① EU 子会社を持つ日系製造業の M365 再設計事例

1. 企業・システムの前提

1-1. 企業プロファイル（想定）

• 業種：日系製造業（グローバルで工場・販売拠点を持つ）

• 売上：連結 5,000〜8,000 億円規模

• 組織：

  • 本社（日本）：グローバル IT / セキュリティ / 法務 / DX 推進

  • 欧州統括会社（ドイツ）：販売・サービス・一部開発

  • EU 内に複数の販売子会社（フランス、イタリア等）

1-2. M365 / Azure 利用状況（Before）

• 10年前に US ジオで M365 テナントを作成（当時は EU 拠点が小さく PoC 前提）

• そのテナントをそのまま拡張し、現在は世界中のユーザ（1万アカウント）が利用

• 主な利用：

  • Exchange Online / SharePoint Online / Teams

  • Entra ID で SSO、Azure 上に社内業務アプリも一部

• データ所在地：

  • メール・ファイルの保存リージョン＝US

  • 一部、Multi-Geo で APAC/US を追加しているが、EU ジオは未利用

2. 問題発覚のきっかけ

2-1. 欧州側からの問題提起

• EU 子会社の DPO（データ保護責任者）とローカル監査人から、以下の指摘：

  • 「EU 居住者の従業員・顧客データが、デフォルトで US の M365 テナントに保存されている」

  • Schrems II 判決以降、DPF/SCC＋追加措置が必要と言われているが、社内説明が十分でない

  • 大口顧客の監査シートでも「データの保存先」「第三国移転」の質問が増えているが、うまく答えられていない

• 欧州の外部弁護士からも：

  • 「このまま US ジオ本番利用を続けるのは、高リスク。EU内テナント or EU Data Boundary 前提で再設計すべき」というアドバイス。

2-2. 法務・リスク観点で整理された懸念

1. GDPR（国際移転）

   • EU 拠点の従業員のメール・ファイル・Teams チャットが常に US に保管

   • SCC と TIA をやっていない／古いまま

2. 顧客・パートナー向け説明

   • 「EU でホストされている」と誤解を招く説明が行われていた可能性

3. NIS2 / サイバー規制

   • 製造業として NIS2 対象となる可能性あり（欧州事業の規模・重要性次第）

   • 将来的な監督当局・顧客監査で、US テナント利用が疑問視されるリスク

3. プロジェクトのゴール設定

3-1. 最上位ゴール

• 「EU 子会社の個人データ・業務データは原則 EU/EFTA 内で保存・処理する」

  • ＝Microsoft の EU Data Boundary を最大限活用しつつ、残る国際移転は SCC/TIA で管理可能なレベルに抑える。

3-2. 具体目標

1. EU 向け M365 テナントを EU ジオに再設計

   • Exchange / SharePoint / Teams / OneDrive を EU リージョンへ

2. データ移行と並行して、ガバナンス・契約も整備

   • DPIA / TIA / DPA / SCC のアップデート

   • グローバル RACI（本社 IT・欧州 IT・SIer・Microsoft）

3. 顧客監査対応のテンプレ化

   • 「M365 データ所在地」「国際移転」「EU Data Boundary」についてEU 顧客向けの標準説明資料を作成

4. アーキテクチャ選択肢の検討

4-1. 検討された3パターン

パターンA：現行 US テナントのまま、設定・契約だけ強化

• SCC/TIA をきちんとやり直す

• ログ・暗号化・アクセス制御を強化

• 説明責任を尽くす

→ 結論：

• Schrems II・顧客期待・NIS2 を考えると「守り切るのは難しい」

• 特に EU 公共系・欧州 OEM とのビジネスが多く、将来の入札要件的にも不利⇒ 採用せず

パターンB：現行テナントを Multi-Geo 化し、EU Geo を追加

• 既存テナントに EU Geo を後付け

• 対象ユーザを EU Geo に移動させる

メリット：

• テナントを分割しなくて良い（一元管理のまま）

• ID・グループ・ライセンス管理がシンプル

デメリット：

• 一部サービス・メタデータ・ログなどは US 側のまま残る

• 「EU 内だけで完結」と言い切れない構成

• EU Data Boundary との整合の説明がやや複雑になる

⇒ 法務・DPO の判断：

• 「一定の改善だが、“原則 EU 内”と言うには弱い」

• 特に監査・規制当局対応を見据えると中途半端⇒ 部分的検討にとどめる

パターンC：EU 専用の新 M365 テナントを EU ジオに新設し、EU ユーザを移行

• 新規に「EU テナント」を Germany / France / EU Geo で作成

• EU 拠点ユーザのメール・OneDrive・チームを順次移行

• 本社テナントとは Entra B2B / Cross-tenant access / Teams Connect 等で連携

メリット：

• 「EU 居住者データは EU テナントに保存」という説明が分かりやすい

• EU Data Boundary に沿った構成が組みやすい

