生産管理システムはクラウドか、自社で持つか

言葉の整理——自社保有と 3 つの形態

比較の前に、区分をそろえておく。情報処理推進機構の資料では、アプリケーション・基本ソフトとミドルウェア・ハードウェアの 3 層について、誰が調達・運用・保守を担うかで次のように分けている^[3]。

「クラウドか自社構築か」という問いは、実際にはこの 4 つのどこに線を引くかという問いである。既存のパッケージを持っている会社が「クラウドに移す」と言うとき、多くは IaaS への移設を指しており、SaaS へ乗り換える話とは中身が違う。

なお、この線引きは載せる機能と範囲が先に決まっていることを前提にしている。まだ決まっていないなら、置き場所より先に決めるものがある。機能の全体像は生産管理システムとは何をするものか、どこまでを最初に載せるかは中小の製造業が生産管理システムで最初に入れる範囲で扱っている。

判断軸 1：データをどこに置き、終わるときにどう引き取るか

クラウドを使う際の留意点として、コンピュータを自ら管理しないことによる制約と、データを自らの管理範囲外に置く、あるいは社外に預けることへの不安や制約が挙げられている^[3]。これは感情の問題ではなく、確認すべき項目として整理されている。

手引きの確認事項には、データがどの国や地域に設置されたサーバーに保存されているかを確認したか、という項目がある^[3]。確認先は、事業者または事業者が利用しているプラットフォーム事業者・インフラ事業者が公表するデータセンターの所在国・地域である^[3]。個人情報の取扱いに関わる国内外の法律・規制、たとえば外国にある第三者への提供に関する規定や欧州連合域内の一般データ保護規則との関係も見る必要がある^[3]。

合わせて確認したいのが、やめるときの条件である。利用が終了したときのデータの取扱条件として、全データの返却やダウンロードの可否、データの互換性と移植性、残留データの完全消去、別の利用者が再利用できないことの保証が挙げられている^[3]。入るときに出方を決めておく。生産管理のデータは品目マスタと構成表という資産そのもので、これを取り出せない契約は、事実上その事業者から離れられないことを意味する。

判断軸 2：どこまで作り替えられるか

留意点として、利用できるアプリケーションのカスタマイズの制約、およびアプリケーション間のデータ連携実現への制約やコスト増の可能性も挙がっている^[3]。生産管理は自社の作り方に密着した業務なので、この制約は他の業務システムより重く効く。

ただし、自社で作れば自由かというと、そう単純でもない。1970 年代には製造業各社が自社内の情報システム部門で生産管理システムを開発していたが、開発に時間と人手がかかることが問題で、次第にパッケージの活用へ舵を切っていった経緯がある^[4]。自由度と引き換えに払うのは、作るときの費用だけでなく、担当者が辞めた後も直し続けられる体制である。

クラウドを利用していない企業に理由を尋ねた結果も、この軸に関係する。最も多いのは「必要がない」の 46.0 パーセントで、次いで「クラウドの導入に伴う既存システムの改修コストが大きい」が 29.6 パーセント、「情報漏えいなどセキュリティに不安がある」が 24.9 パーセント、「ネットワークの安定性に対する不安がある」が 14.7 パーセントとなっている^[1]。一方、「ニーズに応じたアプリケーションのカスタマイズができない」は 6.5 パーセントにとどまる^[1]。

つまり、実際に足を止めているのは作り替えの自由度そのものより、既存の仕組みとの接続にかかる費用である。判断のときは「この製品でどこまで直せるか」より先に「今動いているものとどう繋ぐか」を見積もったほうが、現実の障害に当たる。

判断軸 3：責任の分かれ目はどこか

クラウドの情報セキュリティを高めるには、事業者と利用者が協力して責任を共有する必要があり、この考え方を多くの事業者が採用している^[5]。ただし、責任の範囲と内容は一律に決まるものではなく、サービスの内容や利用条件・環境ごとに両者で合意して契約で明示することが重要だとされている^[5]。

一般的な考え方は形態ごとに示されている^[5]。

ここで注意したいのは、SaaS を選んでも利用者の責任がゼロにならないことである。事故の要因の一つとして、利用者が対応すべき対策が曖昧になっていることが挙げられており、設定が十分でなかったために機密情報を無認証の状態で外部に公開してしまった事例が相次いで報告されている^[5]。またアプリケーションの更新や機能追加によって設定が不適切になり、漏えいに至ることも想定されるため、事業者は影響を見定められるよう情報提供する必要があるとされている^[5]。

「事業者に任せた」で終わらせないための実務は、公開範囲の設定を誰が見るかを決めることに尽きる。手引きでも、クラウドの特性を理解した管理担当者を社内に確保しているか、適切な利用者のみが使える状態を管理できているか、認証機能を適切に設定・管理できているかが確認事項に並んでいる^[3]。

