デジタル主権とは？

他国による司法権の執行や、巨大プラットフォーマーへの依存から生じる経営リスクが世界規模で顕在化しています。自社で生成・管理するデータの法的支配権を他国に委ねない「データ主権（Data Sovereignty）」、およびデジタルインフラ全体の制御権を自国や自社で維持する「デジタル主権（Digital Sovereignty）」は、企業の事業継続を左右する経営上の最優先課題となりました。米国CLOUD法による海外データの開示命令権と、欧州GDPR（一般データ保護規則）によるデータローカリゼーション規制の衝突は、海外ハイパースケーラーに依存する日本企業に深刻な二者択一のリスクを突きつけています。

1. 「デジタル主権」と「データ主権」の定義：3つの主権レイヤーから紐解く本質

「データ主権」と「デジタル主権」は混同されがちですが、法的な強制力と統治の及ぶ範囲において明確に区別されます。「データ主権（Data Sovereignty）」とは、収集・生成されたデータがその生成国の法律や法域（ジュリスディクション）に服し、主体的にコントロールできる権利を指します。一方、「デジタル主権（Digital Sovereignty）」は、ハードウェア、ソフトウェア、ネットワーク、データを含むデジタルエコシステム全体を、他国や特定の巨大プラットフォーマーに依存せず、自律的に制御・決定できる能力を示すより広範な概念です。

企業がこの主権を喪失した場合の経営リスクは、単なるコンプライアンス違反に留まりません。海外メガクラウドベンダーに自社のコアデータを完全に依存している場合、地政学的な対立や当該国の法改正によってデータアクセスが突如遮断される、あるいは自社の合意なくデータを物理的に他国へ移転させられるリスクが生じます。実際に、海外の捜査機関によるデータ差し押さえ請求や、地政学的な対立に伴う輸出管理規制の変更により、クラウド上の顧客データや知的財産が自社の管理外で開示・凍結されるリスクが現実味を帯びています。このように、データ主権・デジタル主権の喪失は、事業継続性の喪失（BCPの破綻）や、顧客からの信頼失墜による市場退場に直結する深刻な経営リスクです。

1-1. データ主権・運用主権・ソフトウェア主権を構成する3つの技術要件

デジタル主権を実務レベルで担保するためには、データを単に国内のデータセンターに保管するだけの「データローカリゼーション」だけでは不十分です。法域の壁を越えたガバナンスを機能させるには、「データ主権」「運用主権」「ソフトウェア主権」という3つの主権レイヤーを統合的に満たす必要があります。

主権レイヤー	定義とビジネスにおける意味	具体的な技術要件と技術・仕組み
データ主権（Data Sovereignty）	データへのアクセスや保管場所、利用規約を自社および所在国の法域に完全に留めること。	機密コンピューティング（Confidential Computing）による実行時データの暗号化 ユーザーが暗号鍵を自社で完全に管理するBYOK（Bring Your Own Key）やHYOK（Hold Your Own Key）
運用主権（Operational Sovereignty）	クラウドインフラの運用保守プロセスが、海外ベンダーの常駐スタッフや国外システムによる特権アクセスから保護されていること。	現地国籍のオペレーターのみに運用・管理権限を制限するアクセス制御 ゼロトラストアーキテクチャに基づく「明示的な信頼なし」の監視ログ（ISMAP等での監査可能性）
ソフトウェア主権（Software Sovereignty）	特定のベンダーによるプロプライエタリなソフトウェアに依存せず、システム自体の継続的な実行や移行が保証されていること。	オープンソースソフトウェア（OSS）ベース of プラットフォームの採用 欧州の共同データインフラプロジェクト「GAIA-X」に準拠したフェデレーション機構によるポータビリティの確保

例えば、月間数万件の個人信用情報を扱う金融システムや、電子カルテを共有する医療ネットワークでは、データを国内のデータセンターに物理配置するだけでは、国外の法域に基づくデータ開示要求や強制的なサービス停止を防げません。データ主権を技術的に確立する手段として、メモリ上でデータを暗号化処理する「機密コンピューティング」が実務に組み込まれています。詳細は第4セクションで解説しますが、このハードウェアレベルでの保護により、クラウドプロバイダーのオペレーターであってもデータの内容を盗み見ることは技術的に不可能になります。

