0Certezas

0Certezas

isa

山崎行政書士事務所

山崎行政書士事務所

@shizuokagyousei

May 9

#企業公式相互フォロー EUから日本へデータを移すとき、企業は何を守るべきか Microsoft 365統合時代の「監査保全」と法務・ITの実務対応 EU・欧州拠点から日本へデータを移す。グローバル企業、外資系企業、日本本社と欧州子会社を持つ企業では、今や珍しい話ではありません。 Microsoft 365、Teams、SharePoint、Exchange Online、OneDriveを使えば、技術的にはデータ移行やグループウェア統合は比較的スムーズに進められます。しかし、ここで本当に重要なのは、「データを移せるか」ではありません。本当に問われるのは、次の点です。 EUから日本へデータを移したあと、誰がアクセスできるのか。どこに保存されているのか。どの操作ログが残っているのか。監査やトラブル時に証拠として説明できるのか。つまり、EUから日本へのデータ移転は、単なるIT移行ではなく、法務・情報システム・監査対応を一体で設計すべき重要なコンプライアンス課題です。本記事では、Azure/Microsoft 365のSE視点と、企業法務・個人情報保護の実務視点から、EUから日本にデータを持ってくる場合の監査保全要件と、Microsoft 365グループウェア統合で必要となる設定を整理します。 1. EUから日本へのデータ移転は「可能」だが「無条件」ではない EUから日本への個人データ移転については、日本がEUの十分性認定の対象国であることが大きな前提になります。欧州委員会は、GDPR第45条に基づき、一定の第三国について十分なデータ保護水準があると認める制度を設けており、日本もその対象に含まれています。また、日本の個人情報保護委員会は、日EU間の個人データ移転について、相互かつ円滑な移転を可能にする枠組みを示しています。ただし、EUから十分性認定に基づいて日本に移転された個人データについては、日本の個人情報保護法に加えて、補完的ルールによる追加的な取扱いが求められます。ここで企業が誤解しやすいのは、「日本は十分性認定を受けているから、特別な対応は不要」と考えてしまうことです。これは危険です。十分性認定は、EUから日本への移転を制度上可能にする重要な枠組みですが、企業実務ではそれだけでは足りません。監査で問われるのは、移転の可否だけではなく、移転後の管理、アクセス制御、ログ保全、削除防止、再移転管理、委託先管理まで含めた運用実態です。 2. 監査で問われるのは「誰が・いつ・何を・なぜ・どこへ」 EUから日本へデータを持ってくる場合、監査保全の中心は、次の5つです。監査観点確認される内容誰が移行担当者、管理者、閲覧者、外部委託先いつ移行日時、アクセス日時、設定変更日時何をメール、Teams、SharePoint、OneDrive、顧客情報、人事情報なぜ利用目的、業務上の必要性、法的根拠どこへEUテナント、日本テナント、日本リージョン、Multi-Geo環境監査対応で重要なのは、単に「社内ルールがあります」と説明することではありません。実際のMicrosoft 365設定とログによって、説明内容を裏付けられることです。たとえば、次のような説明ができる状態が理想です。 EU由来データは、日本側のMicrosoft 365環境に移転されました。移転対象、移転日時、承認者、作業者は記録されています。移転後のアクセス権限は最小権限で設計され、管理者操作は監査ログに記録されています。必要に応じて、eDiscoveryや保持ポリシーにより証拠保全できます。この状態を作るには、法務文書とIT設定を別々に考えてはいけません。契約、規程、データ移転台帳、Microsoft 365設定、監査ログを一体で整備する必要があります。 3. Microsoft 365統合で最初に確認すべきこと EU拠点と日本拠点のグループウェアをMicrosoft 365で統合する場合、まず確認すべきなのは、データ所在地と管理境界です。 Microsoft 365では、組織のデータ所在地を把握するための公式情報が提供されており、Exchange Online、Microsoft Purview、Microsoft Entra ID、Intune、OneDrive関連サービスなど、サービスごとにデータ所在地の考え方を確認する必要があります。また、Microsoft 365 Multi-Geoは、単一テナントで複数地域にデータを格納し、データ所在地要件に対応しながらコラボレーションを維持するための機能です。