EUから日本へデータを移すとき、企業は何を守るべきか
- 山崎行政書士事務所
- 50 分前
- 読了時間: 12分
Microsoft 365統合時代の「監査保全」と法務・ITの実務対応
EU・欧州拠点から日本へデータを移す。グローバル企業、外資系企業、日本本社と欧州子会社を持つ企業では、今や珍しい話ではありません。
Microsoft 365、Teams、SharePoint、Exchange Online、OneDriveを使えば、技術的にはデータ移行やグループウェア統合は比較的スムーズに進められます。
しかし、ここで本当に重要なのは、「データを移せるか」ではありません。
本当に問われるのは、次の点です。
EUから日本へデータを移したあと、誰がアクセスできるのか。どこに保存されているのか。どの操作ログが残っているのか。監査やトラブル時に証拠として説明できるのか。
つまり、EUから日本へのデータ移転は、単なるIT移行ではなく、法務・情報システム・監査対応を一体で設計すべき重要なコンプライアンス課題です。
本記事では、Azure/Microsoft 365のSE視点と、企業法務・個人情報保護の実務視点から、EUから日本にデータを持ってくる場合の監査保全要件と、Microsoft 365グループウェア統合で必要となる設定を整理します。
1. EUから日本へのデータ移転は「可能」だが「無条件」ではない
EUから日本への個人データ移転については、日本がEUの十分性認定の対象国であることが大きな前提になります。欧州委員会は、GDPR第45条に基づき、一定の第三国について十分なデータ保護水準があると認める制度を設けており、日本もその対象に含まれています。
また、日本の個人情報保護委員会は、日EU間の個人データ移転について、相互かつ円滑な移転を可能にする枠組みを示しています。ただし、EUから十分性認定に基づいて日本に移転された個人データについては、日本の個人情報保護法に加えて、補完的ルールによる追加的な取扱いが求められます。
ここで企業が誤解しやすいのは、「日本は十分性認定を受けているから、特別な対応は不要」と考えてしまうことです。
これは危険です。
十分性認定は、EUから日本への移転を制度上可能にする重要な枠組みですが、企業実務ではそれだけでは足りません。監査で問われるのは、移転の可否だけではなく、移転後の管理、アクセス制御、ログ保全、削除防止、再移転管理、委託先管理まで含めた運用実態です。
2. 監査で問われるのは「誰が・いつ・何を・なぜ・どこへ」
EUから日本へデータを持ってくる場合、監査保全の中心は、次の5つです。
監査観点 | 確認される内容 |
誰が | 移行担当者、管理者、閲覧者、外部委託先 |
いつ | 移行日時、アクセス日時、設定変更日時 |
何を | メール、Teams、SharePoint、OneDrive、顧客情報、人事情報 |
なぜ | 利用目的、業務上の必要性、法的根拠 |
どこへ | EUテナント、日本テナント、日本リージョン、Multi-Geo環境 |
監査対応で重要なのは、単に「社内ルールがあります」と説明することではありません。実際のMicrosoft 365設定とログによって、説明内容を裏付けられることです。
たとえば、次のような説明ができる状態が理想です。
EU由来データは、日本側のMicrosoft 365環境に移転されました。移転対象、移転日時、承認者、作業者は記録されています。移転後のアクセス権限は最小権限で設計され、管理者操作は監査ログに記録されています。必要に応じて、eDiscoveryや保持ポリシーにより証拠保全できます。
この状態を作るには、法務文書とIT設定を別々に考えてはいけません。契約、規程、データ移転台帳、Microsoft 365設定、監査ログを一体で整備する必要があります。
3. Microsoft 365統合で最初に確認すべきこと
EU拠点と日本拠点のグループウェアをMicrosoft 365で統合する場合、まず確認すべきなのは、データ所在地と管理境界です。
Microsoft 365では、組織のデータ所在地を把握するための公式情報が提供されており、Exchange Online、Microsoft Purview、Microsoft Entra ID、Intune、OneDrive関連サービスなど、サービスごとにデータ所在地の考え方を確認する必要があります。
また、Microsoft 365 Multi-Geoは、単一テナントで複数地域にデータを格納し、データ所在地要件に対応しながらコラボレーションを維持するための機能です。EU拠点と日本拠点を同一テナントで運用する場合には、Multi-GeoやPreferred Data Location、いわゆるPDLの設計が重要になります。