また、運用主権の観点では、システム障害時におけるリモートメンテナンス時であっても、国外からの管理者アクセスを厳密に遮断・監視する仕組みが不可欠です。政府情報システムのためのセキュリティ評価制度（ISMAP）に適合した国産クラウドや、欧州のGAIA-X規格に準拠したソブリンクラウドは、これらの多層的な要件をクリアすることで、法的な係争や地政学的リスクから企業のデータとオペレーションを守る設計となっています。

1-2. 法域の衝突：欧州GDPRと米国CLOUD法が企業に強いる二者択一の構造

企業がデジタル主権を考慮する上で、最も複雑でかつ重大なリスク要因となっているのが、異なる国家・地域間における「法域（ジュリスディクション）の衝突」です。特に、欧州連合（EU）の「GDPR（一般データ保護規則）」と、米国の「CLOUD法（Clarifying Lawful Overseas Use of Data Act）」は、互いに相反する要求を企業に突きつけるため、二者択一とも言える困難な判断を迫っています。

GDPRは、EU域内の個人データを適切な保護措置なしに域外へ移転することを厳格に制限しています。これに対し、米国のCLOUD法は、米国の裁判所による令状に基づき、米国に本拠を置くクラウドベンダー（AWS、Microsoft Azure、Google Cloudなど）に対し、データがたとえ米国外（日本国内やEU域内のデータセンターなど）に保管されていても、その開示を義務付ける権限を米国政府に与えています。

この仕組みは、日本企業が米国のメガクラウドを利用して欧州の個人データを管理している場合に、以下のような法的な矛盾を生じさせます。

• 米国のCLOUD法に基づく開示要求： 米国捜査機関の令状により、米国メガクラウドベンダーは、日本やEU国内にあるサーバー内のデータを米国政府へ提供しなければならない（従わない場合は米国の法律により莫大なペナルティを科される）。
• 欧州GDPRの違反： 米国メガクラウドベンダーが指示に従いデータを引き渡した場合、適切な司法手続きを経ずにEU域外へデータが提供されることになるため、GDPR第48条に抵触し、企業は「最大2,000万ユーロ、または全世界年間売上高の4%のいずれか高い方」という巨額の制裁金を科されるリスクを負う。

このジレンマに対する実務的な回避策として機能するのがソブリンクラウドの活用です。米国企業の傘下にない完全な国産クラウドや、自国内の現地法人が運営し、米国のCLOUD法が直接及ばない独立したスキームで設計されたソブリンクラウドを採用することで、法域の競合から自社のデータを物理的・法的に保護することが可能になります。

2. 日本企業が直面する「海外ハイパースケーラー依存」の地政学的・法的リスク

国内の主要インフラや多くの民間企業において、システム基盤をアマゾン ウェブ サービス（AWS）、Microsoft Azure、Google Cloudといった米国のハイパースケーラーに依存する体制は定着しています。しかし、地政学的な対立や各国の法制度の衝突により、このシステム構成は「データが自国の司法統治下から離脱する」という重大なガバナンス上の脆弱性を内包するようになりました。

2-1. 経済安全保障推進法と政府クラウド（ISMAP）認定制度が求める要件

2022年に成立し、2026年現在において完全施行・運用段階にある「経済安全保障推進法」は、基幹インフラ分野（電力、ガス、金融、電気通信など14分野）の事業者に対し、特定社会基盤役務の維持に関わる重要システムの導入や委託において事前審査を義務付けています。この規制下において、データやシステムを構成するプログラムは経済安保上の「特定重要物資」に準ずる扱いを受けており、サプライチェーンにおける地政学的リスクの排除が厳格に求められます。

こうした状況を背景に、政府情報システムのためのセキュリティ評価制度（ISMAP）の要件も、単なる技術的なセキュリティチェックから、データやソフトウェアの「ガバナンス（支配権）」へと焦点が移行しています。ISMAPが定める管理基準は、データの物理的な配置場所（データローカリゼーション）だけでなく、クラウドシステムの保守・運用に携わる外注・再委託先企業の資本関係や国籍情報の開示までを包含する内容へとアップデートされました。これは、自国の意志でシステムを制御する「運用主権」や「ソフトウェア主権」の確保を意味します。

