要約

  • Internet Society Pulse が9月10日に紹介した研究は、61か国、約100万件の政府URLを対象に、ホスティング、権威DNS、認証局という三つの層を調べた。
  • 政府サイトの事業者分布が国内の商用サイトに似ていれば「構造的」、有意に異なれば「戦略的」な集中と呼ぶ。後者は制度上の選択を調べる手掛かりだが、調達行為そのものを観測したわけではない。
  • 戦略的な集中には、より高い国内配置と低いホスティング遅延が伴う傾向がある。一方、意味のある独立事業者の冗長性は両類型で乏しかった。
  • 依存と決定を結ぶ公開記録には、責任機関、決定時の代替案、受け入れた利得、共通障害、移行可能な範囲、直近の出口試験、再審査日が必要だ。

ブラウザーから見えるのは接続先までだ

行政手続きの入口が紙の窓口からURLへ移ると、そのURLを支える事業者の障害は公共サービスの障害になる。コンテンツを配るホスト、名前を運用先へ向ける権威DNS、HTTPSの信頼連鎖を構成する認証局は別の機能である。同じ組織に集まる場合も、別々の組織が担う場合もある。

Internet Society Pulse の記事は、Rashna Kumar、Fabián E. Bustamante、Marinho Barcellos、Amreesh Phokeer による研究を紹介する。対象は61か国で、世界のインターネット人口の82％超を覆い、政府URLは約100万件に及ぶ。Kumar は西北大学所属のゲスト著者であり、ページには意見が Internet Society の見解を必ずしも示さないとの注記がある。

各国の条件を揃えるため、政府サイトは同じ国の商用サイトと比べられる。商用側は人気上位、中位、下位の三群に分かれる。世界的な大規模サイトだけが基準を決めないようにする工夫だ。

研究発表資料によれば、政府ドメインは公的な情報源から集めた。各国向けのVPN接続を用い、入口ページが取得する資源のホスティング組織、権威ネームサーバー、TLS接続で示される認証局を観測した。商用ドメインは CrUX を使い、三つの人気層から各1000サイトを系統抽出した。

集中度にはハーフィンダール・ハーシュマン指数を使う。5000回のブートストラップ再標本化を行い、国、サービス層、人気層ごとに商用と政府のHHI差の分布を作る。この外部観測には、調達カタログよりも実態に近い面がある。候補事業者が何社記載されていても、動いているサービスが一社に寄っていることはあり得るからだ。

しかし、ブラウザーは決裁文書を返さない。観測された名前から、入札条件、予算、セキュリティ例外、データ所在要件、更新の承認者は分からない。選定時点で別の事業者が同等の機能を適法かつ期限内に提供できたかも判定できない。技術的な依存図と行政上の決定記録は、接続しなければならない別々の証拠である。

「戦略的」は意図を認定する言葉ではない

研究では、政府の事業者多様性が国内商用市場と似る場合を構造的な集中とする。周囲の市場そのものが狭ければ、公共調達だけを変えても、国内のホスティングやDNS能力が直ちに増えるとは限らない。

政府と商用の分布が有意に異なる場合は戦略的な集中とする。Pulse は、調達規則、承認済みプラットフォーム、コンプライアンス要件などの統治上の決定が分布を形作っている可能性を示す、と書く。「可能性」は重要である。統計的な差は制度を調べる根拠にはなるが、特定の政府が依存を意図的に選んだとの確定証拠ではない。

発表資料はオーストラリアとベトナムを構造的な例として挙げる。インドはホスティングとDNSで戦略的な例とされ、観測された政府サイトの85％超が National Informatics Centre に依存する。一方、認証局では eMudhra が政府の観測チェーンの17％を占め、分布が異なる。カザフスタンとアルジェリアにも戦略的なパターンが示される。

これは違法性や怠慢の判定ではない。共通基盤は、国内配置、統制、性能、技能共有のために合理的に選ばれたかもしれない。長年の更新を通じて検証されないまま残った可能性もある。外部測定だけでは、その二つを区別できない。

認証局の結果は、層ごとの解釈が必要な理由も示す。Web PKIはもともとブラウザーが信頼する限られた発行者を基礎にする。認証局の集中とホスティングの集中は、同じ指数でも原因が違う。三層を一つの「主権」点数にすれば、かえって管理主体を見失う。