判断軸 4：止まったとき、消えたときにどうなるか

手引きには実際の事故事例が挙げられている^[3]。

1. 国立研究開発法人
5,000 件を超える個人情報や未公表の研究情報が、クラウドサービス（メールシステム）と内部システムから漏えいした。クラウドサービスへの不正アクセスを契機としたサイバー攻撃が原因^[3]。

2. レンタルサーバー・クラウドサービス事業者
5,000 件を超える顧客データが消失した。事業者側のシステムメンテナンスの作業ミスが原因^[3]。

3. ファイル転送サービス事業者
480 万件を超える利用者の個人情報とログイン情報が漏えいした。サーバーのぜい弱性に対するサイバー攻撃が原因^[3]。

2 番目は、攻撃ではなく事業者の作業ミスでデータが消えた例である。だからこそ、確認事項には「サービス停止やデータの消失・改ざんなどに備えて、重要情報を手元に確保して必要なときに使えるようにしているか」というバックアップの項目が置かれている^[3]。方法として、拡張機能にバックアップがあれば利用する、社内のストレージにバックアップする、複数世代取得する、が挙げられている^[3]。

選ぶ段階では、稼働率・障害発生頻度・障害時の回復目標時間などの品質保証が示されているか、計画的なサービス停止の事前通知や障害発生時の通知・利用者対応があるか、サービス状態が実時間で表示されるかを見る^[3]。

自社保有の場合、同じ問いは自社に返ってくる。生産管理が止まると、日程指示も納期回答も出せなくなる。停電・機器故障・作業ミスのそれぞれについて、誰が何時間で戻すのかを答えられないなら、自社保有だから安全という前提は成り立たない。

判断軸 5：費用はどこに出るか

クラウドを利用している企業が挙げた理由の順位は次のとおりである^[1]。

安さは、この 8 つの中で最も低い。上位を占めるのは、場所を選ばないこと、資産と保守体制を社内に持たずに済むこと、可用性、災害時の備えである^[1]。手引きの側でも、活用の利点として、調達に関わる負担からの解放または軽減、運用・保守の負荷からの解放または軽減、資源利用の柔軟性・拡張性の獲得、セキュリティ対策の負担と負荷からの解放または軽減が挙げられている^[3]。どちらも「安くなる」ではなく「抱えなくてよくなる」という言い方をしている点は共通している。

費用を比べるなら、月額だけでなく次を並べる。自社保有なら機器の購入費と設置工事、更新のたびの入れ替え、保守契約、電気代、そして担当者の時間。クラウドなら月額、利用量が増えたときの追加料金、既存システムとの接続の開発費、そして移行時のデータ整備。使用料の急増は留意点として明示されており、利用量・処理量の異常な増加や意図せぬ増大に伴うリスクが挙げられている^[3]。従量課金の項目がある契約では、上限の設定と通知の仕組みを確認しておく。

委託先を狙った攻撃をどう見るか

情報セキュリティ 10 大脅威 2026 の組織向け脅威では、1 位が「ランサム攻撃による被害」、2 位が「サプライチェーンや委託先を狙った攻撃」で、後者は 8 年連続 8 回目の選出である^[2]。3 位には「AI の利用をめぐるサイバーリスク」が初めて入った^[2]。発表は 2026 年 1 月 29 日である^[2]。

クラウドを選ぶことは、委託先を 1 つ増やすことでもある。しかも構造は見た目より深い。利用者が SaaS のアプリケーションだけを使っていると考えていても、その SaaS 事業者が他社の PaaS を利用している可能性があり、その場合、利用者が SaaS 事業者にしか預けていないつもりの情報が PaaS 事業者に渡っていることがある^[5]。

そのうえで押さえておきたい一文がある。クラウドサービスの情報セキュリティ対策の水準は、供給の連鎖を構成する各事業者が提供するサービスの水準のうち、最も低いものになる^[5]。水準を上げるには、各事業者の責任範囲を明確にしたうえで、それぞれの対策の水準を上げる必要があるとされている^[5]。

自社で確認できることは限られるが、確認の手がかりは公開されている。事業者の信頼性については、公表されている財務情報の確認、利用者数などの実績の問い合わせ、情報セキュリティ方針や関連する認証・認定制度の取得状況の確認が挙げられている^[3]。制度としては、政府情報システムのためのセキュリティ評価制度、クラウドサービス固有の管理策が適切に導入・実施されていることを認証する情報セキュリティマネジメントシステムのクラウドセキュリティ認証、監査結果を表示許諾によって公開する制度、安全性・信頼性の比較に必要な情報の開示を認定する制度が紹介されている^[3]。

また、利用者のデータに事業者がアクセスする場合の条件や責任、設備の保守等を再委託している場合の再委託先に対する管理監督責任、入力した個人情報についての法令準拠は、契約条件として確認する項目に含まれている^[3]。再委託先の管理監督責任が契約に書かれているかは、最低限そろえておきたい一行である。