経済安保推進法やISMAPの厳格化に伴い、具体的な国産クラウドの活用事例が現実的な選択肢として台頭しています。例えば、さくらインターネットが提供する「さくらのクラウド」は、ISMAPの認定を受け、政府の「ガバメントクラウド」として条件付きでの選定を獲得し、2025年から2026年にかけて自治体システムや重要インフラ向けに本格供給を進めています。海外ベンダーへの一極依存を回避し、国内司法が100%及ぶ環境でシステムを自律的に維持・運用することが、事業継続計画（BCP）および経済安全保障を担保するための手段となっています。

2-2. 外資系クラウドに保管された日本国内データの『超法規的差し押さえ』リスク

多くの日本企業が「日本の東京リージョンにデータを保管しているから、日本の法律で守られている」という誤解を抱いています。しかし、この解釈は国際的なデータローカリゼーションの限界を見落としています。その最大の要因が、米国で施行されている「CLOUD法」の存在です。米国籍の事業者を経由することで、国内サーバーであっても実質的に「超法規的」にデータが差し押さえられ、米国の司法管轄下に置かれ得る法的メカニズムが存在します。

法規制・法解釈の枠組み	適用される主権の範囲	日本企業の実務への具体的な影響
米国 CLOUD法	米国籍事業者が保有するデータ（保管場所不問）	日本国内のデータセンター（東京・大阪）に保管している財務データや顧客データであっても、米国捜査機関から米本社経由で提出を強制されるリスク。
欧州 GDPR	EU域内個人のデータ（およびデータ主権）	米国ハイパースケーラーへEU顧客データを移転・保管する際、CLOUD法によるデータアクセスを危惧し、移転自体の違法性を指摘されるリスク。
日本の経済安保推進法 / ISMAP	国内の特定重要物資、基幹インフラ、政府情報システム	有事の際、海外ベンダーによるアクセス遮断や仕様変更により運用主権・ソフトウェア主権が脅かされるサプライチェーン上の脆弱性。

この法的・地政学的リスクを中和するためには、単なる社内規定の整備だけでは不十分であり、技術的な対策（暗号学的ソリューション）とベンダー選定のポートフォリオ再構築が求められます。具体的には、第4セクションで詳細を解説する「機密コンピューティング」や「BYOK（Bring Your Own Key）」を実装し、クラウド事業者に暗号鍵を持たせない設計を徹底します。さらに、外資ハイパースケーラーと国内ベンダーが技術提携を交わしつつ、運用・保守の主体を日本国内の企業に限定する「ソブリンクラウド」や、完全に自国で制御可能な「国産クラウド」を適材適所で併用するハイブリッドな体制づくりが必要です。

3. 欧州「GAIA-X」に学ぶ次世代データ流通と相互運用性のメカニズム

欧州が主導するデータインフラ構想「GAIA-X」は、特定の巨大プラットフォーマーにデータを一元管理させることなく、参加者が自らの「データ主権」を維持したまま、安全にデータを相互流通させるための「非中央集権型（フェデレーション）アーキテクチャ」を採用しています。GAIA-Xおよびその自動車産業向け実装である「Catena-X」の基本思想は、データを1か所のデータベースに集約するのではなく、分散した個々のシステムをセキュアなコネクタで相互接続する点にあります。

階層 / 役割	具体的な機能と役割	データ主権を担保する技術要素
ポータル / カタログ	各事業者が提供するデータやサービスの属性情報を検索可能な分散型カタログ	分散型ID（DID / Verifiable Credentials）による認証
フェデレーション・サービス (GXFS)	アイデンティティ管理、トラスト評価、コンプライアンス検証を自律的に行う共通基盤	GAIA-X Complianceによる自動監査、ポリシーエンジンの適合評価
データスペース・コネクタ	データプロバイダーとデータコンシューマーを1対1（P2P）で接続するゲートウェイ	IDS（International Data Spaces）規格に準拠した使用制御（Usage Control）
インフラ基盤	ソブリンクラウドやオンプレミスサーバー、エッジデバイスなど多様なホスト環境	ハードウェアレベルの隔離（機密コンピューティング）

異なるクラウド間でのデータ主権維持を可能にしている技術的核心は、IDS（International Data Spaces）規格に準拠した「IDSコネクタ」です。従来のクラウドAPIによるデータ共有では、一度データを受信側に渡してしまえば、その後の複製や2次利用を送信側が制御することは困難でした。しかし、IDSコネクタは「使用制御（Usage Control）」と呼ばれる技術を用いて、データに利用ポリシー（例：「閲覧期間は48時間以内」「EU域内での処理に限定」など）を付与し、受信側のコネクタ内でそのルールを物理的・論理的に強制執行します。

