コンプライアンスレビューでは、一見単純な質問が投げかけられる。「収集されたデータはどこに存在するのか」というものだ。
エンジニアリングチームはフランスのレジデンシャルIPを指し示し、「フランスです」と答える。リクエストは確かにパリから発信されたように見えた。しかし、収集ワークロードはロンドンで実行され、処理はフランクフルトで行われ、ログはバージニアに保存され、バックアップはアイルランドに保管されているかもしれない。
プロキシは、フランスの観測拠点を確立するという意図された役割を果たした。しかしそれはデータレジデンシーの質問には答えていない。出口の位置は収集、処理、保存の場所とは異なり、それ自体でどの法域が適用されるかを確定するものでもない。
地理的ターゲティングは価値あるルーティング制御である。データレジデンシーはデータライフサイクル全体に関わるものだ。一方を他方の証拠として扱うと、コンプライアンスチームは不完全な地図しか持てず、調達チームは誤った質問をすることになる。
重要なポイント
- プロキシの出口は、リクエストがどこから発信されたように見えるかを制御するが、結果として得られるデータがどこに存在するかを確定するものではない。
- 企業は、出口、収集、処理、保存、法域という5つの概念を区別すべきである。
- 運用ログ、バックアップ、フェイルオーバーシステム、リモートサポートアクセスは、主要リージョンのレビューでは見落とされがちな追加の所在地を生み出す可能性がある。
- GDPRの地理的適用範囲、国際移転、電子的な通過は関連しているが別個の問題である。
- 説得力のあるレジデンシーの立場を確立するには、最終的なネットワークホップからの推測ではなく、データライフサイクル全体を裏付ける証拠に基づいた地図が必要である。
データレジデンシーが実際に示すもの
データレジデンシーは一般に、データが保存され、ポリシーや契約によっては処理される物理的または契約上指定された場所を指す。データローカライゼーションは通常、指定されたデータが特定の領域内にとどまるべきという要件を指す。データ主権は、関係するデータ、インフラ、組織に適用され得る法律や政府の権限に関わるものである。
これらの用語は必ずしも一貫して使用されているわけではない。ベンダーがサービスを「EUホスト」と説明する場合、それは主要データベースのみを指していることがある。買い手側はこの言葉を、処理、ログ、バックアップ、サポートアクセス、すべてのサブプロセッサーを含むものと解釈するかもしれない。したがって企業は、地理的なコミットメントがどのデータ、業務、インフラコンポーネントを対象としているかを明確に定義する必要がある。
5層のテスト
我々は、アーキテクチャを5つの異なる質問に分けることを推奨する。説得力のあるデータレジデンシーの立場を確立するには、企業は最初の質問を残り4つの代替とするのではなく、5つすべてに答える必要がある。
| 概念 | この概念が答える質問 | この概念が確定しないもの |
|---|---|---|
| 出口の位置 | リクエストはどの国、都市、ネットワークから発信されたように見えるか | 返されたデータがその後どこで処理または保持されるか |
| 収集の位置 | リクエストを行うアプリケーションや収集ワークロードはどこで稼働しているか | その後の分析、エンリッチメント、保存がどこで行われるか |
| 処理の位置 | データはどこで解析、フィルタリング、分類、エンリッチメント、分析されるか | コピー、ログ、バックアップがどこに保持されるか |
| 保存の位置 | データベース、オブジェクトストア、ログ、レプリカ、バックアップはどこにあるか | 関係するすべての当事者にどの法律が適用されるか |
| 法域 | どの法律、契約、規制体制がその活動を規律し得るか | 単純な一つの物理的な場所であること。複数の法域が適用され得るため |
法域は単に地図上のもう一つの点ではない。適用されるルールは、管理者と処理者がどこに設立されているか、誰のデータが関わるか、処理目的、そして情報が他の組織に提供されるかどうかに依存し得る。したがって、一つのパイプラインが矛盾なく5つの異なる地理的答えを生み出すことがあり得る。
フランスのレジデンシャル出口が実際に証明すること
パリのレジデンシャルIPを選択することは観測位置を確立する。宛先は、選択された市場の中または近くにあるIPアドレスに関連付けられたリクエストを受信する。この機能は、地理的に正確な広告検証、地域化された検索モニタリング、地域別価格インテリジェンス、市場固有のウェブデータ収集などのアプリケーションにとって中心的なものである。ウェブサイトは、訪問者の見かけ上の位置に応じてコンテンツ、広告、価格、在庫状況、言語を変えることがある。
フランスの出口は、チームがフランス版のウェブを観測することを可能にする。しかしそれは残りのインフラの所在を特定するものではない。仮想的なワークフローでは、パリの出口、ロンドンのコレクター、フランクフルトの処理、ダブリンのデータベース、バージニアのログ、アイルランドのバックアップ、シンガポールからのサポートアクセスがあり得る。「パリ」はリクエストの見え方を説明するものであり、データの前後で何が起こるかを説明するものではない。
