GDPR準拠クラウドストレージのベストプラクティス

GDPR 準拠のクラウドストレージには五つの層からなる制御が必要です。（1）保存時 AES-256 と転送時 TLS 1.3 による暗号化、機密データには理想的にはクライアントサイド暗号化を追加する。（2）第 28 条（3）を満たすベンダーとのデータ処理契約。（3）文書化されたデータ所在地—EU 個人データには通常 EU/EEA—とサブプロセッサの透明性。（4）MFA、ロールベースのパーミッション、少なくとも 6 か月保持の監査ログによる細かいアクセス制御。（5）第 33 条の 72 時間通知ウィンドウを満たせる侵害検出。これらのいずれかの層を欠くと、そのストレージ層がコンプライアンススタックの最弱点になります。

第 28 条準拠プロバイダの選び方

EU の DPA 市場はプロバイダを明確な階層に分類します。ハイパースケーラー（ AWS 、 Azure 、 Google Cloud ）は包括的な DPA と EU リージョンを提供しますが、CLOUD Act のリスクを抱えます。EU 主権プロバイダ（OVHcloud、Scaleway、Infomaniak、Hetzner、IONOS）は米国の司法権を避け、C5、SecNumCloud、または ISO 27001 認証を保有することが多いです。専門的なプライバシー重視プロバイダ（Tresorit、Proton Drive、Internxt、Nextcloud ホスト版）はその上にゼロ知識アーキテクチャを提供します。データの機密性に基づいて選んでください。医療記録と防衛データには主権プロバイダまたはゼロ知識が必要です。一般的なビジネスファイルは適切に設定されたハイパースケーラーでも対応できます。

サーバーサイドとクライアントサイドの暗号化の違い

サーバーサイド暗号化— AWS S3 SSE-KMS、Azure Storage Service Encryption、Google Cloud 顧客管理キー—は物理的なディスク盗難には保護を提供しますが、鍵へのアクセスを持つプロバイダの従業員や、プロバイダへの法的強制には保護を提供しません。プロバイダが鍵を見ることのないクライアントサイド暗号化（Tresorit の XChaCha20-Poly1305、PBKDF2-SHA-256 鍵導出による HexaTransfer の AES-256-GCM）はゼロ知識保護を提供します。第 9 条の高感度データ（健康、生体情報、政治的見解）については、クライアントサイドがコンプライアンスのデフォルトです。サーバーサイドのみでは境界線上です。

GDPR 向け AWS S3 の設定

S3 はそのままでは準拠していません。EU の個人データには、バケットリージョンを eu-central-1（フランクフルト）、eu-west-1（アイルランド）、eu-west-3（パリ）、または eu-south-1（ミラノ）に設定してください。キーローテーション付きの顧客管理 CMK を使用した SSE-KMS でデフォルト暗号化を有効にしてください。アカウントレベルでパブリックアクセスをブロックしてください。法的に保持が義務付けられているコンプライアンスストレージには Object Lock を設定してください。監査のために S3 アクセスログと AWS CloudTrail を有効にしてください。トラフィックがパブリックインターネットを経由しないよう VPC エンドポイントを使用してください。CloudFront エッジキャッシュが EU 内に留まることを証明できない限り、S3 Transfer Acceleration を無効にしてください。

Azure と Google Cloud の同等設定

Azure：West Europe（アムステルダム）または North Europe（ダブリン）を選び、Key Vault を介した顧客管理キーで Storage Service Encryption を有効にし、Private Endpoints を設定し、Azure Policy で EU 域外のデプロイを拒否し、Microsoft Defender for Storage を有効にします。Google Cloud：europe-west1（ベルギー）、europe-west3（フランクフルト）、またはeurope-west9（パリ）を選び、Cloud KMS を介した顧客管理暗号化キーを有効にし、VPC Service Controls でデータ流出を防ぎ、Cloud Audit Logs を有効にします。両ハイパースケーラーは GDPR 固有の設定ガイドを公表しています。一字一句従ってください、独自のアレンジは禁物です。

