取引先から届いたセキュリティアンケートに「使用しているクラウドのデータセンターは国内ですか」という設問があり、回答に迷った経験はないでしょうか。「データ主権」という言葉は、IT部門だけの問題ではなく、購買・法務・コンプライアンス担当者が取引先や社内に説明するための実務課題になっています。
本記事では、データ主権の概念を整理したうえで、自社の利用状況を確認し、取引先への回答文を組み立てるまでの手順を解説します。
Contents
「データ主権」が注目される背景
IT分野で使われてきた「データ主権」という言葉が、調達審査やサプライヤーアンケートでも確認されるようになっています。まずは、関連する用語と背景を整理します。
データ主権・データレジデンシーとは何か
データ主権（Data Sovereignty）とは、データが保管・処理される国や、サービス提供事業者が属する国の法令・規制の影響を受けるという考え方です。
これと密接に関連する概念が、データレジデンシーです。データレジデンシーは、データを物理的にどの国・地域のサーバーへ保管するかという「保管場所」に関する概念です。
データの保管場所は、データ主権を検討するうえで重要な要素のひとつです。ただし、国内のデータセンターに保管していれば、外国法の影響を必ず排除できるわけではありません。契約主体、サービス提供事業者や親会社の所在地、データへのアクセス権限、契約上の準拠法などもあわせて確認する必要があります。
なぜ取引先が確認するのか
取引先がデータの保管場所やサービス提供事業者を確認する背景には、サプライチェーン全体のセキュリティ管理や、外国法によるデータ開示リスクへの関心の高まりがあります。
経済安全保障推進法では、基幹インフラ事業者による重要設備の導入や維持管理等の委託について、供給者や委託先に関する情報を含む事前審査の仕組みが設けられています。同法がすべての企業に一律のクラウド管理義務を課すわけではありませんが、経済安全保障やサプライチェーンリスクへの対応を背景に、取引先のデータ管理体制を確認する企業もあります。
https://www.cas.go.jp/jp/seisaku/keizai_anzen_hosyohousei/index.html
参考：内閣官房「経済安全保障推進法」
もうひとつの論点が、米国のCLOUD Actに代表される越境法リスクです。CLOUD Actにより、米国の法的手続の対象となるサービス提供事業者が保有・管理・支配するデータは、保存場所が米国外であっても、適法な令状等による提出要求の対象となる可能性があります。ただし、米国企業のサービスを利用すれば必ずデータが開示されるという意味ではなく、実際には法的手続や対象範囲などの条件があります。
出典：U.S. Department of Justice「CLOUD Act Resources」
このような事情から、「どのサービスを使っているか」「データをどこに保管しているか」「外国法の影響を受ける可能性があるか」が、取引先審査の確認項目になっています。
海外クラウド利用時に確認すべきリスク
海外企業が提供するクラウドを利用していること自体が、直ちに情報漏洩につながるわけではありません。実務上の課題は、自社の利用状況やリスク対策を根拠とともに説明できるかどうかです。
問題は「海外クラウドだから危険」ではなく、管理状況を説明できないこと
取引先アンケートで回答に迷いやすい場面として、次のようなケースが挙げられます。
- 取引先アンケートに回答できない：データセンターの所在地や、外国当局による開示要求への対応方針を確認しておらず、根拠を示せない。
- 調達審査で追加確認を求められる：回答が空白または曖昧な場合、管理状況の追加説明や資料の提出を求められる可能性がある。
- 監査やインシデント発生時に説明できない：サービスの選定理由やリスク評価の記録がなく、社内外への説明に時間がかかる。
「国内サーバーなら問題ない」とは限らない
データが日本国内のデータセンターに保管されていても、サービス提供事業者やその親会社が外国法の適用を受け、当該データを保有・管理・支配している場合には、外国当局からの適法な開示要求の対象となる可能性があります。
