法務的側面：NIST 等ガイドラインとの整合を含む

山崎行政書士事務所
9月11日
読了時間: 6分

— APPI / GDPR / HIPAA / 金融規制 × Azure 実装の実務設計 —

著者：山崎行政書士事務所クラウド法務・アーキテクチャ支援チーム

発行日：2025-09-11

要旨（Abstract）

日本（APPI）、EU（GDPR）、米国（HIPAA・SOX）を中心とする主要規制と、NIST CSF / SP 800-53 / 800-171 等のセキュリティガイドラインを一貫モデルで捉え、Azure での暗号化・鍵管理・監査・インシデント対応・証憑化までをパラメータシートに落として運用可能にすることを目的とする。とりわけ、**越境移転（Data Residency）と責任分界（Shared Responsibility）**では、BYOK/CMK、ログの長期保全（WORM/アーカイブ）、72 時間内報告（GDPR）を含む運用手順とEvidence Packの整備が肝である。

キーワード：APPI、GDPR（Art.32 / SCC）、HIPAA Security Rule、SOX、FISC、NIST CSF 2.0、NIST SP 800‑53/171、FedRAMP、BYOK/CMK、Key Vault、WORM、Sentinel、Evidence Pack

0. 前提と設計原則

法務×技術の二層要件：リージョン／暗号鍵／ログ／DR と、契約（DPA/SCC）・通知義務（72h）を一枚の設計台帳で管理。
ガードレールの強制：Azure Policy / Template Specs で禁止・強制をコード化（リージョン制限、Public Access 既定拒否、タグ必須）。
Evidence-as‑Configuration：設定＝証跡。JSON/KQL/Runbook を Evidence Pack に継続保管。
“段階適用”で費用対効果：Baseline → Advanced → Mission‑Critical（HSM/BYOK、mTLS、二重暗号化）へ段階的に拡充。

1. 個人情報・機密データ保護（各国法令×設計）

1.1 暗号化の位置づけ（各国比較の要点）

日本 APPI：国外移転時の情報提供義務が強化。移転先法制度・受領者の保護措置を事前説明。業種ガイドライン（FISC、医療等）では暗号化・アクセスログ・監査が重視。
GDPR：Art.32 における「リスクに応じた暗号化・疑似匿名化」等の技術的・組織的措置。EU 域外移転は SCC（2021/914） 又は十分性認定等による適法化を要す。Schrems II 以降は移転先の公的アクセスを踏まえた補完的措置（E2E 暗号・鍵主権）への要求が実務上高い。
米国 HIPAA：Security Rule の技術的・管理的・物理的安全措置。暗号化は「アドレス可能」だが、実務的には ePHI への暗号化・MFA を前提に設計。
SOX：財務報告の内部統制の証跡（変更・アクセス・保持）を確保。暗号化と並び改ざん耐性ログが監査要件に直結。

実務含意：At Rest＝既定暗号化 + CMK/BYOK、In Transit＝TLS1.2/1.3、ログ＝長期/WORM/検索性、移転＝SCC/DPA/説明義務の組合せで、設計—運用—証憑を連鎖させる。

1.2 BYOK/CMK を軸にした「補完的措置」の標準形

Key Vault + CMK/BYOK：鍵素材を顧客管理。クラウド事業者はデータを保持しても復号権限に至らない設計。
Premium/HSM + 二重暗号化：高機微に対して、HSM 生成鍵の持込（BYOK）＋二重暗号化で鍵主権を強化。
Always Encrypted（SQL）：列単位でアプリ側暗号化。サーバ側平文非保持。
パラメータ例：Rotation=12M、KeyOps=Wrap/Unwrap/Sign、Access=RBAC最小権限、Audit=LA/Sentinel。

2. 監査可能性・不正アクセス対策（ログ／可視化／WORM）

2.1 監査ログの取得・保管

Azure 活動ログ（サブスクリプション／RG／リソース操作）、Entra Audit/Sign‑in、リソース診断ログ（Key Vault/Storage/AppGW/Firewall 等）をLog Analyticsへ集約。
改ざん耐性：Blob Immutable（WORM）・アーカイブ階層で長期保管／ハッシュ証跡。
金融・上場会社：FISC／SOX 要件＝長期保持＋追跡性＋改ざん耐性。監査では保管場所（リージョン）とFO/DR 時の写像先まで確認される。

2.2 インシデント対応と責任分界

Shared Responsibility：IaaS/PaaS 基盤＝事業者責任、OS/アプリ/データ/権限＝利用者責任。
通知義務：GDPR は72 時間内の監督機関報告が前提。アラート連鎖（Sentinel→Playbook→関係者通知）と事前合意フローを Evidence 化。
契約の読み合わせ：DPA（Microsoft）、SCC、オンラインサービス規約でログ提出・通知・賠償範囲を明確化。

3. コンプライアンス証明（第三者認証／提示資料）

Azure の外部認証：ISO 27001/17/18、SOC 1/2/3、PCI DSS、FedRAMP 等。監査・RFP では Azure Trust Center/コンプライアンス提供情報の提示が定石。
審査対応パッケージ（Evidence Pack）：
1. 設計図（データ流・鍵主権・リージョン／DR）
2. Policy/Template JSON + 割当
3. RBAC/PIM 台帳（JIT 履歴）
4. ログ保持/WORM/Retention 方針
5. Sentinel ルール／Playbook
6. DR 手順・演習結果（RTO/RPO）