• EU 拠点の独自要件（言語・規制・休業日・労働協約等）を反映しやすい

デメリット：

• テナント分割による運用・管理の複雑化

• グローバルの Teams 権限・コラボレーション設計をやり直す必要

• メール・ファイル移行のコスト・期間

⇒ 経営判断：

• 中長期の EU ビジネス・規制リスクを考慮し パターンCを採用

5. 再設計プロジェクトの構造

5-1. ガバナンスと体制

• ステアリングコミッティ：

  • CIO（本社）、欧州 IT ディレクタ、グローバル CISO、法務部長、欧州 DPO

• ワーキンググループ：

  • ワークストリーム（WS）構成：

    1. アーキテクチャ / テナント設計 WS

    2. データ移行 WS（メール・ファイル）

    3. 契約・コンプライアンス WS（GDPR / SCC / TIA / DPIA）

    4. コラボレーション・Teams 再設計 WS

    5. トレーニング / コミュニケーション WS

5-2. おおよそのタイムライン（例）

• 0〜2ヶ月：現状調査・要件整理・テナント戦略決定

• 3〜5ヶ月：新 EU テナント設計・PoC・DPIA/TIA 実施

• 6〜12ヶ月：メール・OneDrive・SharePoint 移行（拠点ごとロールアウト）

• 13〜18ヶ月：Teams・業務アプリ連携の最適化、監査対応強化

6. 法務・コンプラ観点の具体タスク

6-1. データマッピング & DPIA

• 対象：

  • EU 拠点従業員のメール、カレンダー、Teams チャット、SharePoint/OneDrive ファイル

  • ログ類（監査ログ、サインインログ、セキュリティログ）

• 整理項目：

  • データ主体（従業員／一部顧客情報が含まれることも）

  • データカテゴリー（通常の人事情報、評価・懲戒に係る情報等）

  • 処理目的：

    • コミュニケーション

    • コラボレーション

    • 労務管理

    • 情報セキュリティ

  • リスク：

    • 不正アクセス・漏えい

    • 政府アクセス

    • 誤送信

    • 誤権限設定

DPIA では、

• 旧：US テナントでのリスク＋軽減策（SCC 依存・技術措置限定）

• 新：EU テナント＋EU Data Boundary のリスク比較を行い、「新構成の方がリスク低減する」ことを明示。

6-2. SCC / TIA の更新

• US テナント時代：

  • SCC は昔サインしたまま／TIA は簡素なメモのレベル

• EU テナント移行後：

  • EU テナント向け Microsoft DPA/SCC を改めてレビュー

  • 残余の第三国移転（サポート、グローバルセキュリティ運用等）について TIA 作成

• TIA で特に見たポイント：

  • Microsoft の EU Data Boundary により、多くのデータが EU/EFTA 内で完結する点

  • それでも例外的に発生する国際転送に対して、

    • 暗号化

    • アクセス制御

    • ログ

    • 政府アクセスに関する Microsoft のポリシーを補完措置として評価

6-3. 文書・ポリシー更新

• 更新した主な文書：

  • グローバルプライバシーポリシー（「データ保存場所」セクション）

  • 従業員向けプライバシーノーティス（EU 版）

  • 顧客向け DPA（クラウド利用部分を明示）

  • 社内 IT セキュリティポリシー（M365・Azure セクション）

  • 「クラウド・国際データ移転ポリシー」

7. 技術・運用側の設計ポイント

7-1. 新 EU テナントの設計

• テナント地域：EU Geo（例：EU / Germany）

• 基本方針：

  • Exchange / SharePoint / OneDrive / Teams は EU 内

  • ログ（Audit / Sign-in / Defender など）は EU 内 Log Analytics へ

  • Azure AD Connect / Entra Connect は EU 側にも冗長化

• データ分類：

  • EU テナント内に「特に高機密なサイト」用の別サイトコレクションを用意

  • ラベル付け（敏感度ラベル）を EU 拠点のデータ分類ポリシーに合わせて再定義

7-2. グローバル連携の再設計

• Entra B2B / Cross-tenant access：

  • 本社テナント ↔ EU テナントで双方向の B2B 連携

  • グループ共通チームは本社テナントに残し、EU 拠点メンバーをゲスト参加…ではなく、「どの情報は EU から出して良いか」を分類した上で設計

• Teams：

  • グローバル会議は本社テナント開催だが、録画保存場所は慎重に設計

    • 個人情報・機微情報が多い会議は EU 側で開催し、録画も EU に保存

• SharePoint：

  • グローバル共有サイトと「EUローカル限定サイト」を分ける

  • EUローカルサイトから本社テナントへのリンクは最低限に

8. データ移行（メール・ファイル）の実務

8-1. メール（Exchange Online）移行

• 手段：

  • SIer のツール（例：Quest / BitTitan 等）を使い、US→EU テナント間で mailbox migration

