米国・英国・EU・日本のバックアップコンプライアンス要件

米国、英国、EU、日本では、バックアップは単なるIT運用上のベストプラクティスではなく、法令や規制上の要件として扱われるケースが増えています。HIPAAの緊急時対応計画基準では、文書化されたデータバックアップ計画が求められます。英国GDPR第32条では、インシデント発生後にデータを「適時に」復旧できる能力が要求されます。EUのDORAでは、バックアップの分離や復旧テストについて、より具体的な技術要件が定められています。これらの法令はいずれも特定のソフトウェア製品を前提としていませんが、共通して求めているのは、信頼性があり、スケジュール実行でき、暗号化され、ログが残り、復旧可能なバックアップ環境です。

自動バックアップソフトウェアは、まさにこうした要件を支援するために利用されます。以下では、データバックアップに関係する主要な規格や法令を地域別に整理し、Handy Backupの主要機能がどの要件の実現を支援できるか、さらにソフトウェアだけでは対応できず、組織側で実施する必要がある事項について説明します。バックアップツールを導入するだけで、組織全体が法令遵守の状態になるわけではありません。

はじめに: 以下で紹介する規格や法令には、バックアップソフトウェア自体に付与される公式な認証制度は基本的にありません。英国のCyber Essentialsも、認証対象は製品ではなく組織です。コンプライアンスは、組織全体の方針、手順、技術的対策によって実現されるものであり、バックアップソフトウェアはその一要素です。Handy Backupはコンプライアンス認証製品ではなく、本記事は法的助言を提供するものではありません。

HIPAA（Health Insurance Portability and Accountability Act）

医療機関、保険会社、およびPHI（Protected Health Information、保護対象医療情報）を取り扱う組織では、HIPAAのSecurity Ruleにより、PHIの機密性、完全性、可用性を確保することが求められます。特に緊急時対応計画基準（45 CFR § 164.308(a)(7)）では、その取り組みの一環として、文書化されたデータバックアップ計画と災害復旧計画を策定する必要があります。

Handy Backupで支援できること:

• スケジュールに基づく無人バックアップにより、担当者が手動で実行することに依存せず、データバックアップ計画の継続的な運用を支援します。
• バックアップアーカイブのAES暗号化により、保存中のPHIの機密性確保を支援します。
• 詳細ログとメール通知により、監査時に確認されるバックアップ実行履歴を記録できます。
• 保存先を選択できるため、ローカルドライブ、NAS、特定リージョンのクラウドなど、組織が管理するインフラストラクチャにPHIのバックアップを保存できます。

ソフトウェア以外に必要な対応:

• PHIを取り扱うクラウドストレージプロバイダーを利用する場合、その事業者とのBusiness Associate Agreement（BAA）が必要です。Handy Backup自体はデータをホスティングしないデスクトップソフトウェアであるため、BAAは通常、Handy Backupではなく保存先サービスとの間で締結します。
• バックアップだけでなく、アクセス制御、従業員教育、端末暗号化、漏えい通知手順などを含む、文書化されたリスク評価とHIPAAセキュリティ方針が必要です。
• バックアップスケジュールを設定するだけでなく、実際に復旧できることを確認した復元手順とテスト記録が必要です。
• プログラム全体を統括するHIPAA Security Officerの任命が必要です。

医療記録やその他の機微な患者情報を扱う組織では、医療分野向けバックアップソフトウェアを利用することで、定期的なデータコピー、暗号化、保存先管理、復旧ワークフローを自動化し、より広いHIPAAコンプライアンス対策の一部として運用できます。

GLBA / FTC Safeguards Rule

Gramm-Leach-Bliley Act（GLBA）は、銀行だけでなく、住宅ローンブローカー、ノンバンク系金融業者、税務サービス事業者、分割払いや融資を提供する小売事業者など、幅広い「金融機関」に適用されます。2023年6月から施行されているFTCの改訂Safeguards Rule（16 CFR Part 314）では、暗号化、アクセス制御、データ保持・廃棄スケジュール、インシデント対応を含む文書化された情報セキュリティプログラムが求められます。