プロキシリクエストの周囲に生成される隠れたデータ
ダウンロードされたページやAPIレスポンスは、収集ワークフローの一部分に過ぎない。システムはさらに、URL、クエリパラメータ、ヘッダー、セッションメタデータ、タイムスタンプ、接続記録、エラートレース、テレメトリ、セキュリティイベント、サポートチケット、キャッシュされたレスポンス、レプリカ、バックアップを保持することがある。各カテゴリーは異なる処理経路と保持スケジュールをたどる可能性がある。
レスポンスは承認された欧州リージョン内にとどまる一方、エラートレースはグローバルなモニタリングプラットフォームに到達するかもしれない。地域制限のあるデータベースであっても、他の場所にいるサポート担当者がアクセスできる場合がある。不要な個人情報を避けることでリスクを減らせるが、個人情報でないデータであっても契約上のレジデンシー要件、機密保持、業界固有の要件に直面することがある。
国選択機能はルーティング制御である。データレジデンシーは、データライフサイクル全体のアーキテクチャ的、運用的、契約的な性質である。
地理的適用範囲と国際移転は別個の問題である
GDPRの下では、地理的適用範囲と国際移転は関連しているが別個の分析である。第3条はGDPRがいつ適用されるかを扱う。EU拠点の活動に関連する処理は、処理自体がEU内で行われるかどうかにかかわらず、その範囲に含まれ得る。GDPRはまた、EU域外の一部の組織が、EU域内の人々に商品やサービスを提供したり、その行動を監視したりする場合にも適用され得る。
第5章は、個人データの第三国または国際機関への移転を扱う。欧州データ保護会議(European Data Protection Board)は、移転に関する3つの累積的要素を挙げている。すなわち、当該処理についてGDPRの対象となるエクスポーター、別の管理者または処理者への個人データの開示または提供、そして第三国または国際機関にあるインポーターである。
いくつかの結論が導かれる。EUの出口は国際移転が発生していないことを証明しないし、非EUの出口自体も規制対象の移転を確定するものではない。ネットワーク経路は、管理者、処理者、サブプロセッサーの役割を決定しない。プロキシは適法根拠も匿名化も生み出さない。
移転と通過には違いもある。英国情報コミッショナー事務局(Information Commissioner’s Office)は、他国を経由して電子的にルーティングされたデータは、単に通過しているだけであり、そこでアクセスまたは保存されることが意図されていない場合、必ずしも制限された移転にはあたらないと説明している。対照的に、リモートシステムアクセスを含め、個人情報を海外の別組織がアクセス可能な状態にすることは、UK GDPRの枠組みの下で移転に該当し得る。
規制対象の移転が存在する場合、組織は十分性認定、標準契約条項(Standard Contractual Clauses)、または他の適切な保護措置といった仕組みを検討する必要があるかもしれない。欧州委員会は、SCCsをEUから第三国への特定の移転の根拠となり得る事前承認された契約条項であると説明している。それでもその適合性は、特定の当事者、データフロー、法的状況に依存する。
調達チームがこの違いを見落とす理由
この混乱は理解できるものである。プロキシのダッシュボードは目に見える国選択機能を提供する一方、処理には目に見えにくい多くのサービスが関わることがある。責任は分散している。エンジニアリングはルートを選択し、クラウドチームはリージョンを選び、セキュリティはオブザーバビリティを担い、法務は契約をレビューし、調達はベンダーの保証を記録する。これらの決定を一つの所在地マップに結びつけている組織は少ない。
曖昧な言葉が問題を悪化させる。「欧州のインフラ」「地域ホスティング」「ローカル処理」といった表現は、意図されたよりも広く解釈されることがある。フェイルオーバー、サポートアクセス、バックアップ、サブプロセッサーは、主要リージョンの外にあることがある。「サービス」がどこでホストされているかだけを尋ねても、そのアーキテクチャは捉えられない。
企業向けプロキシ調達チェックリスト
より良い調達プロセスは、具体的で証拠に基づいた質問を投げかける。処理者とサブプロセッサーの関係については、説明責任には一般的なプロバイダーラベルや保証ロゴ以上のものが必要である。
| 質問 | 求めるべき証拠 | 潜在的な危険信号 |
|---|---|---|
| プロバイダーはどのデータを受け取るか | リクエスト内容、アカウントデータ、利用メタデータ、セキュリティログ、サポート記録を分けたデータインベントリ | すべてのデータを一時的なトラフィックとして扱い、運用メタデータを無視した回答 |
| ゲートウェイとコントロールプレーンサービスはどこで稼働しているか | 現行のアーキテクチャと地域別デプロイマップ | 出口国がゲートウェイまたは処理場所として提示される |
