督するとともに、当該ガバメントクラウド個別領域利用権限に基づき委託先担当者が行った行為について責任を負うものとする。
ガバメントクラウド個別領域利用権限の具体的な権限設定については、次の表のとおり行う。
表 4 ガバメントクラウド共同利用方式におけるガバメントクラウドの利用に係る諸権限
本基準に設定を受ける者数設定される権限

設定する者

備考

デジタル

デ ジ タ ル 庁 の職

1

ガバメントクラウド

デジタル庁

デジタル庁単独で行使でき

庁

員

おける名
称

担当者

個別領域利用権限にないよう、技術的に制御する

係る全権限（後述注 16 参照）

ガ バ メ ン ト クラ

1 又はガバメントクラウド

ガバメントク

ガバメントクラウド運用管

ウ ド 運 用 管 理補複数

個別領域利用権限

ラウド運用管

理補助者が付与を受ける権

理補助者

限

助者の役職員
委託先担ガ バ メ ン ト クラ

1 又は担当者の有する権限

ガバメントク

ガバメントクラウド運用管

当者

ウ ド 運 用 管 理補

複数のうち、担当者が設定

ラウド運用管

理補助者が業務の一部を再する任意の権限

理補助者

委託する事業者に設定する

助 者 が 指 定 する者

ことが考えられる② ガバメントクラウド単独利用方式の場合ガバメントクラウド個別領域利用権限を付与された地方公共団体は、当該地方公共団体の職員の中から指定した者（②において「管理者」という。
）にガバメントクラウド個別領域のクラウドサービス等の運用管理をさせるとともに、当該管理者の行為について責任を負うものとする。管理者以外にガバメントクラウド個別領域のクラウドサービス等の運用

20

管理をさせてはならない13。
また、ガバメントクラウド個別領域のクラウドサービス等の運用管理に関する業務を委託する場合には、委託を受けた者のうち当該地方公共団体が必要と認める者（②において「委託先管理者」という。
）に、ガバメントクラウド個別領域利用権限を付与することができる。
この際、当該地方公共団体は、委託先管理者がガバメントクラウド個別領域のクラウドサービス等の利用に関する規定を遵守するよう監督するとともに、ガバメントクラウド個別
領域利用権限に基づき委託先管理者が行った行為について責任を負うものとする。また、委託先管理者は、その業務を再委託（再々委託等を含む。
）する場合、当該委託先管理者に付与された権限の範囲内において再委託先の事業者（②において「再委託先管理者」という。
）
に対し業務に必要な権限を付与することも考えられる。この際、委託先管理者は、当該権限を利用して再委託先管理者が行った行為について責任を負うものとする。
ガバメントクラウド個別領域利用権限の具体的な権限設定については、次の表のとおり行う。
表 5 ガバメントクラウド単独利用方式におけるガバメントクラウドの利用に係る諸権限
本基準に設定を受ける者数設定される権限

設定する者

備考

管理者（代

地 方 公 共 団 体の1

ガバメントクラウド

デジタル庁

・原則として行使しない

表者）

職員

おける名
称

個別領域利用権限に
係る全権限

管理者（一

1 又は

ガバメントクラウド

般作業者）

複数

個別領域利用権限に管理者

係る全権限（ガバメン
トクラウド個別領域の削除権限を除く）
委託先管

ガ バ メ ン ト クラ

1 又は・ガバメントクラウ理者

ウ ド 運 用 管 理補複数

ド個別領域利用権限

助 者 の 役 職 員で

13

管理者

のうち、管理者が設定

地方公共団体は、管理者として代表者と一般作業者をそれぞれ指定する。ガバメントク
ラウド個別領域を割り当てる際に設定する代表者については、ガバメントクラウド個別
領域に関する全権限を有するが、原則として権限を行使するものではない。管理者が実際にガバメントクラウド個別領域の管理を行う際は、ガバメントクラウド個別領域の削除権限を有さない一般作業者として業務を行う。
21