確認すべきポイントは、次のとおりです。
項目 | 確認内容 |
テナント所在地 | Microsoft 365テナントの国・地域 |
データ所在地 | Exchange、SharePoint、OneDrive、Teams関連データの保存先 |
Multi-Geo利用有無 | EU・日本のデータ所在地要件に対応する必要があるか |
PDL設計 | ユーザー、グループ、サイトの優先データ所在地 |
Teams構成 | チャット、チャネル、ファイルがどこに保存されるか |
SharePoint設計 | 日本側サイトとEU側サイトをどう分離するか |
外部共有 | ゲスト、委託先、海外拠点との共有範囲 |
特にTeamsは、画面上は一つのサービスに見えても、実際にはExchange、SharePoint、OneDriveなど複数のサービスと連動しています。そのため、Teamsだけを見るのではなく、背後にあるMicrosoft 365全体の保存構造を理解する必要があります。
4. 監査ログは「入っているか」ではなく「使えるか」が重要
Microsoft 365統合で最も重要な設定の一つが、Microsoft Purview Auditです。
Microsoft Purviewの監査機能では、組織内のユーザーや管理者の操作を監査ログとして記録できます。監査を有効にすると、ユーザーや管理者のアクティビティが記録され、ライセンスや保持ポリシーに応じて保持されます。
ただし、監査ログは「有効になっている」だけでは十分ではありません。
実務上は、次の観点が必要です。
設定項目 | 実務上の確認ポイント |
監査ログ有効化 | Purview Auditが有効か |
保持期間 | 180日、1年、3年、5年、10年のどれが必要か |
ライセンス | E5、Purviewアドオン、10年保持アドオンの要否 |
対象サービス | Entra ID、Exchange、SharePoint、OneDrive、Teams |
管理者操作 | 権限変更、保持ポリシー変更、ログ検索操作 |
エクスポート | 監査時にログを出力できるか |
保全手順 | インシデント時に誰が何を保全するか |
Microsoft Purview Audit Premiumでは、Exchange Online、SharePoint、OneDrive、Microsoft Entraの監査レコードが既定で1年保持され、その他のアクティビティは既定で180日保持されると説明されています。さらに、監査ログ保持ポリシーを使うことで、条件に応じて最大10年まで保持期間を設定できます。ただし、長期保持にはライセンス要件があります。
企業がよく陥る失敗は、次のようなものです。
「ログはMicrosoft 365に残っているはず」「必要になったら後で探せばよい」「管理者が見られるから大丈夫」
これは監査対応としては不十分です。
監査ログは、誰が取得できるのか、どの範囲を検索できるのか、どの期間保持されるのか、誰がログ検索を実行したのかまで設計して初めて、監査保全として機能します。
5. 管理者権限は「信頼」ではなく「制御」で守る
EU由来データを日本側で扱う場合、最も危険なのは、管理者権限が広すぎる状態です。
たとえば、次のような状態は要注意です。
グローバル管理者が多すぎる
管理者権限が常時付与されている
退職者・異動者の権限が残っている
委託先アカウントが長期間有効なまま
MFAが不十分
レガシ認証が残っている
管理者操作の承認・理由記録がない
Microsoft Entra IDでは、条件付きアクセスにより、ユーザー、場所、デバイス、アプリ、リスクなどの条件に応じたアクセス制御が可能です。たとえば、レガシ認証をブロックする条件付きアクセスポリシーは、Microsoft Entra管理センターから作成でき、まずレポート専用モードで影響を確認してから有効化する手順が示されています。
また、Microsoft Entra Privileged Identity Management、いわゆるPIMを使うことで、特権ロールを常時付与せず、必要なときだけ一時的に有効化する運用が可能になります。PIMは、時間ベース・承認ベースのロール有効化、MFA要求、理由入力、通知、アクセスレビュー、監査履歴のダウンロードなどを提供します。
Microsoftも、最小権限の原則に基づき、管理者には必要なときだけアクセスを付与すること、PIMを使ったジャストインタイムアクセスを推奨しています。
EUデータ移転の文脈では、次のような設計が実務上有効です。
項目 | 推奨設定 |
Global Admin | 常時利用を避け、人数を最小化 |