| 各データカテゴリーはどこで処理・保存されるか | 主要ストア、ログ、キャッシュ、レプリカ、バックアップの所在地 | 主要データベースのリージョンのみが開示される |
| 何が、どのくらいの期間保持されるか | すべての重要なデータカテゴリーについての目的別の保持・削除スケジュール | 未定義、無期限、または一貫性のない保持期間 |
| リージョンは選択または制限できるか | コミットメントがどの処理・保存コンポーネントを対象とするかの正確な記述 | 「EUホスト」といった、定義された範囲のない曖昧な主張 |
| フェイルオーバーやディザスタリカバリ時には何が起きるか | フェイルオーバーリージョン、リカバリアーキテクチャ、例外時処理手順 | 通常運用時の地理のみが答えとして提示される |
| どのサブプロセッサーが関与しているか | 身元、機能、設立地、関連する所在地を示す最新の登録簿 | プロバイダーが提供に関わる当事者を特定できない |
| 担当者は他国からデータにアクセスできるか | サポート、セキュリティ、管理に関するリモートアクセスの所在地と統制 | 地域的なレジデンシーに関する記述からグローバルアクセスが省略されている |
| どのような契約上の保護措置が利用可能か | データ処理契約(Data Processing Agreement)、移転に関する文書、範囲を定めたセキュリティ証拠 | 認証が実際のデータフローのマッピングの代替として提示される |
| 重要な変更はどのように通知されるか | インフラ、リージョン、サブプロセッサーに関する契約上の通知手続き | 通知期間、変更ログ、顧客のエスカレーション経路がない |
プロバイダーの回答は、企業自身のコンプライアンス評価への入力の一つである。買い手自身のコレクター、処理パイプライン、分析サービス、ストレージシステムをマッピングすることの代替にはならない。
位置情報を考慮したプロキシアーキテクチャの構築方法
実践的な解決策は、データレジデンシーをワークフロー全体に組み込んで設計することである。
- データを分類する。 リクエスト、レスポンス、または関連ログに個人情報、機密情報、規制対象情報、契約上制限された情報が含まれ得るかを判断する。
- 完全な経路をマッピングする。 収集ワークロード、プロキシゲートウェイ、レジデンシャル出口、ターゲット、処理パイプライン、オブザーバビリティスタック、主要ストレージ、レプリケーション、バックアップを通じてデータを追跡する。
- リクエストの地理とデータの地理を分ける。 リクエストがどこから発信されたように見えるべきかについて一つのポリシーを維持し、情報がどこで処理、保存、アクセスされ得るかについて別のポリシーを維持する。
- ログを最小化し制御する。 不要な識別子、ヘッダー、クエリパラメータ、レスポンスフィールドを削除し、トレースや運用テレメトリにも同じ規律を適用する。
- 継続的にレビューする。 アーキテクチャが変わるたびに、フェイルオーバー、リモートアクセス、ベンダー、リージョン、サブプロセッサー、収集目的を再評価する。
データレジデンシーは一度確認すれば忘れられる設定ではない。それは、収集システムの寿命を通じて設計され、文書化され、再評価されるべき運用上の性質である。
プロキシインフラが約束できることとできないこと
Shifterでは、ルーティング制御とコンプライアンスの結論を区別している。地理的ターゲティングを備えた当社のレジデンシャルプロキシインフラは、顧客が国、都市、ネットワークにわたる観測拠点を選択できるようにする。これはウェブの市場ビューを制御するものであり、顧客の収集、処理、保存環境の所在を特定するものではない。
我々はレジデンシャルプロキシとGDPRコンプライアンスに関するガイドでも同じ区別を行っている。プロキシはリクエストの発信元を変えるが、収集されたデータを匿名化することはなく、顧客の義務を取り除くこともない。
我々のレジデンシャルプロキシベンチマークは、正確なスコープがなぜ重要かを示している。我々のテストは、定義された期間中に実際に稼働し到達可能なIPを数えるものであり、プロバイダーのネットワーク総数や将来の可用性ではない。コンプライアンスの主張にも同じ規律が必要である。位置情報のシグナルは、それが測定している結論のみを裏付ける。
結論
プロキシの位置は地図上の一点である。データレジデンシーはシステム全体の地図である。企業は、リクエストがどこで出口を持ち、収集がどこで実行され、データがどこで処理され、コピーがどこに保存され、どの法域が適用され得るかを把握すべきである。
国選択機能は信頼できる観測拠点を提供するが、それ以外の答えは提供しない。この違いを理解する組織は、より良いインフラの意思決定を行い、より良いベンダーレビューを実施し、より説得力のあるデータ運用を構築できる。
プロキシインフラを評価するチームは、データフロー、保存、移転に関する要件と併せて、我々のレジデンシャルプロキシの機能を確認すべきである。
本ブリーフィングは一般的な情報提供のみを目的としており、法的助言を構成するものではない。