Azureのデータ保管場所を取引先から聞かれたとき、法務・情シスはどう答えるべきか

「御社のシステムはクラウド（Azure）とのことですが、データはどこに保管されていますか？バックアップやログも含めて、日本国外に出ませんか？」

——情報セキュリティチェックシートや取引基本契約のやりとりの中で、こうした質問を受けた経験がある方は多いと思います。

とくに、

• 金融機関・上場企業・自治体が相手

• 個人情報や機密情報を扱っているシステム

• 個人情報保護法や業界ガイドラインに敏感な分野

では、**「クラウド＝どこの国のデータセンター？」**が必ずと言っていいほど聞かれます。

この記事では、

• 取引先がこの質問で何を知りたがっているのか

• Azureの「リージョン」と「データレジデンシー」の基礎

• よくある質問パターンと、法務・情シスが一緒に作れる回答例

• 回答を書く前に最低限チェックしておきたいポイント

を、静岡の中堅企業の一人情シス・総務法務の方向けに整理します。

※本記事は一般的な解説です。実際のご回答内容は、貴社の構成・契約・業界規制に応じて個別に検討する必要があります。

1. 取引先は「どこに保管されていますか？」で何を知りたいのか

ざっくり分けると、取引先が気にしているのは次の3点です。

1. 国・地域のレベル

   • 「日本国内か、海外を含むのか」

   • 「少なくとも日本以外の第三国には出ていないか」

2. 冗長化・バックアップを含めた“実際の動き”

   • 「本番は日本でも、バックアップは海外に飛んでいないか」

   • 「災害時のフェイルオーバーで、他国のDCに切り替わらないか」

3. 法律・ガイドラインとの整合性

   • 個人情報保護法の第三国提供

   • 業界ガイドライン（FISC、医療、教育など）で求められる“データの所在”の条件に合うか HYPER VOICE+1

つまり、「Azureを使っています」だけでは足りず、

• どのリージョンを使っているのか

• そのリージョンではデータがどの範囲までレプリケートされるのか

• どこまでを自社が把握し・コントロールしているのか

を、日本語で・法務にも分かるレベルで説明してあげる必要があります。

2. Azureの「リージョン」と「データレジデンシー」をざっくり整理

2-1. 「リージョン」「ジオ」「データレジデンシー」とは

Azureは世界中にデータセンターを持ち、それを**リージョン（Japan East / Japan West / East US など）**単位で公開しています。リージョンは、**ジオ（Geography：日本、EU、米国など）**に属しており、「このジオの中でデータを閉じ込めます」というのが基本ルールです。

Microsoftは公式に、

「データレジデンシーとは、顧客データが“保存された状態（at rest）”で保管される地理的な場所を指す」

と説明しており、公共セクターや規制業種のために、このデータレジデンシー要件を満たす設計をしています。

2-2. Japan East / Japan West のイメージ

日本向けに代表的なのは、

• Japan East（東京・埼玉）

• Japan West（大阪）

といったリージョンです。

Azure Storage の公式Q&Aでは、次のような説明があります。

「例えば、お客様がJapan EastにAzure Blob Storageをデプロイした場合、ディザスタリカバリ目的でJapan Westにレプリケートされることがありますが、いずれも日本国内であり、データは日本のジオから出ません。」

つまり、

• Japan East に置いたデータ

• レプリケーション先の Japan West

どちらも日本国内のデータセンターで完結するように設計されています。

2-3. 冗長化のパターンだけ少し押さえる

Azure Storage では、ざっくり次のような冗長化設定があります。

• LRS（ローカル冗長）：同一リージョン内で3重コピー（日本国内の1リージョン内）

• ZRS（ゾーン冗長）：同一リージョン内の複数ゾーンに分散（同じリージョン内）

• GRS / RA-GRS（ジオ冗長）：ペアリージョン（Japan East ⇔ Japan West など）へもコピー→ それでも「同じジオ（日本）」から出ないのがポイント

このあたりを法務向けに一文でまとめると、

「当社が利用している冗長化方式は、日本国内リージョン内、または日本国内のペアリージョン間で完結する設定です。」

というイメージになります。

2-4. ただし「管理・認証系の一部データ」は別扱いのことも

ID管理基盤である Microsoft Entra ID（旧Azure AD） などは、国・地域情報（Japanなど）にもとづいて顧客データの保存場所が決まる、とされていますが、サービス運用上、一部のデータが他ジオで処理されるケースもあります。