Handy Backupで支援できること:

• 暗号化バックアップにより、保存中および転送中の顧客情報を暗号化するというSafeguards Ruleの要件への対応を支援します。
• スケジュールバックアップと世代管理により、規則で求められるデータ保持管理を支援します。
• ログ記録により、金融規制当局の検査時に求められる文書化を補助できます。

ソフトウェア以外に必要な対応:

• 顧客情報に対する社内外のリスクを特定する文書化されたリスク評価が必要です。これはSafeguards Rule自体の要件であり、バックアップソフトウェアが作成するものではありません。
• 年次のペネトレーションテストと、半年ごとの脆弱性スキャンが必要です。
• 顧客情報が不要になってから原則2年以内に安全に廃棄するための、文書化されたデータ廃棄方針が必要です。
• 情報セキュリティプログラムを監督するQualified Individualの指定が必要です。

CCPA / CPRA（カリフォルニア州）

カリフォルニア州のプライバシー法は、特定のバックアップ技術を義務付けているわけではありません。一方で、個人情報を保護するための「合理的なセキュリティ手順」を求め、消費者に対して自身のデータへのアクセス、削除、訂正などの権利を認めています。そのため、バックアップの構成方法や保持期間にも直接的な影響があります。

Handy Backupで支援できること:

• 保持期間や世代管理を設定できるため、データを無期限に保存するのではなく、定義されたデータ保持方針に合わせてバックアップコピーを管理しやすくなります。
• 除外フィルターを使用することで、保持する必要のないデータをバックアップ対象から除外できます。

ソフトウェア以外に必要な対応:

• バックアップを含め、カリフォルニア州居住者の個人情報がどこに保存されているかを把握するデータインベントリが必要です。
• 本番システムだけでなくバックアップアーカイブも含めて削除要求に対応するための文書化された手順が必要です。これはCCPA対応における実務上の難しい課題の一つです。
• データおよびバックアップの保持方針を開示する最新のプライバシー通知が必要です。

UK GDPRおよびData Protection Act 2018

英国ではBrexit以降、Data Protection Act 2018とあわせて独自のGDPR、いわゆるUK GDPRが適用されています。第32条では、物理的または技術的なインシデントが発生した場合に、「個人データの可用性およびアクセスを適時に復旧できる能力」が求められます。実務上は、正常に動作し、テストされたバックアップおよび復旧体制が必要ということです。英国Information Commissioner's Office（ICO）は、報告されたデータ侵害の調査においてバックアップ運用を確認することがあり、重大な違反には最大1,750万ポンドまたは世界売上高の4%の制裁金が科される可能性があります。

Handy Backupで支援できること:

• スケジュールバックアップは、第32条1項(b)の「処理システムのレジリエンス」に関する要件への対応を支援します。
• 転送中および保存中の暗号化は、第32条全体で求められる「適切な技術的措置」の実施を支援します。
• 保存場所を選択できるため、UK GDPRの国際データ移転ルールに関連するデータ所在地の検討に対応しやすくなります。
• 詳細ログにより、データ損失インシデントへの対応方法についてICOから説明を求められた場合に、UK GDPRの重要原則である「説明責任」を示すための記録を残せます。

ソフトウェア以外に必要な対応:

• 定期的かつ文書化された復元テストが必要です。バックアップが存在するだけでなく、実際に復旧できることを確認する必要があります。
• バックアップ対象の個人データを処理するための適法な根拠と、文書化された利用目的が必要です。
• 本番システムだけでなくバックアップコピーも含め、第17条の「消去の権利」に対応する手順が必要です。
• ICOへの72時間以内のデータ侵害通知手順が必要です。これはバックアップツールだけでは実現できません。