EU拠点と日本拠点を同一テナントで運用する場合には、Multi-GeoやPreferred Data Location、いわゆるPDLの設計が重要になります。確認すべきポイントは、次のとおりです。項目確認内容テナント所在地Microsoft 365テナントの国・地域データ所在地Exchange、SharePoint、OneDrive、Teams関連データの保存先Multi-Geo利用有無EU・日本のデータ所在地要件に対応する必要があるかPDL設計ユーザー、グループ、サイトの優先データ所在地Teams構成チャット、チャネル、ファイルがどこに保存されるかSharePoint設計日本側サイトとEU側サイトをどう分離するか外部共有ゲスト、委託先、海外拠点との共有範囲特にTeamsは、画面上は一つのサービスに見えても、実際にはExchange、SharePoint、OneDriveなど複数のサービスと連動しています。そのため、Teamsだけを見るのではなく、背後にあるMicrosoft 365全体の保存構造を理解する必要があります。 4. 監査ログは「入っているか」ではなく「使えるか」が重要 Microsoft 365統合で最も重要な設定の一つが、Microsoft Purview Auditです。 Microsoft Purviewの監査機能では、組織内のユーザーや管理者の操作を監査ログとして記録できます。監査を有効にすると、ユーザーや管理者のアクティビティが記録され、ライセンスや保持ポリシーに応じて保持されます。ただし、監査ログは「有効になっている」だけでは十分ではありません。実務上は、次の観点が必要です。設定項目実務上の確認ポイント監査ログ有効化Purview Auditが有効か保持期間180日、1年、3年、5年、10年のどれが必要かライセンスE5、Purviewアドオン、10年保持アドオンの要否対象サービスEntra ID、Exchange、SharePoint、OneDrive、Teams管理者操作権限変更、保持ポリシー変更、ログ検索操作エクスポート監査時にログを出力できるか保全手順インシデント時に誰が何を保全するか Microsoft Purview Audit Premiumでは、Exchange Online、SharePoint、OneDrive、Microsoft Entraの監査レコードが既定で1年保持され、その他のアクティビティは既定で180日保持されると説明されています。さらに、監査ログ保持ポリシーを使うことで、条件に応じて最大10年まで保持期間を設定できます。ただし、長期保持にはライセンス要件があります。企業がよく陥る失敗は、次のようなものです。「ログはMicrosoft 365に残っているはず」「必要になったら後で探せばよい」「管理者が見られるから大丈夫」これは監査対応としては不十分です。監査ログは、誰が取得できるのか、どの範囲を検索できるのか、どの期間保持されるのか、誰がログ検索を実行したのかまで設計して初めて、監査保全として機能します。 5. 管理者権限は「信頼」ではなく「制御」で守る EU由来データを日本側で扱う場合、最も危険なのは、管理者権限が広すぎる状態です。たとえば、次のような状態は要注意です。グローバル管理者が多すぎる管理者権限が常時付与されている退職者・異動者の権限が残っている委託先アカウントが長期間有効なまま MFAが不十分レガシ認証が残っている管理者操作の承認・理由記録がない Microsoft Entra IDでは、条件付きアクセスにより、ユーザー、場所、デバイス、アプリ、リスクなどの条件に応じたアクセス制御が可能です。たとえば、レガシ認証をブロックする条件付きアクセスポリシーは、Microsoft Entra管理センターから作成でき、まずレポート専用モードで影響を確認してから有効化する手順が示されています。また、Microsoft Entra Privileged Identity Management、いわゆるPIMを使うことで、特権ロールを常時付与せず、必要なときだけ一時的に有効化する運用が可能になります。PIMは、時間ベース・承認ベースのロール有効化、MFA要求、理由入力、通知、アクセスレビュー、監査履歴のダウンロードなどを提供します。 Microsoftも、最小権限の原則に基づき、管理者には必要なときだけアクセスを付与すること、PIMを使ったジャストインタイムアクセスを推奨しています。 EUデータ移転の文脈では、次のような設計が実務上有効です。