13 articles
Cross-Border & Export Control
外国DIB企業、在日米軍基地案件、CAGE/NCAGE、CUI、ITAR/EAR、US Person、データ所在地、越境運用の構造問題を整理します。
ITARとは何か
ITARは、米国の防衛物品、防衛サービス、技術データの輸出・一時輸入などを管理する制度です。CMMCやCUIとは目的が異なりますが、防衛技術を扱う日本企業では同じ案件の中で同時に問題になります。
約4,706字
EARとは何か
EARは、米国商務省BISが管轄する輸出管理規則で、物品、ソフトウェア、技術、再輸出、国内移転などを扱います。防衛専用のITARとは異なり、民生・軍事の両方に使われ得るデュアルユース品目が問題になることがあります。
約4,768字
CUIとITAR/EARの違い
CUI、ITAR、EARは同じ防衛案件で同時に登場しますが、同じ概念ではありません。CUIは非機密情報の保護・配布制限に関する概念であり、ITAR/EARは輸出管理制度です。
約4,816字
Foreign DIBの課題
Foreign DIB企業にとってCMMC対応は、米国企業と同じチェックリストをこなすだけでは済みません。日本本社、米国子会社、米国プライム、MSP、CSP、輸出管理、US Person要件が重なり、責任分界が複雑になります。
約4,855字
在日米軍基地案件からCMMCが日本企業に流れてくる理由
日本企業にCMMCが流れてくる経路として、米国プライム企業、米国子会社、共同開発、クラウド、MSPを想像する人は増えています。しかし、もう一つ重要な経路があります。
約6,061字
CAGE Code / NCAGE Codeとは何か
CMMCを日本企業の実務に落とすとき、セキュリティ要求だけを見ていると見落とす論点があります。それが、CAGE Code / NCAGE Codeです。
約6,847字
日本企業と米国子会社
日本企業が米国子会社を通じてDoDサプライチェーンに参加する場合、CMMC対応を米国子会社だけの問題として扱うと危険です。日本本社がID、ネットワーク、クラウド、SOC、EDR、ヘルプデスクを支援している場合、本社は保護機能の一部を担っている可能性があります。
約4,755字
US Personとは何か
US Personは、CMMCそのものの中心概念ではありません。しかし、ITAR/EARや防衛技術データへのアクセス制御では極めて重要です。CUI環境でITAR/EAR対象情報も扱う場合、誰がアクセスできるかはセキュリティ権限だけでは決まりません。
約4,857字
MLA/TAAとは何か
MLA/TAAは、ITAR関連の国際的な防衛技術協力で登場することがある用語です。CMMCやCUIの評価制度とは別物ですが、同じ防衛案件の中で、誰が技術データにアクセスし、誰が防衛サービスを提供できるかを決める要素になります。
約4,706字
Cross-Border Data Flow
Cross-Border Data Flowは、単にデータをどの国のサーバーに保存するかという話ではありません。日本本社、米国子会社、クラウド、MSP、SOC、共同開発先、顧客が関わると、CUIや技術データは保存場所だけでなく、アクセス、処理、ログ、バックアップ、管理経路を通じて国境を越えます。
約4,943字
GCC Highは本当に必須なのか
CMMCやCUIの相談では、GCC Highは必須ですか、という質問がよく出ます。しかし、この問いは単純化されすぎています。必要なのは特定の環境名を暗記することではなく、契約上の要求、CUIの種類、CSP要件、FedRAMP、ITAR/EAR、顧客指示を合わせて判断することです。
約4,966字
データ所在地とセキュリティ境界
データ所在地は重要です。しかし、所在地だけでセキュリティ境界が決まるわけではありません。米国リージョンに保存していても、日本から管理できる、海外サポートがログを見られる、バックアップが別地域に複製されるなら、実務上の境界はもっと広くなります。
約4,711字
Deemed Exportはセキュリティ概念なのか
Deemed Exportは、セキュリティでよく使う“データ漏えい”や“不正アクセス”とは違います。管理された技術やソースコードを外国人に提供することが、物理的な国外送付でなくても輸出とみなされ得るという輸出管理上の考え方です。
約4,801字