Cyber Essentials / Cyber Essentials Plus

Cyber Essentialsは、英国政府のNCSCが支援するサイバーセキュリティ認証制度です。一般的な法的義務ではありませんが、多くの英国政府契約で前提条件となっており、サイバー保険会社や大企業の取引先から求められるケースも増えています。制度の技術的コントロールではバックアップを直接義務付けていませんが、近年のバージョン（v3.3）では、主要端末とは別の場所にコピーを保持することを含め、バックアップをベストプラクティスとして明確に推奨しています。

Handy Backupで支援できること:

• 外付けドライブ、NAS、オフサイトストレージなど別の保存先への自動バックアップにより、主要端末とは別にコピーを保持するという推奨事項に対応できます。
• スケジュール実行により、バックアップ運用を人の記憶や手作業に依存させるリスクを減らせます。

ソフトウェア以外に必要な対応:

• Cyber Essentialsのその他5つの技術的コントロール、すなわちファイアウォール、セキュアな構成、ユーザーアクセス制御、マルウェア対策、パッチ管理への対応が必要です。バックアップソフトウェアはこれらを直接実施するものではありません。
• 認定評価機関を通じたCyber Essentialsの自己評価質問票、またはCyber Essentials Plusの場合は独立監査の実施が必要です。

GDPR

EUのGDPRはUK GDPRの前身であり、内容も非常に近く、バックアップに関係する主な規定もほぼ同じです。第32条では処理の安全性と、インシデント発生後に可用性を復旧できる能力が求められます。第25条ではデータ保護・バイ・デザイン、第17条では消去の権利が定められています。英国版との実務上の主な違いは、国際データ移転の仕組みと、どの監督機関が管轄するかという点です。

Handy Backupで支援できること: UK GDPRと同様に、暗号化、スケジュールおよび世代管理されたバックアップ、保存場所の選択、ログ記録といった機能が、関連要件への対応を支援します。

ソフトウェア以外に必要な対応: UK GDPRと同様に、処理の適法な根拠に関する文書化、復旧手順のテスト、バックアップを含む消去手順、データ侵害対応計画が必要です。必要な場合は、各国のData Protection Authorityに72時間以内に通知する体制も整える必要があります。

NIS2指令

NIS2は2024年10月以降、EU加盟国全体で適用が進められており、対象となる「重要事業体」および「重要な事業体」の範囲を大きく拡大しました。対象は重要インフラだけでなく、医療、デジタルインフラ、製造、行政などの分野に属する多くの中規模企業にも及びます。NIS2では、文書化されたリスク管理措置、事業継続計画、インシデント検知から24時間以内の初期報告などが求められます。バックアップと復旧能力は、事業継続要件の重要な要素です。

Handy Backupで支援できること:

• スケジュールされた自動バックアップにより、担当者が手動バックアップを忘れることで復旧体制に空白が生じるリスクを低減できます。
• オフサイトおよびクラウド保存先を利用できるため、主要システムから分離したバックアップを保持するという監査上の期待に対応しやすくなります。
• ログと通知機能により、組織がリスク管理措置を実施していることを示すための記録を残せます。

ソフトウェア以外に必要な対応:

• 自社システムだけでなくICTサプライチェーンも対象とした正式なリスク評価が必要です。
• 24時間以内の初期通知期限に対応できるインシデント対応計画が必要です。
• 定期的なレジリエンステストが必要です。バックアップが存在することを示すだけでなく、実際に復旧できることを確認する必要があります。
• 最重要システムでは、ランサムウェア耐性を高めるため、イミュータブルストレージやエアギャップ方式の保存先も検討する必要があります。

DORA（Digital Operational Resilience Act）

DORAは、EUの金融機関、保険会社、投資会社、決済事業者、およびそれらを支えるICTプロバイダーを主な対象とし、2025年1月から適用されています。ここで紹介するEU規制の中でも、特に技術的な要件が具体的です。第11条では、金融機関に対し、バックアップ方針を定義してテストすること、バックアップシステムを本番システムから分離すること、重要システムごとにRecovery Time Objective（RTO）とRecovery Point Objective（RPO）を定義することが求められます。第12条では、侵害された管理者アカウントによる操作も含め、バックアップデータを不正な変更や削除から保護することが求められます。