ここは、

• 「アプリケーション本体の業務データ」と

• 「認証・管理のためのメタデータ」

を分けて説明し、後者についてはMicrosoft公式ドキュメントを引用しながら補足するのが安全です。

3. よくある質問4パターンと回答の考え方

ここからが本題です。実際のチェックシートやRFPでよく聞かれる質問と、その考え方＋回答文のたたき台を紹介します。

Q1. 「本番データはどこの国・地域のデータセンターに保管されていますか？」

取引先の意図

• 業務データ（DB、ファイル、メッセージなど）が、物理的にどの国のデータセンターにあるのか知りたい。

回答のポイント

1. 使っているリージョン名（例：Japan East, Japan West）を明示する

2. 「日本国内のデータセンターである」ことをはっきり書く

3. 必要に応じて「冗長化しても日本からは出ない」ことも添える

回答例（たたき台）

当社サービスの本番環境は、Microsoft Azure の日本国内リージョン（Japan East［東京・埼玉］および必要に応じてペアリージョンであるJapan West［大阪］）上で稼働しています。 お客様データ（アプリケーションデータベース、ストレージに保存されるファイル等）は、これら日本国内のデータセンターに保存されており、Azureの仕様上、冗長化・バックアップも日本国内リージョン内で完結する構成としています。

※実際には、自社が本当にJapan East / Westだけを使っているか、構成を必ず確認してください。

Q2. 「バックアップやディザスタリカバリ、ログも含めて、日本国外に出ませんか？」

取引先の意図

• 「本番は日本」と言いつつ、バックアップだけは海外リージョン…という構成を心配しています。

回答のポイント

1. 自社で管理している本番データ／バックアップ／監査ログについては、どこに置くよう設計しているかを正直に書く

2. Microsoft側で運用のために保有するログ・メタデータなどは、公式ドキュメントを参照しながら補足する

3. 「絶対に一切海外に出ません」と言い切らない（将来の構成変更も含めて危険）

回答例（たたき台）

当社が管理するアプリケーションデータおよびバックアップデータ、主要な監査ログは、Microsoft Azure の日本国内リージョン（Japan East / Japan West）に保存されるよう設計しており、日本国外のリージョンに保管する構成は採用しておりません。なお、Microsoft社によるクラウドサービス運用のために取得される一部のログ・メタデータ等については、Microsoft Entra IDおよび各サービスの仕様に基づき、Azureの別地理で処理・保管される場合があります。その範囲については、Microsoft社の「Where your data is located」等の公式情報に準拠します。

「自社が直接コントロールできるデータ」と「プラットフォーム提供者（Microsoft）が運用のために扱うデータ」を分けて説明すると、法務・監査側にも伝わりやすくなります。

Q3. 「個人情報保護法・業界ガイドライン上の問題はありませんか？」

取引先の意図

• APPI（個人情報保護法）の第三国提供や、業界ごとのガイドライン（FISCなど）への適合性を心配しています。HYPER VOICE+1

回答のポイント

1. 「日本国内リージョンに閉じている」ことを再確認

2. 海外リージョンを使う場合は、第三国提供の扱いになる可能性を認める

3. そのうえで、Microsoftの各種認証・契約（DPA、オンラインサービス条項など）も合わせて説明

回答例（たたき台）

本サービスで取り扱うお客様の個人情報は、日本国内のAzureリージョン（Japan East / Japan West）に保存される構成としており、お客様データを日本国外のデータセンターに保存する運用は行っておりません。このため、本サービスの通常運用においては、クラウド基盤の利用に起因する第三国提供には該当しないとの整理で運用しております。（※具体的な法的評価は、お客様の個人情報取扱い体制・その他システムとの連携状況により異なります。） また、本サービスの基盤となるMicrosoft Azureは、各種セキュリティ認証・コンプライアンス認証を取得しており、Microsoft社との間で締結されるデータ保護条項等に基づき、適切な委託先管理・安全管理措置を講じています。

ここは、**「法的判断はお客様側の個人情報管理全体を踏まえて行うもの」**という一言を添えておくと安心です。

Q4. 「将来的に海外リージョンを追加する可能性は？その場合どう説明しますか？」

取引先の意図

• 今は日本リージョンだけでも、将来グローバル展開で海外リージョンを追加するのでは？その場合に無断でデータが海外に出ないかを懸念しています。

回答のポイント

1. 現時点の方針（日本リージョン限定／将来の可能性）を素直に書く

2. 構成変更時には事前に説明・合意を取る方針を入れておく

回答例（たたき台）

現時点では、日本国内のAzureリージョン（Japan East / Japan West）のみを利用する前提でシステムを設計しており、海外リージョンへのデータ保管を伴う構成変更は予定しておりません。 将来的にグローバル展開等により、海外リージョンの追加が必要となる場合には、お客様の個人情報保護法上の第三国提供に関する対応も含め、事前に書面等でのご説明・ご相談を行う方針としております。