あって、地方公共する任意の権限

団 体 が 指 定 する・再委託先管理者の

者

設定権限

再委託先

ガ バ メ ン ト クラ

1 又は

委託先管理者の有す

委託先管理者

ガバメントクラウド運用管管理者

ウ ド 運 用 管 理補

複数る権限のうち、委託先

理補助者が業務の一部を再

助 者 が 指 定 する管理者が設定する任委託する事業者に設定する

者

意の権限

ことが考えられる

５．ガバメントクラウド共同利用方式における責任分界
5.1 システム管理上の責任分界① クラウドサービス等の提供、保守及び運用
デジタル庁は、地方公共団体に対し、IaC14による最低限のセキュリティルール、IaC コー
ド管理等の管理機能及びガバメントクラウド個別領域を割り当てる。
ガバメントクラウド運用管理補助者は、「ガバメントクラウド運用管理補助委託契約」の範囲内でガバメントクラウド個別領域のクラウドサービス等を利用して、標準準拠システ
ム等の運用管理を行う。
また、デジタル庁は、例外的な場合を除いて15クラウドサービス等にアクセスできない設計としている16。

14

Infrastructure as Code：インフラ構築作業や構成・変更管理をコード（プログラム）で実行する技術やそれを用いたプロセス

15

例外として、ガバメントクラウド利用システム管理領域において行うガバメントクラウド個
別領域利用権限の付与や監査ログの収集管理、外部 NW 接続管理、DNS 等に関して、ガバメ
ントクラウド個別領域にアクセスすることとなる。これらの行為により、デジタル庁は、ガ
バメントクラウド全体の安定運用やセキュリティを維持するために必要なガバメントクラウ
ド上の地方公共団体情報システムに関する情報について取得及び保管する。当該取得及び保管する情報は、システム管理に係る付随的なもの（格納されたデータそのものではなく、当該データに付帯する情報（サイズ、作成日等）が記載されたデータをいい、以下「メタデー
タ」という。）に限られ、地方公共団体情報システムのストレージ領域やデータベースに保管される個人情報を始めとする業務データ等は一切含まないが、取得する情報は機密性を確保すべき情報として取り扱い、デジタル庁の責任において厳格に管理し、ガバメントクラウド
全体の安定運用やセキュリティを維持する目的以外に用いることはない。

16

ガバメントクラウド個別領域利用権限を付与した後、デジタル庁の有するガバメントクラウ
ド個別領域利用権限に対し多要素認証（MFA）によるログイン制御を行い、当該 MFA に係る暗号鍵を、利用申請した地方公共団体から委託を受けたガバメントクラウド運用管理補助者に預託することにより、デジタル庁は当該地方公共団体の同意なく権限を行使出来ないよ
うにする。

22

上記を踏まえ、次のとおりとする。
(a)システム管理上は、ガバメントクラウド個別領域とガバメントクラウド個別領域以外の領域の境界を責任分界点とし、ガバメントクラウド運用管理補助者はガバメント
クラウド個別領域において、デジタル庁はガバメントクラウド個別領域以外の領域において、必要なシステム管理を行うことを基本とする。

(b) ガバメントクラウド個別領域内については、CSP が管理するプラットフォームや物
理的設備等は CSP の責任範囲17となる。
(c)

デジタル庁は、自ら提供するガバメントクラウド内の電気通信回線（②参照）の維
持・確保及びテンプレート（④参照）に関する責任を負うが、地方公共団体に対してガバメントクラウドに関するクラウドサービス等を提供するのはデジタル庁であるため、地方公共団体等との関係において、デジタル庁の責任範囲はテンプレート等及びCSP の責任範囲をあわせたものとなる。