Handy Backupで支援できること:

• 外付けドライブ、NAS、FTP/SFTP、クラウドなど、元のシステムとは別の保存先を利用できるため、第11条の分離要件への対応を支援します。
• 暗号化により、第12条で求められるバックアップデータ保護を支援できます。S3 Object Lockなどイミュータビリティ機能を持つ保存先と組み合わせることで、より強固な構成が可能です。
• 定義した頻度でスケジュールバックアップを実行できるため、RPOを設定し、その目標に沿った運用を行うための基盤になります。

ソフトウェア以外に必要な対応:

• システムごとに正式なRTOとRPOを定義する必要があります。バックアップスケジュールだけでは不十分で、事業影響分析と関連付けた文書化された判断が必要です。
• 定期的かつ文書化された復旧テストが必要です。DORAでは、バックアップが存在するだけでなく、復旧可能であることを実証する必要があります。
• 第12条への包括的な対応には、Object Lockなど保存先側のイミュータブル機能が必要になる場合があります。イミュータビリティは保存先の特性であり、通常のローカルまたはネットワークストレージに対してバックアップソフトウェアだけで保証できるものではありません。
• 外部のバックアップ保存先を利用する場合、DORAがICTプロバイダーにも関連義務を広げているため、第三者ICTリスク管理に関する文書化が必要です。

個人情報保護法（APPI）

個人情報保護法（APPI）は、日本における個人データ保護の中心的な法律であり、2022年の改正により規制が強化されました。日本国内の個人に関する個人情報を取り扱う事業者には、所在地を問わず適用される場合があります。個人情報保護委員会（PPC）は、個人データの漏えい、滅失、毀損を防止するために「必要かつ適切な」安全管理措置を講じることを求めており、そのガイドラインでは、組織的、物理的、技術的な対策を含む複数の観点から安全管理措置を整理しています。また、個人データを日本国外に移転する場合には、情報提供や本人同意など、一定の要件が適用されることがあります。

Handy Backupで支援できること:

• 暗号化バックアップにより、PPCガイドラインにおける技術的安全管理措置への対応を支援します。
• ローカルまたは国内リージョンの保存先を選択できるため、必要に応じてバックアップを日本国内に保持し、越境移転に関する要件を検討しやすくなります。
• ログ記録により、APPI全体で重視される説明責任と透明性を支える運用記録を残せます。

ソフトウェア以外に必要な対応:

• 個人データの取扱いに関する基本方針と社内規程の整備が必要です。APPIでは、技術的対策だけでなく、組織的・物理的な安全管理措置も求められます。
• バックアップ保存先が日本国外にある場合、越境移転に関する評価を行い、必要に応じて本人同意の取得や適切な移転手段の確認が必要です。
• 2022年改正により対象範囲が拡大された漏えい等の報告義務に対応するため、PPCおよび対象となる本人への通知手順を整備する必要があります。

これらすべての制度に共通するのは、規制当局が特定の製品を指定するのではなく、暗号化され、復旧可能で、テストされ、記録が残るデータ管理という結果を求めている点です。Handy Backupのような自動バックアップソフトウェアは、その実現を支援するために設計されています。スケジュール、AES暗号化、柔軟な保存先、詳細ログ、世代管理といった主要機能は、米国、英国、EU、日本のさまざまなバックアップコンプライアンス要件と対応関係を持っています。

一方、バックアップソフトウェアだけでは、コンプライアンスに必要な組織面の対応までは実現できません。リスク評価、文書化された方針、従業員教育、実際に検証された復旧手順、データ侵害対応プロセス、必要に応じたストレージ事業者やクラウド事業者との正式な契約などは、組織側で整備する必要があります。バックアップソフトウェアは、コンプライアンスプログラムそのものではなく、その技術的な基盤の一つとして位置付けるのが適切です。