10.11 デジタル主権

概要と動機

デジタル主権とは、組織、国家、あるいは圏域が、自らのデータ、ソフトウェア、インフラストラクチャに対して、どれだけ意味のある制御を保っているかの度合いです。それは、データが物理的にどこにあるか、どの法律と政府がそれへのアクセスを強制できるか、そして重要なシステムが外国の権力や単一のベンダーに依存せずに動き続けられるか、への制御を意味します。それにはいくつかの次元があります。データ主権(どの法域と法律がデータを統べるか)、運用主権(第三者の許可や存在なしにシステムを動かし管理する能力)、ソフトウェア主権(ソースとその進化へのアクセスと制御)、サプライチェーン主権(ハードウェア、サービス、依存関係の難所からの自由)。この章がマネジメントの部にあるのは、主権が本質的に、戦略、調達、リスクの決定(10.1–10.3章)であり、深い技術的な帰結を伴うからです。

動機は理論的なものから切迫したものへと移りました。クラウドコンピューティングは、世界のインフラストラクチャの多くを、ほとんどが単一の国の法域のもとにある少数のプロバイダーに集中させました。米国のCLOUD法(データがどこに保存されていようと、プロバイダーに開示を強制できる)のような域外適用の法律は、EUのGDPRのような制度と衝突し、その緊張は、EUと米国のプライバシーシールドを無効にしたSchrems II判決で結晶化しました。地政学的な衝撃、制裁、プロバイダーが切り離されるリスクを加えれば、依存は、ベンダー管理の脚注ではなく、戦略的な脆弱性になります。主権とは、最も重要なシステムとデータが、その依存をどれだけ安全に担えるかを、意図して決める規律です。

企業、特に政府にとって、賭け金は直接的です。多国籍企業は、対立するデータ保護の制度を調整し、規制当局や地政学的な出来事が存在に関わる移行に変えうるロックインを避けなければなりません。政府は、その外国の法域への露出が国家安全保障と公的信頼の問題であるデータ(医療記録、税、防衛、市民のアイデンティティ)を保持します。だからこそ、「ソブリンクラウド」の提供、EUのGaia-Xのような取り組み、フランスのSecNumCloudのような国の認証が現れました。目標は自給自足ではありません。危うくなっているものの機微さに見合った、比例した制御です。

主要原則

主権はスイッチではなく、スペクトラムである。 制御の度合いを、データとワークロードの機微さに合わせます。
場所は法域ではない。 国内に保存されたデータも、外国政府に法的に到達されうるので、所在地だけでは主権になりません。
出口のために設計する。 プロバイダーを離れる能力こそ、主権の最も真実な尺度です。
オープン標準とオープンソースは依存を減らす。 それらは単なるコスト削減ではなく、戦略的な自律の道具です。
鍵を握る。 暗号鍵を誰が保持し制御するかは、バイトがどこにあるかよりしばしば重要です。
一つのロックインを別のものと交換しない。 単一の「ソブリン」ベンダーは、ハイパースケーラーと同じくらい囚われうるのです。
比例的であること。 主権には本物のコストがあります。どこでも過剰に傾けると、お金を無駄にしてデリバリーを遅くします。

推奨事項

主権の機微さでデータとワークロードを分類する

すべてが同じ保護を必要とするわけではありません。外国の法域によるアクセスやプロバイダーの喪失の結果で、データとシステムを分類します。公開で低リスクのワークロードは、規模とコストのために、グローバルなハイパースケールのインフラストラクチャに置けます。非常に機微なデータ(国家安全保障、医療、市民のアイデンティティ、規制対象の記録)は、より強い主権の統制に値します。この階層づけは、4.5章のデータ分類と同じリスクベースの論理で、すべてをローカライズするのではなく、高価な統制が正当化される所に集中させることで、主権を手頃に保ちます。