図５ クラウドサービス等のイメージ

17

具体的な責任範囲については、デジタル庁・CSP 間の契約により定まる。両者間で責任範囲を変更した場合、デジタル庁は地方公共団体に通知する。

23

② 電気通信回線の確保及び維持
ガバメントクラウドの利用に係る電気通信回線のうち、デジタル庁は、次の(A)及び(B)について、ガバメントクラウド接続サービスにより確保及び維持する責任を負う。
（A）地方公共団体が利用するガバメントクラウド上の複数のガバメントクラウド個別領域間（ただし、当該ガバメントクラウド個別領域間が同一の CSP が提供するクラウドサー
ビス等に含まれ、デジタル庁が地方公共団体に提供するクラウドサービス等に当該ガバ
メントクラウド個別領域間の専用線接続が含まれる場合には、当該電気通信回線の確保
及び維持は当該クラウドサービス等により行うものとする。
）（B）ガバメントクラウド上のガバメントクラウド個別領域からガバメントクラウド接続サービスにおける地方公共団体拠点の終端装置までの間18
他方、地方公共団体は、（C）庁内ネットワークとガバメントクラウド接続サービスにおける終端装置までの間及び庁内ネットワークと地方公共団体が委託した ASP の外部サービス
19との間について確保、維持する責任を負う20。

18

ガバメントクラウド接続サービスではない接続回線を用いる場合には、ガバメントクラ
ウドまで地方公共団体の責任により接続する。

19

地方公共団体が委託先として標準準拠システム等の提供を行わない事業者を選択する場合も含む。
20

当分の間、個別領域から外部サービスとの接続については、庁内ネットワークで折り返して外部サービスへ接続する方式を原則とする。この場合、庁内ネットワークから外部サ
24

以上を図示すると次のとおりとなる。
図６ 電気通信回線の確保・維持に関する責任分界

なお、ガバメントクラウド接続サービスに係る利用料及び SLA については、ガバメント
クラウドにおけるクラウドサービス等利用料及び SLA に関する扱い（4.1.4②、4.1.4③及び6.2）に準ずる。
③ 地方公共団体が格納したデータのバックアップを行う責任
地方公共団体は、自らがガバメントクラウドに格納したデータについて管理責任を負う
とともに、当該データのバックアップを行う責任を有する。なお、地方公共団体のバックア
ップ先はオンプレミス、ガバメントクラウドの他リージョン等、「地方公共団体情報システ
ム非機能要件の標準」を満たす限りにおいて、手法は問わない。
④ 情報セキュリティ対策
地方公共団体は、地方公共団体が利用する標準準拠システム等の整備及び運用に当たっては、総務省が作成する地方公共団体における情報セキュリティポリシーに関するガイド
ライン及び地方公共団体を含めた官民共通の枠組みである「重要インフラのサイバーセキ
ュリティに係る行動計画」（2022 年６月 17 日サイバーセキュリティ戦略本部決定）を参考にしながら、セキュリティ対策を行うものとする。

