政府の情報システムを統合・集約等するための政府共通プラットフォームの整備及び運用の状況について

25年6月に策定された創造宣言では、特別な検討を要する政府情報システムを除き、33年度を目途に、原則全ての政府情報システムをクラウド化するとされている。そして、内閣官房は、このクラウド化とは政府共通PFへの移行であるとしている。

前記のとおり、27年3月に改定されたロードマップによれば、ロードマップ記載1,312システムのうち、33年度末までに474システムについて廃止を予定していて、政府共通PFへの移行対象システムが316システム、移行対象外のシステムが522システムとなっている。

ロードマップ記載1,312システムについて、27年度に各府省が総務省に回答した33年度末までの政府共通PFへの移行予定等をみたところ、33年度末で政府共通PF上で運用する予定の政府情報システムが317システム（ロードマップ記載1,312システムに対する割合24.1％）、政府共通PF以外で運用する予定の政府情報システムが511システム（同38.9％、政府共通PF及び政府共通ネットワークを含む。）、他のシステムに統合されるなどして廃止される予定のシステムが484システム（同36.8％）となっていた。

このように33年度末においても、509システム（511システムから政府共通PF及び政府共通ネットワークを除いている。33年度末のシステム数の合計828システムに対する割合61.4％）が政府共通PF以外で運用される予定となっている。

移行対象システムの政府共通PFへの移行状況についてみたところ、ロードマップにおいて、33年度末までに政府共通PFに移行するとしていた316システムのうち、27年度末までに利用を開始することを予定していたものは56システムとなっていた（表3参照）。このうち、システムの一部を政府共通PFに移行させた4システムを含めて49システムが利用を開始していた。また、ロードマップでは移行対象外とされていた1システムが27年度末までに政府共通PFの利用を開始していた。そして、利用開始50システムのうち、27年度末までに36システムが運用を開始していた（以下「運用開始36システム」という。）。

さらに、27年度末までに利用を開始していなかった7システムについてみたところ、4システムは移行対象外又は廃止に予定を変更しており、3システムは28年5月までに利用を開始していた。

移行対象外の509システム（511システムから政府共通PF及び政府共通ネットワークを除いている。）について、移行を行わない理由をみたところ、表4のとおり、前記の政府情報システム改革検討要領等において、原則として政府共通PFへ移行するものの例外とされていた4類型に該当するものは、185システムとなっていた。そして、4類型以外に、高度なセキュリティレベルを確保する必要があるためとするものが55システム、システムの運用要件が政府共通PFの要件に合致しないためとするものが51システム等となっていた。したがって、計324システムが政府情報システム改革検討要領等で想定されていなかった理由により移行対象外とされていた（内訳は別表1参照）。

これらのことから、33年度末においても、509システム（511システムから政府共通PF及び政府共通ネットワークを除いている。）が移行対象外となり、61.4％のシステムが政府共通PF以外で運用される予定となっている。したがって、原則として全ての政府情報システムが移行する予定であるとはいえない状況となっていて、政府共通PFへの移行による政府全体の政府情報システムの統合・集約化は限られたものとなることが予想される。

ロードマップ記載1,312システムの運用等経費の26年度における予算額の総額は、表5のとおり、計3794億余円となっていた。このうち、移行対象外の511システムの運用等経費は計3398億余円（政府共通PF及び政府共通ネットワークを除いたものは3343億余円）となっていて、運用等経費の総額の89.5％（同88.1％）を占めている状況であった。さらに、このうち、運用等経費が10億円以上の50システムで3050億余円（同2994億余円）となっていて、運用等経費の総額の80.3％（同78.9％）を占めている状況となっていた。そして、移行対象の317システムの運用等経費は計182億余円（政府共通PF及び政府共通ネットワークを含めたものは238億余円）となっていて、運用等経費の総額の4.8％（同6.2％）を占めている状況となっていた。また、廃止される予定の484システムの運用等経費は計213億余円となっていて、運用等経費の総額の5.6％を占めている状況となっていた。

整備方針及び整備計画においては、政府共通PFについて、政府情報システムの全体最適をより一層推進し、政府のITガバナンスを確立・強化する観点から、原則として全ての政府情報システムを対象に統合・集約化を図るとされている。また、創造宣言においても、原則全ての政府情報システムをクラウド化すること及び政府情報システムの運用コストの3割減といった具体的な政策目標を掲げている。

