自治体クラウド障害はなぜ起きたのか（続報）――自治体DXが生む「責任の空白」

この記事の要点

2026年2月の自治体クラウド障害（140自治体が影響）をきっかけに、前稿の「責任の非人格化」をさらに深掘りします。総務省会見から窺える「制度設計の分散」と、三層構造（基幹業務・LGWAN・外部クラウド）がもたらす「責任の空白」を分析します。ガバメントクラウド推進が進む中、誰が全体を統御するのか？ みずほ銀行障害との共通点も交え、DXが変える統治の形を問いかけます。 行政・IT・政策に関心のある方に特におすすめです。

※東京都の再委託先のサイバー攻撃による被害については、本稿のアウトソーシング国家との関連などの論点と共にあらためて取り上げる予定です。

2026年2月、全国の自治体ホームページが一斉に閲覧できなくなる障害が発生しました。影響は総務省が把握した140の自治体に及び、原因はクラウド基盤ソフトウェアの不具合とされています。

前稿では、この自治体クラウド障害を社会保険庁の年金記録問題と比較しながら、現代のシステム障害では責任が個人から制度へと拡散する「非人格化」が進んでいることを指摘しました。

しかし今回の障害をもう少し制度的に見てみると、もう一つの構造が浮かび上がります。それは、自治体DXの制度設計そのものです。

はじめに：総務省会見に見る対応の構造

今回の障害について、所管官庁である総務省は、2月27日の大臣閣議後の記者会見で次のような説明を行いました。

まず、地方自治体でサイバーインシデントが発生した場合には、自治行政局サイバーセキュリティ対策室長名の通知に基づき、内閣官房国家サイバー統括室および総務省に報告を求める仕組みがあることが説明されました。今回の事案でも、両者が情報共有を行いながら連携して対応しているとされています。

また、2月25日に発生したホームページ閲覧障害については、全国140の自治体から報告があり、同日22時頃までにはすべての団体で復旧したことが確認されたとされました。原因は、ホームページの管理運営を委託していた民間事業者のサーバ不具合であると説明されています。

さらに今後の対応として、総務省は次の二点を自治体に助言するとしています。委託契約時の留意事項（速やかな報告体制など）をまとめたガイドラインの徹底、および障害発生時にはSNS等を活用し住民へ迅速に情報提供すること、です。

ここで注目すべきなのは、総務省の説明の位置づけです。会見で示された整理では、障害の原因はクラウド基盤側の技術的問題であり、総務省は制度所管として自治体との情報共有や状況把握を行う立場とされています。すなわち、個別システムの運用や技術的対応の主体ではないという整理です。

もっとも、この整理は単に責任を回避する説明というわけではありません。現在の自治体DXは、国が制度設計を行いながらも、実際の運用や技術実装は自治体や民間事業者に委ねる形で進められています。

言い換えれば、今回の説明は個別の責任主体というよりも、行政システム全体が複数主体によって構成されているという制度構造そのものを示しているとも言えます。

1 自治体DXの制度設計主体は誰か

しかし、この説明を聞いたとき、一つの疑問が浮かびます。自治体DXの制度設計を行っているのは誰なのかという問題です。

自治体の情報システムは、各自治体が個別に導入しているだけではありません。現在進められている自治体DXは、国の方針として、基幹業務システムの標準化、ガバメントクラウドへの移行、自治体クラウドの推進、といった制度設計のもとで進められています。

この制度設計には、実は二つの主体が関わっています。一つは地方行政を所管する総務省です。もう一つは、政府全体のデジタル政策を担うデジタル庁です。

総務省は自治体行政の制度と財政支援を担い、デジタル庁は政府情報システム全体の標準化やガバメントクラウドの設計を担っています。言い換えれば、自治体DXは一つの省庁が単独で設計している制度ではなく、複数の行政主体によって構築されている制度なのです。

その結果、システム障害が発生した場合にも、運用主体は自治体、クラウド基盤は民間事業者、制度所管は総務省、アーキテクチャ設計はデジタル庁、という形で役割が分散します。

