「米国政府はあなたのデータを見ていない」と言い切れない理由（2/2 ページ）

公開 2015年12月15日 12時02分

著者

Clive Longbottom

[TechTarget]

印刷する

国際データ保護の未来

　米国政府が少し範囲を拡げ、施設がある場所にかかわらず、米国に拠点を置く企業が所有する全サーバに同じルールを適用したらどうなるか考えてみてほしい。このようなことが現実になれば、コロケーション事業者とその顧客に影響するだろう。自社所有のデータセンターでさえ、聖域とはならない。企業の親会社、もしくは過半数の株式を所有しているといった関連企業が米国に本社を置く場合、米国政府は、開示の令状によって国際データセンターの経営者にデータの引き渡しを強制できる。

　この状況について何ができるだろうか。米国政府が会社のデータにアクセスして使用するリスクがあると考えるならば、現在使用中の全ITサービスについてデューデリジェンス（詳細な評価）を実施すべきだ。「使用しているサービス事業者の本社は米国にあるのか、それとも米国企業が所有しているのか」「あなたの会社と同じ地域内にデータが存在するよう、データセンターは地域ごとに分けられているのか」「これらのデータセンターは米国企業が所有しないような方法で設立されているのか。具体的には、データセンターは有限会社を意味する『GmbH』としてドイツで設立され、米国の株式会社による持ち分は少数なのか」……といったことを調査するのが賢明だろう。

　データセンターのみが米国にあるにせよ、地域のデータセンターを完全に所有しているにせよ、米国に本社を置く事業者を使用しなければならない場合は、開示の令状にどう対応するか、事業者の考えを尋ねるべきだ。事業者の上層部は、施設内に格納されたデータを自社のものだと見なし、引き渡しを完全に拒否するのか。データをあなたの会社のものだと見なし、令状が発行されデータを引き渡す必要がある場合に、あなたの会社に忠告してくれるのか。それとも開示の令状が発行されたら、すぐにそのまま黙って従い、何も言ってこないのか。

　暗号化されたデータにどう対応するかについても、事業者に確認する必要がある。「これが所有している唯一のデータ形式だ」と説明し、暗号化された形式のデータを引き渡すのだろうか。それとも、米国政府が自由に検査できるように暗号化を解除したデータを渡すのだろうか。

重要性高まるデータセキュリティ戦略

　データセンターを自社で所有しているか、コロケーションの施設を拠点としているか、サービスとして活用しているかに関係なく、今こそデータセキュリティ戦略を確認するときだろう。機密データを暗号化し、個人情報を保護し、データ関連の法制度に関してローカル／グローバルレベルで発生する可能性の高い事象に合わせて、データセンターやIT戦略を調整すべきだ。例えば、EUの95／46／EC指令で提唱されたデータ規則に追従することもできる。

　国際データ保護に関しては、サービスのインフラ、企業、政治家は信用できないという前提で業務に当たるべきだ。会社のデータが地球上のどこに存在するかに関係なく、暗号化やデータ漏えい防止策、デジタル著作権管理によって、セキュリティのベストプラスティスを順守しなければならない。可能であれば、自社が所有するストレージシステムにデータを保存するのが望ましい。その上で、データの移転とアクセスを監査する必要がある。そうすれば米国政府は、データ自体にアクセスするのにどのような法的手段が必要か、頭を悩ませるようになるだろう。