条件1．「国内に保存」だけで判断しない

　データレジデンシーは、データをどの国や地域に物理的に保存するかという問題だ。一方、データ主権では「どの国の法律がそのデータに及ぶのか」が問われる。

　ストレージソフトウェアベンダーScalityの最高製品責任者（CPO）であるポール・スペシアー氏は、データレジデンシーは地理の問題であるのに対し、データ主権は「どの法律がデータに到達できるか」という問題だと説明する。つまり、データが国内やEU域内に置かれているだけでは、主権を確保したことにはならないという。

　例えば、クラウド事業者の親会社が外国企業であれば、その企業が本拠を置く国の法律に基づいてデータ開示を求められる可能性がある。ストレージソフトウェアベンダーTiger Technologyの創業者兼CTO、アレクサンドラ・レフテロフ氏は、米国企業が所有する事業者の場合、米国の「米国クラウド法」（US Cloud Act）に基づき、ドイツのフランクフルトやアイルランドのダブリンに保存したデータについても米当局から提出を求められる可能性があると指摘する。同法は、データが海外にある場合でも、自国企業が「占有、保管、管理」していれば、米国の法執行機関への提供を強いるものだ。また、裁判所は企業に、データ提供の事実を対象者に知らせることを禁じる守秘義務命令を出すことも可能だ。

条件2．暗号鍵やアクセス権を自社で制御できる

　専門家らがデータ主権の中心に挙げるのが「Control」（制御）だ。具体的には、誰がデータにアクセスできるのか、暗号鍵を誰が管理しているのか、データの保存期間や削除を誰が決められるのかといった点だ。さらに、特定のベンダーや法域に依存せずにデータを扱い続けられることも重要になる。

　例えば暗号化していても、その暗号鍵をクラウド事業者が管理していれば、企業側が完全な統制権を持っているとは言い切れない。スペシアー氏は、ストレージ事業者の手が届かない場所で顧客自身が暗号鍵を管理することや、改ざんできない監査証跡などをデータ主権の要件として挙げている。

　SaaSデータ保護ソフトウェアベンダーKeepitのCISO、キム・ラーセン氏は、バックアップとストレージを論理的に分離し、独立したインフラで運用するとともに、暗号化やアクセスに関する権限を顧客側が持つ必要があるとしている。

条件3．ベンダーの「法的な所在地」を調達条件にする

　データ主権を考える上で見落としやすいのが「Jurisdiction」（司法管轄）だ。データセンターの場所は地図で確認できる。一方、外国政府がどの法律に基づいてクラウド事業者にデータ提出を求められるのかは見えにくい。

　レフテロフ氏は、クラウド事業者の「jurisdictional footprint」（司法管轄上の所在地）を、後から確認する事項ではなく調達条件として扱うべきだと指摘する。データセンターがどこにあるかと同様に、親会社がどこの国で設立されているかも重要になるという。

　この考え方に立つと、クラウド調達時の質問も変わる。「日本リージョンを利用できるか」だけではなく、「どの国の法律に基づいてデータ開示を強制され得るのか」「開示命令を受けた場合に顧客へ通知されるのか」「制御プレーンとデータプレーンを分離できるのか」といった条件まで確認する必要がある。

条件4．暗号化だけを「主権対策」にしない

　暗号化やConfidential Computing（コンフィデンシャルコンピューティング）を導入すれば、データ主権の問題を解決できると考えるのも危険だ。

　専門家らは、こうした技術は防御を強化する重要なレイヤーではあるものの、データ主権そのものの代わりにはならないと指摘する。

　暗号化が解決するのは主にデータの「機密性」であり、「誰がデータを支配しているか」という問題とは異なる。外国の裁判所の命令を受ける事業者がインフラを管理している場合、暗号化されていても、鍵の提出や実行環境の変更を求められる可能性があるという。

　バックアップベンダーVeeam SoftwareのField CTO EMEA兼Cyber Security Leadを務めるエドウィン・バイドゥマ氏は、強力な暗号化だけでデータ主権要件への準拠が保証されるわけではないと指摘する。必要なのは「技術」「ガバナンス」「運用上の制御」「法的責任」を組み合わせることだ。

今後は「Sovereignty SLA」がクラウド選定条件に？

　今後、データ主権を契約上保証する「Sovereignty SLA」が重要になるとの見方もある。

　従来のクラウド契約では、稼働率やRTO（目標復旧時間）などがSLAの中心だった。しかし今後は、「どの司法管轄にさらされるのか」「制御プレーンが独立しているか」「暗号鍵を誰が管理するのか」「データ開示命令を受けた場合に通知されるのか」といった条件についても、契約上の保証を求める動きが出てくるという。

　つまり、真のデータ主権を判断する問いは「データはどこにあるか」だけではない。

　「誰がデータにアクセスできるのか」「誰が暗号鍵を持つのか」「どの国の法律でデータ提出を強制できるのか」「特定ベンダーや法域から独立して運用を続けられるのか」まで確認する必要がある。