ハイブリッドクラウドセキュリティにおけるデータ主権
- クラウドデータの主権とは、単にデータの保存場所だけでなく、どの法律がデータを規制するか、また誰がデータにアクセスできるかといった点も対象としています。
- セキュリティツールは、トラフィックを復号化し、証拠をコピーし、ログをエクスポートするため、主権上のリスクをもたらす。
- 検査がどこで行われるか、どのようなデータが外部に持ち出されるか、ログはどこに保存されているか、そして復号化されたデータにアクセスできるのは誰かを尋ねてください。
- ローカルでの検査、居住地を考慮したログ記録、および顧客が管理する鍵は、主権に関する要件を満たすのに役立ち、各処理およびアクセス経路の妥当性を検証することができます。
- EUの「クラウド主権フレームワーク」とDORAにより、主権は測定可能な調達およびコンプライアンス要件となっている。
ハイブリッドクラウドのセキュリティにおけるデータ主権とは、セキュリティ対策によって生成されたコピーやメタデータを含む機密データについて、所有組織およびその規制当局が認める方法でのみ、処理、保存、およびアクセスが行われることを保証する取り組みです。ハイブリッド環境では、どのセキュリティ機能をオンプレミスで実行し、どの機能をプロバイダーのクラウドで実行できるかを慎重に決定する必要があります。
この記事は「ハイブリッドクラウドのセキュリティ」ガイドの一部です。これは一般的な情報であり、法的助言ではありません。要件については、法務部門およびコンプライアンス部門にご確認ください。
データ・レジデンシー、データ・ソブリンティ、データ・ローカリゼーションの比較
「データの居住地」とはデータが保存されている場所を指し、「データのローカライゼーション」とはデータを国内に保持するという法的要件を指し、「データの主権」とは、どの法律がデータを規制し、誰がデータにアクセスできるかを指します。
| 用語 | その意味 | 例題 |
|---|---|---|
| データの保存場所 | データが物理的に保存されている場所 | 当社の顧客データベースはEU域内にありますか？ |
| データの現地化 | 特定のデータを国内に留保しなければならないという法的要件 | この種のデータは国内に留めておく必要があるのでしょうか？ |
| データの主権 | データにはどのような法律が適用され、誰がアクセスを強制したり、アクセス権を得たりすることができるのか | 外国の当局やプロバイダーの従業員は、これにアクセスできますか？ |
データが当該地域内に保存されていることは必要条件ではあるが、十分条件ではない。当該地域内に保存されたデータであっても、他の場所にいるプロバイダーの担当者がアクセスしたり、外国の法律に基づき開示を強制されたり、あるいは他国のログやサポートシステムにコピーされたりする可能性がある。
セキュリティツールがなぜ主権上のリスクをもたらすのか
セキュリティツールは、組織の最も機密性の高いデータを（多くの場合、復号化された状態で）取り扱い、それをログや証拠資料にコピーするため、主権上のリスクをもたらす。
主な曝露箇所は以下の通りです：
- 検査。 secure web gateway は、TLSトラフィックを復号してスキャンを行います。その間、ゲートウェイが稼働している場所であればどこでも、認証情報、個人データ、および機密文書が平文で存在することになります。
- 証拠のコピー。DLPエンジンは、ポリシーが適用されたコンテンツのコピーや抜粋を保存し、調査担当者が確認できるようにする場合があります。
- ログとテレメトリ。URL、ファイル名、ユーザーID、およびデバイスの詳細情報は、多くの場合、ベンダーの中央リージョンにあるロギングおよび分析プラットフォームに送信されます。
- 脅威分析。不審なファイルは、クラウドサンドボックスに送信され、そこで実行される場合があります。
- サポートへのアクセスを許可します。トラブルシューティングの際、ベンダーのエンジニアがテナントのデータを閲覧できる場合があります。
したがって、クラウド専用のセキュリティアーキテクチャであれば、組織独自のアプリケーションやストレージが国境を越えてデータを転送しない場合でも、データを国境を越えて転送することが可能になります。
いかなる安全保障体制においても重要な4つの主権に関する課題
どのようなセキュリティアーキテクチャにおいても、その主権に関する姿勢は、次の4つの質問によって定義されます。すなわち、検査がどこで行われるか、環境から何が持ち出されるか、ログがどこに保存されるか、そして機密データに誰がアクセスできるか、という4点です。
1. 検査はどこで行われるのですか？
トラフィックが復号されるすべての箇所（オンプレミス機器、クラウドのPoP、ブラウザ制御機能、エンドポイントエージェントなど）を特定します。オンプレミスでの検査を行うことで、規制対象のトラフィックのうち、オンプレミスで適用される部分を組織自身のインフラストラクチャ内に留めることができます。クラウドサービスへの転送や、インシデントの証拠が保存される場所については、別途評価を行う必要があります。TLS検査に関するNSAのガイダンスでは、平文が存在する場所を最小限に抑えるため、企業ネットワーク内で1回のみ検査を行うことを推奨しています。
2. 環境から何が排出されるのか？
