データ・レジデンシーとは

データ所在地とは、データの地理的または物理的な場所のことです。データセンター、サーバー、またはデータを処理および保管するその他のインフラストラクチャーが収容されている国または地域によって識別できます。

データ・レジデンシーの計画と追跡は、世界中で変化するデータ・セキュリティー法およびデータ・プライバシー法への準拠を確保するうえで重要な作業です。データ保護法は管轄区域によって異なることが多いため、組織のデータ資産の地理的な場所によって、どの法的要件が適用されるかが判断できます。

法的要件は、データ収集のための同意取得に関する規則から、データ・ストレージ期間の制限まで多岐にわたる。さらに、一部の国では、自国内で活動する組織にデータ・レジデンシー要件を課しています。これらの国では、データを特定の場所に保管し、データ転送を制限または禁止するデータ・ローカライゼーションを義務付けています。

企業は、規制への準拠を確保するために、データの保管場所を特定・追跡するソフトウェア・ソリューションをますます活用しています。このようなソリューションは、国境を越えた場所を含む異なる場所間のデータの流れを監視し、データがさまざまな宛先で規制要件に違反しないようにします。

今日のデータ・レジデンシーの重要性を理解するには、世界中のデータ・ストレージとデータ保護の両方の進化を確認することが役立ちます。

2000年代初頭、最新のクラウド・インフラストラクチャーとクラウド・サービス・プロバイダーが、データ管理とデータ処理の状況を一変させました。リモート・サーバーへのオンデマンド・アクセスにより、企業はオンプレミスで利用可能なコンピューティング能力とストレージに限定されなくなりました。その代わり、企業は、Amazon Web Services（AWS）、Microsoft Azure、Google Cloudなどのクラウド・プロバイダーが運営するさまざまな国のデータセンターを利用できます。

このクラウド・ベースのインフラストラクチャーは、迅速な拡張性と柔軟性に加え、エッジコンピューティング（コンピューティング・リソースをデータの生成場所の近くに配置する必要がある）のような用途でレイテンシーを低減します。より多くの企業がAIワークロードを導入するにつれて、データセンターの使用はさらに増加し、2025年のMcKinseyの研究によると、データセンターの容量に対する需要は2030年までにほぼ3倍になると予測されています。¹

技術の進歩により、企業がより多くの顧客データを収集、処理、保存できるようになると、各国政府は消費者を保護するためのデータ・プライバシー法の制定に着手しました。欧州連合（EU）は、1995年のデータ保護指令、そして2018年に施行された一般データ保護規則（GDPR）により、データの収集と保護の管理を主導しています。GDPRは、組織による個人データの保護方法に関する要件を定めるとともに、個人データの収集、使用、保有についてEU居住者（「データ主体」とも呼ばれる）の権利を確立しています。

オーストラリア、ブラジル、カナダ、中国、インド、日本、南アフリカ、アラブ首長国連邦など、EU以外の国々でも、最終的には独自のデータ保護法が制定されました。現在、国または地域の約80%にデータ・プライバシーおよび保護法が制定されています。²

多くの場合、立法者のデータ保護の取り組みには、データローカリゼーション法（組織が特定の地域外にデータを転送することを防止し、その地域内でのデータの保管を義務付ける措置）も含まれていました。データ・ローカライゼーションの支持者は、プライバシー権への懸念に加え、セキュリティーやサイバーセキュリティー上の懸念も挙げています。出身国以外に保存された機密データは、当該国の治安機関がアクセスしにくくなる可能性がある一方、外国による監視や国際犯罪組織によるデータ侵害にさらされる恐れもあります。

ローカリゼーション要件は、国境を越えた個人データ転送の全面禁止（ロシアなど）から、機密性の高いヘルスケア・データなど特定の種類のデータの転送制限（オーストラリアなど）まで多岐にわたります。³McKinsey社によると、国または地域の4分の3がデータローカリゼーション規則を導入しています。⁴

クラウド・コンピューティングの成長と、さまざまな国や地域でのデータ・プライバシーおよびローカリゼーション法の発展というこれらのトレンドが交差することにより、企業は自社のデータがどこにあるかを常に正確に把握することが重要となりました。今日の組織は、世界中のデータセンターに分散し、拡大を続けるデータ・エコシステムが、関連する管轄区域のコンプライアンス要件を満たしているかどうかを判断するという任務を負っています。また、どの法律をどのデータ資産に適用するかを判断することは、規制対象のデータの保管場所を確認し、追跡することを意味します。

データ所在地とデータ主権は別個の用語ですが、密接に関連しています。データ・レジデンシーとはデータが存在する特定の場所を指しますが、データ主権は、国家が自国の国境内で生成または処理されるデータに対する法的権限と規制権限を持つという原則です。本質的に、データ・レジデンシーは地理的な概念であり、データ主権は法的な概念です。

データ保管場所は、多くの場合、どの国のデータ主権法が適用されるかを判断する上で鍵となります。また、データ・フローによっては、データの保管場所と主権の両方が複数の国に及ぶ場合があります。

たとえば、米国を拠点とする企業がEU加盟国内でデータ収集と保管を行う場合、GDPR要件を遵守する必要があります。この場合、データはそのEU加盟国内に所在するため、EUがデータ主権を有することになるからです。その企業がカナダのSaaSアプリで処理するためにデータを転送した場合、そのデータはカナダにも所在することになります。これにより、データ主権がカナダにまで拡大し、個人情報保護および電子文書法（PIPEDA）の遵守が必要になる可能性があります。

データ・レジデンシーとデータ・ローカライゼーションに関連する法律や規制の世界的な状況は複雑で変化し続けており、一部の規則は他の規則よりも厳しい制限を課しています。McKinsey社の研究者は、ローカライゼーション措置を4つのカテゴリーに分類しています。⁵

• 特定の地理的地域でデータを保管および処理することを義務付ける措置。この措置により、企業は最終的に当該管轄区域に現地インフラストラクチャーを構築または利用する必要があります。
  
  
• データを元の地域外に複製することを許可する一方で、元の地域にコピーを残すことを義務付ける規制。
  
  
• 組織が個人データを本来の管轄区域外に転送する際に、個人から同意を得ることを要求する規制。
  
  
• 元の管轄区域外へのデータ転送を許可する一方で、データ・プライバシーを保護するための対策を実施することを義務付ける規制。

管轄区域が異なる場合は、要件も異なる場合があり、特定の種類の機密データにのみ適用される場合もあります。

企業が自社のデータ・ストア全体でデータ・レジデンシーを追跡・管理できなければ、さまざまな不利益が生じるおそれがあります。

企業、特に国境を越えたデータ・フローを扱う規制対象業界の企業は、ソフトウェアを活用してデータの保管場所を追跡し、さまざまな管轄区域で規制コンプライアンスを確保しています。最も一般的なタイプのソリューションは、データ・セキュリティー・ポスチャー管理（DSPM）です。

DSPMプラットフォームは、オンプレミスとクラウドのリソースにわたるデータを特定し、データフローを追跡します。機密データを見つけて分類し、適用される規制フレームワークに対するコンプライアンス違反のリスクを特定できます。つまり、特定の国で保存または処理されるデータが、その国の法律に従って取り扱われていない場合、DSPMは組織に警告できます。

多くのDSPMソリューションは、潜在的なリスクを解決するためのステップバイステップの修復手順も備えており、企業はコストのかかる問題になる前にデータレジデンシーと主権の問題に対処することができます。