つまり、今回の会見で示された「総務省は運用主体ではない」という説明は事実ではありますが、同時に、制度そのものが複数主体によって設計されているという構造を浮かび上がらせているとも言えるのです。

この分離は、現代の行政システムではむしろ一般的な設計と言えるでしょう。巨大化した情報システムは、単一の組織がすべてを直接管理することが難しく、制度・運用・技術が複数の主体に分散する形で構築されています。

その結果、障害が発生した場合、原因の所在と責任の所在が一致しない状況が生まれやすくなります。

2 自治体DXの三層構造

この制度的な分散を理解するためには、現在の自治体DXの技術構造そのものを見る必要があります。鍵となるのが、行政ネットワークのいわゆる「三層構造」です。

この構造は、もともとサイバーセキュリティ対策として導入されたもので、自治体の情報システムを大きく三つの層に分離する設計になっています。

第一は、住民基本台帳、税、福祉などの基幹業務システムです。これらは行政の中核を担うシステムであり、現在は国主導で標準化が進められています。

第二は、自治体内部の行政ネットワークです。これは行政職員が業務を行うための閉域ネットワークであり、地方公共団体情報システム機構が運営するLGWANなどによって構成されています。

第三は、インターネットやクラウドサービスなどの外部ネットワークです。自治体のホームページやオンライン申請など、住民が直接利用するサービスはこの層で提供されることが多く、ここでは民間クラウド事業者のサービスが広く利用されています。

この三層構造の目的は明確です。基幹システムをインターネットから分離することでセキュリティを確保しつつ、外部サービスとの連携を可能にすること——いわば、安全性と利便性を両立させるための設計と言えます。

さらに現在、この構造に大きな変化をもたらしているのが、国が進めているガバメントクラウドへの移行です。政府の方針では、自治体の基幹業務システムを段階的にクラウド環境へ移行し、全国的に標準化されたシステムとして運用することが想定されています。

この構想は効率化やコスト削減を目的としたものですが、同時に、行政システムの基盤が少数のクラウド環境に集約されていくことも意味します。

情報システムの世界では、こうした構造を「単一障害点（Single Point of Failure）」と呼ぶことがあります。システムが集約されればされるほど、個別の自治体では小さな問題であっても、全国規模の障害へと拡大する可能性が生まれます。

もっとも、この三層構造は固定的なものではありません。政府は現在、この構造を2030年までに見直し、ゼロトラスト型のネットワークアーキテクチャへ移行する方針を示しています。自治体DXは、まさにこのような技術アーキテクチャの再設計の過程でも進められているのです。

3 構造が生む責任の分散

しかし、この構造にはもう一つの側面があります。それは、責任の所在が分散する構造を生み出すという点です。そして、ガバメントクラウドによる全国的なシステム集約は、この傾向をさらに強める可能性があります。

三層構造の中では、システムの各部分を異なる主体が担っています。

基幹システムの標準化は国の制度として進められ、制度面では総務省が関与しています。

一方、政府情報システムのアーキテクチャ設計やガバメントクラウドの整備はデジタル庁が主導しています。

ネットワーク層ではLGWANなどの自治体専用インフラが存在し、外部サービス層では民間クラウド事業者がシステムを提供します。

そして、最終的なサービス提供主体は各自治体です。

つまり、制度・ネットワーク・クラウド基盤・サービス提供主体がすべて別の主体によって担われているのです。

この構造では、システムが正常に動作している限り問題は表面化しません。しかし障害が発生すると、原因と責任の所在が複数の層にまたがることになります。

今回の自治体クラウド障害も、まさにこの構造の中で起きました。原因はクラウド基盤ソフトウェアの不具合とされていますが、サービス停止の影響を受けたのは自治体の住民サービスでした。

