防衛産業基盤におけるデータ主権：請負業者が知っておくべきこと
多くの業界において、データ主権コンプライアンスは地理的な問題、すなわち「データがどこに保存され、どの国の法律が適用されるのか」という点に集約されます。しかし、防衛請負業者の場合、この問いだけでは不十分です。防衛産業基盤（DIB）における主権は、2つの軸で同時に機能します。1つ目は、管理対象データがどこに保存できるかという地理的制限。2つ目は、米国内の外国籍者を含め、誰がアクセスできるかという認可ベースの制限です。どちらか一方でも誤れば、規制違反による罰金では済まず、契約喪失や資格剥奪、深刻な場合は刑事責任に発展します。
本記事では、防衛データ主権の仕組み、他業界との違い、それを強制するフレームワーク、そして両軸を満たすために必要な管理策について解説します。
エグゼクティブサマリー
主なポイント：防衛請負業者のデータ主権は2つの軸で成り立っています。1つ目は地理的要件で、CUIやITAR管理技術データは米国法管轄下のインフラ上に保存しなければならず、サーバーの場所に関わらず外国政府によるアクセス法が適用されるクラウドプロバイダーは主権リスクを直接生じさせます。2つ目は認可ベースで、ITARは地理に関係なく外国籍者による管理技術データへのアクセスを禁止します。これはGDPRやHIPAA、民間フレームワークにはない「人」に基づく主権要件です。CMMC、ITAR、FedRAMPが両軸を統括する強制メカニズムとなります。
なぜ重要なのか：2026年までに、すべてのDoD契約には適切なCMMC認証が必要です。ITAR違反には1件あたり最大100万ドルの罰金や経営者の刑事責任が科されます。コンプライアンス違反は契約喪失や防衛市場からの資格剥奪につながり、吸収できるような罰金では済みません。
主なポイント
- 防衛データ主権には民間フレームワークにない2つの側面があります。地理的制限はCUIの保存場所を規定し、「人」に基づく制限は米国内の外国籍者を含め誰がアクセスできるかを規定します。多くの民間主権フレームワークは前者のみを扱っています。
- CLOUD法は、国内に保存されたデータにも地理的主権リスクをもたらします。米国本社のクラウドプロバイダー上のCUIは、サーバーの所在地に関係なく米国政府による強制開示の対象となります。顧客管理型暗号化のみがこのギャップを埋める唯一の管理策です。
- ITARの「みなし輸出」規則は主権要件を従業員にも拡張します。米国内で外国籍従業員にITAR管理技術データを見せることは、その従業員の母国にデータを輸出するのと法的に同等です。物理的なデータ移動は不要です。
- CMMCはサプライチェーン全体に及ぶ主権義務です。元請業者がどれだけ主権対策を講じても、下請業者が非準拠または外国リスクのあるインフラにCUIを保存すれば、全体の主権体制が損なわれます。
- 顧客管理型暗号化は地理的・認可ベース両方の主権ギャップを埋めます。クラウドプロバイダーが復号鍵を保持しなければ、政府による強制開示要求があっても暗号化されたままアクセスできません。KiteworksのプライベートデータネットワークはBYOK/BYOE対応でこのギャップを解消します。
防衛データ主権が他業界と異なる点
医療、金融、一般企業の分野では、データ主権は主に地理的なものです。特定の法域内の個人データはその法域の法律に従い、しばしば域内に留める必要があり、定められた法的手続きに基づき政府がアクセスできます。GDPR、HIPAA、中国のPIPLはいずれもデータの保存場所や個人の権利を軸に構成されています。防衛分野もこの地理的側面を持ちますが、さらに民間にはない「人」に基づくアクセス制限が加わります：
| 側面 | 防衛（DIB） | 医療 | 金融 |
|---|---|---|---|
| 主な主権トリガー | データ種別（CUI、ITAR技術データ）＋アクセス権者 | データ主体の所在地・データの機微性（PHI） | データ主体の所在地・業界固有の保存要件 |
| 地理的要件 | 米国法管轄インフラ、CUIはFedRAMP認証クラウド | 法域固有の保存要件（GDPR、各国医療法） | 法域固有の保存要件（GDPR、業界規制） |