4. 回答を書く前に、法務・情シスで確認したいチェックリスト

実際に「どこに保管されていますか？」と聞かれてから慌てないよう、最低限、社内で共有しておきたい確認ポイントを挙げます。

技術（情シス）側で確認

• どのリソースがどのリージョンに構成されているか

  • ストレージアカウント、DB、App Service、VM、Log Analytics など

• ストレージ等の**冗長化設定（LRS / ZRS / GRS など）**と、そのレプリケーション先

• Azure Front Door／CDN／Traffic Manager など、グローバルサービスを利用していないか

• Application Insights や監査ログなどのログ保存先リージョン

• バックアップ（Azure Backup等）の保管先リージョン

法務・コンプラ側で確認

• 取り扱うデータの種類

  • 個人情報・機微情報・営業機密など

• 自社の個人情報保護方針・プライバシーポリシーとの整合性

• 業界ガイドラインで定められたデータ保管場所の要件（金融、医療、教育、行政など）

• Microsoftとの契約（オンラインサービス条項・DPA等）でのデータ処理者の位置づけ

2つをつなぐ「橋渡し資料」があると楽

• 「このシステムのデータは、日本のどのリージョンに、どうレプリケートされているか」

• 「個人情報保護法上、海外移転に当たる構成になっていないか」

を1～2枚のメモにまとめておくと、毎回ゼロから説明せずに済みます。

5. そのまま使える「データ保管場所」説明テンプレ（雛形）

最後に、チェックシートや「セキュリティ説明資料」に載せやすいテンプレート文の例を置いておきます。

（例：Azureデータ保管場所の説明文案） 本サービスは、Microsoft社が提供するクラウド基盤「Microsoft Azure」を利用して構築しています。アプリケーションサーバ、データベースサーバ、ストレージ等の主要コンポーネントは、日本国内のAzureリージョン（Japan East［東京・埼玉］および必要に応じてペアリージョンであるJapan West［大阪］）上に構成しており、お客様データは日本国内のデータセンターに保存されます。 ストレージの冗長化については、Azureの冗長化オプションを利用し、同一リージョン内または日本国内のペアリージョン間でデータを複製する構成としており、冗長化・バックアップのためにお客様データを日本国外リージョンへ保管する運用は行っておりません。なお、クラウドサービス運用のためにMicrosoft社が取得するログ・メタデータ等については、同社の「Where your data is located」等に定めるとおり、サービス種別に応じたデータレジデンシーに従い保管されます。当社は、Microsoft社との間で締結されるデータ保護条項等に基づき、適切な委託先管理・安全管理措置が講じられていることを確認した上で、本サービスを提供しています。

※太字や括弧は、貴社の実際の構成に合わせて調整してください。　特に「Japan East / West」「冗長化設定」は必ず自社側で確認を。

6. 山崎行政書士事務所がお手伝いできること

山崎行政書士事務所では、クラウド法務・情報セキュリティ専門として、

• Azure / Microsoft 365を利用する企業さまのデータ保管場所・データフロー整理

• 取引先からの情報セキュリティチェックシートに対する「データ所在」「国外移転」まわりの回答案作成

• Azureアーキテクチャ図をベースにした法務・コンプラ向け説明資料（1～2枚もの）の作成支援

• 個人情報保護法・業界ガイドラインを踏まえたクラウド利用規程・委託契約条項のレビュー

といったご相談を多くいただいています。

「Azureを使っているけれど、“どこにデータがあるか”を法務・取引先にどう説明すればいいか分からない」

という段階からで大丈夫です。

静岡県内の企業さま向けには、オンライン・訪問どちらでも対応可能です。

お問い合わせの際に、

• 「Azureのデータ保管場所について取引先説明用の整理をしたい」

• 「情報セキュリティチェックシートの“データ所在”欄の書き方を相談したい」

と一言添えていただければ、現在のAzure構成や業種のルールを伺ったうえで、

• どこまで自社で整理できるか

• どの部分を山崎事務所でサポートできるか

• おおよその費用感

を分かりやすくご提案します。