• ステップ：

  1. パイロットユーザ（10〜50人）でテスト移行

  2. 夜間・週末に拠点単位でカットオーバー実施

  3. 切替後 1〜2週間は旧テナントにアクセス可能なバックアップ期間を設ける

• 法務の関与ポイント：

  • 旧テナント上のメール保管期間・ジャーナル・eDiscovery との整合

  • 監査上必要な期間、旧テナントのデータを保持するか／どこまで削除するかの判断

8-2. ファイル（OneDrive / SharePoint）移行

• OneDrive：

  • ユーザごとのデータ量を事前調査（TB 単位のユーザは個別対応）

  • 「古いデータをどこまで移すか」をユーザ・部門と決定（アーカイブは別ストレージに）

• SharePoint：

  • 業務単位でサイト設計を見直し、「この機会に権限整理」

  • 外部共有の棚卸し：「外部から見えるサイト・ライブラリ」を一覧化し、承認を取り直し

• ここでよく出る論点：

  • 「この共有は本当に EU から出して良いのか？」

  • 「EU 内で閉じるべき業務はどれか？」→ まさに国際データ移転ポリシーの実装フェーズ。

9. 契約・責任分界の見直し（RACI）

9-1. 主なステークホルダー

• 本社 IT（Japan）

• 欧州 IT（EU HQ）

• セキュリティ統括（CISO Office）

• 法務 / DPO

• SIer（グローバル）

• Microsoft（クラウド事業者）

9-2. 代表的プロセスの RACI 例（ごく一部）

プロセス	本社IT	欧州IT	セキュリティ	法務/DPO	SIer	MS
EU テナント戦略決定	A	R	C	C	I	I
M365 セキュリティベースライン	R	C	A	C	C	I
EU ユーザプロビジョニング	I	R/A	C	I	C	I
ログポリシー設計	R	C	A	C	C	I
DPIA / TIA 実施	I	C	C	R/A	I	I
顧客監査への回答	C	R	C	A	I	I

※実際のプロジェクトではこれをもっと細かく定義

10. 成果物（ドキュメント）セット

このケースで最終的に揃えた主な成果物の一覧です。実務でそのまま「やることリスト」として使えます。

1. アーキテクチャ資料

   • 旧 US テナント構成図

   • 新 EU テナント＋本社テナント連携構成図

   • データフロー図（メール・ファイル・Teams・ログ）

2. 法務・プライバシー関連

   • GDPR DPIA（旧構成 vs 新構成）

   • 国際移転 TIA（M365 EU テナント版）

   • プライバシーポリシー改訂案

   • 従業員向けノーティス改訂案

   • 顧客向け説明用スライド（「当社の M365 データ所在地」「EU Data Boundary の位置づけ」）

3. 契約関連

   • Microsoft DPA/SCC レビュー要約

   • SIer との委託契約改訂案（責任分界の明確化）

   • グローバル IT ポリシー改訂（M365 章）

4. 運用・手順

   • メール・ファイル移行 Runbook（拠点別）

   • インシデント対応フロー（EU テナント前提）

   • ログ・証跡の取得・エクスポート手順書

   • RACI マトリクス

5. 教育・コミュニケーション

   • EU 拠点向け説明資料（「なぜ EU テナントが必要なのか」）

   • 管理者向けトレーニング資料（EU テナント固有の注意点）

   • FAQ（「US との違い」「どのチームでどこに保存されるか」）

11. 効果と残された課題

11-1. 効果

• GDPR / 国際移転リスクの大幅削減

  • EU 拠点のデータが原則 EU 内に収まり、SCC/TIA の対象がかなり限定された

• 顧客監査対応が明確に

  • 「データは EU テナントで保存」「残る第三国移転はこの範囲・この対策」と説明できる

• 欧州 DPO / 労働組合との関係改善

  • 「会社として真剣に対応している」というメッセージ

11-2. 残された課題

• テナント分割による運用コスト増

  • グローバルな Teams チーム管理、アプリ連携の設計が難しくなった

• 「どの情報は EU テナント／どの情報は本社テナントでも良いか」の線引き

  • 国際データ移転ポリシーと現場の運用を、今後も擦り合わせ続ける必要

• 監査・証跡

  • ログが EU テナント／本社テナント／オンプレ／OT と分散するため、統合ビュー（SIEM）と責任分界を継続的に改善する必要

12. このケースを自社に当てはめるときの「問い」

最後に、「自社だったら何を聞くか」の観点で、問いの例を置いておきます。

1. 自社の M365 テナントのサインアップ国／データロケーションはどこか？

2. EU 拠点のデータは、いま どこに保存され、どこからアクセスされているか？

3. EU Data Boundary や EU–US DPF、SCC/TIA に関する整理は、いつ更新したか？

4. テナント分割（EU テナント新設）をした場合の、

   • メリット（規制対応・顧客対応）

   • デメリット（運用負荷・コスト）を定量／定性で比較できているか？

5. 欧州側キーパーソン（DPO・CISO・IT）と、このテーマについて**合意できる将来像（ターゲットアーキテクチャ）**は描けているか？