項目推奨設定Global Admin常時利用を避け、人数を最小化PIM管理者権限は一時昇格制MFAすべての管理者に必須条件付きアクセス場所、端末、リスク、管理者操作を制御レガシ認証原則ブロックゲストアクセスEU側・委託先・外部協力者を定期棚卸しアクセスレビュー四半期または半期で権限を確認ここで大事なのは、「管理者を信用している」ではなく「管理者であっても必要以上に見られない」設計にすることです。 6. EU由来データは「見分けられる」状態にする EUから日本に移したデータが、通常の社内データと混ざってしまうと、管理は一気に難しくなります。そのため、Microsoft Purviewの秘密度ラベル、DLP、保持ラベルを使い、EU由来データを見分けられる状態にすることが重要です。 Microsoft Purviewの秘密度ラベルは、組織データを分類・保護するための仕組みです。ラベルによって暗号化や透かし、ヘッダー・フッターなどの保護設定を適用でき、コンテンツに付与されたラベルはメタデータとして保持されるため、データが保存場所を移動しても識別に利用できます。また、秘密度ラベルはMicrosoft Teams、Microsoft 365グループ、SharePointサイトなどのコンテナーにも適用できます。これにより、ファイル単位だけでなく、チームやサイト単位で外部共有やプライバシー設定を制御する設計が可能になります。たとえば、次のようなラベル設計が考えられます。ラベル名用途Public公開情報Internal一般社内情報Confidential契約、顧客情報、社内重要情報EU Personal DataEU由来の個人データLegal Hold係争・監査保全対象Restricted人事、経営、要配慮情報 EU由来データを「見分けられる」状態にすることで、次の対応が可能になります。誤共有の防止外部共有制御 DLPによる持ち出し検知 eDiscovery時の検索効率化監査時の説明力向上 Copilotなど生成AI利用時の情報保護設計今後、Microsoft 365 Copilotや生成AIの利用が進むほど、データ分類の重要性はさらに高まります。ラベル設計をしていない企業では、AI活用以前に「どの情報を参照してよいのか」が曖昧になります。 7. 証拠保全にはeDiscoveryと保持ポリシーが必要監査や紛争、インシデントが発生した場合、必要なのは「ログを見ること」だけではありません。対象データを削除・改ざんから保全する仕組みが必要です。 Microsoft Purview eDiscoveryでは、案件に関連する可能性があるコンテンツを保全するためのHoldを作成できます。Exchangeメールボックス、OneDriveアカウント、Microsoft TeamsやMicrosoft 365グループに関連するメールボックスやサイトなどを保全対象にできます。特にTeamsでは注意が必要です。Teamsのチャネル会話はチームに関連付くメールボックスに保存され、チャネル内で共有されたファイルはチームのSharePointサイトに保存されます。一方、1対1チャットやグループチャットはユーザーのメールボックスに、チャットで共有されたファイルは共有者のOneDriveに保存されます。そのため、Teamsを証拠保全する場合は、TeamsだけでなくExchange、SharePoint、OneDriveを横断して保全範囲を設計する必要があります。また、SharePointやOneDriveでは、保持ラベルによりアイテムをレコードとしてマークし、編集・削除を制限する設計も可能です。Microsoftの説明では、保持ラベルはアイテムをロック済みレコードまたは規制レコードとしてマークできるとされています。実務上は、次のような保全設計が必要です。項目内容Retention Policy通常時の保存期間を定義Retention Label重要文書・EU個人データ・契約書等を分類eDiscovery Hold調査・係争時に対象データを保全Legal Hold運用保全開始・解除の承認フロー証跡出力保全対象、保全日時、担当者、解除理由を記録監査対応親会社・監査法人・取引先への説明資料化 8. 顧客に合わせた「レベル別対応」が現実的すべての企業に、いきなり最上位の監査対応を求める必要はありません。重要なのは、顧客の成熟度に応じて、どのレベルまで対応するかを明確にすることです。 Lv1：最低限、説明できる構成対象は、まだ明確な基準を持っていない企業です。まずは、次の状態を目指します。 