ービスへの接続回線について、複数の地方公共団体及び委託先 ASP が回線を使用する場合などにおいては当事者間の定めた責任、費用負担によることが想定される。

25

情報セキュリティについては、①に規定したシステム管理責任に対応する範囲内においてそれぞれの主体が適切に対策を行うことを基本とする。
このため、ASP、ガバメントクラウド運用管理補助者及び地方公共団体は、①に規定したシステム管理上の責任の範囲内で情報セキュリティ対策を行うが、これに関し、デジタル庁
は、自らガバメントクラウド個別領域を割り当てる際に、監査ログの収集に関するサービスの削除防止等、情報セキュリティ上最低限必要となる機能についてテンプレート（ベースラ
インテンプレート）を設定する。
また、参考情報として、ガバメントクラウド運用管理補助者がガバメントクラウド個別領域のクラウドサービス等を運用管理する際にサンプルとなるテンプレート（サンプルテン
プレート）も設定する。
ガバメントクラウド運用管理補助者、ASP 及び地方公共団体は、これらの活用も含め、利用申請を行う際に、ガバメントクラウド個別領域においてガバメントクラウド運用管理補
助者又は ASP が行うべき非機能要件の標準等で求められる情報セキュリティ対策を自らの責任において定める。ガバメントクラウド運用管理補助者又は ASP は、当該利用申請に定められた対策を行う。
表 6 ベースラインテンプレート及びサンプルテンプレートの例⑤情報セキュリティインシデント発生時の責任分界
インシデント発生時の個人情報保護委員会への報告等の取り扱いについては、個人情報保護委員会と協議の上、別途定める。
5.2 SLA21
デジタル庁は、CSP が提供するクラウドサービス等における SLA に基づき、ガバメント
クラウドの各クラウドサービス等に関するサービスレベルを提示した上で、ASP の提供する標準準拠システム等を利用しようとする地方公共団体と、SLA に関する条件を含む「ガバ21「地方公共団体における情報セキュリティポリシーに関するガイドライン(令和４年 3 月版)」iii-144 参照

26

メントクラウド利用権付与・運用管理委託契約」を締結する。
当該 SLA においてデジタル庁が行う結果対応22には、主に財務上の対応（金銭的な補償の設定）、運用上の対応（リソースの増強や代替手段の適用）、契約上の対応（中途契約解除条
件の設定）、等を含めるものとする。
財務上の対応については、SLA の不充足によりデジタル庁が CSP から利用料の減額等を受けた場合には、当該減額等に応じて、地方公共団体がデジタル庁に負担するクラウドサー
ビス等利用料の一部又は全部を控除するものとする。
ただし、国の予算により、一部又は全部のクラウドサービス利用料等の支払いが行われる
場合にあっては、財務上の対応は含まれず（5.3 に規定する損害賠償責任が発生する場合を除く。）、デジタル庁は地方公共団体に対し当該減額等に対応した金額を支払う義務を負わない23。
一方で、財務上の対応以外の対応（運用上の対応や契約上の対応等）については、デジタ
ル庁と CSP との契約の範囲内で対応することとする。
なお、ASP が地方公共団体に対して標準準拠システム等について SLA を設定している場
合については、ASP の責任範囲において、利用料の減額等 SLA に財務上の対応を設定する
ことを妨げるものではないが、この場合に、ガバメントクラウドの影響により、SLA の設定
値を下回った場合における ASP の財務上の対応について、デジタル庁は責任を負わない。
したがって、ガバメントクラウドの影響により、SLA の設定値を下回った場合には免責される旨の免責条項を ASP が規定することも想定される。
なお、デジタル庁が NSP の提供するガバメントクラウド接続サービスを調達し、地方公共団体に提供する場合の SLA についても本項目と同様の取扱いとする。
5.3 ガバメントクラウドに起因して地方公共団体に発生した損害の賠償責任① CSP の帰責事由により地方公共団体に損害が発生した場合
例えば、CSP のガバメントクラウドのメンテナンスの不備が原因で地方公共団体が損害24を受けた場合等が考えられる。
このように CSP に帰責性がある場合、

22「SaaS 向け SLA ガイドライン」（平成 20 年 1 月 経済産業省）P.25 参照

23

ガバメントクラウドの提供に当たり、デジタル庁が ASP 及び地方公共団体から利用料等の負担を求めない場合においては、ガバメントクラウドとしてクラウドサービス等をデジタル庁に提供する CSP に対して、デジタル庁が財務上のペナルティを含めて行使することでサービス向上の目的が達成されると考えられるからである。

