中国のバックアップは実際どこにあるのか：越境データ移転コンプライアンスと外資系法人の IT

要点： 「中国のバックアップはどこにあるのか」は技術的な問いに見えて、たいていそうではありません。データ本体がどこにあるか、コピーがどこへ行くか、どれだけ速く戻せるか——この三つが混ざっています。分けて答えることが、引き継いだ既定値を「説明できる体制」に変えます。法的判断はご自身の顧問弁護士へ。

なぜ中国のバックアップ体制が越境データ移転コンプライアンスの問題になるのか

バックアップは IT 環境でもっとも地味な部分で、だからこそ一度設定されたあとは引き継がれ続けます。誰かがジョブを作り、それが緑になり、その後四年間、誰もそれを見る理由を持ちません。ほとんどの場所ではそれで構いません。中国法人では、いずれそれで済まなくなります。バックアップが壊れるからではなく、「それが動いているかどうか」とはまったく関係のない問い——中国の IT チームが備えるよう求められたことのない越境データ移転コンプライアンスの問い——を誰かが投げかけるからです。

その問いは中国オフィスの外から来る傾向があります。グループ IT のレビュー、新しいグローバルのデータガバナンス方針、法人顧客のベンダー質問票、あるいはグループ自身のリスク登録簿の変更。そして問いが「バックアップは動いているか」であることはまれです。「このデータはどこへ行き、それで問題ないと誰が決めたのか」です。

これは本質的に別の問いであり、六十人から百二十人規模の中国法人がしばしば答えられない問いでもあります。怠慢だからではなく、その体制がそもそも決定ではなかったからです。それは既定値でした。グループには地域クラウドテナントがあり、中国オフィスはグループ標準に沿って導入され、当時もっとも抵抗の少ない経路だったという理由でバックアップ先がそこに向けられた。

Brocent（2007 年創業、本社シンガポール）は 2007 年以来、中国本土でデリバリーチームを運営し、各地の外資系法人を支援しています。「運用としては健全だが、ガバナンスの言葉では誰も説明できない」バックアップは、中国の環境を引き継ぐときに見つかるもののなかでもよくあるものの一つです。

以下すべての前提として、先に明確にしておくことが一つあります。中国から外へ出る特定のデータフローが許容されるか、どの仕組みのもとで許容されるかは、法的判断です。データが何であるか、誰に関するものか、どれだけの量か、そして何度も変わってきたしこれからも変わる規則に依存します。本稿はこの問題の運用上の形と、それを答えられる状態にする実務についてのものです。法的助言ではありませんし、コンプライアンス上の判断は IT 事業者ではなく、貴社自身の顧問弁護士が行うべきものです。

問いを呼び起こしたレビュー：ある複合シナリオ

以下は例示です。外資系の通信・機器ベンダーの中国法人が実際にどう動いているかから組み立てた複合シナリオであり、特定の顧客ではありません。

欧州の通信インフラベンダーの中国法人、およそ九十人。この法人は製造は行いません。地域の予備部品在庫を保有し、全国の通信事業者や法人顧客のサイトへ出向くエンジニアのフィールドサービス配車を運用し、技術文書、現地調査記録、それらのサイトに設置された機器の構成ファイルを保管しています。ローカルにファイルサーバーが一台、アプリケーションサーバーが数台、エンドポイントが約百十台。

現地の IT 体制は一人。能力は確かにありますが、完全にオーバーコミットしています。バックアップは五年前、すでに退職したエンジニアが設定しました。ファイルサーバーとフィールドサービスのデータベースを毎晩、シンガポールでホストされているグループの地域クラウドテナントへバックアップしています。誰かが気づくような形で失敗したことは一度もありません。そして、2023 年に一度ファイル単位の復旧が成功した以外、実際に復旧されたこともありません。