EU由来データの所在を把握する管理者権限を棚卸しする Microsoft 365監査ログの状態を確認する外部共有設定を確認するデータ移転の目的と対象を文書化する移行作業の承認記録と作業ログを残すこのレベルのゴールは、「何も分からない状態」から「最低限説明できる状態」へ移行することです。 Lv2：監査に対応できる構成対象は、親会社、監査法人、取引先から説明を求められる企業です。必要な対応は次のとおりです。 Purview Auditの保持期間設計 PIMによる管理者権限の一時昇格条件付きアクセスの強化秘密度ラベルの設計 DLPポリシーの検討 eDiscovery Hold運用 EUデータ移転台帳の整備管理者操作ログの定期レビューこのレベルのゴールは、「やっています」ではなく「証拠を出せます」と言える状態です。 Lv3：EU本社・当局・高リスク監査に耐える構成対象は、欧州本社、金融、医療、人事データ、重要顧客データ、M&A、係争対応がある企業です。必要な対応は次のとおりです。 Multi-Geo / PDL設計 EU由来データ専用ラベル eDiscoveryケース運用 Legal Hold運用長期ログ保管設計管理者PIM＋承認制データ移転影響評価委託先・再委託先管理補完的ルール対応表監査回答テンプレート作成このレベルのゴールは、契約・規程・M365設定・監査ログの4点セットで説明できる状態です。 9. 山崎行政書士事務所が支援できること EUから日本へのデータ移転は、法律だけでも、ITだけでも完結しません。法務部門は、GDPR、個人情報保護法、補完的ルール、契約、委託先管理、利用目的、社内規程を整理する必要があります。情報システム部門は、Microsoft 365、Entra ID、Microsoft Purview、Teams、SharePoint、Exchange、OneDrive、監査ログ、条件付きアクセス、PIM、DLP、eDiscoveryを設計する必要があります。しかし、多くの企業では、法務とITの間に「説明できない空白」があります。山崎行政書士事務所は、その空白を埋めるために、企業法務とMicrosoft 365実務の両面から、EUデータ移転と監査保全を支援します。支援内容の例は、次のとおりです。支援メニュー内容EU→日本データ移転診断対象データ、移転根拠、保存場所、委託関係の確認M365監査保全チェックAudit、Purview、Entra ID、SharePoint、Teams、Exchange確認レベル別設定チェックリストLv1/Lv2/Lv3で現状と目標を可視化管理者権限レビューGlobal Admin、Exchange Admin、Compliance Admin等の棚卸しPurview設計支援Audit、Retention、DLP、eDiscovery、Sensitivity Label規程・台帳整備データ移転台帳、管理者台帳、ログ保全規程監査回答テンプレート親会社・監査法人・取引先向け説明文の作成ITベンダー連携支援情シス、SIer、Microsoftパートナーとの橋渡し 10. まとめ：EUデータ移転は「ログで証明する企業法務」へ EUから日本へデータを持ってくることは、技術的には難しくありません。 Microsoft 365を使えば、メール、ファイル、Teams、SharePoint、OneDriveの統合は可能です。しかし、企業が本当に備えるべきなのは、移行作業そのものではありません。本当に重要なのは、次の問いに答えられることです。なぜ日本に移したのか。どのデータを移したのか。誰がアクセスできるのか。管理者は制御されているのか。操作ログは残っているのか。証拠保全できるのか。監査時に説明できるのか。これからの企業法務は、契約書だけでは足りません。 Microsoft 365の設定、監査ログ、アクセス制御、証拠保全まで含めて、**「ログで証明する法務」**が求められます。山崎行政書士事務所は、EUデータ移転を「法律上できる」で終わらせません。 Microsoft 365上で、監査に耐える状態まで設計する。それが、山崎行政書士事務所の強みです。お問い合わせ EUから日本へのデータ移転、Microsoft 365統合、監査ログ保全、個人情報保護法・GDPR対応でお悩みの企業様は、山崎行政書士事務所までご相談ください。現状がLv1なのか、Lv2なのか、Lv3を目指すべきなのか。まずは、貴社のMicrosoft 365環境とデータ移転リスクを可視化するところから支援いたします。

4,175

LinkedIn