法令の要件は、どちらを選んでも変わらない

置き場所を変えても、保存の義務は同じである。送り状・領収書・契約書・注文書・見積書・請求書にあたるものを電子でやりとりしたなら、その電子データを保存する必要がある^[6]。求められるのは、改ざん防止の措置、「日付・金額・取引先」での検索、ディスプレイやプリンタ等の備付けの 3 点である^[6]。

改ざん防止の方法としては、タイムスタンプの付与、訂正・削除の履歴が残るシステム等での授受と保存、事務処理規程を定めて守ることが挙げられている^[6]。3 番目はシステム費用等をかけずに導入できる方法として明記されている^[6]。つまり、この要件を理由にクラウドを選ぶ必然性はない。判断材料として使うなら、要件を満たすかどうかではなく、要件を満たす状態を維持する手間がどちらで軽いかで比べる。関連する論点は受発注システムの選び方と電子帳簿保存法にシステムなしで対応する方法で扱っている。

よくある質問

社外にデータを置けない、と社内規程で決まっている

手引きでは、社外に置くことを禁止しているデータの例として個人番号や顧客から預かった情報を挙げ、自社のルールとクラウドの活用との間に矛盾や不一致が生じないかを確認し、必要ならルールの変更とセキュリティ対策を検討するよう促している^[3]。規程が先にあるからといって検討が終わるわけではなく、規程を作った当時の前提が今も成り立つかを見るのが手順である。

クラウドに移した企業は、効果を感じているのか

効果があったと回答した企業の割合は 87.3 パーセントで、内訳は「非常に効果があった」が 33.3 パーセント、「ある程度効果があった」が 54.0 パーセントである^[1]。ただしこの調査の対象は常用雇用者 100 人以上の企業で^[1]、より小規模な会社の実感を表すものではない。また、どの業務で効果があったかまでは分けられていない。

既存のパッケージを持っている場合、どうするのがよいか

既存システムの改修コストが大きいことは、利用しない理由の 2 番目に挙がっている^[1]。すでに動いているものがあるなら、全部を移すより、外部とやりとりする部分だけを切り出すほうが接続の量を抑えられる。見積依頼や発注のように取引先が絡む工程は社外から使えたほうが便利で、原価計算のように社内で完結する工程は移す動機が弱い。どこで切り出せるかは、領域ごとの守備範囲を並べた受発注・購買・生産・原価の 4 領域の守備範囲が目安になる。

自社で作ったほうが業務に合うのではないか

合わせられるのは事実だが、作った後に直し続けられるかを先に見る。自社開発が広く行われていた時期に問題になったのは、開発に時間と人手がかかることだった^[4]。人が入れ替わっても仕様を追える形で残せるなら選択肢になる。そうでないなら、外の製品に自社の運用を寄せるほうが、5 年後の維持は軽い。

何から確認すればよいか

手引きの確認事項は、選ぶときの 6 項目、運用するときの 4 項目、セキュリティ管理の 5 項目に整理されている^[3]。この 15 項目をそのまま質問票にして、候補の事業者に投げるのが早い。答えられない項目が多い事業者は、機能の説明が上手でも運用で苦労する。

まとめ

クラウドか自社保有かは、費用の比較ではなく責任の線引きの選択である。責任の範囲は形態ごとに一般的な考え方が示されているが、実際には契約で明示することが重要とされている^[5]。SaaS を選んでも設定と権限は利用者の側に残る^[5]。

確認する順番は、データの所在地と引き取り条件^[3]、既存システムとの接続にかかる費用^[1]、責任の分かれ目^[5]、止まったときの復旧とバックアップ^[3]、費用の出方^[1]、そして再委託先まで含めた管理^[3]である。委託先を狙った攻撃は 8 年連続で組織向け脅威の 2 位に入っている^[2]。供給の連鎖の水準は最も低い事業者に引き寄せられる^[5]ので、契約の一行を読むことが対策の一部になる。

出典・参考資料

1. 令和 6 年 通信利用動向調査報告書（企業編）（総務省 情報流通行政局）
2. 情報セキュリティ 10 大脅威 2026（情報処理推進機構／2026 年 1 月 29 日発表）
3. 中小企業のための クラウドサービス安全利用の手引き（情報処理推進機構 セキュリティセンター／2026 年 6 月）
4. 中小製造業おける生産管理パッケージ（藤川裕晃・前田真輝／第 14 回横幹連合コンファレンス・2023 年 12 月）
5. クラウドサービス提供における情報セキュリティ対策ガイドライン（第 3 版）（総務省／2021 年 9 月）
6. 電子帳簿保存法 電子取引データの保存方法をご確認ください【令和 6 年 1 月以降用】（国税庁／令和 5 年 7 月）

WHITE PAPER

この記事の理解を深める
無料ホワイトペーパーをプレゼント

製造業の現場で使える実務資料（PDF）を無料でお届けします。"こんな資料が届きます" ↓ 下のボタンからどうぞ。

🔒 全文は無料ダウンロードで