そのため、確認対象を「データセンターの所在地」だけに限定せず、契約主体、サービス提供事業者の所在地、親会社・グループ構造、データへのアクセス権限、法執行機関からの開示要求への対応方針などまで広げることが重要です。
自社の現状を確認する3ステップ
ここからは、取引先アンケートへ回答するための確認手順を説明します。情シスだけに任せるのではなく、購買・法務・コンプライアンス部門も契約や回答根拠を確認できる状態を整えましょう。
ステップ1：使用しているクラウドサービスを洗い出す
まず、社内で使用しているクラウドサービスを一覧化します。全社導入のサービスだけでなく、部門単位で契約しているSaaS、無料アカウント、ファイル共有、ビジネスチャット、グループウェアなども対象にします。情シスが把握していないサービスが存在する可能性もあるため、各部門へのヒアリングや経費・契約情報の確認も有効です。
ステップ2：契約書や公式資料で確認する
サービスごとに、少なくとも次の項目を確認します。
- 契約主体・サービス提供者：利用規約や注文書に記載された契約相手を確認します。ブランド名ではなく、正式な法人名を記録します。
- データの保管・処理地域：本番データだけでなく、バックアップ、障害復旧用データ、ログ、サポート時の処理地域も可能な範囲で確認します。
- 準拠法・裁判管轄：契約当事者間の紛争に適用される法律や裁判管轄を確認します。ただし、準拠法だけで外国当局による開示要求の可能性を判断することはできません。
- グループ会社・委託先からのアクセス：海外拠点の担当者や再委託先がデータへアクセスする可能性、アクセス制御の方法を確認します。
- 法執行機関への対応方針：ベンダーの法執行機関向けポリシー、透明性レポート、顧客への通知方針などを確認します。
- DPAやセキュリティ資料：データ処理契約、プライバシーポリシー、セキュリティホワイトペーパー、第三者認証などを確認します。
確認できなかった項目は、推測で埋めずに「ベンダー確認中」「契約書で確認できず」などと記録します。確認日、確認者、参照した資料の名称やURLも残しておくと、後日の監査や再確認に役立ちます。
ステップ3：設問に合わせて回答根拠を整理する
取引先アンケートの設問と、確認した情報を対応させます。
- 「データセンターは国内ですか」：本番データ、バックアップ、ログなどの保管・処理地域を確認して回答します。
- 「外国の事業者がデータへアクセスしますか」：運用・保守担当者、親会社、グループ会社、再委託先のアクセス範囲を確認します。
- 「外国政府の開示要求を受ける可能性はありますか」：契約主体、事業者の所在地・グループ構造、データの管理・支配関係、法執行機関への対応方針を確認します。
- 「回答時点で確認できません」：確認中であること、確認先、回答予定日を明記します。
取引先への回答文テンプレート
取引先への回答では、推測や一般論ではなく、確認できた事実と根拠を簡潔に記載します。以下は文章の骨格です。実際の契約書、利用規約、DPA、ベンダー回答等で確認できた内容だけを記載してください。
【ケースA】国内で保管され、契約主体も日本法人の場合
弊社が使用しているファイル管理サービス「○○」の契約主体は日本法人です。公式資料および契約内容を確認した結果、対象データは日本国内のデータセンターに保管されます。また、海外拠点または外国グループ会社からのアクセスについては、○○の条件で制限されています。
【ケースB】海外企業のサービスで、日本国内リージョンを使用している場合
弊社が使用している「○○」の契約主体は△△社です。対象データは日本国内のリージョンに保管されます。法執行機関からの開示要求への対応については、同社の契約条件および公開ポリシーを確認しています。海外拠点からのアクセス範囲は○○です。
【ケースC】確認が完了していない場合
ご照会いただいた事項について、現在、サービス提供事業者へ確認を進めています。確認対象は、データの保管・処理地域、契約主体、海外拠点からのアクセス範囲です。○月○日までに確認結果をご回答します。
「国内リージョンを利用しているため外国法は適用されません」など、確認できない法的評価を断定することは避けます。法的な判断が必要な設問は、社内法務または専門家へ確認したうえで回答しましょう。
国内データセンターを利用するクラウドを選ぶときの確認軸