所在地だけでなく、法域を理解する

データの所在地(データが保存される物理的あるいは地理的な場所)は必要ですが十分ではありません。法的に重要なのは法域です。どの政府が、どの法律のもとで開示を強制できるか。外国に本社を置くプロバイダーが運営する国内のデータセンターに保持されたデータセットは、そのプロバイダーの母国の法律のもとで、なお到達されうる(CLOUD法の問題)。各システムの法的な露出を地図にします。プロバイダーの本社、適用される法律、あらゆる十分性認定や移転の仕組み(標準契約条項、EU-US Data Privacy Framework)。それから、その法的な地図を、アーキテクチャの第一級の一部として扱います(4.5章、4.6章)。

可搬性と可逆性のために設計する

最も耐久性のある主権の統制は、信頼できる出口です。オープン標準と可搬な形式を好みます(3.8章)。ワークロードをコンテナ化して移動できるようにします。環境を別の場所で再構築できるよう、インフラストラクチャ・アズ・コード(8.2章)を保ちます。最も重要なシステムについては、単一のプロバイダーの独自サービスへの深い依存を避けます。出口の計画、データと構成のエスクローに加えて代替への予行された道筋を維持し、定期的にテストして、「必要なら離れられる」が願いではなく実証された事実になるようにします。これは、ベンダーロックイン、つまり法外なコストや混乱なしにプロバイダーを切り替えられない状態への解毒剤です。

必要な所でソブリンなインフラストラクチャと鍵の制御を使う

最も機微な層には、より強い技術的統制があります。ソブリンクラウドの提供(法域内の事業体が運営する、あるいは提携するクラウドのリージョン。時にSecNumCloudのように認証される)、コンフィデンシャルコンピューティング(処理されている間もデータを暗号化したままにするハードウェアベースの信頼された実行)、顧客が制御する暗号鍵。鍵の持ち込み(BYOK)と、より強力な鍵の自己保持(HYOK)で、プロバイダーがデータを解錠する鍵に決してアクセスしません。鍵を制御することは、共有のインフラストラクチャの上でも、主権の実際的な利益の多くを届けられます。プロバイダーが復号できないデータは、プロバイダーが意味のある形で開示できないデータです。

戦略的自律のためにオープンソースとオープンなエコシステムを好む

オープンソースソフトウェアとオープン標準は、最も強い主権のてこの一つです。単一ベンダーのキルスイッチを取り除くからです。ソースは、どの単一のサプライヤーからも独立に、動かし、監査し、フォークし、保守できます(10.3章、3.8章)。公共部門の「公金には公開コード」の方針とGaia-Xのような取り組みは、これを反映しています。オープンソースは自動的にソブリンではありません。それを動かしサポートする熟練した人々が依然として必要で、そのサプライチェーンも保護する必要があります(4.2章)。しかしそれは、ベンダーへの依存を、コミュニティと自分自身の能力への依存に変え、そのほうがはるかに制御しやすいのです。

主権を絶対ではなく比例的なリスクとして統治する

他のガバナンス(10.2章、1.5章)と並べて、主権のリスクの枠組みを立ち上げます。主要なプラットフォームの集中と法域のリスクを評価します。データの層ごとに目標の主権の水準を決め、それをコスト、能力、デリバリーの速度と量ります。目標は、擁護でき文書化された立場(「これらのワークロードはハイパースケールへの依存を受け入れ、これらは法域内の制御を要求し、これが出口の姿勢である」)で、一度きりの絶対的な立場ではなく、地政学と規制が変わるにつれて見直されるものです。

トレードオフ: 長所と短所

アプローチ	長所	短所
グローバルなハイパースケールクラウド	規模、機能、低コスト、速度	法域の露出。集中とロックインのリスク
ソブリンクラウド/法域内のプロバイダー	法的な制御。国家安全保障への適合。信頼	高いコスト。少ない機能。しばしば小さな規模。新たなロックイン
共有インフラ上の鍵の制御(BYOK/HYOK)	低コストで利益の多く。規模を保つ	運用の複雑さ。鍵管理のリスク。絶対ではない
オープンソース/自己ホスト	監査可能性、フォーク可能性、ベンダーのキルスイッチなし	社内能力が必要。運用とセキュリティを自分が負う
データのローカライズの義務づけ	規制の遵守。政治的な保証	高価。データを断片化。レジリエンスと有用性を下げうる