しかし、前記のとおり、4類型の政府情報システムを移行対象外として認めていることや4類型以外にも各府省が移行を行わないとしている政府情報システムがあることなどから、政府共通PFへの移行を予定している政府情報システムの数は限られたものとなることが見込まれる。また、移行対象システムの運用等経費が政府情報システム全体の運用等経費に占める割合も4.8％（政府共通PF及び政府共通ネットワークを含めたものは6.2％）と低いものとなっている。したがって、政府が掲げる政府情報システムの全体最適のより一層の推進、ITガバナンスの確立・強化、政府情報システムの数及び運用コストの削減等の政策目標に対して政府共通PFが果たす役割は、当面は限定的なものとなることが見込まれる。

総務省は、政府共通PFに係るサーバ等の機器や施設等の調達を行っており、各移行対象システムによって、担当府省が政府共通PFの利用を開始する年度が異なることから、これに合わせて毎年度調達を行っている。

政府共通PFの23年度から27年度までの間のPF整備経費及びPF運用等経費に係る支払額の総額は、表6のとおり、170億余円となっており、そのうちPF整備経費に係る支払額は22億余円、PF運用等経費に係る支払額は147億余円となっている。そして、支払額の推移をみると、政府情報システムの政府共通PFへの移行に応じて支払額が増加している。

また、利用開始50システムの各府省における23年度から27年度までの間の移行等経費及び府省運用等経費の支払額の総額は182億余円となっており、そのうち、移行等経費に係る支払額は86億余円、府省運用等経費に係る支払額は95億余円となっている。

これを、前記の投資計画と対比すると、PF整備経費については、23年度から27年度までの間の総投資額約38億円に対して、支払額が22億余円となっている。移行等経費については、投資計画における投資額が新規に整備したシステムを対象から除いたものであることから、23年度から27年度までの間の総投資額約89億円のうち、利用開始50システムから新規に整備した8システムを除く42システムに係る総投資額をみると51億余円となっており、これに対する支払額は48億余円となっている。

運用開始36システムから、新規に整備した6システム及び政府共通PFへの移行後6か月以上の運用実績が確認できない9システムを除く21システムについて、27年度のPF運用等分担経費及び府省運用等経費をこれに相当する移行前の運用等経費と比較したところ、表7のとおり、移行後に各府省の負担が低減していたものは14システム、低減額計9億4859万余円、増加していたものは7システム、増加額計4981万余円となっていて、差引き8億9877万余円が低減されていた。なお、業務アプリケーションの変更等により、移行前後における運用等経費の条件は異なるため、単純には比較はできない面もある。

しかし、これに対して、移行後の政府情報システムに係るPF運用等共通経費の合計額は、27年度には44億1510万余円となっていた。このPF運用等共通経費は、上記21システムのうちPF運用等共通経費を各府省が負担していない19システムを含む53システムに係るものであることから、上記の低減額と単純な比較はできないものの、このPF運用等共通経費を考慮すると、PF府省運用等経費の低減が図られているとは判断できない状況となっている。

また、利用開始50システムのうち、28年度のPF運用等分担経費及びこれに相当する移行前の運用等経費を把握することができた31システムについて、移行後の負担額の増減の状況をみたところ、表8及び表9のとおり、総額で10.0％増（システムごとの増減割合の平均で108.8％増）となっていた。これをITリソースの提供環境別にみると、標準環境では、総額で10.4％増（同138.5％増）となっていて、削減効果が認められなかった一方で、ライト環境では総額で23.9％減（同14.9％減）となっていて、削減効果が認められた。これは、前記のとおり、ライト環境のPF運用等分担経費が標準環境に比べて低く設定されていることによると考えられる。

在り方研究会の最終報告書では、統合・集約化による効果として、サーバ台数の削減が挙げられている。これは、仮想化技術を活用して、複数の情報システム間で、柔軟かつ効率的にCPU等を共有することにより、実際のITリソースの容量を超える仮想的なITリソースを各情報システムに割り当てることで可能となるものである。