現在のサービスからの切り替えや、新規導入を検討するときは、単に「国産」「国内サーバー」という表示だけで判断せず、複数の観点から確認します。
選定時に確認する四つの軸
- データの保管・処理地域と冗長拠点
主たる保管場所に加え、バックアップ、障害復旧、ログ、サポート作業時の処理地域も確認します。 - 契約主体とグループ構造
契約相手となる法人、親会社、グループ会社、再委託先を確認し、どの事業者がデータへアクセスできるかを整理します。 - 第三者認証・評価制度
ISMS、SOC報告書、ISMAP等の取得・登録状況を確認します。ただし、認証や登録だけで自社の要件を満たすとは限らないため、対象範囲も確認します。 - DPA・監査資料の提供可否
データ処理契約、セキュリティチェックシート、監査報告書、委託先一覧など、取引先へ説明するための資料を入手できるか確認します。
ISMAPを確認するときの注意点
ISMAPは、政府機関等がクラウドサービスを調達する際に、セキュリティや信頼性を評価するための制度です。調達府省庁等は、原則としてISMAPまたはISMAP-LIUのクラウドサービスリストに掲載されたサービスから調達します。
一方で、すべての自治体案件や民間企業間の取引でISMAP登録が必須になるわけではありません。調達仕様や取引先の基準を個別に確認する必要があります。また、登録の有無だけではなく、登録対象となっているサービスや機能の範囲も確認しましょう。
https://www.ismap.go.jp/csm?id=kb_article_view&sysparm_article=KB0010005
出典：ISMAPポータル「制度案内 – ISMAP概要」
よくある疑問
Q1. 海外クラウドを使っていると、取引に不利でしょうか
海外クラウドを利用していることだけで、取引可否が一律に決まるわけではありません。取引先が定める基準、取り扱う情報の機密性、データの保管・処理地域、契約やアクセス管理の内容などによって判断は異なります。まずは自社の利用状況と対策を把握し、根拠資料とともに説明できる状態を整えることが重要です。
Q2. 情シスでも把握できていない場合はどうすればよいですか
利用規約、契約書、プライバシーポリシー、DPA、セキュリティ資料などを確認し、不明点はサービス提供事業者へ問い合わせます。公開情報だけでは、バックアップの保管場所や海外拠点からのアクセス範囲まで確認できない場合があります。購買・法務・情シスで役割を分担し、確認結果を一つの台帳にまとめると管理しやすくなります。
Q3. 個人情報保護法の越境移転規制とは別の話ですか
別の観点を含みますが、確認項目には重なる部分があります。クラウドサービスの利用が、個人情報保護法上の「委託」や「外国にある第三者への提供」に該当するかは、サービス提供事業者が個人データを取り扱うかなど、契約・運用形態によって異なります。
外国にある事業者が個人データを取り扱う場合は、当該国の個人情報保護制度を含む外的環境の把握などが必要になります。データ主権に関する確認結果を一元的に記録しておくことで、個人情報保護法上の委託先管理や取引先審査にも活用しやすくなります。
出典：個人情報保護委員会「個人情報保護法に関するFAQ」
参考：個人情報保護委員会「外国にある第三者の提供するクラウドサービスと外的環境の把握」
まとめ：「知らなかった」を「確認した」に変える
データ主権への対応では、国内・海外という区分だけでサービスの安全性を判断するのではなく、データの保管・処理地域、契約主体、グループ構造、アクセス権限、外国当局からの開示要求への対応方針などを確認することが重要です。
まず使用中のクラウドサービスを洗い出し、契約書や公式資料で必要事項を確認します。そのうえで、取引先アンケートの各設問に対応する根拠を整理し、確認できた事実だけを回答します。確認が完了していない場合は、推測で回答せず、確認中の項目と回答予定日を伝えましょう。
一度確認した内容は、確認日、参照資料、担当者、ベンダー回答とともに記録します。こうした記録を蓄積することで、次回以降のアンケート、監査、サービス更新時の確認を効率化できます。
社内の情報管理体制をさらに見直す場合は、アクセス権限管理の実践方法や、情報ガバナンスの構築方法もあわせて確認してください。