決定的な緊張は制御対能力とコストです。最大の主権(自己ホスト、法域内、オープンソース、完全に可搬)は、グローバルなプラットフォームの規模、機能、速度を犠牲にします。最大の能力は、依存と法域の露出を受け入れます。解決は階層づけです。結果が正当化する所では主権に払い、そうでない所では実用的な依存を受け入れます。

チームで議論すべき問い

高価な統制が正当化される所にだけ着地するよう、データとワークロードを主権の機微さで階層づけしましたか。 主権はスイッチではなくスペクトラムで、すべてをローカライズすることはお金を燃やし、能力を手放し、選択肢を縮めてレジリエンスを下げさえしえます。外国の法域によるアクセスやプロバイダーの喪失の結果で、各システムを分類してください。公開で低リスクのワークロードはグローバルなハイパースケールのインフラストラクチャに置けますが、国家安全保障、医療、市民のアイデンティティのデータはより強い統制に値します。これはデータ分類と同じリスクベースの論理で、主権を手頃に保つものです。重要資産のシステムとその現在のホスティングを持ち込み、保護が機微さに合っているかを尋ねてください。すべてを等しく保護しているなら、ほぼ確実にどこかで払いすぎ、別のどこかで露出しています。
オープン標準とオープンソースは主権の戦略の一部ですか。それとも単なるコスト削減として扱っていますか。 動かし、監査し、フォークし、保守できるソースは、単一ベンダーのキルスイッチを取り除き、それは持ちうる最も強い自律のてこの一つです。オープン標準と可搬な形式が信頼できる出口を可能にし、信頼できる出口は主権の最も真実な尺度です。より微妙な罠は、ハイパースケーラーから逃れて、出口のない一つの「ソブリン」ベンダーに完全に囚われることです。一つのロックインを別のものと交換したのです。最も重要なプラットフォームを持ち込み、それぞれが一つのプロバイダーの独自サービスにどれだけ緊密に縛られているかを尋ねてください。答えが「非常に」の所では、オープン標準と、コンテナ化された再構築可能な環境が、握りを緩める最も安い方法です。
主権のリスクの枠組みを誰が所有し、法律と地政学が移るにつれてどれだけの頻度で立場を見直しますか。 一度設定されて見直されない主権の立場は、判決、制裁、新しい法律が着地した瞬間に作り話になり、そうした衝撃は今や定期的に届きます。他のガバナンスと並べて生きた枠組みを立ち上げてください。主要なプラットフォームの集中と法域のリスクを評価し、データの層ごとに目標の主権の水準を設定し、規制当局に示せる擁護できる立場を文書化します。所有者と見直しの周期を名指ししてください。主要なプロバイダーに対する制裁や不利な判決が、来週の重要なサービスにどう響くかの問いを持ち込みます。誰も答えられないなら、枠組みはまだ存在していません。
最も機微なデータの暗号鍵を誰が持ち、プロバイダーがそのデータを読める形で引き渡すよう強制されうるでしょうか。 運用者が鍵を保持していれば、所在地や「ソブリン」なリージョンでさえほとんど意味を持ちません。開示命令は、バイトがどこにあろうと、復号されたデータに届くからです。鍵を自分で制御すること、つまり鍵の持ち込み、あるいはプロバイダーが決して鍵を見ないより強力な鍵の自己保持を通じて、すべてを移転するコストのわずかな分で、共有インフラの上で主権の実際的な利益の多くを届けることがしばしばあります。相反する考慮は運用的です。鍵管理は容赦なく、失われたり誤って扱われたりした鍵は、どんな制裁とも同じくらい確実にあなたを自分のデータから締め出しえます。どのデータセットが暗号化され、各鍵を実際に誰が保持し、鍵を失った場合の復旧の道筋は何かの目録を持ち込み、それを主権の階層と対応づけてください。企業と政府では、鍵の保管を、外国の開示命令が暗号文を返すか平文を返すかを決める線として扱い、後付けではなく、調達の要件にしてください。
意味のある時間枠の中で主要なプロバイダーを実際に離れられますか。そして最後にそれをリハーサルしたのはいつですか。 信頼できる出口は主権の最も真実な尺度ですが、ほとんどの出口の計画は紙の上にあり、一度も実行されたことがないので、可搬性は実証された事実ではなく希望のままです。緊張はコストと焦点です。出口のリハーサル、ワークロードのコンテナ化の維持、データと構成のエスクローの保持は、すべてエンジニアリングの注意を消費し、デリバリーの圧力は他に使いたがります。最も重要なシステム、強制された移行にどれだけかかるかの誠実な見積もり、それが依存する独自サービスの一覧、(あれば)最後の実際のリハーサルの日付を持ち込んでください。契約で複数年の出口の義務を負う大きなあるいは公的な組織では、リハーサルされていない出口は、法的に果たせないかもしれないコミットメントなので、リハーサルの周期を、任意の演習ではなく、システムの運用コストの一部として扱ってください。
各重要資産のシステムについて、データが物理的にどこにあるかにかかわらず、今日どの政府がそれへのアクセスを法的に強制できるかを知っていますか。場所は法域ではありません。国内のデータセンターのデータも、外国に本社を置く運営者の母国の法律のもとで到達されえ、チームは日常的に所在地を法的な保護と取り違えます。難しいのは、答えが単なるアーキテクチャ図ではなく法務と調達の入力を必要とし、十分性認定、判決、移転の仕組みが変わるにつれて地図が移ることです。各重要なデータセットについて、プロバイダーの本社、それに届く法律、頼っている移転の仕組みを持ち込み、誰も実際には知らない所は正直に認めてください。規制対象と公共の設定では、市民や国家安全保障のデータの、地図にされていない法的な露出は、次の監査で起こるのを待っている指摘なので、法的な地図づくりに、インフラストラクチャに出すのと同じ明示さで資金を出してください。