この通信プロトコルには、Eclipse Dataspace Components（EDC）などのオープンソースソフトウェアが採用されています。EDCはデータの転送コントローラーと実際のデータ転送経路（データプレーン）を分離し、データがどのプロバイダーからコンシューマーへ直接流れたかを管理しながら、アクセス権限の検証にはデジタル証明書を用いることで、中央のサーバーを介さないトラストチェーン（信頼の連鎖）を構築しています。

3-1. 非中央集権型データスペースが提唱する『データ共有と主権維持の両立』

非中央集権型データスペースは、これまで二者択一とされてきた「協調領域でのデータ共有」と「知財やノウハウ（主権）の保護」を高度に両立します。自動車業界における実践例であるCatena-Xでは、自動車部品の製造過程におけるCO2排出量（Scope 3）をサプライチェーン全体で算出する際、個々のサプライヤーは自社の配合レシピや詳細な原価構成といった機密情報を秘匿したまま、CO2排出量という計算結果のデータのみを安全に上位のOEM（自動車メーカー）へと受け渡す仕組みを実現しています。

このデータスペースにおいて、各企業が海外のメガクラウドベンダーに自社の命運を握られないために重視されているのが、「運用主権」と「ソフトウェア主権」です。特定のベンダーが提供するプロプライエタリなシステムに依存せず、オープンソースや共通規格（GAIA-X規格）を用いて、必要に応じてシステムを別のソブリンクラウドや国産クラウドへ移行できる自由を担保します。さらに、近年これらの主権をインフラ層で強固にする技術として、ハードウェア暗号化技術を用いた機密コンピューティングの導入が必須要件となりつつあります。これにより、GDPRなどの厳格なデータローカリゼーション規制下においても、他国にデータが保管されているクラウドを実質的に利用可能な状態に保つアプローチが確立されています。

3-2. 欧州の規制輸出（ブラッセル効果）が日本企業のグローバルサプライチェーンに与えるインパクト

欧州連合（EU）が定めた法規制や技術規格が、グローバル市場でデファクトスタンダードとなり、域外の企業にも事実上の準拠を強制する現象は「ブラッセル効果」と呼ばれます。GAIA-XやCatena-X、さらにはEUの電池規則（バッテリーパスポート）は、まさにこのブラッセル効果を伴って日本企業へ直接的なインパクトを与えています。例えば、欧州の主要自動車メーカーと取引を行う日本の部品メーカーは、Catena-Xへの接続、あるいはそれと同等のデータスペースへの準拠を取引継続の必須条件として突きつけられています。

この課題に対応するため、日本国内でも経済安全保障の観点から、経済産業省が主導して「Ouranos Ecosystem（ウラノス・エコシステム）」の構築を進めています。これは、欧州のデータスペース（Catena-X等）との相互運用性を確保しつつ、日本国内のデータ主権を保護するためのデータ流通基盤です。日本の自動車産業や製造業が、欧州の規格に一方的にデータを吸い上げられるリスクを回避し、国内の産業競争力を維持するための盾としての役割を担っています。

日本企業がこのグローバルサプライチェーンの変革に対応するためには、単に欧州のシステムを導入するだけでなく、以下の3つの観点から自社のデータガバナンスとインフラ戦略を再設計する必要があります。

• データ所在地の管理とデータローカリゼーションへの対応：欧州から取得したデータ、あるいは国内で生成された機密データについて、物理的にどこに保管し、どの法域の影響を受けるかをマッピングすること。
• ISMAPに準拠した国産クラウドの活用：経済安全保障推進法の指定特定重要物資に準じたデータや、防衛・重要インフラに関わるシステムについては、外資依存度の低い国産クラウドや、技術的・法的な自立性が担保されたソブリンクラウドを選定すること。
• 相互運用性（インターオペラビリティ）の確保：ウラノス・エコシステムやGAIA-X双方のAPIおよびIDS準拠コネクタを実装し、国境を越えたシームレスなデータ連携を行いつつ、不要なデータへのアクセスは使用制御（Usage Control）技術によって自動的にブロックするシステム構成を整えること。