PIM | 管理者権限は一時昇格制 |
MFA | すべての管理者に必須 |
条件付きアクセス | 場所、端末、リスク、管理者操作を制御 |
レガシ認証 | 原則ブロック |
ゲストアクセス | EU側・委託先・外部協力者を定期棚卸し |
アクセスレビュー | 四半期または半期で権限を確認 |
ここで大事なのは、「管理者を信用している」ではなく「管理者であっても必要以上に見られない」設計にすることです。
6. EU由来データは「見分けられる」状態にする
EUから日本に移したデータが、通常の社内データと混ざってしまうと、管理は一気に難しくなります。
そのため、Microsoft Purviewの秘密度ラベル、DLP、保持ラベルを使い、EU由来データを見分けられる状態にすることが重要です。
Microsoft Purviewの秘密度ラベルは、組織データを分類・保護するための仕組みです。ラベルによって暗号化や透かし、ヘッダー・フッターなどの保護設定を適用でき、コンテンツに付与されたラベルはメタデータとして保持されるため、データが保存場所を移動しても識別に利用できます。
また、秘密度ラベルはMicrosoft Teams、Microsoft 365グループ、SharePointサイトなどのコンテナーにも適用できます。これにより、ファイル単位だけでなく、チームやサイト単位で外部共有やプライバシー設定を制御する設計が可能になります。
たとえば、次のようなラベル設計が考えられます。
ラベル名 | 用途 |
Public | 公開情報 |
Internal | 一般社内情報 |
Confidential | 契約、顧客情報、社内重要情報 |
EU Personal Data | EU由来の個人データ |
Legal Hold | 係争・監査保全対象 |
Restricted | 人事、経営、要配慮情報 |
EU由来データを「見分けられる」状態にすることで、次の対応が可能になります。
誤共有の防止
外部共有制御
DLPによる持ち出し検知
eDiscovery時の検索効率化
監査時の説明力向上
Copilotなど生成AI利用時の情報保護設計
今後、Microsoft 365 Copilotや生成AIの利用が進むほど、データ分類の重要性はさらに高まります。ラベル設計をしていない企業では、AI活用以前に「どの情報を参照してよいのか」が曖昧になります。
7. 証拠保全にはeDiscoveryと保持ポリシーが必要
監査や紛争、インシデントが発生した場合、必要なのは「ログを見ること」だけではありません。対象データを削除・改ざんから保全する仕組みが必要です。
Microsoft Purview eDiscoveryでは、案件に関連する可能性があるコンテンツを保全するためのHoldを作成できます。Exchangeメールボックス、OneDriveアカウント、Microsoft TeamsやMicrosoft 365グループに関連するメールボックスやサイトなどを保全対象にできます。
特にTeamsでは注意が必要です。Teamsのチャネル会話はチームに関連付くメールボックスに保存され、チャネル内で共有されたファイルはチームのSharePointサイトに保存されます。一方、1対1チャットやグループチャットはユーザーのメールボックスに、チャットで共有されたファイルは共有者のOneDriveに保存されます。そのため、Teamsを証拠保全する場合は、TeamsだけでなくExchange、SharePoint、OneDriveを横断して保全範囲を設計する必要があります。
また、SharePointやOneDriveでは、保持ラベルによりアイテムをレコードとしてマークし、編集・削除を制限する設計も可能です。Microsoftの説明では、保持ラベルはアイテムをロック済みレコードまたは規制レコードとしてマークできるとされています。
実務上は、次のような保全設計が必要です。
項目 | 内容 |
Retention Policy | 通常時の保存期間を定義 |
Retention Label | 重要文書・EU個人データ・契約書等を分類 |
eDiscovery Hold | 調査・係争時に対象データを保全 |
Legal Hold運用 | 保全開始・解除の承認フロー |
証跡出力 | 保全対象、保全日時、担当者、解除理由を記録 |
監査対応 | 親会社・監査法人・取引先への説明資料化 |
8. 顧客に合わせた「レベル別対応」が現実的
すべての企業に、いきなり最上位の監査対応を求める必要はありません。重要なのは、顧客の成熟度に応じて、どのレベルまで対応するかを明確にすることです。
Lv1：最低限、説明できる構成
対象は、まだ明確な基準を持っていない企業です。