セクター別の視点

スタートアップ。 速度と滑走路が支配的なので、人員を置けないソブリンのスタックを築くのではなく、主権を薄い機能として買ってください。顧客の法域が制約なら、既存のプロバイダーのリージョン内の選択肢にデプロイし、運営者が機微な記録を復号できないよう自分の暗号鍵を保持し、ワークロードを可搬に保つためコンテナ化したままにします。それは、シードステージのコストで取引を成立させ、滑走路のない再アーキテクチャを避けます。

小規模事業者。 主権の専門家はおらず予算も厳しいので、これをエンジニアリングのプログラムではなく、契約のレビューとベンダー選択の問いとして扱ってください。法域内のリージョン、透明なデータ処理の条件、顧客保持の鍵を標準機能として提供するベンダーを好み、署名する前に再委託先と開示の条項を読みます。主権のための自己ホストは、ここではめったに元を取りません。担う人員なしに、運用とセキュリティの負担を引き継ぐことになるからです。

大企業。 仕事は、多くのチームにわたるポートフォリオのガバナンスです。主権の機微さによるデータの共有の階層づけ、一つのプロバイダーや一つの法域にどれだけの重要な負荷が乗っているかの集中リスクの見方、そして各グループが調整されない独自の賭けをするのをやめるよう、標準化された鍵の制御、可搬性、出口のリハーサル。機微な層のより高いコストと運用の負担に明示的に予算を付け、規制当局に示せる、文書化され監査可能な立場を保ちます。主権を一度きりの移行ではなく、指標と見直しの周期を伴う生きたリスクとして管理してください。

政府。 調達規則、透明性、公的な説明責任があらゆる選択を形づくります。認証されたソブリンなインフラストラクチャ(たとえばSecNumCloud式の適格性)とオープン標準、オープンソースを好み、プラットフォームがどの単一のサプライヤーからも独立に保守できるようにし、契約自体に可搬性と法的な露出の開示を求めます。市民のデータがどこにあり、誰が到達できるかの平易な言葉の記述を公表し、高価なソブリンの統制を本当に機微な層のために取っておき、機微でない公共サービスは安価なグローバルなインフラストラクチャに置き続けます。

事例

スタートアップ。 小さなヘルステックのスタートアップが、患者データをEUの法域のもとに置くことを要求するドイツの最初の病院の顧客を獲得します。払う余裕のないソブリンのスタックを過剰に築く代わりに、創業者たちは既存のクラウドプロバイダーのEUリージョンにデプロイし、プロバイダーが機微な記録を復号できないよう自分の暗号鍵を保持し、ワークロードを可搬に保つためコンテナ化したままにします。これは、顧客が必要とする主権の利益の多くを、シードステージのチームが担えるコストで買い、全面的な再アーキテクチャなしに取引を成立させます。