| 人に基づく制限 | あり — ITARは地理に関係なく外国籍者のアクセスを禁止 | なし — 権限があれば国籍問わずアクセス可能 | なし — 権限があれば国籍問わずアクセス可能 |
| 強制メカニズム | CMMC認証、ITARライセンス、FedRAMP認証、DFARS契約条項 | HIPAA執行、GDPR監督当局による罰金 | 業界規制当局による罰金、GDPR執行 |
| 違反時の結果 | 契約喪失、資格剥奪、ITAR違反は1件最大100万ドル・刑事責任 | 金銭的罰則、業務制限、評判リスク | 金銭的罰則、市場アクセス制限 |
このように、地理的保存要件と人に基づくアクセス制限の両方が多層的サプライチェーン全体に及ぶため、防衛分野はあらゆる組織にとって最も複雑な主権環境となっています。
CMMC 2.0 コンプライアンスロードマップ for DoD請負業者
Read Now
トラック1：防衛データはどこに保存できるのか？
防衛請負業者にとって地理的主権の核心は、管理対象防衛データが外国政府や敵対的アクターにインフラ経由でアクセスされないようにすることです。これは単に正しい国のデータセンターを選ぶだけではありません。
インフラ要件
管理されていない分類情報（CUI）は、CMMC 2.0コンプライアンス要件を満たすシステム上に保存しなければなりません。クラウド利用の場合、FedRAMPコンプライアンスが必須です。これは連邦政府がクラウドプロバイダーのセキュリティ管理策、データ保存慣行、アクセス管理がCUIに必要な基準を満たしていることを認証するものです。CUIにFedRAMP未認証クラウドを使えば、サーバーの所在地に関わらず主権ギャップが生じます。さらに、DoD調達規則では特定の外国系通信インフラの利用を明確に禁止しています。中国やロシア資本が直接・間接的に関与するプロバイダーは、どんなコンプライアンスポリシーでも排除できない外国政府アクセスリスクを生じさせます。
CLOUD法の問題
米国CLOUD法により、米国本社のクラウドプロバイダーは世界中どこにデータが保存されていても米国法執行機関から顧客データの提出を強制される可能性があります。防衛請負業者にとっては、米国系クラウドに保存したデータは地理に関係なく米国政府の強制開示対象となり、外国系クラウドの場合はその国の政府アクセス法の対象となります。データ保存要件は「どこに保存されているか」を定めますが、顧客管理型暗号化は「誰が読めるか」を制御します。請負業者がBYOKやBYOEで全ての復号鍵を保持していれば、CLOUD法による開示要求があってもプロバイダーは暗号化されたデータしか提出できません。
トラック2：誰が防衛データにアクセスできるのか？
ここが防衛データ主権と民間フレームワークとの最大の違いです。ITARの外国籍者規則は、誰が管理データにアクセスできるかを主権問題とみなし、GDPRやHIPAA、他の業界固有フレームワークには存在しないコンプライアンス義務を課しています。
ITARの「みなし輸出」規則
ITARコンプライアンスでは、「外国人」とは米国市民、合法永住者、移民国籍法上の保護対象者以外の全ての人を指します。「みなし輸出」規則により、米国内で外国籍者にITAR管理技術データへアクセスさせることは、そのデータを物理的に国外へ送るのと法的に同等とみなされ、実際のデータ移動がなくても同じライセンス要件が発生します。データ移動や侵害がなくても、アクセス自体が違反となります。
このため、民間にはない「従業員主権」義務が生じます。防衛請負業者は、システムアクセス権だけでなく、管理技術データに接触する可能性のある全ての人物の国籍・市民権状況を把握しなければなりません。これはクラウドプロバイダーの運用スタッフにも及びます。プロバイダーのシステム管理者に外国籍者が含まれ、ITAR管理データが保存されているインフラにインフラレベルでアクセスできる場合、それもみなし輸出違反のリスクとなります。
3つのデータカテゴリとアクセスルール
主な防衛データの3カテゴリには、それぞれ異なる主権義務があります：
| データカテゴリ | 定義 | 適用フレームワーク | 主なアクセス制限 |
|---|---|---|---|
| 連邦契約情報（FCI） | 政府から提供または契約下で生成された情報で、公開を意図しないもの | FAR 52.204-21、CMMCレベル1 | 契約関係外への開示禁止・基本的なアクセス制御が必要 |