構造的という分類も免責にはならない。市場が狭くても、契約期間、システム結合、データ形式、DNSの予備、復旧権限、試験日は行政が決める。選択肢が少ないことと、選択の記録が不要なことは別である。

国内配置と低遅延は、独立した予備系を意味しない

結果は、集中を単純な悪とする説明にも抵抗する。戦略的に集中した政府は、構造的に制約された政府よりインフラが国内に置かれ、利用者側の遅延が低い傾向にある。SSRNで確認できる以前の版はホスティング遅延が16％低いと報告する。標準化が近接性、運用の単純化、共通技能をもたらす場合はある。

ただし、事業者の冗長性には同じ差がなかった。構造的、戦略的のどちらでも、政府は一般に意味のある独立事業者の代替系を持たない。国内にあり応答が速いサービスでも、多数の行政機関と同じ障害点を共有し得る。二社を使っていても、DNS、認証、回線、運用者、管理面が共通なら独立した二経路ではない。

HHIは復旧試験ではない。観測された事業者の構成を表すだけで、予備データの鮮度、資格情報、容量、切替権限は確認しない。低集中は復元可能性の証明ではなく、高集中は便益の選択が不合理だった証明でもない。

英国政府が9月3日に更新したクラウドの技術的ロックイン管理指針は、この空白に実務的に答える。一定のロックインは避けられないと認めた上で、クラウド資産全体を監視し、移行の費用と時間を見積もり、非常時の計画を作り、必要に応じて重要な部品を別環境で再構築または試験するよう求める。調達、財務、技術の担当者が共同で判断することも重要だ。

EUデータ法は、データ処理サービスの切替権、事業者の支援、継続性、既知の危険を契約に明記させる。研究中のすべてのDNSや認証局に同じ形で適用されるわけではない。それでも、出口は文章と担当主体があって初めて義務になることを示している。

観測値に「なぜ」を接続する

依存・決定受領記録は、まず公共サービス名、重要度、責任機関を示す。ホスティング、権威DNS、証明書の信頼は別々の行にし、観測事業者、測定日、方法、母数、帰属上の限界を添える。

次に、現在有効な調達または設計承認へ接続する。決定日の候補、法的・技術的な条件、除外理由、承認者を記録する。共通プラットフォーム、緊急調達、セキュリティ例外によって選択肢を狭めたなら、有効期限と見直し日も必要だ。

取引条件も隠さない。国内配置、遅延、費用、セキュリティ、統合、技能のどれを得るために集中を受け入れたのか。共通障害はどこに残り、名目上別の事業者は本当に独立しているのか。事業者数だけでは答えられない。

最後に、移行できるデータ、設定、ログ、ID、推定費用と所要時間、直近の復旧・退出試験、未解決項目、次回更新日を載せる。「マルチクラウド」という名称だけで欄を埋めてはならない。

この受領記録は Daniel Kade の編集上の検証モデルであり、研究者や Internet Society が採用した制度ではない。測定の責任と公共選択の責任を混ぜず、両者を検証可能な形で結ぶための提案である。

商用市場は比較対象であって模範ではない

同じ国の商用サイトは、規制や市場条件を揃える基準として役立つ。しかし商用サイトと行政は目的が違う。小売サイトは価格や購入率を優先できるが、公的サービスには記録保存、アクセシビリティ、安全、継続性、データ所在の義務がある。市場からの乖離は合理的であり得る。

市場との一致も言い訳にはならない。国全体が少数事業者に集中していれば、給付、裁判、緊急情報が同時障害でどうなるかを行政は説明しなければならない。構造的制約を主張するなら、欠けていた能力、参入障壁、検討した緩和策を記録する必要がある。

OECDのDigital Government Outlook 2026によると、2025年には回答36か国中27か国がデジタル・技術調達の専用指針を持っていたが、デジタル提供に適した幅広い調達手法を使う国は20にとどまった。中央指針は一貫性を生む一方、技能や柔軟な契約がなければ標準化を強めることもある。

100万件のURLは、依存を外から測る強い装置である。そこに決定記録を差し出せるかどうかが、政府側の統治能力を測る。

情報源