１８. 順守
１８.１ 法的及び契約上の要求事項の順守
【目的】
【クラウドサービスの提供において特に留意すべき課題との関係】
クラウドサービスにおいては、越境サービスを行うことにより、サービス対象となる国が複数にわたるケースがあり、これに 伴い複数の国による法規制が適用されることにより、サービス提供の完全性が損なわれ、あるいは不測の対応を求め られる恐れがある。
また他国の供給者が提供するサービスと連携してクラウドサービスを提供する場合には、契約に係る紛争に対する 適用法が異なることで、クラウドサービス提供の継続が困難となる恐れがある。
１８.１.１ 適用法令及び契約上の要求事項の特定
【管理策】
【クラウドサービスの提供において特に留意すべき課題との関係】
複数国のクラウド利用者に対してクラウドサービスを提供をする場合には、それぞれの国における適用法や司法権の 管轄などが異なるため、クラウド利用者においてクラウドサービスの利用が継続できないリスクが生じる。また、複数の国 等に存在する資源を用いてクラウドサービスを提供する場合、適用法令の違いから、クラウド事業者が当該資源が存 在する国の法令違反を疑われ、当該国の司法官憲等による記録媒体の差押え等によって、サービス提供ができない 状態に陥る恐れがある。
さらに、ICT サプライチェーンを構成して提供されるクラウドサービスにおいて、適用法令の違いから、海外の供給者 が当該国の法令違反を疑われ、当該国の司法官憲等による記録媒体の差押え等を受けることによって、サービス提 供の継続が困難になる恐れがある。
情報セキュリティに関連する法的、規制又は契約上の義務に対する違反、及びセキュリティ上のあ らゆる要求事項に対する違反を避けるため。
各情報システム及び組織について、全ての関連する法令、規制及び契約上の要求事項、並 びにこれらの要求事項を満たすための組織の取組みを、明確に特定し、文書化し、また、最新 に保つことが望ましい。
68
【利用者接点とサプライチェーンにおける実務のポイント】
クラウドサービスにおいては、特に国際間でサービス提供される場合に、適用される法令が国によって異なることによっ て、サービス提供の継続や、クラウド利用者のサービス利用の継続が困難になることがある。このため、実務上以下を 実施することが望ましい。
(a) 複数国のクラウド利用者に対してサービス提供を行う、又は複数国の資源やサービスを利用してサービス提供 を行うクラウド事業者は、サービス対象や利用資源が越境することによってクラウドサービスに生じうる、適用法 の違いによるリスクを事前に把握すること。
(b) 複数国の資源やサービスを利用してサービス提供を行うクラウド事業者は、当該資源やサービスが存在する国 において適用される法令等に係るリスクに対して、サービス提供上必要な措置を講じること。
(c) クラウド利用者が、クラウドサービスの海外における脅威を正しく認識し、これに基づいて預託する情報の範囲 と情報の保存国を適切に選択する責任を果たせるように、その判断を情報提供等により支援できる範囲を明 示して支援し、クラウド利用者の正確な判断を促進すること。
なお、適用法令及び契約上の要求事項の特定という観点では、利用規約やSLA等における一般的な契約上の 要求事項に加えて、クラウド利用者から預託された情報の契約終了時の取扱いに係る要求事項等も考慮する必要 がある。これらについては、総務省、経済産業省等からITアウトソーシングやSLA 等に係るガイドラインが公表されて いるので、こちらを参照されたい。
１８.１.２ 知的財産権
【管理策】
【クラウドサービスの提供において特に留意すべき課題との関係】
複数国のクラウド利用者に対してクラウドサービスを提供する場合に、適用される知的財産法が異なることにより、ク ラウド利用者が不測の損害を被る恐れがある。具体的には、著作権法の適用の違いに伴う保護範囲の違いや、営 業秘密等の取り扱いの違い等に基づくリスクが存在する。
また情報サービスの提供に供するライセンスを複数国の資源において利用している場合には、ライセンスの範囲やサ ポート等の契約内容に差異が生じる恐れがある。
【利用者接点とサプライチェーンにおける実務のポイント】
複数国のクラウド利用者に対してクラウドサービスを提供する場合や、複数国の資源やサービスを利用してクラウド サービスを提供する場合に生じうる、知的財産法の違いに伴うリスクを明確にし、必要な措置を講じることが求められ る。また情報サービス利用に供するライセンスの範囲についての紛争に伴うサービス停止等が生じないようにするための 管理が求められる。このため、実務上以下を実施することが望ましい。
知的財産権及び権利関係のあるソフトウェア製品の利用に関連する、法令、規制及び契約 上の要求事項の順守を確実にするための適切な手順を実施することが望ましい。
69
(a) 複数国のクラウド利用者に対してサービス提供するクラウド事業者は、クラウドサービス利用において供するクラ ウド利用者の知的財産情報の権利に対し、国による知的財産保護法上の保護範囲の違いに起因して生じ うるリスクを明らかにすること。