4. 実務に直結する「ソブリンクラウド」選定とガバナンス構築の判断基準

グローバルに分散したサプライチェーンにおいて、自社データがどこに保管され、誰の管轄に置かれているかを自国で制御する「デジタル主権」および「データ主権」の確立は、企業の事業継続性において不可欠な要素です。欧州のGDPRによるデータローカリゼーション規制や、米国のCLOUD法による地政学的リスク、さらに国内の経済安全保障推進法に基づく特定重要物資へのガバナンス要件など、法規制への準拠は企業のITガバナンスに直結します。海外メガクラウドベンダーに全面依存するリスクを評価し、自社のデータを保護するためには、「国産クラウド」と外資ハイパースケーラーが提供する「ソブリンクラウド」ソリューションの機能差を正確に評価し、適切な選択を行う必要があります。

4-1. 国産クラウドと外資系ソブリンクラウドのメリット・デメリット徹底比較

法的リスクと技術的制御の観点から、それぞれのソリューションが提供するガバナンスの範囲を評価する必要があります。「法的リスク（準拠法・管轄権）」と「技術的制御（暗号鍵の管理権限、運用監視主体）」の2軸で、国産クラウド事業者と外資ハイパースケーラーのソブリンソリューションを比較分析します。

評価項目	国産クラウド事業者（例：さくらインターネット、富士通、NEC等のISMAP登録サービス）	外資系ソブリンソリューション（例：AWS Sovereign Cloud、Microsoft Cloud for Sovereignty等）
準拠法と管轄権（法的リスク）	日本国内法のみが適用されます。他国の司法機関からのデータ開示命令（米国CLOUD法など）の直接的な管轄外であり、データローカリゼーション要件を完全に満たします。	運営主体が外資系法人の子会社である場合、親会社の準拠法（米国CLOUD法等）が適用され、日本国内のデータセンターにあっても強制開示請求の対象となる法的リスクが残ります。
運用監視主体（運用主権）	運用監視要員はすべて国内の事業者が担い、物理アクセス・論理アクセスともに日本国内の管理下で完結します。外資ベンダーによる干渉を完全に排除し、運用主権を確保できます。	通常運用の監視はローカルな人員、または現地の認定パートナー企業に制限されますが、基盤となるソフトウェアパッチの適用やバグ修正時には、海外親会社のエンジニアが一時的に論理アクセスを行う可能性を完全には排除できません。
暗号鍵の管理権限（技術的制御）	クラウド事業者自身が提供するマネージド鍵管理、または自社で管理するHSMとの連携が容易です。事業者の国籍が国内であるため、法的な鍵開示請求のリスク自体が極めて低いです。	自社で暗号鍵を完全管理するHYOK（Hold Your Own Key）や外部鍵ストアの利用が必須要件となります。クラウド事業者が物理・論理的に鍵にアクセスできない技術的制御を構築することで、データの主権を担保します。
ソフトウェア主権	独自ビルドのOSSや国産のソフトウェアをベースに構築されている場合、特定の海外ベンダーによるプロプライエタリなコード依存を抑制でき、ライセンス変更や供給停止のリスクに対応するソフトウェア主権の確保が可能です。	ハイパースケーラー独自のプロプライエタリなスタックに依存するため、ソフトウェア主権の観点ではベンダーロックインのリスクが高くなります。ただし、最新のグローバルなエコシステム（GAIA-X対応フレームワーク等）との相互運用性は高いです。

自社がどちらのインフラを採択すべきかを判断するための決定木（ディシジョンツリー）を以下に示します。

• 分岐点1：データの機微性と経済安全保障要件
  • 防衛、重要インフラ（電力、金融、通信など）、または経済安全保障推進法の特定重要物資に指定される極めて機微なデータを扱う、もしくは他国政府からのデータ開示命令を完全に遮断する必要があるか？
    • YESの場合：国内法のみが適用される国産クラウド（ISMAP登録済みサービス）を第一選択とします。自国内でクローズドな運用が保証されたインフラを選定します。
    • NOの場合：分岐点2へ進みます。
• 分岐点2：グローバルな法規制への適合性（GDPR・GAIA-X等）
  • 欧州のGDPRに準拠したデータ処理や、欧州データスペース（GAIA-Xなど）との連携が必要、かつ高可用性なコンピュートリソースが必要か？
    • YESの場合：外資系ハイパースケーラーが提供するソブリンクラウドソリューションを選択し、鍵管理を自社でコントロールするアーキテクチャ（HYOK）を構築します。これにより法的なリスクを暗号化技術によって相殺します。
    • NOの場合：分岐点3へ進みます。
• 分岐点3：既存のシステム資産・アプリケーション互換性
  • すでにAWS、Microsoft Azure、Google Cloud等のPaaS群を前提にシステムが構築されており、コンテナ化やマイクロサービス化、あるいは独自SaaS（例えば月間1億リクエストを処理する認証基盤など）がハイパースケーラーの独自APIに深く依存しているか？
    • YESの場合：既存インフラの運用を維持しつつ、データストア領域のみに外資ハイパースケーラーのソブリンオプション（外部暗号鍵ストア連携、機密コンピューティング）を適用します。
    • NOの場合：国産クラウドを活用し、ベンダーロックインを回避したオープンなマルチクラウド構成を設計します。

