自分の金庫に入れ、自分の鍵で施錠する

貴重品を銀行に預けるとしましょう。方法は二つあります。

一つは、窓口に品物を渡すやり方です。銀行が適当にどこかに保管し、必要なときに出してくれます。楽です。その代わり、その品物が今どの支店のどの部屋にあるのか、自分にはわかりません。

もう一つは貸金庫です。金庫の区画は銀行の建物の中にありますが、鍵は自分が持ちます。銀行の職員も、自分の鍵なしにはその区画を開けられません。

どちらも銀行を使うことに変わりはありません。ですが、誰が鍵を握るかが違います。今回はこの違いについての話です。

点検結果もどこかには残る

前回の第4回では、クラウド環境を何もインストールせずに点検する方法を扱いました。ところが点検をすると、成果物が生まれます。どのサーバーにどんな穴があるのか、どのアカウントに権限が過剰に付いているのかが書かれた文書です。

この文書は、会社の弱点を整理した地図です。ですからEUの顧客、特に金融や公共の分野では、契約前に必ずこれを尋ねます。「その地図はどこに保管されますか?」

窓口に預けるやり方と、金庫を借りるやり方

推定 点検サービスが結果を自社のサーバーに集めておくのは、よくある構造です。間違ったやり方だという意味ではありません。ただ、その瞬間に質問がもう一つ付きます。そのサーバーはどの国にあり、その会社の社員は自分の地図を見られるのか、という質問です。

事実 SecurityHero RMFは貸金庫の側を選びました。スキャン結果とレポートは顧客が指定したS3バケットに保存されます。S3はAWSのファイル保管庫です。そしてそのファイルは顧客が所有するKMSキーで暗号化されます。KMSはAWSの鍵保管サービスであり、このように顧客が自分の鍵を使う方式をBYOK(Bring Your Own Key、鍵は自分で持ってこい)と呼びます。

整理すると、こう分かれます。右の欄の「鍵の持ち主」だけ見れば十分です。

事実 データが顧客のストレージ境界を出ないため、この構造はDORAとNIS2が求めるデータ統制要件に対応する根拠となります。

「国境を越えない」という言葉の本当の意味

事実 EUには十分性認定という制度があります。EUが「あの国は個人情報を我々と同じくらいきちんと守っている」と認める決定です。認定を受けた国へはデータを送ることがずっと容易になります。**韓国と日本はこの認定を受けた国です。**そのため、EU進出の条件はそれだけ有利です。

推定 ところが、最も単純な答えは別にあります。そもそも外に出さないことです。十分性認定を根拠に説明するには、相手企業の法務チームを説得しなければなりません。一方「データがお客様のアカウントの外に出ません」には説得するものがありません。出ていないのですから、どの国境を越えたのかを問う話も起きません。

紛らわしい言葉の整理

押さえておきたいこと

• この記事は法律助言ではありません。 NIS2をはじめとする規制の適用可否と解釈は、国ごとに、業種ごとに、会社の規模ごとに異なります。実際の判断は資格ある法律専門家と行ってください。
• RMFレポートは認証書ではありません。 規制対応に使う技術的な根拠資料です。認証書の発行やインシデント報告(NIS2第23条など)、法的代理はここに含まれません。
• BYOKがすべての規制上の疑問を終わらせてくれるわけでもありません。 保存場所と鍵の所有は、データ統制の一つの軸にすぎません。アクセス記録をどう残すか、保管期間をどれくらいに設定するかは、各社がポリシーとして定めるべき部分です。
• この記事の製品に関する記述は、公開された製品仕様の範囲内でのみ書きました。実際の構成は顧客環境によって異なる場合があります。

---

シリーズ目次

1. EUに製品を売るのになぜセキュリティ書類を出さなければならないのか
2. リスク評価という言葉が難しく聞こえる理由
3. 直すべきものが3千個あるが何から手をつけるか
4. 何もインストールせずにどうやって点検するのか
5. 「データが国境を越えません」とはどういう意味か ← 今読んでいる記事
6. 書類一つで複数の国に対応する