そして制度的な所管は国にあります。このとき、誰が全体の責任主体になるのかは必ずしも明確ではありません。

4 統治構造としての「責任の非人格化」

ここで重要なのは、この状況が偶然生まれたものではないという点です。むしろ、現代の大規模情報システムでは、こうした構造はある意味で合理的な設計でもあります。

巨大なシステムは、一つの組織がすべてを管理することが難しく、制度・ネットワーク・ソフトウェア・運用が分担される形で構築されます。その結果、統治の形も変わります。

かつての行政では、最終的に責任を負う組織や個人が比較的明確でした。たとえば社会保険庁をめぐる年金記録問題では、最終的に組織そのものが責任主体として問われることになりました。

しかし現在のシステムでは、責任は個人ではなく構造の中に分散しています。制度設計、システム運用、クラウド基盤、ネットワーク管理といった要素がそれぞれ別の主体によって担われるため、責任もまた分割されるのです。

この観点から言えば、現代のDXは単なる技術改革ではありません。「統治は人によってではなく、アーキテクチャによって行われる」——この命題が示すように、DXは統治の形そのものを変える改革でもあるのです。

5 金融システム障害との共通構造

この問題は、行政システムだけに特有のものではありません。同じ構造は、民間の巨大情報システムでも繰り返し現れています。象徴的な例が、みずほ銀行の大規模システム障害です。

みずほ銀行では2021年2月以降、ATM停止や振込処理の遅延などの障害が相次ぎ、同年9月と11月の2回にわたって金融庁による業務改善命令に至る事態となりました。

原因として指摘されたのは、単一の技術的ミスというよりも、長年のシステム統合の結果として蓄積された構造的な複雑性でした。

みずほ銀行のシステムは旧3行の統合に伴って複数の基幹系が重なり合う形で構築され、2019年に新基幹システム「MINORI（みのり）」への移行が完了した後も、その複雑性から生じた問題は構造的に引き継がれていました。

金融庁の業務改善命令でも指摘されたように、現場のIT実態を十分に把握できず、システム全体を統合的に統御できる主体が事実上不在であったことが根本的な問題とされています。

さらに、開発・運用には複数のベンダーが関わり、組織内部でも担当部署が分かれていました。このような状況では、障害の原因が複数の要因にまたがることが多く、責任の所在もまた分散します。

つまり、ここでもまた、システムの巨大化、運用主体の分散、技術構造の複雑化という要素が重なり、結果として誰も全体を統御できないシステムが生まれていたのです。

6 行政DXと金融システムの共通点

自治体DXの構造は、この金融システムの問題と驚くほど似ています。自治体DXでは制度設計は国（総務省やデジタル庁）、ネットワークはLGWAN、クラウド基盤は民間事業者、サービス提供主体は自治体、という形でシステムの統治主体が分散しています。

一方、金融システムでも、銀行本体、システム子会社、ベンダー企業、外部クラウドといった複数主体によってシステムが構成されています。

このように見ていくと、現代の大規模情報システムには一つの共通した特徴があることが分かります。

それは、システムの統治が単一の主体ではなく、複数の主体の協働によって成り立っているという点です。

これは効率性や専門性の観点から見れば合理的な設計です。しかし同時に、障害が発生したときには責任の所在を曖昧にする構造でもあります。

7 「誰が止めるのか」という問題——年金記録問題との違い

このようなシステムの最大の問題は、障害そのものではありません。むしろ問題は、誰がシステム全体を止めることができるのかという点です。

システムが巨大化し、複数の主体によって運用されるようになると、全体を統御する権限と能力を持つ主体が存在しなくなることがあります。

技術的な変更はベンダーの領域であり、制度設計は行政の領域であり、日常運用は自治体や企業の現場に委ねられます。すると、システムの全体構造を見直す権限を持つ主体が曖昧になります。

この状況では、障害が発生した場合でも、個別の対処は行われても、構造そのものが見直されることは少なくなります。

この点は、2000年代に起きた年金記録問題と比較するとよく分かります。当時の問題でもシステムの不備は存在しましたが、最終的には組織としての責任が問われました。責任主体は明確であり、政治問題として扱われ、制度改革が行われました。