まずは、次の状態を目指します。
EU由来データの所在を把握する
管理者権限を棚卸しする
Microsoft 365監査ログの状態を確認する
外部共有設定を確認する
データ移転の目的と対象を文書化する
移行作業の承認記録と作業ログを残す
このレベルのゴールは、「何も分からない状態」から「最低限説明できる状態」へ移行することです。
Lv2：監査に対応できる構成
対象は、親会社、監査法人、取引先から説明を求められる企業です。
必要な対応は次のとおりです。
Purview Auditの保持期間設計
PIMによる管理者権限の一時昇格
条件付きアクセスの強化
秘密度ラベルの設計
DLPポリシーの検討
eDiscovery Hold運用
EUデータ移転台帳の整備
管理者操作ログの定期レビュー
このレベルのゴールは、「やっています」ではなく「証拠を出せます」と言える状態です。
Lv3：EU本社・当局・高リスク監査に耐える構成
対象は、欧州本社、金融、医療、人事データ、重要顧客データ、M&A、係争対応がある企業です。
必要な対応は次のとおりです。
Multi-Geo / PDL設計
EU由来データ専用ラベル
eDiscoveryケース運用
Legal Hold運用
長期ログ保管設計
管理者PIM＋承認制
データ移転影響評価
委託先・再委託先管理
補完的ルール対応表
監査回答テンプレート作成
このレベルのゴールは、契約・規程・M365設定・監査ログの4点セットで説明できる状態です。
9. 山崎行政書士事務所が支援できること
EUから日本へのデータ移転は、法律だけでも、ITだけでも完結しません。
法務部門は、GDPR、個人情報保護法、補完的ルール、契約、委託先管理、利用目的、社内規程を整理する必要があります。情報システム部門は、Microsoft 365、Entra ID、Microsoft Purview、Teams、SharePoint、Exchange、OneDrive、監査ログ、条件付きアクセス、PIM、DLP、eDiscoveryを設計する必要があります。
しかし、多くの企業では、法務とITの間に「説明できない空白」があります。
山崎行政書士事務所は、その空白を埋めるために、企業法務とMicrosoft 365実務の両面から、EUデータ移転と監査保全を支援します。
支援内容の例は、次のとおりです。
支援メニュー | 内容 |
EU→日本データ移転診断 | 対象データ、移転根拠、保存場所、委託関係の確認 |
M365監査保全チェック | Audit、Purview、Entra ID、SharePoint、Teams、Exchange確認 |
レベル別設定チェックリスト | Lv1/Lv2/Lv3で現状と目標を可視化 |
管理者権限レビュー | Global Admin、Exchange Admin、Compliance Admin等の棚卸し |
Purview設計支援 | Audit、Retention、DLP、eDiscovery、Sensitivity Label |
規程・台帳整備 | データ移転台帳、管理者台帳、ログ保全規程 |
監査回答テンプレート | 親会社・監査法人・取引先向け説明文の作成 |
ITベンダー連携支援 | 情シス、SIer、Microsoftパートナーとの橋渡し |
10. まとめ：EUデータ移転は「ログで証明する企業法務」へ
EUから日本へデータを持ってくることは、技術的には難しくありません。Microsoft 365を使えば、メール、ファイル、Teams、SharePoint、OneDriveの統合は可能です。
しかし、企業が本当に備えるべきなのは、移行作業そのものではありません。
本当に重要なのは、次の問いに答えられることです。
なぜ日本に移したのか。どのデータを移したのか。誰がアクセスできるのか。管理者は制御されているのか。操作ログは残っているのか。証拠保全できるのか。監査時に説明できるのか。
これからの企業法務は、契約書だけでは足りません。Microsoft 365の設定、監査ログ、アクセス制御、証拠保全まで含めて、**「ログで証明する法務」**が求められます。
山崎行政書士事務所は、EUデータ移転を「法律上できる」で終わらせません。
Microsoft 365上で、監査に耐える状態まで設計する。それが、山崎行政書士事務所の強みです。
お問い合わせ
EUから日本へのデータ移転、Microsoft 365統合、監査ログ保全、個人情報保護法・GDPR対応でお悩みの企業様は、山崎行政書士事務所までご相談ください。
現状がLv1なのか、Lv2なのか、Lv3を目指すべきなのか。まずは、貴社のMicrosoft 365環境とデータ移転リスクを可視化するところから支援いたします。
コメント