自治体クラウド障害はなぜ起きたのか――社会保険庁事件と2026年の障害に見る「責任の非人格化」

この記事の要点

2026年2月に発生した自治体クラウド障害を切り口に、現代の自治体DXが抱える構造的欠陥を鋭く分析した論考です。

かつての社会保険庁事件と同様、ITの外部委託や組織の多層化が進んだ結果、誰も全体の整合性に責任を持たない「責任の非人格化」が起きている。単一ベンダーへの依存による「ノーマルアクシデント」のリスクを警告しています。

効率や導入数ばかりを追う従来のKPIから脱却し、障害時のレジリエンスを評価する「予防・再発KPI」への転換を提唱。技術の導入以上に、複雑化したシステムにおける「責任とガバナンスの再設計」こそがDXの本質ではないかと問いかけます。行政・IT・政策に関心のある方に特におすすめです。

※〔追記〕調査状況の更新について（2026年3月3日）を追記しました。
※ 調査状況の更新について（2026年3月2日）を追記しました。

１　何が起きたのかーー現在わかっている事故の状況・原因・対応

2026年2月25日、自治体向けクラウド基盤を提供するミライコミュニケーションネットワーク（岐阜県大垣市）のクラウド環境で障害が発生しました。
同社の発表によれば、障害が発生したのは25日の午後12時30分ごろ。「クラウド基盤の不具合」により、以下のサービスで接続・閲覧等ができない状況が発生しました。

• MRSクラウドサービス

• MRSクラウドUIサービス

• 共有レンタルサーバサービス

この障害により、同社のクラウドを利用していた全国100件以上の自治体で、ホームページ閲覧不能・行政サービスの一部停止等の通信障害が発生しました。障害は同日午後9時54分ごろに復旧しています。（ITmedia報道）

重要なのは、自治体個別の運用ではなく、クラウド基盤側で発生した障害とされているという点です。これは現在の自治体DXの構造を象徴する事故です。

２　何が止まったのかーー社会的影響

今回の障害は、単なる「ホームページ停止」以上の意味を持ちます。

現在、自治体のホームページは災害情報・医療情報・手続き案内・防災通知などの基盤です。つまり、自治体の情報発信能力そのものが、外部クラウドに依存している状態です。

これは、行政機能の一部が、実質的に外部インフラの上に存在していることを意味します。

総務省が地方公共団体に示すBCP（業務継続計画）策定の手引きでは、クラウド事業者の障害やリージョン停止を想定した対応を検討することが求められています。つまり、クラウド障害そのものは想定外ではなく、「起きうる前提」とされていました。

にもかかわらず、多数の自治体で同時に情報発信機能が停止したことは、障害の発生そのものよりも、障害時の代替手段や冗長化の実装が十分であったのかという点を問いかけています。（総務省：地方公共団体におけるICT部門の業務継続計画策定手引き）

３　社会保険庁事件と「責任の非人格化」

この構造は、かつての社会保険庁の問題と本質的に共通しています。

社会保険庁では、約5000万件の年金記録不一致が発生しました。その原因を、立命館大学の研究では、組織・制度・システムが分断され、責任の所在が不明確になった構造が指摘されています。（立命館大学：公的年金制度における年金記録管理問題の歴史的経緯）

総務省の「年金記録問題検証委員会」最終報告書もまた、「組織的に十分な改善対策が長期にわたって執られてこなかった」ことを根本原因として挙げており、歴代の社会保険庁長官をはじめとする幹部の責任は最も重いとされましたが、問題の本質は「誰か一人の明確な加害者」が存在しなかった点にありました。（年金記録問題 - Wikipedia）

• 紙台帳から電子化への移行

• 複数システムの併存

• ITの外部委託

• 組織分断

……という構造の中で、

　現場職員は入力作業をしていました

　管理者は制度を運営していました

　IT企業はシステムを構築していました

　政治は制度を設計していました

しかし、全体の整合性に対する責任主体は存在しませんでした。

これは「責任の非人格化」と呼ぶべき状態です。責任が人ではなく、システム構造の中に拡散している状態です。

今回のクラウド障害も同様です。自治体は運用していました。クラウド企業はインフラを提供していました。

自治体の機能停止に対する責任の所在は契約上は定められています。しかし、その責任構造は多層化しており、利用者の視点からは、誰がどこまで直接的に制御できたのかが見えにくい状態にあります。