(b) 複数国のクラウド利用者に対してサービス提供するクラウド事業者は、クラウドサービスの提供にあたって利用 する知的財産権の取り扱いについて、複数国でサービス提供することによって生じるリスクを把握し、必要な対 策を講じること。
(c) クラウド利用者が、クラウドサービスの海外における脅威を正しく認識し、これに基づいて預託する情報の範囲 と情報の保存国を適切に選択する責任を果たせるように、その判断を情報提供等により支援できる範囲を明 示して支援し、クラウド利用者の正確な判断を促進すること。
１８.１.３ 記録の保護
【管理策】
【クラウドサービスの提供において特に留意すべき課題との関係】
クラウドサービスにおいて、サービス提供に供する資源やサービスが海外にある場合には、我が国とは異なる法令が 適用され、クラウド事業者や供給者が法令違反を問われて記録媒体の不測の差押えを受けることでクラウドサービス の提供が停止することや、クラウド利用者の一部が法令違反を問われて預託情報の提出命令を受けることで無関係 なクラウド利用者の預託情報までが提出されたりすることが発生しうる。
【利用者接点とサプライチェーンにおける実務のポイント】
他国の資源やサービスを利用してクラウドサービスの提供を行うクラウド事業者は、他国の我が国とは異なる法令の 適用によって、クラウド事業者、供給者又は一部のクラウド利用者が当該国の法令違反を疑われ、その結果遂行さ れる不測の差押えや提出命令によって、クラウドサービス提供の停止や無関係なクラウド利用者の預託情報の流出を 発生させる恐れがある。そこで、実務上、以下の対応策を実施することが望ましい。
(a) 他国の資源やサービスを利用してクラウドサービスを提供するクラウド事業者は、他国において自身又は供給 者が法令違反を疑われ、当該国の司法官憲等の不測の差押えを受けた場合であっても、クラウドサービスが 停止しないように、国境を越えたバックアップを行う等の必要な措置を講じること。
(b) 他国の資源やサービスを利用してクラウドサービスを提供するクラウド事業者は、一部のクラウド利用者による 法令違反の疑いにより、他国の司法官憲等から当該利用者の預託情報の提出命令を受けた場合であって も、無関係なクラウド利用者の預託情報が一緒に流出しないように、預託情報を容易に分離できる等の必 要な措置を講じること。
記録は、法令、規制、契約及び業務上の要求事項に従って、消失、破壊、改ざん、認可され ていないアクセス及び不正な流出から保護することが望ましい。
70
１８.１.４ プライバシー及び個人を特定できる情報（PII）の保護
【管理策】
【クラウドサービスの提供において特に留意すべき課題との関係】
複数国のクラウド利用者に対してクラウドサービスを提供する場合や、複数国の資源やサービスを利用してクラウド サービスを提供する場合に、クラウドサービスに供される個人情報保護法制が国や地域によって異なることから生じるリ スクが存在しており、これに対する管理策が求められる。
【利用者接点とサプライチェーンにおける実務のポイント】
複数国のクラウド利用者に対してクラウドサービスを提供する場合や、複数国の資源やサービスを利用してクラウド サービスを提供する場合に、複数の国や地域における個人情報保護法制の違いなどに基づく、情報セキュリティマネジ メントに関する要求事項の違いに対応する管理策を講じる必要がある。そこで、実務上、以下の対応策を実施するこ とが望ましい。
(a) 複数国のクラウド利用者に対してクラウドサービスを提供するクラウド事業者、あるいは複数国の資源・サービ ス等を利用するクラウド事業者は、クラウド利用者の資源が存在する各国の法制に基づく個人情報保護に必 要な取り扱いについて事前に把握し、必要な対策を講じること。
(b) クラウド利用者が、クラウドサービスの海外における脅威を正しく認識し、これに基づいて預託する個人情報の 範囲と個人情報の保存国を適切に選択する責任を果たせるように、その判断を情報提供等により支援できる 範囲を明示して支援し、クラウド利用者の正確な判断を促進すること。
なお、クラウドサービスにおけるPII の安全な取扱いについては、現在、ISO/IEC27018が策定されているところで ある。
１８.１.５ 暗号化機能に対する規制
【管理策】
【クラウドサービスの提供において特に留意すべき課題との関係】
提供するクラウドサービスにおいて、サービスに供される情報等に対して、情報セキュリティマネジメントの観点から暗 号化措置を講じることがある。しかし複数国のクラウド利用者に対してサービスを提供する場合や、複数国の資源やサ ービスを利用してサービスを提供する場合に、国によっては公的秩序等の観点から、暗号化通信等を禁止しているケ ースがあり、クラウドサービス提供における情報セキュリティマネジメント上の要求事項が満たされない恐れがある。逆に
暗号化機能は、関連する全ての協定、法令及び規制を順守して用いることが望ましい。
プライバシー及び PII の保護は、関連する法令及び規制が適用される場合には、その要求に 従って確実にすることが望ましい。
71