そこへグループ IT が改訂版のデータガバナンス基準を配布します。要件の一つは、各法人が自社の業務データの保管場所と複製先を文書化し、越境フローを特定すること。中国の IT 責任者はそれを読み、正直にはこの様式を埋められないと気づきます。バックアップがシンガポールへ行っていることは知っている。しかし「ファイルサーバー」以上に中身が何なのかは知らない——誰も内容を棚卸ししたことがないからです。そこに含まれる顧客サイトの記録やエンジニアの配車データが、この基準が懸念している種類のものなのかも分からない。そして、これで問題ないと社内の誰が決めたのかも分からない。彼の知る限り、誰も決めていないからです。

さらに調べ始めると、探していなかったものが二つ見つかります。十一か月前のホスト名変更以来、毎晩のジョブがアプリケーションサーバーの一台を静かにスキップし続けていたこと。そしてグループ側では、復旧経路が、実際のインシデントが起きるまさにその時間帯に混雑する同じ越境回線を通ることになっていたこと。

文書化されていないデータ経路の実際のコストは何か

以下のうちコンプライアンス上のコストは一つだけです。残りは、同じ不注意が生む通常の運用リスクです。

グループのコンプライアンスに対する答えがなく、しかも正直な答えは実態より悪く聞こえる。 「シンガポールへバックアップしていますが、中身が何かは確信がありません」は真実の陳述ですが、ガバナンスのレビュー担当者には管理されていないリスクとして読まれます。実際のリスクと、その答えの聞こえ方との差はしばしば大きく、そしてそれを埋める作業の大半は再設計ではなく文書化です。

バックアップが復旧できることを誰も検証していない。 成功と報告するバックアップジョブが証明するのは、データが書き出されたことだけです。それを読み戻せること、それが属するアプリケーションがそのデータで起動すること、手順を知っている人がいることは証明しません。静かに起きる失敗はよくあり、しかも特に検知しにくい。名称変更後に静かにあるサーバーを対象から外したジョブ、唯一のコピーを保持期間で消してしまった設定、適切な整合性処理なしにホットバックアップされたデータベース。どれも自分から名乗り出ません。

復旧経路が最悪ケースのネットワークに依存する。 百ギガバイト超の業務データの唯一のコピーが別の国にあるなら、復旧時間はインシデント当日の越境回線の関数です。その回線は地域的な障害の最中に最良の状態にはなく、四半期末にも最良ではありません。実際には一度も算出されなかった復旧時間目標は、それが本来カバーするはずだった事象のさなかに、痛みを伴って発見されがちです。

中国国内のクラウドは、チームが知っているものとは挙動が違う。 これは繰り返し人を驚かせます。主要な国際クラウドは中国本土では義務づけられた免許を持つ現地運営事業者を通じてのみ運営されます——Azure China は 21Vianet（VNET）が、AWS の中国リージョンは Sinnet と NWCD が運営し、グローバル版とは法的にも技術的にも別個の環境で、アカウントもサービスカタログも機能提供の時期も別です。ホスティングはインターネットに面するものについて ICP 届出の要件も範囲に入れます。グローバル版 Azure や AWS を前提に書かれたグループ標準は、そのままでは中国に移りません。移ると仮定したエンジニアは、文書の記述どおりには動かないものを作ることになります。

この問いの持ち主がいない。 中国オフィスはグループ IT が標準を定めたと考える。グループ IT は中国オフィスが現地要件を知っていると考える。これがもっともよくある失敗の形で、しかも両方の想定が個別には妥当であるがゆえに、そのまま続きます。

当社の見解：混ぜられている三つの問いを分ける

これが当社に持ち込まれたとき、有用な最初の一手は何かを再設計することではありません。混乱したひとつの問いを、明確な三つに分けることです。答えも、持ち主も、緊急度も違うからです。

データ本体はどこにあるのか。 これは一次コピーの話です。ファイルサーバー、アプリケーションのデータベース、社員が毎日使っているシステム。多くの中国法人では素直に中国国内にあり、誰も心配していない部分です。