第 32 条（1）（b）に基づくアクセス制御

ロールベースのアクセスがベースラインです。人間であるかサービスであるかにかかわらず、すべてのアイデンティティは特定のバケット、プレフィックス、またはフォルダに限定した最小権限を持つ必要があります。MFA はコンソールアクセスに必須であり、セッショントークンによる API キーにも推奨されます。Okta、Azure AD、Google Workspace などのアイデンティティプロバイダと統合された入退社・異動ワークフローで古いアクセスを防ぎます。四半期ごとのアクセスレビューでスコープのクリープを把握します。高感度ファイルの場合、二重承認とブレークグラスアクセス、4〜8 時間後の昇格した権限の自動失効により、侵害された管理者アカウントの被害を制限します。

目的に合わせた保持ポリシー

第 5 条（1）（e）（ストレージ制限）は処理目的が期限切れになったときにデータを削除することを義務付けています。クラウドストレージは無期限保持を誘惑します—ストレージは安いからです。目的に縛られた保持を強制するライフサイクルポリシーを構築してください。転送ドロップゾーンは 30 日、カスタマーサポートの添付ファイルは 13 か月、請求書は 7 年（税法）、一部の管轄では医療記録は 10 年です。S3 Lifecycle ルール、Azure Blob Lifecycle Management、GCS Object Lifecycle はすべてこれを自動化します。保持が法的に義務付けられている WORM コンプライアンスには Object Lock と組み合わせます。

暗号化キー管理

キーは重心です。鍵を保有する者がデータを保有します。GDPR の下では、キーの保管がストレージプロバイダがプロセッサ（復号できる）かデータコンジット（暗号文のみ保有）かを決定します。サーバー管理シナリオには HSM バックアップのキーストア（ AWS KMS 、 Azure Key Vault Managed HSM 、 Google Cloud HSM ）を使用してください。ゼロ知識のためには、Web Crypto API の PBKDF2 または Argon2id（libsodium の crypto_pwhash）を介してブラウザ内でキーを導出し、送信しないでください。キーには年次ローテーションか、アクセス権を持つ人材の退職時にローテーションしてください。第 30 条の RoPA でキーの保管を文書化してください。

バックアップの暗号化と所在地

バックアップは所在地と暗号化のストーリーを壊すことが多いです。「回復力のため」という理由で us-east-1 へのクロスリージョンレプリケーションルールを持つ eu-central-1 のバケットは、DPA を更新せずにすべてのファイルを米国に移動させています。CRR の設定を確認し、送信先を EEA 内に設定してください—eu-west-1（アイルランド）と eu-central-1（フランクフルト）は自然なペアです。プライマリストレージとは別のキーでバックアップを暗号化し、一方のキーの侵害が両方のコピーを明かさないようにしてください。バックアップを四半期ごとにテストしてください。復元できないバックアップは DR 目的では存在しないより悪いです。

72 時間に間に合う侵害検出

第 33 条の 72 時間の時計は「認識した」時点から始まります。検出ツールが侵害と認識の間隔を短縮します。 AWS の CloudTrail + GuardDuty 、 Azure の Microsoft Defender for Cloud 、 GCP の Security Command Center Premium はすべて異常なアクセスパターン—大量ダウンロード、新しい地域からのアクセス、業務時間外のキー使用—を検出します。アラートを 24/7 の SOC または少なくともオンコールローテーションにルーティングしてください。小規模な組織には、マネージドディテクション・アンド・レスポンスサービス（Arctic Wolf、Red Canary）がギャップを埋めます。プレイブックを文書化してください。誰が DPA に通知するか、誰が第 33 条フォームを作成するか、誰が第 34 条に基づいてデータ主体に通知するか。

ベンダー評価チェックリスト

クラウドストレージ契約を締結する前に次を要求してください。（1）八つのすべての事項をカバーする第 28 条準拠の DPA。（2）スコープ文を含む ISO 27001 証明書。（3）SOC 2 Type 2 レポート（SOC 2 Type 1 は設計のみテストするため不十分です）。（4）具体的なデータセンター都市を明記した EU データ所在地のコミットメント。（5）管轄と目的を含むサブプロセッサ台帳。（6）公表された侵害通知タイムライン（24 時間以内が望ましい）。（7）キー管理を含む暗号化のドキュメント。（8）第 28 条（3）（h）に基づく監査権限。 HexaTransfer はトラストページに八つすべてを公表しています。 Tresorit 、 Proton 、 Infomaniak も同様です。

ベンダーのトラストページを契約書として扱ってください—それがなければ、ベンダーは真剣ではありません。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。