エクスポート制御の Azure サポート

輸出管理ルールの使い方を助けるために、MicrosoftはMicrosoft Azureエクスポートコントロールホワイトペーパーを公開しています。 特にソフトウェアや技術データに適用される米国の輸出管理について説明し、輸出管理リスクの潜在的な要因をレビューし、これらの規制下での義務を評価するための具体的な指針を提供しています。 さらに詳しい情報は、Microsoft製品のエクスポートに関するクラウドエクスポートFAQでご覧いただけます。

注

免責事項： お客様は、適用されるすべての法律および規制をお客様自身で遵守する責任を全面的に負うものとします。 この記事に記載されている情報は法的な助言を構成するものではないため、規制コンプライアンスに関する質問については、法律顧問に相談してください。

輸出管理法の概要

輸出関連の定義は、輸出管理規制によって多少異なります。 簡単に言えば、輸出とは、制限された情報、材料、機器、ソフトウェアなどを何らかの手段で外国人または外国の目的地に転送することを意味します。 米国の輸出管理政策は、主に商務省、国務省、エネルギー省、原子力規制委員会、および財務省によって管理される輸出管理法および規制を通じて施行されています。 各部門内の各機関は、表1に示すように、過去の管理に基づいて輸出管理の特定の領域を担当しています。

表 1. 米国の輸出管理法および規制

制御器 法律/規制 リファレンス
商務省:
産業安全保障局(BIS)		 - 1979年輸出管理法(EAA)
-輸出管理規則(EAR)		 - P.L. 96-72
- 15 CFRパーツ730 – 774
国務省:
国防貿易管理局(DDTC)		 - 武器輸出管理法(AECA)
- 国際武器取引規則(ITAR)		 - 22 U.S.C. 39
- 22 CFRパーツ120 – 130
エネルギー省:
国家核安全保障局(NNSA)		 - 1954年原子力法(AEA)
-外国の原子力活動への支援		 - 42 U.S.C. 2011 et. seq.
- 10 CFR第810部
原子力規制委員会(NRC) - 1978年核不拡散法
- 核機器および材料の輸出入		 - P.L. 95-242
- 10 CFRパート110
財務省:
外国資産管理局(OFAC)		 - 敵国との取引法(TWEA)
-外国資産管理規則		 - 合衆国法典第50編第5条および第16条
- 連邦規則集第31編第500部

この記事には、現在の米国の輸出管理規制、クラウド コンピューティングに関する考慮事項、および輸出管理要件をサポートする Azure の機能とコミットメントのレビューが含まれています。

EAR

米国商務省は、産業安全保障局(BIS)を通じて輸出管理規則(EAR)を施行する責任があります。 BIS の定義によれば、輸出とは、保護された技術または情報を外国の目的地に転送すること、または保護された技術または情報を米国内の外国人に公開することであり、みなし輸出とも呼ばれます。 EARの対象となる品目は 、商取引管理リスト(CCL)に掲載されており、各品目には固有の 輸出管理分類番号(ECCN) が割り当てられています。 CCLに記載されていない品目はEAR99に指定されており、ほとんどのEAR99商用製品は輸出にライセンスを必要としません。 ただし、アイテムの宛先、エンド ユーザー、またはエンド ユースによっては、EAR99 アイテムであっても BIS エクスポート ライセンスが必要になる場合があります。

EARは、商業的かつ軍事的に用途が兼ね備えた二重用途品目および純粋に商業用途に限定される品目に適用されます。 BISのガイダンスによると、クラウドサービスプロバイダー(CSP)は顧客がクラウドサービスを利用するため、顧客データのエクスポート者ではないとされています。 さらに、2016年6月3日に発表された 最終規則 で、BISは、機密扱いでない技術データおよびソフトウェアの送信および保存が、連邦情報処理標準(FIPS)140検証済みの暗号化モジュールを使用してエンドツーエンドで暗号化され、軍事禁輸措置が取られた国/地域、つまり パート740の補足No.1 に記載されている国/地域グループD:5に意図的に保存されていない場合、EARライセンス要件は適用されないことを明確にしましたEARの、またはロシア連邦で。 米国商務省は、データやソフトウェアがクラウドにアップロードされる際、クラウドプロバイダーではなく顧客が 輸出業者 であり、そのデータやソフトウェアへの転送、保存、アクセスがEARに準拠していることを保証する責任を負っていると明確に述べています。

Azure と Azure Government はどちらも、EAR コンプライアンス要件を満たすのに役立ちます。 香港特別行政区の Azure リージョンを除き、Azure と Azure Government のデータセンターは、禁止されている国/地域やロシア連邦にはありません。