4-2. HSMと機密コンピューティングによる技術的自衛

外資ハイパースケーラーの利便性を享受しつつ、データ主権を法的な支配から守るためには、暗号化技術を駆使した技術的自衛が不可欠です。クラウド事業者やそのホスト国の政府機関であっても、暗号化された実データ（プレーンテキスト）を決して閲覧できない仕組みを構築することが、ガバナンスの根幹となります。

これを実現する第一の柱が、FIPS 140-2 Level 3またはLevel 4の認定を取得した「HSM（ハードウェアセキュリティモジュール）」の活用です。HSM内で暗号鍵を生成・保管し、暗号処理自体もモジュールの内部で実行させることで、クラウド事業者のシステム管理者やハイパーバイザがメモリ上の鍵情報を傍受することを物理的に防止します。例えば、Thales Luna HSMなどを利用したオンプレミスまたは外部データセンターでの鍵管理、あるいはクラウドサービスから独立した外部キーマネジメント（External Key Store: EKS）の仕組みを導入することで、BYOKやHYOKの運用が成立します。これにより、法的命令によってストレージ装置が物理的に押収されたとしても、自社のHSM内の鍵がなければデータは実質的に解読不可能となります。

第二の柱が、「機密コンピューティング（Confidential Computing）」の実装です。従来の暗号化技術は「転送中」と「保管中」のデータしか保護できず、CPUでデータを演算処理する（実行中）際には一度メモリ上でデータを復号する必要がありました。この過程で、ホストOSの管理者権限やハイパーバイザの脆弱性を突かれ、実データが窃取されるリスクがありました。
機密コンピューティングは、ハードウェアレベルのセキュアエンクレーブ（信頼された実行環境：TEE）内で演算処理を行います。具体的には、AMD SEV-SNPやIntel SGX、Intel TDXといったCPUの物理的な支援機能を活用し、実行中のデータであってもメモリ上で常に暗号化された状態を維持します。

例えば、決済トランザクションにおいて個人特定情報（PII）をミリ秒単位で照合・処理するシステムの場合、機密コンピューティング対応の仮想マシン（Microsoft AzureのDCseriesやGoogle CloudのConfidential VMsなど）を配備することで、インフラ運用を外資ハイパースケーラーに委ねつつ、実データの機密性を技術的に100%制御することが可能になります。これにより、米国のCLOUD法や各種のデータローカリゼーション規制の対象となる場合であっても、技術的なセキュリティを担保した形でコンプライアンス要件をクリアすることができます。

5. 自社のデータガバナンスを強化する「ソブリン移行チェックリスト」と実行ロードマップ

自社のデータ資産がどの法域の影響下にあるかを可視化し、適切なインフラを選択することは、経済安全保障や各国のデータローカリゼーションに対応する上で避けて通れない実務です。まずは、保有するデータの機密性と、各国の法規制（GDPRや米国CLOUD法など）による移転リスクに基づいて、データを3つの機密区分に分類し、適切なインフラをマッピングします。

5-1. データの機密区分（三分類）に基づくクラウド最適配置マトリクス

機密区分	対象となるデータ例	移転リスク・主権要求レベル	推奨される配置インフラ
レベル1：極めて高度な機密情報（High）	防衛・経済安全保障に関わる重要技術データ、ゲノム情報などの要配慮個人情報、政府・重要インフラの基幹システムデータ	極めて高い（海外政府の法執行リスクを完全に排除する必要がある）	国産クラウド（ISMAP準拠かつ外資規制等の観点から自律性が担保されたもの）、または厳格なアクセス制御を伴うソブリンクラウド（機密コンピューティングの適用）
レベル2：業務・法令上の要保護情報（Medium）	GDPR対象の顧客個人データ、ERP内の財務・調達データ、特許出願前の知的財産（IP）	中（各国の規制に準拠し、データ主権や暗号鍵の管理権を自社で握る必要がある）	ソブリンクラウド（鍵管理はBYOK/HYOKを適用）、またはISMAP登録済みのパブリッククラウド
レベル3：一般公開・汎用情報（Low）	一般公開されているWebサイトのコンテンツ、マーケティング資料、公開済みのプレスリリース	低（法的なデータ保護やデータ主権の制限は最小限）	グローバルパブリッククラウド