コピーはどこへ行くのか。 これがバックアップと複製の問いで、上のシナリオでガバナンス上の論点になったのはこちらです。混同されがちな二つの半分があります。何がコピーされているのか（想定ではなく実際の棚卸しが要る）と、各コピーがどこに着地するのか。

どれだけ速く戻せるのか。 これは復旧の問いで、純粋に運用上のもの、法的な側面はまったくありません。そして実務上もっとも痛手になりやすいのもこれです。インシデントが試すのはこの問いだからです。

これらを分けて答えると、たいてい問題は複雑になるのではなく単純になります。当社の経験では、中国法人がバックアップの中身を実際に棚卸しすると、本当に国外へ出る必要があるデータの集合は、既定で出て行っていたデータの集合よりずっと小さいことが分かります。復旧テスト済みのローカルバックアップに、越境するものとその理由を絞り込んで文書化したものを添える構成は、文書化されていない「全部グループのテナントへ」より運用上も優れ、擁護もはるかに容易です。

中国法人がこれを扱う三つの方法

• グループの国外テナントへ直接バックアップする。 単純で、グローバル標準と整合し、現地での判断を要しません。しかし中身はたいてい棚卸しされておらず、越境フローは文書化された決定ではなく既定値であり、復旧時間は最悪の日の国際回線に依存します。中身を実際に見た人がいて、なぜそれが妥当なのかを説明できる場合にのみ擁護できます。
• ローカルバックアップのみ、外へは出さない。 形としてはコンプライアンス的で説明も簡単、復旧時間の問題も完全に解消します。ただし弱点は現実のものです。地理的分離のない単一サイトは災害対策の体制ではありません。火災、水害、あるいはバックアップ先まで届くランサムウェアは、二つのコピーを同時に奪います。コンプライアンスの問いに驚いた法人が、二つめのサイトを取り除くことで解決してしまう、よくある過剰修正です。
• 中国国内バックアップ＋テスト済みの復旧＋文書化された越境データ集合。 一次バックアップ先は中国国内に置き、復旧時間目標と復旧時点目標は引き継ぎではなく事業側と合意して決めます。復旧訓練が、復旧が実際に機能することを示す日付入りの証跡を生みます。地理的分離は中国国内で確保します。そして明示的に列挙した狭い集合のデータだけが、正当なグループ目的のために越境し、誰かが署名した根拠が書面で残ります。初期の手間は増えますが、三つのうちコンプライアンスの問いと復旧の問いの両方に答えるのはこれだけです。

擁護できる中国のバックアップ実務には何が含まれるべきか

アーキテクチャ図より具体が重要です。当社が「これは無いといけない」と考えるものを挙げます。

引き継ぎではなく事業側と合意した RTO と RPO。 復旧時間目標と復旧時点目標は、他のすべてが従う二つの数字であり、引き継がれた構成のほとんどでは誰もその値を言えません。IT だけで決めるべきものでもありません。「フィールドサービスの配車が何時間止まると顧客への約束にコストが出るのか」は事業の問いであり、ファイルサーバーと予備部品システムとで答えは大きく違います。Brocent のクラウドマネージドバックアップがツールではなくここから始まるのは、ローカルとクラウドの保持ポリシーも、保管先の選定も、アーキテクチャも、すべてこの二つの数字の下流にあるからです。

静かに起きる失敗が同じ週のうちに表に出る監視。 上のシナリオの十一か月の空白は、監視されていないバックアップジョブの異常ではなく通常の帰結です。バックアップジョブの監視は、忙しい人が開くことを覚えているはずのダッシュボードではなく、失敗時のアラートを伴う誰かの実際の職責である必要があります。マネージドプランではこれを当社のサービスコントロールおよびネットワーク運用チームが 24×7 で行い、ジョブ失敗時に即時アラートを出します。それが、空白を一週間で見つけるか、復旧の最中に見つけるかの差です。