そこで、利用開始50システムのうち、新規に整備した8システム及び政府共通PFから提供されるサーバを利用せず、移行前から使用しているサーバの持込みを行った4システムを除いた38システムについて、移行前後のサーバ台数の増減の状況をみたところ、表10のとおり、移行後のサーバ台数は349台となっていて、移行前の301台と比べて48台増加しており、削減効果が認められなかった。なお、サーバの性能等が移行前後で異なるため、単純には比較できない面もあるが、サーバ台数の削減は統合・集約化による効果の一つとして、重要であると考えられる。

そして、仮想化提供サーバの導入状況をみたところ、上記移行後のサーバ台数349台のうち、仮想化提供サーバは139台で、全体の39.8％にすぎなかった。なお、全てのサーバを仮想化技術を採用した仮想化提供サーバとすることは困難な面もあるが、政府情報システムの効率的な運用等のためには仮想化提供サーバの導入は重要であると考えられる。

また、上記の仮想化提供サーバ139台について、各政府情報システムへのCPUコア（注10）数の割当ての状況をみたところ、表11のとおり、各政府情報システムに仮想的に割り当てたCPUコア数の合計数が、実際のCPUコア数の合計数を超えないように設定されていたサーバが、58台（139台に占める割合41.7％）見受けられた。したがって、これらのサーバにおいては、仮想化技術によるCPUの共用が行われておらず、仮想化技術が活用されていない状況であった。

総務省は、26年度に利用を開始した政府情報システムから、一部において仮想化技術によるCPUの共用を行っている。しかし、それ以外のシステムについても、今後ITリソースを更に有効活用するためには、ITリソースの使用状況を踏まえた上で、仮想化技術によるCPUの共用を行うかどうか検討する必要があると考えられる。

（注10）

CPUコア　　CPUを構成し、実際に演算処理を行う部分のこと。コアの数により性能に差が生ずることになる。

さらに、ライト環境においては、設計上割当てが可能なCPUコア数のうち、約半数のCPUコア数が、各政府情報システムに割り当てられていない状況も見受けられた。この状況について、総務省は、ライト環境については27年10月から提供を開始したばかりであり、信頼性の観点から仮想化提供サーバは最低4台が必要であることに対して、ライト環境を要望するシステムが9システムと少なかったことが要因であるとしている。

政府共通PFが採用している仮想化技術は、複数の政府情報システム間で柔軟かつ効率的にITリソースを共有することによりITリソース全体の使用率を向上させることが可能となるものである。そして、在り方研究会の最終報告書によると、現状の各政府情報システムのサーバにおけるピーク時のCPU使用率を約80％、平均CPU使用率を10％から30％までとそれぞれ仮定すると、政府共通PFにおいては、平均CPU使用率を50％から60％まで引き上げることができるとしている。

しかし、前記のとおり、政府共通PFにおいては、移行後のサーバに占める仮想化提供サーバの割合が低い状況となっていたり、仮想化提供サーバにおいて仮想的に割り当てたCPUコア数の合計数が実際のCPUコア数を超えないように設定されていたりなどしていた。

そこで、運用開始36システムのうち、政府共通PFへの移行後1か月以上運用実績が確認できた26システムについて、27年2月から28年1月までの間におけるサーバのCPU等のITリソースの使用率をみたところ、表12のとおり、全てのシステムにおいて平均CPU使用率は40％未満となっており、このうち21システム（26システム全体に占める割合80.7％）では、10％未満となっていた。また、13システム（同50.0％）では、CPU使用率がピーク時でも80％未満となっており、18システム（同69.2％）では、ストレージの使用率がピーク時でも50％未満となっていた。

前記のとおり、政府情報システムを政府共通PFへ移行させるに当たって必要とするITリソースの規模については、各府省が主体的に判断することとなっている。

そこで、上記26システムのうち、新規に整備した5システムを除く21システムについて、移行前後のITリソースの規模の増減と移行後のITリソースのピーク時の使用率との関連をみたところ、表13のとおり、移行に当たって移行前と比べてITリソースの規模を増やしたシステムは、CPU及びメモリについては5システム、ストレージについては8システムとなっていた。そして、これらのITリソースの規模を移行前と比べて増やしたシステムについて、移行後の27年2月から28年1月までの間におけるITリソースのピーク時の使用率の平均をみると、ITリソースの規模を移行前と比べて減らしたシステム及び移行前と同じシステムに比べて、低くなっている傾向が見受けられた。

上記のことから、移行対象システムに必要と想定したITリソースの規模と移行後に実際に必要となるITリソースの規模との間にかい離が生じているおそれがあると考えられる。

