クラウドストレージ Compliance: GDPR, HIPAA, and Beyond

クラウドストレージのコンプライアンスとは、4つのことを監査人に証明することです。データは保存時と転送時に暗号化されている、アクセスは記録され必要最小限である、保持期間はポリシーに沿っている、地理的な管理は規制の範囲に合致している。GDPR・HIPAA・SOC 2 Type II・PCI DSS 4.0・CCPAはそれぞれ独自の要件を持っています。GDPRの第17条によるデータ主体の権利、45 CFR 164.308〜164.316のHIPAAセキュリティルール、保管中のカード会員データに関するPCI DSS要件3.5などですが、共通の骨格があるため、一度構築すれば対応できます。

GDPR：適法根拠と削除要求権

EUの居住者の個人データをクラウドバケットに保存することは、会社の所在地に関わらずGDPR上の義務を発生させます。第6条は、すべての処理活動に対して文書化された適法根拠（同意・契約・正当な利益など6種類のいずれか）を要求します。第30条は、データ・目的・受取人・保持期間を記載した処理活動の記録（ROPA）を義務付けます。

第17条（「削除権」）が実務上の鍵となります。データ主体が削除を要求した場合、30日以内にプライマリストレージ・バックアップ・レプリケートされた階層からそのファイルを削除しなければなりません。オブジェクトレベルのタグ（data-subject-id: 4829）があれば現実的に管理できますが、ない場合はペタバイト単位のgrepになります。S3 Object TaggingとAzure Blob Index Tagsはどちらも大規模なインデックス付き削除をサポートしています。

HIPAA：BAA・暗号化・6年ログ

HIPAAセキュリティルールには3つのセーフガードカテゴリがあります。管理的（§164.308）・物理的（§164.310）・技術的（§164.312）です。クラウドストレージでは技術的セーフガードが最重要です。アクセス制御（固有のユーザーID・自動ログオフ・暗号化）・監査制御（活動の記録と検査）・整合性制御・伝送セキュリティです。

PHIを扱うすべてのクラウドプロバイダーとのBusiness Associate Agreement（BAA）が必要です。AWS・Azure・Google Cloud・Cloudflareはすべてという状況ですが、小規模なコンシューマー向けサービスは通常署名しません。監査ログは§164.316(b)(2)(i)に従って6年間保持してください。暗号化は「必須」ではなく「対処可能」として分類されていますが、OCRの執行事例では事実上必須として扱われています。暗号化されていないノートPCの侵害は平均1億8,000万円の和解金に達しています。

SOC 2 Type II：トラストサービス基準

SOC 2は規制ではなく、セキュリティ・可用性・処理の整合性・機密性・プライバシーに関する管理を認定するフレームワークです。Type IIレポートは6〜12か月の観察期間をカバーし、多くのエンタープライズ顧客が契約前に実際に要求するものです。

クラウドストレージの主要な管理項目：CC6.1（論理アクセス）・CC6.6（転送時の暗号化）・CC6.7（保存時の暗号化）・CC7.2（モニタリング）。監査証拠として必要なもの：IAMポリシーのエクスポート・KMSキーのローテーション記録・CloudTrailログ・バケットポリシー。Vanta・Drata・Secureframeが証拠収集を自動化します。手動でのSOC 2対応には年間400〜600エンジニア時間かかります。

PCI DSS 4.0：カード会員データのスコープ

バケット内のファイルにPAN（プライマリアカウント番号）が含まれていれば、そのバケット全体がPCIスコープに入ります。PCI DSS 4.0の要件3.5は、保存場所を問わずPANを読めない状態にすることを要求します。一方向ハッシュ（SHA-256）・切り詰め・トークン化・強力な鍵管理を伴うAES-256暗号化のいずれかが必要です。

要件4.2.1は公衆ネットワーク上のカード会員データに強力な暗号化を義務付けます。TLS 1.2以上が最低要件（1.3を推奨）です。要件10は、カード会員データへのすべてのアクセスを記録し、毎日レビューする監査ログを要求します。最も安価なコンプライアンス戦略：そもそもPANを保存しないことです。決済プロセッサでトークン化し、クラウドファイルにはトークンのみを保存してください。

CCPAとCPRA：カリフォルニア州の規制セット

カリフォルニア州消費者プライバシー法（CCPA）と2023年の改正（CPRA）は、GDPRを反映した権利をカリフォルニア州民に与えます。知る権利・削除権・訂正権・販売/共有のオプトアウト・センシティブな個人情報の利用制限です。2,500万ドルの売上高閾値により、中堅企業もスコープに入るケースが増えています。

実務上のストレージへの影響：45日以内に全バケット横断でその人のデータを特定できる消費者リクエストワークフローの維持（民法§1798.130）・データ最小化の実施・アカウント作成なしで削除を提供すること。CPRAは追加のコントロールを要求する「センシティブな個人情報」カテゴリを追加しています。マイナンバー・正確な位置情報・人種・宗教・健康情報・生体情報がこれに含まれます。

越境データ転送の仕組み

Schrems II判決以降、有効な保護措置なしにEUのデータを米国へ転送することは違反です。EUと米国のデータプライバシーフレームワーク（2023年7月）により認証済みの米国企業への転送が再び可能になりましたが、すべての企業が認証を取得しているわけではありません。標準契約条項（SCC）が代替手段として機能しており、新しい2021年のSCCテンプレートには移転影響評価が必要です。

ストレージの観点では、リージョンを慎重に選ぶことを意味します。AWS eu-west-3（パリ）・Azure France Central・Google europe-west9（パリ）はデータをEU内に保持します。SCC・DPF認証・明示的な同意でカバーされていない限り、他のEUリージョン以外へのレプリケーションは避けてください。CloudflareのRegional ServicesとAWSのAWS Nitro Enclavesはインフラレベルでデータ居住地保証の適用を支援します。

全員を満足させる暗号化アーキテクチャ

GDPR・HIPAA・PCI・SOC 2の共通要件：文書化された鍵管理による保存時と転送時の暗号化です。保存時はAES-256-GCM（AWS KMS・Azure Key Vault・Google Cloud KMS）、転送時はTLS 1.3を使います。カスタマーマスターキーは最低でも年1回ローテーションしてください。

特に機密性の高いワークロードには、クライアントサイド暗号化によりプロバイダーへの平文送信を完全に防げます。ゼロ知識E2EEを行うツール（PBKDF2派生鍵でブラウザ上で暗号化し、暗号文のみをアップロード）は、プロバイダーが令状があってもデータにアクセスできないため、コンプライアンス上の説明が簡単になります。HexaTransferは、コンプライアンス対応が必要なプロジェクトでのアドホックなファイル共有に際してこの方式で動作します。

バインダーではなく、エビデンスパイプラインを構築する

監査人が求めるのは継続的な証拠であり、訪問の前週にまとめたスナップショットではありません。CloudTrail/Activity Log/Cloud Audit LogsをSIEM（Splunk・Elastic・Datadog）にパイプします。すべてのリソースにowner・data-classification・retention-policyタグを付けます。AWS Config Rules・Azure Policy・Open Policy Agentで設定チェックを自動化します。

コントロール・証拠ソース・担当者を1つのマトリクスに文書化してください。監査人から「バケットへのMFAが適用されていることをどうやって確認しているか」と聞かれたとき、答えは日次自動レポートのスクリーンショットであるべきです。コンソールを慌てて操作するものではありません。監査を難なく通過する組織は、コンプライアンスをイベントではなくパイプラインとして扱っています。

hexatransfer.com で今すぐ試せます — 無料、アカウント不要、最大10GB。