24

SLA が満たされないことに起因して発生する損害を含む。

27

・ 地方公共団体はデジタル庁に対して損害賠償請求をし（図７・①）、
・ デジタル庁は当該損害について CSP に対して損害賠償請求を行い（図７・②）、
・ デジタル庁は CSP から賠償金の弁済を受領できた金額（図７・③）を上限として、地方公共団体に対して損害賠償責任を負うこととする（図７・④）25。
図７ 損害賠償責任に関する当事者関係② CSP に帰責性がなく、デジタル庁に帰責性がある場合
デジタル庁は、地方公共団体に対して損害賠償責任を負う。
5.4 個人情報等の取扱い① 番号法上の整理
デジタル庁は、ガバメントクラウドの提供に当たり、個人の権利利益を保護しつつ、地方公共団体の保有する個人番号をその内容に含む電子データを自ら取り扱わない旨を「ガバメントクラウド利用権付与・運用管理委託契約」において定めるとともに、5.1 のとおり、

25

このような枠組みを採用することには、下記の理由から合理性がある。
(i)

地方公共団体と CSP の間に直接の契約関係がないため、地方公共団体は CSP の契約不履行責任を直接追及することができない。ただし、民事責任においては、契約上の債務者の故意又は過失と信義則上同視すべき第三者の故意又は過失があった場合、債務者に故意又は過失ありとする「履行補助者の故意・過失」の考え方があるところ、デジタル庁の裁量で起用した CSP に故意又は過失があった場合には、信義則上デジタル庁に故意又は過失ありとしてデジタル庁が地方公共団体に対して契約不履行の責任を負うとされることが
ありうる。

(ii)

CSP は民間向けクラウド利用契約において契約不履行の賠償責任の上限額を設定しており、デジタル庁との契約でも同様の設定を行うことが想定される。したがって、地方公共団体が上記(i)のようにデジタル庁に請求できる契約不履行に基づく損害賠償請求額について、デジタル庁が CSP から受領できた賠償金額を上限とすることにも合理性がある。

28

デジタル庁は、ガバメントクラウド個別領域へのアクセスをすることができない。
その結果、デジタル庁が行うガバメントクラウドを利用する環境を提供することは、番号法に規定する個人番号利用事務等の委託に該当しないこととなる26。
② 安全管理措置の内容
地方公共団体は、ガバメントクラウドに対する監督義務を課されることなく、番号法に基づき、自ら適切な安全管理措置を講ずることによって、ガバメントクラウド上で特定個人情報を取り扱う情報システムを構築することが可能である27。また、当該データのうち個人情報については、令和５年４月以降、個人情報の保護に関する法律（平成 15 年法律第 57 号）に基づき、個人情報の保護に関する法律についてのガイドライン（行政機関等編）及び個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）等を踏まえつつ、外的環境の把握を含む必要かつ適切な安全管理措置を講ずる必要がある28。
デジタル庁は、地方公共団体における円滑かつ適切な安全管理措置の実施に資するよう、地方公共団体が実施することが望ましい安全管理措置の内容について明らかにした上で、
上記 5.1④に基づき、デジタル庁及び CSP が責任を負う情報セキュリティ対策の内容や地方公共団体が実施する特定個人情報保護評価の記載例等を地方公共団体に提供するとともに、アクセスログや認証に係る証明書に関する情報について地方公共団体が検証可能な形で提供する。
また、地方公共団体は、自ら実施する安全管理措置の実施に必要な範囲において、デジタル庁に対して、追加的な情報提供や必要なセキュリティ対策等の措置を求めることができる。デジタル庁は、当該求めの内容が CSP の管理責任の範囲にある場合は、CSP に追加的な情報提供や必要なセキュリティ対策等の措置を求めることとする。

26「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関する Q&A

27「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関する Q&A

28

Q3-12 同旨
Q3-13 同旨

ガバメントクラウド個別領域内の個人情報について、地方公共団体との委託契約等に基づき、ガバメントクラウド運用管理補助者及び ASP が個人データを取り扱うこととなる
場合には、これらの委託先において個人情報保護法第 23 条の規定に基づく安全管理措置を講ずる必要があるほか、地方公共団体においても、自身が講ずる安全管理措置として、これらの委託先に対して必要かつ適切な監督を行わなければならない。また、当該場合において、ガバメントクラウド運用管理補助者及び ASP に対しては、個人情報保護法第 66 条第 2 項第 1 号の規定に基づき、行政機関等における安全管理措置義務に関する規定が準用されることにも留意する必要がある。
29