セキュリティスタックがインフラストラクチャの外部に送信するものを挙げてください：ペイロード全体、サンドボックス分析用のファイルサンプル、DLPインシデントの証拠、メタデータ、あるいはポリシーの更新のみなどです。それぞれについて、異なる方法で制御が可能です。
3. ログはどこに保存されますか？
ログはデータです。アクセスログは、特定の人物とその行動を結びつけ、DLPログには機密情報そのものが含まれている場合があります。どのログをどの管轄区域の外に持ち出すことができるか、また、ログをローカルに保存し、中央のSIEMへ選択的に転送できるかどうかを決定してください。
4. 機密データにアクセスできるのは誰ですか？
復号化されたコンテンツやインシデントの証拠を閲覧できる対象を特定してください。具体的には、自社の管理者、マネージドサービスプロバイダー、セキュリティベンダーのサポートスタッフ、あるいはクラウドプロバイダーなどが該当します。次に、これらのいずれかに情報の開示を強制しうる法的枠組みについて検討してください。例えば、米国の「CLOUD法」では、米国当局が、データの保存場所にかかわらず、米国に拠点を置くプロバイダーに対し、その保有または管理下にあるデータの提出を要求できることが明確に規定されています。
規制および調達に関する推進要因
GDPRのデータ移転に関する規則、EUのクラウド主権フレームワーク、DORA、および各セクターごとの規制により、主権は単なる「望ましい条件」から「必須要件」へと変わりつつある。
GDPRの移転に関する規則。 GDPRの第V章に基づき、欧州経済領域（EEA）外への個人データの移転には、十分性認定、標準契約条項などの適切な保護措置、または特定の例外規定のいずれかが必要となります。個人データを含むセキュリティテレメトリについても、同様の規則が適用されます。
EUクラウド主権フレームワーク。2025年10月に初めて提示された欧州委員会の「クラウド主権フレームワーク」は、クラウドプロバイダーを以下の8つの目標について評価する：戦略、法・管轄権、データ・AI、運用、サプライチェーン、技術、セキュリティ・コンプライアンス、および環境的持続可能性。 プロバイダーには、0から4までの「主権有効性保証レベル（SEAL）」が割り当てられる。2026年4月、欧州委員会は4社のプロバイダーに対し、最大1億8,000万ユーロ相当の主権クラウド契約を授与したが、その条件として、データ主権レベルであるSEAL-2以上が求められた。このフレームワークはEU機関向けに策定されたものであるが、すべての購入者に対して、主権要件に関する実用的な用語体系を提供している。
金融機関向けのDORA。「デジタル・オペレーショナル・レジリエンス法（Digital Operational Resilience Act）」は、2025年1月17日より施行されています。同法は、適用対象となる金融機関に対し、ICTに関するサードパーティ・リスクの管理、ICTサービス契約の登録簿の維持、およびエグジット・リスクおよび集中リスクへの対応策の策定を義務付けています。銀行のトラフィックを処理するセキュリティサービスは、同法におけるICTサービスに該当します。
業界および各国の規制。医療、防衛、公共部門、および重要インフラ関連の組織は、多くの場合、ローカライズや認定に関する追加の要件に直面しています。
銀行向けハイブリッドクラウドアーキテクチャ
銀行は通常、復号化処理やログを自社のインフラ上で管理しつつ、遠隔地のスタッフやSaaSについては地域制限のあるクラウドサービスを利用しています。
銀行は、主権の問題を如実に示しています。銀行はクラウドSaaSやリモートワークを必要としている一方で、顧客の金融データを厳格な監督要件の下で管理しなければなりません。典型的なハイブリッドパターンは以下の通りです：
- 現地での処理が必要な場合は、銀行が管理する執行措置において、支店と本社の業務フローを規定通りに維持するとともに、クラウド上で提供されるサービスや証拠の保管については別途評価を行う。
- リモート勤務のスタッフには、承認済みの地域に限定されたクラウドの接続拠点を利用させてください。
- 店舗の検査記録およびDLPの証拠は国内に保管し、SOCが必要とするもののみ転送する。
- 検査認証局には、顧客が管理する鍵およびハードウェアセキュリティモジュールを使用してください。
- 監査担当者に対して、オンプレミスとクラウドでの適用が一貫性を保つよう、ポリシーセットを1つに統一してください。
- DORA情報登録簿に、セキュリティベンダーに関する情報を、撤退計画を含めて記録する。
保険会社、決済機関、および投資会社についても、同様のパターンが当てはまります。
主権を支えるアーキテクチャパターン
7つのアーキテクチャ・パターンにより、クラウドサービスを犠牲にすることなく、主権に関する要件のほとんどに対応できます。
| パターン | 対象となる内容 |
|---|---|
| 地域の保安検査 | 復号されたWebペイロードはお客様のインフラストラクチャ内に残りますが、クラウドベースのサービス向けに転送されるトラフィックは残らない |
| 地域または国内の拠点 | 承認された管轄区域に限定されたクラウド検査 |
| レジデンシーを考慮したロギング | ローカルに保存されたログ；選択的な転送 |