| 管理されていない分類情報（CUI） | 法律・規制・方針に基づき保護が必要とされる政府指定の機微情報 | DFARS 252.204-7012、CMMCレベル2、NIST 800-171準拠 | 知る必要のある者のみアクセス可・クラウドはFedRAMP認証インフラ・CMMCレベル2の全管理策適用 |
| ITAR管理技術データ | 米国武器リスト掲載の防衛品に直接関連する情報（設計図、仕様、ソフトウェア等） | ITAR準拠（国務省DDTCによる執行） | 外国籍者のアクセス禁止（米国人のみ、輸出ライセンス取得時を除く）・最も厳格なカテゴリ |
強制フレームワーク
CMMC 2.0はサプライチェーン全体に及ぶ主権義務です。CUIを扱う全てのDIB請負業者は、レベル2の第三者評価を通じてアクセス・暗号化・監査ログ・インシデント対応などの管理策を実装し、証明しなければなりません。レベル2の110項目はNIST 800-171準拠、レベル3の145項目はNIST 800-172に基づき、最重要プログラムに対応します。2026年までにCUIを扱う全DoD契約で適切な認証が義務化され、契約資格が強制力となります。
ITARは国務省防衛貿易管理局（DDTC）が執行し、米国武器リスト上の防衛品・技術データの輸出・移転を規制します。CMMCが管理策ベースであるのに対し、ITARは「人」ベースです。違反時は1件最大100万ドル、資格剥奪、経営者の刑事責任が科されます。全てのCMMC管理策を満たしていても、外国籍従業員が兵器システム設計図にアクセスすればITAR違反となります。
FedRAMPコンプライアンスはクラウドインフラの地理的主権検証です。DFARS 252.204-7012やFAR 52.204-21は契約上の強制レイヤーで、NIST 800-171準拠を契約条件に組み込み、72時間以内のインシデント報告義務も追加しています。DFARS違反は契約解除だけでなく、虚偽請求法（False Claims Act）による法的責任も生じます。
防衛請負業者がデータ主権で陥りやすい誤り
クラウドプロバイダーの問題。FedRAMP認証のないクラウドや顧客管理型暗号化のないクラウドでCUIを扱うと、両方の主権軸でリスクが残ります。Microsoft BitLockerの事例（MicrosoftがFBIに復号鍵を提供したと認めた）は構造的な問題を示しています。クラウドプロバイダーが復号鍵を保持していれば、強制開示要求でCUIにアクセスされます。FedRAMP認証インフラ＋顧客管理型暗号化が必須の組み合わせです。
外国籍従業員の問題。国際的な人材を抱える防衛請負業者が、ITAR制限をポリシーだけで運用し、技術的なアクセス制御を導入しない場合、システム設定ミス一つでみなし輸出違反に直結します。ロールベースアクセス制御やドキュメントレベルのDRMは、みなし輸出規則の技術的実装であり、代替策ではありません。
サプライチェーンの問題。元請業者がCMMC認証を取得していても、非認証の下請業者とCUIを共有すればリスクが残ります。Kiteworksが2025年に実施したCMMC取得中の104組織への調査では、62%が包括的なガバナンス管理策を欠き、22%のみがサプライヤーとの契約でセキュリティ要件を明記していました。契約条項は義務を文書化するだけで、実際に強制するのは技術的管理策です。サプライチェーン要件の詳細はCMMCコンプライアンスチェックリストを参照してください。
コラボレーションの問題。サプライヤー、パートナー、輸出ライセンス下の外国同盟国との標準的なファイル共有は、データを相手の環境＝相手国の法域に移転します。ファイルを移転せずに文書を表示・編集できる「非所持型コラボレーションツール」を使えば主権リスクを完全に排除できます。
Kiteworksによる防衛データ主権対策
防衛データ主権は2軸の課題です。地理的軸（データの保存場所・インフラ・どの政府がアクセスを強制できるか）は、FedRAMP認証と顧客管理型暗号化が主要な管理策で、GDPRやHIPAAの主権問題に似ています。認可軸（ITARによる外国籍者アクセス禁止）は民間に類例がなく、ポリシーだけではなく技術的な実装が不可欠です。