また、利用開始50システムのうち、新規に整備した8システムを除く42システムについて、ITリソースの規模の検討の状況をみたところ、各府省がITリソースの規模を決定する際に、過去のITリソースの使用状況を踏まえた精緻な推計を行わずに、単純に移行前の政府情報システムのITリソースの規模のみを根拠にしていたものが23システム見受けられた。

一方で、総務省は、28年3月に各府省に対して通知を発して、政府情報システムを政府共通PFへ移行させる際に、適正な規模のITリソースを要求することなどを求めている。

したがって、今後、各府省は、上記総務省の通知を踏まえるなどして、利用するITリソースの適正な規模について、移行前のITリソースの規模だけでなく、その使用状況や移行後の業務量の増減の見込みなどを踏まえて十分に精査を行う必要があると認められる。また、総務省は、移行検討支援に当たって、引き続き、各府省に対して、上記のような、より詳細なITリソースの規模の精査を求める必要があると認められる。

仮想化技術を採用した情報システムでは、一般的に、業務量の増減の見込みやITリソースの使用状況を踏まえた利用者の需要に応じて機動的にITリソースの規模を増減させることが可能であるとされている。そして、総務省は、仮想化技術を採用している政府共通PFにおいても、ITリソースの規模を機動的に増減させることは可能であるとしている。

そこで、表12に示したピーク時のCPU使用率が80％未満となっていた13の政府情報システムについて、ITリソースの規模を減少させることを検討したかどうか確認したところ、11システム（13システムに占める割合84.6％）では検討を行っておらず、2システム（同15.3％）では検討を行っていたものの、ITリソースの規模を減少させていなかった。

ITリソースの規模の減少を検討していたものの、検討結果に基づきITリソースの規模を減少させていなかった事例を示すと、次のとおりである。

また、総務省は、政府共通PFでの運用を開始したシステムについて、ITリソースの規模を減少させた場合には、当該システムのPF運用等分担経費を減額するとしている。しかし、各府省が使用するITリソースの規模を減少させたとしても、総務省がリース料としてITリソースの調達費用を支払い続ける必要があることから、政府全体としては、負担する費用が直ちに低減されない仕組みになっていた。

整備計画では、表2のとおり、政府共通PFの整備により、23年度から28年度までの対象期間に見込まれる様々な効果を挙げている。

このうち、各府省による迅速なシステムの立ち上げや期間限定のシステム等のシステム構築ニーズへの柔軟な対応は、そのために必要なITリソースを政府共通PFで提供することにより実現するものである。

しかし、総務省は、各府省が迅速なシステムの立ち上げや期間限定のシステム等の構築をできるようにするためのITリソースの提供を行っていなかった。

これについて総務省は、無駄な投資とならないよう各府省からの要望等を十分把握の上、検討・調整することが必要であり、当初の検討過程において特段の要望等がなかったため政府共通PFではITリソースを提供していないとしている。

また、総務省は、整備計画で効果の一つとして挙げられている政府共通PFの整備及び運用によって得られる知識・経験の蓄積及び政府内における共有について、従来はシステム運用保守業者等任せとなりがちであった各府省における各政府情報システムのインシデント（注11）対応等の管理運用に関する知識・経験の蓄積等であるとしている。そして、総務省は、政府共通PFの利用を開始したシステムの障害及び対策をインシデント管理し、知識・経験を蓄積し、インシデントの管理状況をポータルサイトを通して政府情報システムごとに情報共有を図っているとしている。

そこで、利用開始50システムについて、上記の知識・経験を蓄積するための仕組みの有無をみたところ、仕組みを有していないものは33システム（利用開始50システムに占める割合66.0％）となっていた。また、17システム（同34.0％）では仕組みを有しているものの、その内容は、総務省とのやりとりをファイル等に納め整理しているものや、システム運用保守業者等からの運用報告書によりシステム運用保守に係る知識の蓄積を行っているものなど、運用業務においては従前から当然行われるべきもので、知識・経験を蓄積する仕組みとして必ずしも十分ではないと認められるものも見受けられた（内訳は別表2参照）。