４　なぜ防げなかったのか――アウトソーシング国家と評価経済

（１）「ノーマルアクシデント」という視点

社会学者チャールズ・ペロー（Charles Perrow）は著書『Normal Accidents: Living with High-Risk Technologies』（1984年）において、複雑かつ密接に結合したシステムでは、事故は避けられない「ノーマルアクシデント（通常事故）」であると論じました。

ペローの理論によれば、問題は個々の「失敗」ではなく、システムの構造そのものにあります。多くのコンポーネントが相互依存しているとき、ある箇所の小さな不具合が予期しない連鎖を引き起こす——これはクラウドインフラにも当てはまります。

2024年7月のCrowdStrike社のシステム障害では、Microsoftによれば約850万台が影響を受けました。世界中の航空、医療、金融、行政などのシステムが同時に停止し、単一ベンダーへの依存が社会インフラ全体の停止につながり得ることを示しました。（IT-BCP視点でのCrowdStrike障害分析）

これは「特定の一社への依存」が引き起こした構造的連鎖障害の典型事例です。

（２）アウトソーシング国家

現在の自治体DXは、ソフトウェア・インフラ・運用の多くを外部企業に委託しています。

これは合理的な選択です。自治体単独で高度なIT基盤を維持することは困難だからです。しかし同時に、行政機能の実体が、行政組織の外部へ移動しています。

実際、デジタル庁のガバメントクラウドでは、2025年3月末時点で国と地方自治体のガバメントクラウドについてAWSの採用が多数を占めており、クラウド基盤の集中が指摘されています。（ITmedia：AWS障害にOracle情報漏えい疑惑 リスク露呈したガバメントクラウド）

これは「アウトソーシング国家」、すなわち行政機能の実行基盤の多くを外部の民間インフラに依存する統治形態と呼ぶべき状態です。国家や自治体は、直接運用主体ではなく、委託管理主体へと変化しています。

米国でも同様の問題が指摘されています。
2025年10月20日に発生したAWSおよびAzure大規模障害を受け、市民団体はFTC（連邦取引委員会）に宛てた書簡で「少数のクラウド企業への危険なほどの過剰依存が、国家の安全保障と商業を危うくしている」と訴えました。（CyberScoop：With each cloud outage, calls for government action grow louder）

（３）評価経済とKPIの偏り

さらに重要なのは、現在の自治体DXが、導入KPI・コスト削減KPI・稼働率KPIによって評価されている点です。

• 導入したか

• コストが下がったか

• 通常時に動いているか

は評価されます。しかし、

• 障害が起きたときにどうなるか

• 構造的リスクがどこにあるか

は評価対象になりにくいのです。

これは「成功が評価され、失敗への備えは評価されない」構造です。社会保険庁でも同様でした。電子化の進捗は評価されましたが、整合性リスクは評価されませんでした。

元米国情報機関幹部でジョンズ・ホプキンス大学のRhea Siersは、この問題を「集中リスクのガバナンス欠如」と表現し、組織は単に既存リスクを評価するだけでなく、バックアップと事業継続の実際の実践を証明する義務を負うべきだと論じています。（Tech Policy Press：How Better Governance Can Mitigate Future Digital Outages）

５　自治体DXに欠けているもの――予防KPIと再発KPI

今後必要なのは、導入KPIではなく、予防KPIと再発KPIです。

これは「失敗を評価対象に含める」という発想です。
なお、現在デジタル庁はガバメントクラウドにおいて「東京リージョン・大阪リージョン間での東西冗長化」を推奨するようになりましたが、コスト面での課題が残るとも認めており、制度的な誘導だけでは不十分な状況が続いています。（デジタル庁：地方公共団体の基幹業務システムの統一・標準化）

結論――DXとは責任構造の設計である

今回の障害は単に技術的トラブルだけではなく、行政機能がクラウドに移った現代で「責任が構造の中に拡散」していることを露呈したと言えます。また、社会保険庁の「責任の非人格化」が、形を変えて再現されているととらえることができます。

標準化推進によって自治体システムが特定ベンダーに集中していく現在の流れは、効率化をもたらす一方で、競争縮小と単一障害点のリスクを生むという指摘もあります。（note：標準化の光と影――自治体システムは本当に良くなるのか？）