日付入りの結果を生む復旧訓練。 これはもっとも省略されやすい実務であり、そして実際に何かを証明する唯一のものです。定期的な復旧訓練は、実データを承認済みのテスト環境に復元し、それが健全で使用可能であることを検証し、何が復旧に成功し何が失敗したかを記録した訓練レポートを生みます。レポートこそが要点です。それは「バックアップはあります」を信念から成果物に変えます。グループのガバナンス担当者も自社の経営陣も、見たいのはまさにそれです。訓練はまた、監視では取りこぼす地味な失敗を表に出します。復元したデータベースでは起動しないアプリケーション、欠けているサービスアカウント、退職したエンジニアだけが知っていた文書化されていない手順。

自分が実際にどの中国のクラウドにいて、誰が運営しているのかを知る。 中国本土でホストするなら、何の上でホストしているのかを正確に把握してください。国際クラウドは免許を持つ現地運営事業者を通じ別個の環境として動きます——Azure China は 21Vianet/VNET 経由、AWS の中国リージョンは Sinnet/NWCD 経由——加えて国内プロバイダーやキャリアニュートラルな事業者もあります。契約、サポート経路、利用可能なサービス、機能の同等性は、いずれもグローバル版と異なります。中国法人にとってのマネージドクラウドサービスとは、こうした差異を設計してから発見するのではなく、設計する前に知っていることを意味します。ICP 届出の問いも、稼働時ではなく設計時に立てられることを意味します。

何がどこへ複製されているかの一覧。 ガバナンスの会話を終わらせる文書はアーキテクチャ図ではありません。一覧です。これらのシステムの、これらのデータセットが、これらの保管先へ、この頻度で複製され、この期間保持され、この理由で存在する、という一覧。作るのは退屈で、たいてい二日ほどかかります。しかしこの取り組み全体でもっとも価値の高い成果物でもあります。越境する集合について、既定値のまま放置するのではなく、情報に基づいた判断を誰かができるようになるのはこれのおかげだからです。データセットにセキュリティや守秘の義務を伴うものが含まれる場合、この一覧はそれらの統制をどう適用するかに直接つながります。マネージド IT セキュリティサービスとバックアップ設計が別々の会話でなくなるのは、まさにその地点です。

これはグループのグローバル標準とどう並ぶのか

グループレベルの本能はたいてい、ひとつの標準をどこにでも適用することであり、その本能は精神としては正しい。誤りは、それをひとつの実装としてどこにでも適用することです。

機能する型は、標準を成果のレベルに保つことです。すべての法人が、文書化された RTO と RPO、監視されたジョブ、テスト済みの復旧、複製データの一覧を持つ。そのうえで、現地環境が実際に異なるところでは実装が異なることを許す。中国はその最も明確な例ですが、特別なわけではありません。現地のホスティングや規制の実情が本社の想定から乖離するところでは、同じ論理が当てはまります。

この枠組みは持ち主の問題も解きます。グループ IT が標準と成果を持つ。中国法人が実装と証跡を持つ。そしてどちらも越境移転についての法的判断は持たない——それは顧問弁護士のもので、IT 側が作った一覧がその判断を支えます。Brocent は通信分野で、六十八か国にわたるグローバル通信インフラ事業者を含む顧客を支援してきましたが、多国にまたがる体制では、この責任分担が一貫して機能する形です。共通の標準、現地として正しい実装、そして資格のある人が下す法的判断。

よくある質問

中国オフィスを国外クラウドへバックアップするのは、自動的に問題ですか

いいえ。そして自動的に問題ない、あるいは自動的に禁止だと言う人は、単純化しすぎています。特定のフローが許容されるか、どの仕組みのもとで許容されるかは、データが何であるか、誰に関するものか、量、そして何度も変わってきた規則に依存します。それは IT 事業者ではなく、貴社の顧問弁護士が下す判断です。当社が言えるのは、実際の答えを得るための実務上の前提が、バックアップに実際に何が入っているかの棚卸しだということです。多くの法人が法的意見を得られないのは、そのデータを説明できないからです。

