【技術的情報管理措置】クラウドサービス利用の鉄則：ISMAP基準と海外データ保存リスク回避策

クラウド利用は「真にやむを得ない場合」に限定される原則

日本版DBS（こども性暴力防止法）における犯罪事実確認記録等（CFCR等）は、極めて機微性の高い個人情報を含むため、漏えいリスクを最小化する管理が求められます。
この観点から、情報管理規程上、クラウドサービスの利用は**「真にやむを得ない場合に限り認められる」**という厳格な原則が設けられています。

本稿では、例外的な利用を認めるために必要なISMAP基準および海外データ保存に関する厳格な条件について解説します。

---

クラウドサービス選定の基本原則：ISMAP基準と国内法適用拠点の確保

ISMAP基準の遵守

クラウドサービスを選定する際、ISMAP（政府情報システムのためのセキュリティ評価制度）基準を満たしたサービスを採用することが求められます。
この基準は、行政機関が利用する情報システムにおけるセキュリティ評価制度に基づくもので、
犯罪事実確認記録等がこども家庭庁との連携システムを通じて扱われることを踏まえ、
行政機関と同等以上の水準を確保することを目的としています。

国内法適用拠点へのデータ保存

保存データは、**「日本の法令が適用される拠点」**に限定することが原則です。
海外の個人情報保護制度は、日本の法規制よりも脆弱である場合が多く、日本国内で監督権限が及ぶ範囲にデータを置くことで、万一の漏えい時にも迅速な法的対応が可能となります。

---

例外的な海外拠点利用の条件と追加措置

継続利用が認められるケース

既に海外拠点を持つクラウドサービスを利用している場合でも、「サービス変更によってかえってリスクが高まる」**など、やむを得ない事由がある場合に限り、当該サービスの継続利用が認められます。
しかしこの場合も、代替策の検討やリスク分析を経て、管理体制を明文化することが求められます。

外国の個人情報保護制度の把握義務

海外拠点利用を続ける場合、事業者は必ず**「当該国の個人情報保護制度」**を把握し、日本法と比較して不足する部分を補うための措置を講じなければなりません。
たとえば以下のような対応が考えられます。

• 高度な暗号化技術（通信・保存双方）による補強
• アクセスログの常時監視
• データ転送経路の限定設定
• サービス事業者との秘密保持契約（NDA）の明確化

これらの措置により、国外法令による情報開示要求等のリスクに対して防御力を高めることが可能です。

---

クラウド利用時に必須となる技術的情報管理措置

クラウド利用を認める場合、以下の技術的管理措置を必ず講じる必要があります。

1. アクセス者の識別と多要素認証の実施

犯罪事実確認記録等を扱う情報システムでは、ユーザーIDによる識別に加え、パスワード・ICカード・生体認証・ワンタイムパスワード・PINコードなどを組み合わせた多要素認証を導入します。
これにより、なりすましや不正ログインのリスクを最小化します。

2. アクセス制御と論理的分離

情報システム上のデータは、**「保存場所の分離」**を行い、権限を持つユーザーIDのみがアクセスできるように設定します。これにより、内部不正や操作ミスによる漏えいを防止します。

3. 通信経路および内容の暗号化

クラウドを介してCFCR等を送受信する際は、通信経路と内容の双方を暗号化（TLSやVPNの活用等）し、データの傍受・改ざんを防ぎます。

---

まとめ：クラウド利用は「例外」— 技術と法の両輪で安全を確保する

クラウドサービスの選定と運用は、日本版DBS制度における情報管理規程の成否を分ける要となります。
ISMAP基準や国内法適用拠点の確保、海外保存の厳格な条件をクリアすることで、
法令遵守とセキュリティの両立を図ることができます。

※執筆時点の情報です。最新の内容・詳細については直接お問い合わせください。