【ITニュース解説】Digitale Souveränität: Warum Europa seine Cloud-Infrastruktur ändern muss

現代のデジタル社会において、企業が自社の情報やシステムを自らのコントロール下に置く「デジタル主権」の確立は、事業の継続と競争力にとって極めて重要な課題となっている。多くの企業が利便性を追求し、米国の大手クラウドプロバイダであるAWS、Azure、Google Cloudなどのサービスを利用しているが、これには深刻なリスクが潜んでいる。物理的なサーバーが米国にあり、サービスを提供する企業が米国企業である場合、たとえヨーロッパの企業がGDPR（一般データ保護規則）に準拠した契約を結んでいても、米国の法律が優先的に適用されるからである。特に2018年に成立したCloud Actは、米国政府が米企業に対し、世界中のどこにデータが保存されていようとも提出を命じる権限を与えている。これは、ヨーロッパ企業の機密データが、自らの知らないところで外国政府にアクセスされる可能性があることを意味する。

こうした状況下で、デジタル主権の喪失が具体的にどのような形で現れるか見ていこう。まず、メールやコラボレーションツールに関して言えば、多くの企業がMicrosoft 365やGoogle Workspaceを利用している。これらのサービスでは、たとえ利用者側がデータを保護していると考えていても、プロバイダ側がバックエンドを通じてデータにアクセスできる可能性があり、米国政府などからの要請があった場合、企業はそれを阻止する術がない。次に、ソフトウェア開発におけるサプライチェーンの問題がある。アプリケーションの開発では、Docker Hubのようなコンテナイメージレジストリやnpmのようなパッケージマネージャから多くのオープンソースライブラリやコンポーネントが利用される。もしこれらの提供元が攻撃され、悪意のあるコードが注入された場合、企業は気づかずにそれを自社システムに取り込み、潜在的なバックドアを導入してしまうリスクがある。これに対処するためには、脆弱性スキャンツールを用いて厳しくチェックし、自社で管理する隔離されたレジストリを運用することが不可欠となる。

さらに深いレベルでは、ハードウェア自体がデジタル主権を脅かす要因となる。現代のCPUには、Intel AMTやAMD PSPといった管理インターフェースが組み込まれており、これらはオペレーティングシステムとは独立して動作し、システム全体にrootkitレベルのアクセス権を持つ場合がある。もしこれらのファームウェアに脆弱性が見つかったり、意図しないバックドアが仕込まれていたりした場合、企業はベンダーによるアップデートを待つしかなく、その間は無防備な状態となる。また、TPM（Trusted Platform Module）やSecure Bootのようなセキュリティ機能も、ベンダーが署名キーをコントロールしているため、ベンダーによる強制的なアップデートやデータ送信を許可してしまうリスクが指摘される。このため、CorebootやEDK IIのようなオープンソースファームウェアプロジェクトの活用が、ハードウェアレベルでの透明性と独立性を確保する第一歩となりうる。

こうしたデジタル主権の喪失に対する解決策としては、いくつかの方向性が考えられる。一つは、自社でサーバーを所有・運用する「オンプレミス」や、ヨーロッパのニュートラルなデータセンターに自社ハードウェアを設置する「コロケーション」である。これにより、ハードウェア、ファームウェア、ネットワークの完全なコントロールが可能になるが、初期投資や運用コスト、専門人材の確保が必要となる。もう一つは、Hetzner CloudやIonos ScaleComputeのような、ヨーロッパに拠点を持ち、外国政府の直接的なアクセスがないことを保証する「ソブリンクラウド」プロバイダの利用だ。ただし、この場合も、利用するサブコントラクターや、データの暗号化、鍵管理の方法などについて詳細なデューデリジェンス（適正評価）が不可欠である。いずれの方法を選ぶにしても、企業はまず、顧客の個人情報のような機密性の高いデータはオンプレミスや厳重に暗号化されたプライベートクラウドで管理し、マーケティング用のウェブサイトのような公開情報であれば一般的なクラウドサービスを利用するといったように、データのリスクレベルに応じた分類と適切な配置を行う必要がある。

物理的な主権を完全に確保できない場合、最後の砦となるのが強力な「暗号化」である。単にクラウドプロバイダが提供する「サーバーサイド暗号化」を利用するだけでは不十分だ。なぜなら、その鍵はプロバイダの管理下にあることが多いからである。真のデジタル主権を確保するためには、企業自身が暗号化鍵を生成・管理し、データを暗号化してからクラウドにアップロードする「カスタマーマネージドキー」の利用が必須となる。例えば、データベースのバックアップファイルをクラウドストレージにアップロードする前に、自社で生成した秘密鍵を用いてAES-256-GCMのような強力なアルゴリズムで暗号化すれば、たとえストレージが外国政府や攻撃者にアクセスされても、意味不明な暗号化されたデータしか得られない。また、社内外のあらゆるデータ転送において、WireGuardのようなVPNプロトコルを利用し、エンドツーエンドで暗号化することも重要である。鍵を自らが管理することこそが、デジタルな権限を保持することにつながる。

デジタル主権の確立を目指す過程で、陥りやすい誤りも存在する。例えば、「オープンソースを使えば安全」という誤解だ。オープンソースソフトウェアは透明性が高いが、その下の閉鎖的なハードウェアや、外部のパッケージリポジトリに依存している限り、完全に主権が確保されたとは言えない。パッケージのビルドプロセスを自社で行うか、厳格な署名検証が求められる。また、ローカルでシステムを運用していても、開発パイプラインで外部のnpmやpipパッケージを無意識に取り込んでいる場合があり、これらは攻撃の入り口となりうるため、ArtifactoryやNexusのようなプライベートプロキシキャッシュを導入し、外部依存関係を厳密に管理する必要がある。さらに、たとえソブリンなインフラを導入しても、ファイアウォール設定が不適切であったり、RDPやSSHのような管理アクセスがインターネットに公開されているようでは意味がない。オペレーションセキュリティ（OpsSec）の徹底が不可欠であり、自動的なシステム強化スクリプトや侵入防止ツール（fail2ban, CrowdSec）の導入が求められる。そして、最も重要なのは従業員のセキュリティ意識である。どんなに堅牢なインフラを構築しても、従業員が機密データを個人のアカウントに送るなど、シャドーITを利用してしまうと無意味になる。データ損失防止（DLP）ソリューション、多要素認証（MFA）の厳格化（SMSベースではなくFIDO2のような物理セキュリティキー）、定期的なセキュリティ意識向上トレーニングが重要となる。

デジタル主権は、一度達成して終わりではなく、常に変化する脅威や技術に対応し続ける継続的なプロセスである。企業の競争力と独立性を守るために不可欠な取り組みだ。まずは、自社のデータがどこからどこへ流れているのか、どのクラウドサービスが個人情報を扱っているのかを正確に把握するデータフローの棚卸しから始めるべきである。この知識がなければ、効果的な対策を講じることはできない。この地道な努力こそが、企業が今後も自らのデジタルな「脳」をコントロールし続けられる唯一の方法となる。