クラウドサービスを利用する際、そのサービスを提供しているサーバーあるいはデータの保存先となるストレージが、どの国や地域にあるかを意識するユーザーはあまり多くありません。

しかし、クラウドセキュリティの観点では、自社が利用するクラウドサービスのサーバーやデータの保存国を確認することは極めて重要です。そのため、Microsoft AzureやAmazon Web Serviceなど、世界各国に拠点を持つ大手クラウドサービス事業者は、サービスを提供する国や地域(リージョン)をユーザーが選択できるようになっています。

利用するクラウドサービスによっては、サーバーやデータの保存国を事業者が公表していないケースもあります。保存国が明確ではないからといって、即座にそのサービスが危険というわけではありませんが、取り扱う情報によっては、ビジネスリスクに繋がる可能性は否定できません。

今回は、なぜクラウドサービスのサーバーやデータの保存国が重要なのかについて解説します。

法規制の違いが問題になるケース

クラウドサービスのサーバーやデータの保存国が問題になる最大の理由は、国や地域によって法規制が異なることにあります。

たとえば、EUのGDPR（General Data Protection Regulation：一般データ保護規則）のように、個人データの取り扱いに関して厳しい規制を設けている地域があります。GDPRでは原則として個人情報をEU域外に保存することは禁止されており、違反すると制裁金が課される可能性があります。そのため、EU域でサービスを展開する場合には、サーバーやストレージの保存国を明確にした上で、データ保護に関連する法律を理解し、適切なリスクマネジメントを行う必要があります。

国家によっては、データの開示を求められるケースもあります。

たとえば米国のPatriot Act（愛国者法）では、政府機関が裁判所の命令なしにクラウドに保存されているデータへのアクセスを許可しています。米国の同時多発テロを受けて制定された法律であり、実際にデータセンターを差し押さえてサーバーを強制的に停止したことがあります。政府機関にデータを押収されたとしても、そのデータが即座に公開されたり外部に流出したりする可能性はそれほど高いわけではありませんが、リスクが高まることは間違いありません。しかしながら、サーバーを強制的に停止された約50社の企業にとっては、長時間に可用性が失われたことになります。つまりビジネス機会を失うことになったのです。

なお、Patriot Actは2015年6月末に失効しており、新たに「米国自由法」という法律が制定され、政府機関の強い権限は制限されています。しかしながら、国家レベルでの危機があれば、同様の法律が制定される可能性は皆無ではありません。

その他の国や地域でも、データの保存先や移転について規制する法律が存在している可能性があります。

クラウドサービスに関する情報セキュリティ管理策の国際規格「ISO/IEC 27017」では、明確に「クラウドサービスを提供するサーバーやストレージの保存先を公表しなければならない」と規定しているわけではありませんが、「クラウドサービスの提供者は、クラウドサービスの利用者に、利用者のデータを保管する可能性のある国を通知することが望ましい」と記述されています。

チャイナリスク

中国系企業が提供するクラウドサービスには、「チャイナリスク」があります。

米国のPatriot Actに少し似ていますが、法規制は中国の方がより厳格です。中国では、個人情報や重要なデータは原則として中国国内に保存することが義務付けられており、国外へのデータ移転は厳しく規制されています。中国以外のクラウドサービスを利用する場合でも、中国国内のデータが国外に移転されるとみなされる場合があるため、注意が必要です。

中国の国家情報法は、中国国内の企業や組織に対して国家情報活動への協力を義務付けています。この法律により、クラウドサービス事業者も中国政府からの情報開示要求を拒否することが難しく、企業が保有するデータが中国政府に開示されるリスクがあります。

また、インターネットの検閲や通信規制も厳しいため、国外からのアクセスが制限されたり、通信速度が著しく低下したりする可能性があります。

日本における法規制やガイドライン

日本にもデータの保存先に影響を与える規制がいくつか存在します。

個人情報保護法

個人情報保護法では、個人データを外国に移転する場合の手続きが定められています。移転先の国の個人情報保護に関する制度等を把握して、適切な措置を講じるよう求めているため、結果としてデータの保存場所を明確にしなければなりません。

医療情報システムの安全管理に関するガイドライン

厚生労働省の「医療情報システムの安全管理に関するガイドライン」では、医療情報の適切な管理が求められています。データの保管場所を具体的に規定しているわけではありませんが、データの安全性や可用性を確保するために、適切な措置を講じることを求めています。そのため、データセンターの所在地やセキュリティレベルなどを考慮する必要があります。

参考：療情報システムの安全管理に関するガイドライン　第6.0版（令和5年5月）｜厚生労働省
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html

金融情報

金融庁の監督指針等において、金融機関が顧客情報等の重要な情報を適切に管理することが求められています。データの保管場所に関する具体的な規定はありませんが、災害対策や情報セキュリティ対策などを考慮し、適切な場所にデータを保管することが求められます。

電子帳簿保存法

税務関係帳簿書類の電子データ保存を認める法律である電子帳簿保存法では、データの保存要件として、真実性、可視性、保存性などを求めています。データの保管場所自体を直接規制するものではありませんが、要件を満たすには、適切なデータセンターの選定やバックアップ体制の構築などが重要です。

不正競争防止法

不正競争防止法には営業秘密の保護に関する規定があるため、これらのデータを適切に管理しなければなりません。

その他にも、各業界団体が定めるガイドラインや法規制によって、組織や個人のデータを適切に保存することが求められています。日本はデータの保存場所を直接的に規制する法律はあまり多くありませんが、個人情報保護法をはじめとする様々な法律やガイドラインが、結果的にデータの保管場所に影響を与えています。

自社で取り扱うデータの種類や事業内容に応じて、関連する法律やガイドラインを遵守しつつ、適切なデータ保管場所を選択することが大切です。

関連記事：クラウドロックインは避けるべき？
https://hypervoice.jp/dYZ6T77M

まとめ

クラウドサービスのサーバーやデータの保存国を確認することは極めて重要
国や地域によってデータ保存や移転の法規制が異なる
政府機関が情報開示を要求できる法律が制定されている国もある