4. NIST／ISO と Azure 実装のマッピング（要約表）

┌───────────────┬──────────────┬──────────────────────────────┬────────────────────────────┐
│ 規格/条項       │ 目的         │ Azure 実装（例）               │ 証跡/Evidence               │
├───────────────┼──────────────┼──────────────────────────────┼────────────────────────────┤
│ NIST CSF: Identify│ 識別・棚卸  │ Resource Graph / Tags / Policy  │ 資産台帳・タグ充足率         │
│ NIST CSF: Protect │ 予防        │ Key Vault(CMK/BYOK)/TLS/WAF     │ KV 監査ログ/SSLポリシー      │
│ NIST CSF: Detect  │ 検知        │ Monitor/LA/Sentinel/Defender     │ アラート履歴/KQL レポート     │
│ NIST CSF: Respond │ 対応        │ SOAR(Playbook)/Runbook           │ 初動 Runbook/承認ログ         │
│ NIST CSF: Recover │ 復旧        │ Backup/ASR/Geo 冗長              │ DR 演習結果/RTO・RPO 実測     │
├───────────────┼──────────────┼──────────────────────────────┼────────────────────────────┤
│ SP800‑53: SC系    │ 通信/暗号   │ TLS1.2/1.3, Private Link         │ SSL/TLS設定・PL 接続図        │
│ SP800‑53: AC系    │ アクセス制御│ Entra MFA/CA/RBAC/PIM(JIT)       │ 役割台帳/アクセスレビュー     │
│ SP800‑53: AU系    │ 監査        │ 活動/診断ログ→LA/WORM           │ 保持ポリシー/改ざん耐性証跡   │
│ SP800‑171         │ CUI 保護    │ Key Vault/Private Endpoints 等   │ コントロール適合マトリクス     │
└───────────────┴──────────────┴──────────────────────────────┴────────────────────────────┘

5. 地域別の設計留意（移転・適法化・監督）

5.1 日本（APPI）

国外移転：受領国の保護制度・受領者の措置等を事前説明。国内主務ガイドライン（FISC ほか）を重層参照。
実装：Japan East/West を主稼働、DR の越境がある場合はプライバシーポリシー明示＋契約条項＋暗号鍵主権で補完。

5.2 EU（GDPR）

Art.32：暗号化/DR/定期的検証。
移転適法化：SCC 2021/914／十分性認定（例：対日本）／補完的措置（鍵主権/E2E）。
Schrems II：移転先公的アクセスの評価→技術的補完（E2E/BYOK）を設計書で根拠付け。

5.3 米国（HIPAA・SOX）

HIPAA：ePHI の安全措置（暗号化・アクセス制御・監査）。医療情報の可用性／復旧も明記。
SOX：財務報告の内部統制・記録保持。ログの完全性・改ざん耐性が焦点。

5.4 金融当局・横断規制（例）

MAS TRM（SG）／EBA ICT（EU）：ICT リスク管理・外部委託・ログ・DR を総点検。Azure 側は Policy/監査・DR 演習の定常運用で平準化。

6. 契約・ポリシー・運用手順（ドラフト観点）

DPA / SCC：処理者義務・下請先・移転・監査協力・通知義務・準拠法。
プライバシーポリシー：リージョン／バックアップの複製先／DR 時の移転可能性を明確化。
運用 Runbook：72h 報告、影響評価（データ件数・カテゴリ・暗号化状態）、是正（鍵ロール、アクセストークン失効）。
台帳：データ分類、鍵の所在・ローテ、ログ保持、移転根拠（SCC／十分性／同意）。

7. 最小チェックリスト（監査対応の即効薬）

鍵主権：Key Vault CMK/BYOK（Rotation ≤ 12M）、アクセスは RBAC 最小。
TLS/境界：TLS1.2/1.3、WAF Prevention、Private Link、mTLS（要件次第）。
ログ：活動/診断/Sign‑in を LA 集約、WORM とアーカイブ保持方針を Evidence 化。
SCC/DPA：最新版への差替確認、データ写像（本番／バックアップ／DR）を台帳化。
72h：検知→初動→通報→再発防止のフローを Runbook として演習。
DR：ASR/Backup／演習記録（RTO/RPO 実測）を四半期で更新。

8. 山崎行政書士事務所のご支援（PR）

法務（APPI/GDPR/SCC/DPA）× 技術（Key Vault/BYOK/Policy/Sentinel/ASR）を同じ設計書と Evidence Packに束ね、監査にそのまま出せる品質で納品します。

要件整理→設計→実装→証憑化を一気通貫。
段階導入（Baseline→Advanced→Mission‑Critical）で費用対効果を可視化。
エンタープライズ実績（金融・医療・製造）。FISC／SOX／HIPAAの論点テンプレを持ち込み、90 日で「動く標準＋Evidence」まで伴走。