| 顧客管理の鍵とHSMとの連携 | 検査証明書の管理と暗号化 |
| 専用エグレスIPアドレス | トラフィックは組織が所有するアドレスから発信されるため、管轄権およびIPレピュテーションに関する要件を満たしています |
| オンプレミス型サンドボックス | 環境を離れることなく不審なファイルを分析する |
| 単一のポリシーエンジン | 適用時点にかかわらず、データを一貫して扱うこと |
セキュリティベンダー向け主権チェックリスト
候補リストを絞り込む前に、このチェックリストを用いて、セキュリティベンダーの主権に関する主張を検証してください。
- 特定のトラフィッククラスに対するすべての検査は、当社のインフラ上で実行可能でしょうか？
- デフォルトでは、どのデータ要素が当社の環境から送信されており、それぞれを無効にすることは可能ですか？
- ログ、証拠データ、およびテレメトリデータは、どの国に保存されていますか？
- どのベンダーの担当者が、どこから、どのような承認を経てテナントデータにアクセスできるのか？
- ベンダーおよびその下請け処理業者には、どの法域の法律が適用されるのでしょうか？
- 自社製のHSMや鍵管理システムを使用することは可能ですか？
- ベンダーのクラウドに接続できなくなった場合でも、引き続き機能するのは何ですか？
- どのような認証が対象となりますか（例：FedRAMP、IRAP、BSI C5、SOC 2 Type II、CSA STARなど）？
Skyhighがデータ主権をどのように支援しているか
Skyhighは、必要に応じてウェブ検査および検査キーを顧客のインフラストラクチャ上に保持することで、データ主権を支援しています。データ保護インシデントの証拠はSkyhighのクラウドに保管されますが、これはお客様のデータ主権要件に対する別の検討事項となります。
Skyhigh Hybrid SSE Meshは、コンプライアンス上の要件がある場合、データプレーンを物理的にオンプレミスに保持します。SSL/TLSの復号化とWebインスペクションはSecure Service Gateway上でローカルに実行されるため、Webペイロードはお客様のインフラストラクチャ内で復号化されます。データ保護、remote browser isolation 、AIセキュリティ制御、CASB、データセキュリティポスチャー管理など、Skyhighクラウドを通じて適用されるサービスは、ゲートウェイから関連するトラフィックを受信するため、それらのフローを、お客様のデータ居住要件および主権要件に照らして範囲を定義してください。 ローカルZTNAは、組織独自のゲートウェイ上で実行されます。選択した製品およびバージョンについて、検査キーの保護、HSMとの統合、オンプレミスでのサンドボックス化のサポートを確認してください。専用のアウトバウンドIPおよび送信元IPの固定は、クラウドで検査されるトラフィックのアウトバウンド制御に役立ちますが、それだけではコンテンツがどこで処理されるかを確定するものではありません（Skyhigh Security）。また、プラットフォームのクラウドレジストリは、データレジデンシー、法的条件、その他の属性に基づいてクラウドサービスを評価するため、ポリシーを通じてユーザーをコンプライアンスに準拠したサービスへ誘導することが可能です。
出典
- 欧州連合。規則（EU）2016/679（一般データ保護規則）、第V章。https://eur-lex.europa.eu/eli/reg/2016/679/oj
- 欧州連合。規則（EU）2022/2554（デジタル・オペレーショナル・レジリエンス法）。 https://eur-lex.europa.eu/eli/reg/2022/2554/oj
- 欧州委員会。「ソブリン・クラウド・フレームワークの解説」（2026年6月1日）。https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
- 欧州委員会。「欧州委員会、戦略的調達を通じてクラウド主権を推進」（2026年4月17日）。https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en
- 米国司法省。「CLOUD法」関連資料。https://www.justice.gov/criminal/cloud-act-resources
- NSA. 「トランスポート層セキュリティ（TLS）検査に伴うリスクの管理」（2019年11月）。https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
- Skyhigh Security. 「Skyhigh Hybrid SSE Mesh による Symantec EdgeSecure Web Gateway の近代化」（2026年7月15日）。https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. 「Skyhigh SSEプラットフォームにより、ハイブリッド環境の導入がさらに容易に」（2024年10月3日）。https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html