ここでのバックアップと災害復旧の違いは何ですか

バックアップはデータのコピーです。災害復旧は、合意した時間内に事業を再び動かせる能力です。優れたバックアップを持ちながら災害復旧の体制がない、ということは十分にあり得ます。二つめのサイトのないローカルバックアップ先だけの構成がまさにそれですし、越境の復旧経路が遅い国外コピーだけの構成もそれです。両者を橋渡しするのが復旧時間目標と復旧時点目標、そして誰が実際にどの手順をたどるのかを文書化した事業継続計画です。その計画のないバックアップはデータであって、復旧ではありません。

復旧テストは実際どのくらいの頻度で行うべきですか

下限として少なくとも年一回、加えて重要な変更のあと——新しいアプリケーション、サーバー移行、バックアップ先の変更、あるいは担当者の交代。テストはバックアップファイルが開くことの確認ではなく、承認済み環境への実際の復元でなければなりません。そして日付入りのレポートを生む必要があります。レビュー担当者にとって、テストされていない主張と記録のないテストは、ほぼ同じ価値だからです。

中国国内でこのデータを合法にホストできるクラウド事業者はどこですか

選択肢には国内プロバイダー、キャリアニュートラルな事業者、そして義務づけられた免許を持つ現地運営事業者を通じた国際クラウド——Azure China は 21Vianet/VNET 経由、AWS の中国リージョンは Sinnet と NWCD 経由——が含まれます。そのどれが貴社の特定のデータに適切かは、法的立場と技術要件を組み合わせた問いであり、法的な半分は当社が答えるべきものではありません。運用面で指摘したいのは、これらの環境がアカウント、サービスカタログ、機能提供時期においてグローバル版と本当に別個であるため、グローバル版 Azure や AWS で検証した設計は移植ではなく再検証が要るということです。

法人を清算する場合、中国のデータはどうなりますか

必要になる前に計画してください。法人の閉鎖にはデータの側面があり、最後まで残されやすく、遅くなると対処が難しくなります。実務上の問いは、何をどれだけの期間保持しなければならないか、どこで保持できるか、何を破棄しなければならず、その証跡は何か、そして残るものの認証情報を誰が保持するのか、です。マネージドプランでは環境ドキュメントと認証情報は顧客のものであり、この点は関係のどの時点よりも撤退時に重みを持ちます。保持と破棄の義務そのものは、やはり法的な問いです。

この問いの持ち主は中国オフィスですか、グループ IT ですか

分けてください。グループ IT が標準と要求される成果を持つ。中国法人が実装を持ち、証跡を作る。法務またはコンプライアンスが、一覧を根拠に、何が越境してよいかの判断を持つ。当社がもっともよく見る失敗は、双方が相手が持っていると想定して誰も持たないことで、修正は技術的ではなく事務的です。三つのどれを誰が持つのかを書き出し、一覧に期限を与えることです。

中国のチームは小規模です。まともなバックアップ実務は現実的ですか

現実的ですし、規模の議論はたいてい逆に働きます。IT 一人で九十人という法人こそ、監視も訓練も文書化も、助けがなければ起きない状況です。その一人の一週間は、燃えている案件で埋まっているからです。実務的な道筋は、繰り返しの部分——ジョブ監視、訓練、年次のドキュメント更新——を意向ではなく契約上の職責にすることです。この規模でのマネージド IT サポートはそのためにあります。IT 責任者を置き換えるのではなく、確実に後回しにされる仕事を引き受けるためです。トップページの見積もりツールは、中国本土のオフィスについて、ユーザー単価のプランと並べてクラウドバックアップのデバイス単価アドオンを表示するので、誰かに相談する前に、こうした繰り返しの作業の費用を確認できます。

次のステップ

中国のバックアップに何が入っているか、最後に復旧したのはいつかを、いま言えないのであれば、それは解ける問題であり、始めるのに良い場所です。お問い合わせいただければ、一覧の作成とテスト済みの復旧までお手伝いします。そして当社の担当範囲がどこで終わり、貴社の顧問弁護士の領域がどこから始まるのかも、はっきりお伝えします。