経済安全保障・地政学リスクを考慮したオフショア拠点の見直し 第1回：オフショア拠点を存続させる場合のデータ管理のあり方

①データの格納方法と格納場所

最初に明確にすべきなのは、オフショア拠点におけるデータ管理のあり方です。「データやサーバを物理的にどこに設置し、どこの誰がアクセスできるのか」を明確にする必要があります。経済安全保障の観点では、日本企業が保有する顧客データや事業上のノウハウが含まれるソースコードなどを、特定の国家に握られてしまう事態を避けなければいけません。バックドアを仕掛けられる懸念のあるIT機器の利用も極力控えたいところです。

また、一般的にはクラウドサービスの利用が当たり前になりましたが、一部の国ではインターネット上のアクセス制限や検閲によって、利用できないサービスや公式にはサポートされていないサービスもあるため、プラットフォーム選定には注意を要します。基幹インフラ産業のサービスが現地政府の意向によって停止するような可能性は排除しなければいけません。

②データ関連の法規制

日本の個人情報保護法では、個人情報の越境移転に際し、従来から本人の同意取得を求めていましたが、2022年4月に施行される改正法では、それに加えて、移転先の国の個人情報保護制度に関する情報提供や、移転先の第三者における相当措置の実施状況の把握が求められます。例えば、日本企業が国内で入手した顧客データを中国・大連のオフショア拠点で処理する場合には、中国データ三法（サイバーセキュリティ法、データセキュリティ法、個人情報保護法）や、オフショア拠点におけるプライバシー対策などを顧客に対して説明できるようにしておく必要があります。

ASEAN加盟10カ国の他、日本や中国も署名し、2022年1月に発効したRCEP（Regional Comprehensive Economic Partnership：東アジア地域包括的経済連携）の規定には、「締約国は情報の電子的手段による国境を越える移転が対象者の事業の実施のために行われる場合には当該移転を妨げてはならないとする」とあります。これは、締約国間での自由で開かれたデータ流通を促すものですが、同時に「締約国は各締約国が情報の電子的手段による移転に関する自国の規制上の要件を課することができる」というただし書きもあり、当面は各国の法規制が優先される前提で対応しておいた方が良いでしょう。

③現地の労働慣行・商習慣

オフショア拠点のヒトに関しては、人件費の高騰以外にも、「人材の定着率が低い」ことがよく問題になります。そのため、現地のシステムエンジニア（SE）のマインドセットを正しく理解することが肝要です。以下のグラフはいずれも独立行政法人情報処理推進機構（IPA）が発表した「IT人材に関する国際比較調査」の結果です。これを見ると、オフショア事業が盛んなインド、中国、ベトナムのSEは日本のSEに比べて、総じて自己研鑽に励み、より良いポジションがあれば積極的に転職する傾向にあることが分かります。

人材の定着率が低ければ、採用コスト・教育コストが余計にかかり、安定した品質を維持することが難しくなります。さらには、情報管理の面でも一層の注意が必要になります。知的財産権に対する意識が低いSEがいたとしたら、自分で書いたソースコードは自分のモノだと思い込み、転職先に持ち込んでしまうかもしれません。

④対外的な説明責任

日本企業のオフショア拠点でインシデントが発生すれば、日本のメディアはそれを大きく、しかも継続的に取り扱う可能性があります。個人のプライバシーに関する情報を取り扱う企業であれば、たとえ法律に違反していなかったとしても、過敏に反応する消費者もいるはずです。そのため、企業は「もしも」の場合に備えて、顧客・規制当局・株主・メディアなどの利害関係者に対して適切かつ迅速に情報発信ができる体制を整えておくことが重要になります。オフショア拠点とは、普段目の届きにくい場所であり、何か問題があっても実態の把握が難しいのが実情です。これまでは、委託先がどのように情報管理を行っているのかを確認するために、チェックシートを配布して自己点検してもらう程度の対策しか講じてこなかったかもしれません。しかし、対外的な説明責任を果たすためには、アクセスログや操作ログを適切に残し、過去に遡った調査が瞬時にできるようにしたり、定期的にオフショア拠点に対する外部委託先監査を実施したりするなど、これまで以上に踏み込んだ対策の検討も必要です。