だからといって企業がガバナンスを効かせられないとは一概に言えないのだが、SIerへの「部分投げ」が多いほど、システムの標準化は難しいとはいえるだろう。また業務プロセスへのこだわりも強く、例えば同一ERPを導入する場合でも、企業別のカスタマイズはもちろん、事業所ごとにカスタマイズするケースも少なくない。

　そのためもあってか、国内企業の情報システムの構造は複雑で、サーバは乱立したまま統合が進んでいない。これも海外とは異なる一面だ。海外では中央集権的なシンプルな構造を志向してシステム構築と運用を実行してきた歴史が長く、隅々までガバナンスを効かせやすいIT活用ができていたため、サーバの乱立は日本のようには進まなかった。サーバをそのままクラウドに移行できる条件がもともとあったわけだ。

　一方日本では、クラウド移行の前にサーバ統合から取り組む必要があり、これは業務に深く関わるためにそう簡単に行えるわけではない。そのハードルの高さがクラウド移行を阻んでいる面がある。

セキュリティへの感度が鈍い日本

　クラウド移行が進まない理由のさらにもう1点は、セキュリティへの感度の鈍さではないかと考えている。

　日本ではクラウドサービスのセキュリティにまだ不安感を抱く企業が多いようだが、海外では逆だ。自前でセキュリティ対策を施すよりも、クラウドサービスの方がはるかに考え抜かれ、コストをかけたセキュリティ対策が施されていると考える企業の方が多いのである。

　海外において特に昨今クラウド導入のきっかけになっているのがセキュリティ確保の要件である。セキュリティ対策は外部からの攻撃に対抗するだけでなく、内部不正やポリシー違反を総合的に抑え込むことが不可欠になっており、それを実施するには多大なコストと労力が必要だ。サーバとそのネットワークを守るという領域だけを考えても企業の負担は非常に重い。その一部であっても、リスクを外部化できることには大きな意味がある。

　クラウドサービス側で提供されるセキュリティ対策は、例えばサーバエリアへの入退室管理や耐震、免震などの物理的セキュリティ対策、ハードウェアの障害対応や代替機能、ホストOSやミドルウェア、アプリケーションの脆弱（ぜいじゃく）性監査や対策、不正アクセスの検知、遮断、通信の暗号化、アクセスログの管理など多岐にわたる。もちろんこれは契約される可用性や機密性のレベルに応じて料金的にも対策レベルは異なるのだが、自前でこれらレイヤーの異なるセキュリティ対策を施すのに比べ、はるかに迅速・確実に実装することができる。

　自社で守るべき拠点が1カ所だけなら、オンプレミスシステムにセキュリティを追加していく方が効果的な場合はあるだろう。しかし事業拠点が100あれば、同レベルのセキュリティ対策を100通り追加していかなければならないことになる。大規模に、地域を超えた事業を展開する企業にとっては大変な負担だ。

　クラウドサービスの利用は、この対策コストと労力の大半を削減することができる。多くのサーバをクラウドに集約してしまえば、全てに標準的なセキュリティ対策が施せることになる。特にグローバルな企業であればあるほど、この利点を活用できよう。

　実際には、オンプレミス構築よりもクラウドを利用したシステム構築の方が、セキュリティ面では圧倒的に有利なのだ。クラウドサービス事業者には専門技術者がいて、リソースが集約されているからこその合理的・効率的なセキュリティ管理が行われている。技術者不足はどの国でも同様だが、企業にとって少数でも効果的な管理が可能なのがクラウドサービス事業者の活用だ。

　ところが日本では、セキュリティへの感度が特に鈍い。いまだに外部からの攻撃に備えることが最優先とされることが多く、内部で何が起きているかの監視・管理についてはまだまだこれからの状態だ。実際に情報漏えいなどの被害が起きない限り、真剣に内部対策までも含めた対策を行う機運が生まれない。この状況からは、セキュリティ強化のためにクラウドを活用するという発想は、内発的には生まれにくい。