大企業。 多国籍の銀行は、特定の顧客データをEU内に、外国の開示法の及ばない所に保たなければなりません。グローバルなクラウドプロバイダーを放棄する代わりに、資産群を階層づけます。一般的なワークロードは規模のためにハイパースケールのリージョンに残ります。規制対象の顧客データは、鍵の自己保持の暗号化(プロバイダーは復号できない)と、代替プロバイダーへのテスト済みの出口計画を伴うEUのリージョンで動きます。これは、能力を破壊する全面的な移行なしに、規制当局と銀行自身の集中リスクの選好(10.2章)を満たします。

政府。 国の医療サービスは、市民の医療記録を保持し、外国の法域への露出を受け入れられないと判断します。ソブリンクラウド、つまり国の認証(たとえばSecNumCloud式)のもとで国内の事業体が運営するインフラストラクチャを調達し、最も機微な処理にはコンフィデンシャルコンピューティングを使い、プラットフォームがどの単一のサプライヤーからも独立に保守できるよう、オープン標準(3.8章)とオープンソースのコンポーネントを義務づけます。より高いコストと狭い機能の範囲は、国家安全保障の制御と公的な信頼の代価として受け入れられます。一方、機微でないサービス(公共の情報ポータル)は、安価なグローバルなインフラストラクチャに残ります。

ビジネスケース: 動機、ROI、TCO

デジタル主権の経済は非対称で、発生確率が低く影響の大きい出来事に対する保険として枠づけるのが最善です。コストは目に見えて繰り返されます。ソブリンで法域内のインフラストラクチャは、通常より高価で、マネージドサービスが少なく、より多くの社内の運用能力を要求し、そのすべてが総所有コストを上げ、デリバリーを遅くしえます。便益は、ほとんどが避けられた大惨事です。Schrems IIのような判決の後の規制上の罰金と強制された再アーキテクチャ、プロバイダーが制裁を受ける、あるいは切り離された場合の事業を終わらせるアクセスの喪失、あるいは機微なデータの外国への開示による評判と国家安全保障上の損害。それらの裾のリスクは深刻でますますありそうなので、主権への比例した投資、特に鍵の所有、可搬性、オープン標準のような、安いが強力な統制は、定常状態のスプレッドシートでは純粋なコストに見えても、しばしば強く正の期待値を持ちます。

どちらの側の罠も、不釣り合いです。過少な投資は、重要なデータとシステムを、出口のない単一の法域やベンダーにさらしたままにし、管理可能なリスクを存在に関わるものに変えます。過剰な投資は、すべてをローカライズしてすべてのグローバルなプラットフォームを拒否することで、お金を燃やし、能力を手放し、選択肢を縮めてレジリエンスを下げさえしえます。リーダーシップに論拠を示すには、主権への支出を、データとワークロードのリスクの階層づけに結びつけてください。重要資産のシステムの集中と法域の露出を定量化します。それらのリスクを下げる安い統制(鍵、可搬性、出口のリハーサル)に値段をつけます。高価なソブリンなインフラストラクチャは、本当にそれに値する層のために取っておきます。

アンチパターンと落とし穴

主権の劇場: 外国に本社を置くプロバイダーがデータへの法的アクセスを保持している間に、国内のデータ所在地を宣伝すること。
暗号化と主権の混同: データを暗号化しながらプロバイダーに鍵を持たせ、なお復号を強制されうること。
過剰な傾斜: 機微さにかかわらず、すべてをローカライズして自己ホストし、法外なコストと低下した能力を払うこと。
新たな単一のロックイン: 出口のない一つの「ソブリン」ベンダーに完全に囚われることで、ハイパースケーラーから逃れること。
テストされた出口がない: 紙の上にあるが一度もリハーサルされていない出口の計画で、可搬性が未証明であること。
人間のサプライチェーンの無視: それを動かす熟練した人々なしに、オープンソースや自己ホストが主権を与えると想定すること。
静的な立場: 主権の立場を一度設定して、法律と地政学が移るにつれて見直さないこと。