このように、整備計画において、政府共通PFの整備により見込まれるとされていた効果が発現していないなどの状況が見受けられた。

（注11）

インシデント　　システムの稼働において発生する不測の事態

利用開始50システムについて、情報セキュリティ要件を定義する際の担当府省におけるリスク評価の実施状況をみたところ、表14のとおり、リスク評価を実施していたものは15システムにとどまっており、残りの35システムについては、リスク評価を実施していなかった。

そして、担当府省においてリスク評価を実施していない35システムについて、SBDワークシートの使用状況をみたところ、SBDワークシートを使用していたものは3システムにとどまっており、残りの32システムについては、SBDワークシートも使用していなかった。

このように、移行対象システムの担当府省において、リスク評価を実施せず、また、SBDワークシートを使用した簡易な手法も用いずに、情報セキュリティ要件を定義した政府情報システムが多数存在する状況となっていた。

総務省は、28年1月から、担当府省が政府共通PFへの移行対象システムにおける情報セキュリティ要件を定義する際に、SBDワークシートを使用することを求めているが、当該SBDワークシート等による評価の内容を総務省が確認する時期を、当該システムの移行に係る調達を終えた後の設計・開発段階としている。このため、当該システムと政府共通PFとの間で情報セキュリティ対策が整合性の取れたものとなっているかどうか、総務省が移行対象システムの企画・要件定義段階で確認できる仕組みとはなっていなかった。

したがって、移行対象システムと政府共通PFとの間で情報セキュリティ対策が重複していたり、不足していたりした場合には、その状況の把握と対応が遅れることになるおそれがあると考えられる。

政府共通プラットフォーム運用・保守要領には、担当府省が行う必要がある各種の情報セキュリティ対策が示されている。そして、このうち、証跡（ログ）の解析による情報セキュリティリスクの評価は、様々な対策を実施していても起こりうる不正なアクセスの早期発見及び早期対応に役立つ重要な情報セキュリティ対策である。

そこで、利用開始50システムのうち、27年12月末までに運用を開始した28システムについて、証跡（ログ）の解析による情報セキュリティリスクの評価の実施状況をみたところ、表15のとおり、20システム（28システム全体に占める割合71.4％）で、実施されていなかった。この20システムのうちには、インターネットを利用しないシステム等、外部からの攻撃に対するリスクが低いものも含まれているが、各府省が個人情報等の漏えい・流出・改ざんなどが発生した場合に影響が大きいと判断しているものが11システム含まれており、さらに、このうち、高度サイバー攻撃の標的とされる蓋然性が高いと判断しているものが1システム含まれていた。

このように、政府共通PFへ移行した政府情報システムの担当府省が行う必要がある情報セキュリティ対策について、その一部が実施されていない状況が見受けられた。

「政府情報システムの整備及び管理に関する標準ガイドライン」（平成26年12月CIO連絡会議決定）によれば、政府情報システムについて、3か年計画を作成して第三者によるシステム監査を実施することとされている。これに基づき、総務省は、総務省がセキュリティ対策を設計、実装及び実施する部分を対象としたシステム監査を実施し、その結果を担当府省に開示している。

そこで、利用開始50システムについて、システム監査の実施状況をみたところ、10システムについては、28年3月末までにシステム監査が実施されており、その結果、2件の情報セキュリティに関する指摘事項があり、その内容は不要なサービスの停止等のサーバ管理に関するものなどとなっていた。

また、各府省がシステム監査を実施すべき対象範囲は、担当府省が情報セキュリティ対策を設計、実装及び実施する部分に加えて、総務省が設計した情報セキュリティ対策を担当府省が実装及び実施する部分であるリソース提供パターンaのOS及びミドルウェア、リソース提供パターンbのOSとされている（図3参照）。

そこで、上記10システムについてみたところ、7システム（10システム全体に占める割合70.0％）では当該システム監査の結果が総務省と共有されておらず、残りの3システムでは共有されていた。そして、政府共通PFの担当府省である総務省への報告の要否は特に定められておらず、総務省は、政府共通PFの提供部分に原因があったり総務省の対応が必要であったりする場合は各府省から総務省に連絡があることもあるが、各府省が実施した監査の結果が漏れなく総務省に報告されているかどうかは不明であるとしている。

このように、各府省が実施したシステム監査の結果について、必要な報告を求めることとはなっておらず、政府共通PFの情報セキュリティリスクが関係者の間で十分に共有されていない状況が見受けられた。

システム監査の結果が共有されていた事例を示すと、次のとおりである。