自治体DXに本当に必要なのは、技術導入ではなく失敗を前提とした評価構造の再設計です。

予防KPIと再発KPIを導入し、障害耐性を「評価されるもの」に変えること。

次回の障害が起きたとき、私たちは「どの企業が悪いか」ではなく、「この障害を生き延びるよう行政は設計されていたか」と問うべきです。

DXの本質は、技術ではなく責任とガバナンスの再設計にあるからです。

〔追記〕調査状況の更新について（2026年3月2日）

2026年2月27日および3月2日に公表された、株式会社ミライコミュニケーションネットワークの調査状況によれば、本障害はクラウド基盤を構成するソフトウェアの不具合に起因するものであることがメーカーの調査により特定されたとのことです。

機器故障や外部からの不正侵入、サイバー攻撃によるものではなく、また個人情報の漏洩も確認されていないとされています。すでにメーカー推奨の回避手順は実施済みであり、今後は修正プログラムの提供を受けて恒久対応が行われる予定とされています。

ここで注目すべきは、原因特定および恒久対策の主体がメーカーである点です。

自治体は回避手順の実施や修正プログラムの適用主体ではありますが、基盤ソフトウェアそのものの制御主体ではありません。この構造は、行政機能の実行基盤が外部インフラに依存している現実を改めて示しています。

本稿で論じた「責任の非人格化」とは、まさにこのように統治主体と技術的統制主体が分離している状況を指しています。今回の更新情報は、その構造的特徴をより明確に浮き彫りにするものといえます。

〔追記〕調査状況の更新について（2026年3月3日）

株式会社ミライコミュニケーションネットワークから最終報告が公開されました（https://www.mirai.ad.jp/news/20260303/）。

原因は「クラウド基盤ソフトウェアの不具合」と特定され、個人情報漏洩なし・サイバー攻撃なしとされています。対処は仮想サーバ再起動、再発防止はメーカー修正プログラムの適用予定です。

しかし、詳細な不具合内容は明らかにされず、再発防止も「メーカー待ち」という構造は変わらず。当然ながら、この報告及び謝罪は市民に向けたものではなく、自治体などの顧客に向けたものとなっています。

行政機能が外部クラウドに依存する中で、こうした行政サービスの利用者に対する「責任の所在が曖昧」な報告が続く限り、自治体DXへの信頼回復は難しいのではないでしょうか。

１月30日、総務省は、自治体DX全体手順書【第5.0版】を公開しました。
「標準化」や「ガバメントクラウドへの移行」が効率化の鍵として謳われていますが、今回のように、集約によって高まる共倒れのリスク（単一障害点）への具体的なレジリエンス設計や、ベンダーの不手際に対する行政側の監督責任については踏み込めていないようです。

また、人材育成についても、ITスキルやBPR（業務改革）の視点はありますが、住民へのサービスを守るための実装を厳格に監査できる「責任ある当事者」の定義が欠落しているように感じられます。

システム構造全体に対する「冗長化」と「再発リスクの管理」の視点を欠いたままでは、高リスクなDXがどんどん拡散していってしまうという状態になりかねません。

皆さんはどう思われますか？

主要参考資料

• ミライコミュニケーションネットワーク 障害発生/復旧報告（2026.02.25）

• ITmedia：自治体ホームページの障害は解消、原因は「クラウド基盤の不具合」

• ITmedia：AWS障害にOracle情報漏えい疑惑 リスク露呈したガバメントクラウド（2025.05）

• 立命館大学：公的年金制度における年金記録管理問題の歴史的経緯

• Wikipedia：年金記録問題

• Charles Perrow：Normal Accidents: Living with High-Risk Technologies（Princeton University Press）

• CyberScoop：With each cloud outage, calls for government action grow louder（2025.11）

• Tech Policy Press：How Better Governance Can Mitigate Future Digital Outages（2025.11）

• ニュートンコンサルティング：CrowdStrikeのシステム障害をIT-BCPコンサルタントの視点で考える

• 総務省：地方公共団体におけるICT部門の業務継続計画（BCP）策定手引き

• デジタル庁：地方公共団体の基幹業務システムの統一・標準化

• note：標準化の光と影――自治体システムは本当に良くなるのか？

【続編記事】

【Copyright / 著作権】

#創作大賞2026 #ビジネス部門