③ 個人情報以外の秘密情報
個人情報以外の秘密情報についても②に準じるものとする。
④ ガバメントクラウドに格納されるコンテンツに関する法令遵守責任
地方公共団体は、個人情報に限らず、地方公共団体の責任範囲とされる領域に格納されるコンテンツのデータについて、関連する法令に適合するものとする責任を負う。
６．ガバメントクラウド単独利用方式における責任分界
6.1 システム管理上の責任分界① クラウドサービス等の提供、保守及び運用
デジタル庁は、地方公共団体に対し、IaC による最低限のセキュリティルール、IaC コー
ド管理等の管理機能及びガバメントクラウド個別領域を割り当てる。
地方公共団体は、「ガバメントクラウド利用権付与・運用管理委託契約」の範囲内でガバ
メントクラウド個別領域のクラウドサービス等を利用して、標準準拠システム等の運用管理を行う29。
また、デジタル庁は、例外的な場合を除いて30クラウドサービス等にアクセスできない設計としている。
上記を踏まえ、次のとおりとする。
(a)システム管理上は、ガバメントクラウド個別領域とガバメントクラウド個別領域以外の領域の境界を責任分界点とし、地方公共団体はガバメントクラウド個別領域において、デジタル庁はガバメントクラウド個別領域以外の領域において、必要なシステ
ム管理を行うことを基本とする。

（注）5.1①(b)及び(c)、②並びに③については、単独利用方式においても同様。
② 情報セキュリティ対策
情報セキュリティについては、①に規定したシステム管理責任に対応する範囲内におい

29

運用管理について運用管理補助者に委託することも考えられる。

30

例外として、ガバメントクラウド利用システム管理領域において行うガバメントクラウド個

別領域利用権限の付与や監査ログの収集管理、外部 NW 接続管理、DNS 等に関して、ガバメ
ントクラウド個別領域にアクセスすることとなる。これらの行為により、デジタル庁は、ガバ
メントクラウド全体の安定運用やセキュリティを維持するために必要なガバメントクラウド上の地方公共団体情報システムに関する情報について取得及び保管する。当該取得及び保管する情報は、メタデータに限られ、地方公共団体情報システムのストレージ領域やデータベースに保管される業務データ等は一切含まないが、取得する情報は機密性を確保すべき情報として取り扱い、デジタル庁の責任において厳格に管理し、ガバメントクラウド全体の安定運用やセキ
ュリティを維持する目的以外に用いることはない。

30

てそれぞれの主体が適切に対策を行うことを基本とする。
このため、地方公共団体は、①に規定したシステム管理上の責任の範囲内で情報セキュリ
ティ対策を行うが、これに関し、デジタル庁は、地方公共団体に対しガバメントクラウド個
別領域を割り当てる際に、監査ログの収集に関するサービスの削除防止等、情報セキュリテ
ィ上最低限必要となる機能についてテンプレート（ベースラインテンプレート）を設定する。
また、参考情報として、地方公共団体がガバメントクラウド個別領域のクラウドサービス
等を運用管理する際にサンプルとなるテンプレート（サンプルテンプレート）も設定する。
地方公共団体は、これらの活用も含め、ガバメントクラウド個別領域において非機能要件の標準等で求められる情報セキュリティ対策を自らの責任において行う。
（注）5.1⑤については、単独利用方式においても同様。
6.2 SLA（注）5.2 について、単独利用方式においても同様。
6.3 ガバメントクラウドに起因して地方公共団体に発生した損害の賠償責任（注）5.3 について、単独利用方式においても同様。
6.4 個人情報等の取扱い（注）5.4 について、単独利用方式においても同様。

31