Kiteworksのプライベートデータネットワークは、DIB向けに設計された単一プラットフォームで両軸をカバーします。
地理的軸では、FedRAMP中程度認証によりCUI向けの検証済みクラウドインフラを提供。シングルテナント構成でデータの混在を排除。顧客管理型暗号化（BYOK/BYOE）はFIPS 140-3レベル1認証、保存時はAES-256、転送時はTLS 1.3を採用し、CLOUD法ギャップを解消。Kiteworksや他のクラウドプロバイダーも強制開示要求時に顧客データへアクセスできません。オンプレミス、IaaS、FedRAMP認証クラウド、ハイブリッドなど、プログラム要件に応じて展開可能です。
認可軸では、ロールベースアクセス制御でシステムレベルの「知る必要のある者」原則を徹底。SafeEDIT DRMにより非所持型コラボレーションが可能で、サプライヤーやパートナー、輸出ライセンス下の外国同盟国もCUIやITAR管理技術文書をファイル移転なしで閲覧・注釈付与できます。統合・改ざん不可の監査ログで、ファイル共有、MFT、SFTP、メール、Webフォームを通じたCUI・FCIの全移動を記録。CISOダッシュボードで可視化、SIEMへのエクスポート、C3PAO評価にも直接対応。KiteworksはCMMC 2.0レベル2要件の約90%を標準でサポートし、認証期間と評価コストを大幅に削減します。
防衛請負業者向けデータ主権コンプライアンスの詳細は、カスタムデモを今すぐご予約ください。
よくあるご質問
GDPRやHIPAAは、データの保存場所や個人の権利を規定する地理的・権利ベースのフレームワークです。防衛分野はこれに加え、ITARによる「人」ベースの制限があり、地理に関係なく外国籍者の管理技術データへのアクセスを禁止します。また、契約資格喪失という重大な結果があり、サプライチェーン全体で主権コンプライアンスを証明する必要があります。CMMC、ITAR、FedRAMP、DFARSなどの規制コンプライアンスが同時並行で適用されるのも特徴です。
単独では十分とは言えません。国内データセンターの利用は保存場所要件を満たしますが、さらに3つの要件が必要です：プロバイダーが適切なレベルでFedRAMP認証を取得していること、顧客管理型暗号化でCLOUD法ギャップを解消していること（プロバイダーが鍵を保持していれば強制開示でCUIにアクセスされます）、プロバイダーのスタッフやサブプロセッサーがインフラレベルでITAR外国籍者リスクを生じさせていないこと、です。
ITARの「みなし輸出」規則では、外国籍従業員がITAR管理技術データにアクセスすることは、たとえ米国内オフィスでも、そのデータを母国に輸出するのと法的に同等とみなされます。これには技術的な実装が必要で、ロールベースアクセス制御でシステムレベルのアクセスを制限し、HRポリシーだけでは不十分です。ITAR管理データを識別できるコンテンツ分類・タグ付けと、米国人ステータスに紐づくIDベースのアクセス制御が必要です。
実質的に「はい」です。DFARS 252.204-7012やCMMCの下、元請業者はCUIを扱う下請業者にもセキュリティ要件を流す義務があります。元請の認証だけでは、下請の主権ギャップをカバーできません。非準拠インフラを使う下請にCUIが流れれば、証拠保管の連鎖が切れ、自社のコンプライアンス体制にも影響します。サプライチェーン要件の詳細はCMMCコンプライアンスチェックリストを参照してください。
両者は同じ主権スタックの異なるレイヤーを担います。FedRAMPコンプライアンスはクラウドインフラ自体を検証し、プロバイダーの管理策・保存慣行・アクセス管理がCUIホスティングに必要な連邦基準を満たしていることを認証します。CMMC認証は請負業者自身のセキュリティ運用（CUIの取扱い・保存・転送・サプライチェーン管理）を検証します。FedRAMPはツール側、CMMCは利用組織側の要件であり、完全な主権コンプライアンスには両方が必要です。
追加リソース
- ブログ記事
データ主権：ベストプラクティスか規制要件か？ - eBook
データ主権とGDPR - ブログ記事
データ主権で陥りやすい落とし穴 - ブログ記事 &
データ主権ベストプラクティス - ブログ記事
データ主権とGDPR【データセキュリティの理解】