しかし現在のDXでは事情が異なります。システムは複数の主体によって構成されており、責任は制度・契約・技術構造の中に分散しています。

その結果、問題が起きても、それは「システム障害」や「クラウド不具合」として処理され、統治構造の問題として議論されることは少なくなります。

このように見ていくと、日本の大規模情報システムの問題は一度きりの出来事ではないことが分かります。2000年代の年金記録問題、2020年代の金融システム障害、そして今回の自治体クラウド障害——これらはそれぞれ異なる分野で起きていますが、共通しているのは、巨大化したシステムの中で責任主体が分散していくという構造です。

現在進められている自治体DXは、まさにこの延長線上にある変化と言えるでしょう。

8 DXが変えているものーー自治体DXのジレンマ

DXは一般に、行政の効率化や利便性の向上として語られます。自治体DXは、標準化とクラウド化によって行政サービスの効率化を目指すものであり、これは政策として合理的な方向です。

しかしその一方で、システムは巨大化し、運用主体は分散し、責任の所在は見えにくくなります。より重要なのは、DXが統治の形そのものを変えているという点です。

かつての行政では、責任は組織や個人に帰属していました。しかし現代のシステム社会では、責任は設計や構造の中に分散します。言い換えれば、統治は人によってではなく、アーキテクチャによって行われるようになっているのです。

今回の自治体クラウド障害は、単なる技術的トラブルとして片付けることもできるでしょう。しかし、もう一歩引いて見れば、それは現代の行政システムが抱える構造を映し出しているとも言えます。

自治体DXが進むほど、システムは大きく、複雑になります。そのとき、最も重要な問いが改めて浮かび上がります——このシステムの最終的な責任主体は誰なのか、と。

それは、今回の障害をきっかけに、改めて考える必要のある問題ではないでしょうか。

前稿で提案した予防KPI・再発KPIの導入は、まさにこの「誰が止めるのか」の不在を埋める一手です。

評価軸を「導入成功」から「構造的失敗を防ぐ能力」に転換し、総務省・デジタル庁が主体となって責任ある当事者（統御権限を持つポジション）を制度的に定義・監査可能にすれば、統治の空白は埋められるはずです。

ゼロトラスト移行（2030年目標）もその機会ですが、単なる技術更新ではなく、責任主体の再構築を伴わなければ、同じ空白が繰り返されるでしょう。

結論：これは「制度」の問題である

巨大システムの最大の問題は、障害そのものではありません。むしろ問題は、止める主体が存在しないことです。

誰が全体を止めるのか。誰が責任を引き受けるのか。誰が設計を変えるのか。これらの問いは、単なるITの問題ではありません。統治の問題なのです。

今回の障害を単なるクラウド障害として捉えると、本質を見失ってしまいます。これは技術問題でも運用問題でもなく、制度問題です。そしてその制度は、人間ではなく設計によって社会を統治する仕組みを生み出しています。

DXとは単なるデジタル化ではありません。それは、責任や統治のあり方そのものを再設計するプロセスでもあります。行政サービスは効率化されるかもしれない。しかし社会の基盤となるシステムは、これまで以上に巨大で複雑なものになっていきます。

今回の自治体クラウド障害は、その変化の一端を私たちに示しています。問われているのは、技術の問題ではなく、誰がこの巨大なシステムに対して責任を持つのか、という統治の根本的な問いです。それは、DXが進めば進むほど、ますます切実になっていく問いでもあります。

その意味で今回の障害は、単なるシステムトラブルではなく、現代社会の統治構造そのものを映し出す出来事だったのではないでしょうか。

参考資料

• 総務省「自治体情報システムの標準化・共通化について」

• 総務省記者会見（2026年2月27日）

• デジタル庁「ガバメントクラウド」

• 総務省「年金記録問題検証委員会」

• 厚生労働省「社会保障審議会 日本年金機構評価部会 年金記録問題に関する特別委員会 報告書のとりまとめ」

• 金融庁「みずほ銀行及びみずほフィナンシャルグループに対する
  行政処分について」

【Copyright / 著作権】

#創作大賞2026 #ビジネス部門