成熟度モデル

レベル1(開始): 主権は検討されず反応的です。データと重要なシステムは最も安い所にあり、法域や集中リスクの地図も、所有者もありません。
レベル2(発展): データの所在地は、一部のプロジェクトで最も明白な規制対象のデータについて扱われていますが、法域、鍵の制御、出口は体系的に考慮されていません。実践はチームごとに異なり、単一のプロバイダーへの依存は検討されていません。
レベル3(標準化): データとワークロードが、組織全体に適用される文書化された方針のもとで、主権の機微さで階層づけられます。法域は地図にされ、鍵の制御、可搬性、オープン標準は機微な層で要求され、出口の計画は任意ではなく義務づけられて存在します。
レベル4(管理): 立場がベースラインに対して測定され制御されます。集中リスク(単一のプロバイダーや法域にある重要なワークロードの割合)、機微なデータセットにわたる鍵の所有のカバレッジ、法域の地図づくりの完全性、リハーサルされた出口の時間が指標として追跡され、ガバナンスに報告され、閾値に対して徹底されるので、ずれていく依存は、衝撃の後ではなく証拠に基づいて行動を引き起こします。
レベル5(オーケストレーション): 主権は継続的に改善され、組織全体に統合されています。生きたリスクの枠組みが既定でアーキテクチャ、調達、リスクの計画に供給し、出口は日常的にリハーサルされ、組織は判決、制裁、規制が移るにつれて、階層の範囲を適応的に見直し、プロバイダーを再均衡させ、立場を改訂します。

議論のためのアイデア

最も機微なデータセットについて、今日どの政府がそれへのアクセスを法的に強制できるか、知っていますか。
あなたのデータの所在地は本物の主権ですか。それとも外国に本社を置くプロバイダーがなお鍵と法的な露出を握っていますか。
必要なら主要なクラウドプロバイダーを実際に離れられますか。そしてそれをテストしたことがありますか。
あなたのワークロードのうち、本当にソブリンなインフラストラクチャを必要とするものはどれで、不必要なコストで過剰に保護しているのはどれですか。
自分の暗号鍵を制御することが、わずかなコストで主権の利益の大半を与えるのはどこですか。
主要なプロバイダーに対する制裁、停止、あるいは法的判決は、来週の重要なサービスにどう影響しますか。

要点

デジタル主権は、データ、運用、ソフトウェア、サプライチェーンの次元にわたる、データ、ソフトウェア、インフラストラクチャへの比例した制御です。
場所は法域ではない。 所在地だけでは外国の法的アクセスを防げません。誰が開示を強制できるかを地図にします。
出口のために設計し、鍵を制御する。 可搬性と鍵の所有は、最もてこの効く、最も低コストの統制です。
オープン標準とオープンソースは戦略的自律の道具です。高価なソブリンクラウドは、それに値する層のために取っておきます。
主権を比例的で生きたリスクとして統治し(10.2章、10.3章、4.5章、4.6章、3.8章)、過少な保護と法外な過剰な傾斜の両方を避けます。
ROIは、深刻な裾のリスク(規制、地政学、ロックイン)に対する、本物で繰り返されるコストに対して値段づけされた保険です。

参考文献とさらなる読み物

European Court of Justice, Data Protection Commissioner v. Facebook Ireland and Maximillian Schrems (“Schrems II”, 2020).
Regulation (EU) 2016/679, General Data Protection Regulation (GDPR); Regulation (EU) 2023/2854, Data Act.
U.S. Clarifying Lawful Overseas Use of Data (CLOUD) Act (2018).
ANSSI, SecNumCloud qualification framework (France).
Gaia-X European Association for Data and Cloud (Gaia-X initiative).
ENISA, reports on cloud security and EU cybersecurity certification (EUCS).
Julia Pohle and Thorsten Thiel, “Digital Sovereignty” (Internet Policy Review, 2020).
Bert Hubert, writings on European digital autonomy and dependency on foreign providers.
Kai Zenner and others, analyses of EU digital sovereignty policy (for context; verify current sources).