特にレベル1に該当するデータを扱う場合、外資規制に縛られない「国産クラウド」の選定、または高度な「ソブリンクラウド」の構築が必須となります。日本国内において、経済産業省から特定重要物資「クラウドプログラム」の供給確保計画として認定を受け、ISMAPにも登録されているさくらインターネットの「さくらのクラウド」は、レベル1およびレベル2のデータを国内法執行権の下で完全に管理する際の有力な選択肢です。

一方で、グローバル展開するビジネス等でレベル2のデータをパブリッククラウド上に置かざるを得ない場合は、暗号鍵をベンダー側ではなく自社がオンプレミス等で管理する「HYOK（Hold Your Own Key）」の仕組みを導入します。これにより、ベンダー側の従業員や海外の司法機関が技術的にデータの中身にアクセスできない「運用主権」を担保することが可能です。たとえば、機密コンピューティングを利用することで、実行中のデータすらも第三者のアクセスから遮断するアプローチが金融・医療などの高い機密性が求められる実務において採用されています。

5-2. 法務・IT部門合同で実施すべき『データ保護影響評価（DPIA）』の実践ステップ

自社の法的な安全性を担保しながら移行を完了させるためには、IT部門のみの判断でシステムを変更するのではなく、法務・コンプライアンス部門と合同で「データ保護影響評価（DPIA）」を実施し、段階的なロードマップに沿って進める必要があります。以下に、12ヶ月で実務への組み込みを完了する4フェーズの実行プロセスを示します。

Phase 1: データ・マッピングと法域リスクの可視化（1〜3ヶ月目）

• タスク: 社内の全システムを対象に、どのようなデータが、どこに（物理的なデータローカリゼーション）、どのベンダーを通じて保存されているかを棚卸しします。
• 成果物: データインベントリおよびベンダーの親会社国籍マップ（CLOUD法適用の有無の確認）。
• 実務のポイント: 単にデータの保存場所だけでなく、運用監視やシステム保守が海外の拠点から行われていないか（運用主権の観点）まで追跡します。

Phase 2: 法的・技術的リスクの評価（DPIAの実施）（4〜6ヶ月目）

• タスク: GDPR第35条などで求められる「データ保護影響評価（DPIA）」のフレームワークを援用し、機密データに対する外部からのアクセスリスクを評価します。
• 成果物: DPIA評価レポートおよびリスク低減対策書。
• 実務のポイント: 暗号化キーの管理権限が誰にあるのか（BYOKなのか、自社が鍵を完全制御しているか）を確認し、司法機関からの強制的な情報開示請求があった際の対抗策（技術的措置・組織的措置）の有無をスコア化します。

Phase 3: ソブリン要件を組み込んだRFPの策定（7〜9ヶ月目）

• タスク: 次期インフラ更新や新規開発のシステム調達基準に、「デジタル主権」の適合要件を盛り込みます。
• 成果物: ソブリン要件対応のRFI（情報提供依頼書）およびRFP（提案依頼書）。
• 実務のポイント: ベンダーに対して「ISMAP登録の有無」「ソースコードの監査可能性（ソフトウェア主権）」「運用に携わるスタッフのバックグラウンドチェック（運用主権）」を明文化した要件提示を行います。

Phase 4: データ移行と継続的な検証体制の確立（10〜12ヶ月目）

• タスク: 機密区分に応じたインフラ（ソブリンクラウド、国産クラウド等）へのデータ移行を実行し、暗号化キーのハンドオーバーを完了します。
• 成果物: 移行完了報告書およびデータ主権ガバナンス体制図。
• 実務のポイント: 移行完了後も、各国の法制度改定をウォッチし、DPIAを最低でも年に1回定期更新するガバナンス体制を組織内に定着させます。

よくある質問（FAQ）