Azureサービスは基盤OSのFIPS 140認証済み暗号モジュールに依存しており、Azure Key Vaultを用いた暗号化鍵管理を含む、トランジットおよび静止中のデータの暗号化に多くのオプションを提供しています。 Key Vault サービスでは、お客様の制御下にある FIPS 140 検証済みハードウェア セキュリティ モジュール (HSM) ( カスタマー マネージド キー (CMK)) に暗号化キーを格納できます。 Azure Key Vault HSM内で生成された鍵はエクスポートできません。HSMの外に鍵の明文版は存在できません。 このバインディングは、基になる HSM によって適用されます。 Azure Key Vault は、Microsoft とそのエージェントが暗号化キーを表示または抽出しないように設計、デプロイ、運用されています。 追加の保証については、「Azure Key Vault でキーを保護する方法」を参照してください。

アプリケーションとデータをデプロイするために Azure または Azure Government リージョンを選択するのは、お客様の責任です。 さらに、EAR要件を満たすエンドツーエンドのデータ暗号化を適用するようにアプリケーションを設計する責任があります。 Microsoft は、Azure または Azure Government にデプロイされたアプリケーションを検査、承認、または監視しません。

Azure Government は、顧客データの米国でのストレージに関する契約上のコミットメントを通じて、データを処理するシステムへの潜在的なアクセスを スクリーニングされた米国人に制限することで、追加の保護レイヤーを提供します。 EAR の Azure サポートの詳細については、「 Azure EAR コンプライアンス オファリング」を参照してください。

ITAR

米国国務省は、国防貿易管理局(DDTC)が管理する国際武器取引規則(ITAR)に基づき、防衛用品、サービス、および関連技術に対する輸出管理権限を持っています。 ITARの保護下にある品目は、 米国軍需品リスト(USML)に記載されています。 USMLで定義されている防衛用品、サービス、および関連技術の製造者、輸出業者、およびブローカーである場合は、DDTCに登録し、ITARを理解して遵守し、ITARに従って運営していることを自己証明する必要があります。

DDTCは、2020年3月25日に 発効したITAR規則を改訂 し、EARとより緊密に連携させました。 これらのITAR改訂では、米国商務省が2016年にEARに採用したのと同じ用語の多くを組み込んだエンドツーエンドのデータ暗号化カーブアウトが導入されました。 具体的には、改訂されたITAR規則では、輸出、再輸出、再転送、または一時的な輸入を構成しない活動には、(他の活動の中でも特に)1)未分類、2)エンドツーエンドの暗号化を使用して保護、3)規則で規定されているFIPS 140準拠の暗号化モジュールを使用して保護、4) §126.1で禁止されている国/地域の 人物に意図的に送信または保存されていない技術データの送信、取得、または保存が含まれるとされていますまたはロシア連邦、および 5) § 126.1 で禁止されている国/地域またはロシア連邦から送付されていないもの。 さらに、DDTCはインターネット上で転送されるデータは保存とはみなされないことを明確にしました。 エンドツーエンドの暗号化とは、データが発信者と目的の受信者の間で常に暗号化され、復号化の手段が第三者に提供されないことを意味します。

ITARコンプライアンス認証はありません。ただし、Azure と Azure Government はどちらも、ITAR コンプライアンスの義務を果たすのに役立ちます。 香港特別行政区の Azure リージョンを除き、Azure と Azure Government のデータセンターは、禁止されている国/地域やロシア連邦にはありません。 Azureサービスは基盤OSのFIPS 140認証済み暗号モジュールに依存しており、Azure Key Vaultを用いた暗号化鍵管理を含む、トランジットおよび静止中のデータの暗号化に多くのオプションを提供しています。 Key Vault サービスでは、お客様の制御下にある FIPS 140 検証済みハードウェア セキュリティ モジュール (HSM) ( カスタマー マネージド キー (CMK)) に暗号化キーを格納できます。 Azure Key Vault HSM内で生成された鍵はエクスポートできません。HSMの外に鍵の明文版は存在できません。 このバインディングは、基になる HSM によって適用されます。 Azure Key Vault は、Microsoft とそのエージェントが暗号化キーを表示または抽出しないように設計、デプロイ、運用されています。 追加の保証については、「Azure Key Vault でキーを保護する方法」を参照してください。

アプリケーションとデータをデプロイするために Azure または Azure Government リージョンを選択するのは、お客様の責任です。 さらに、ITAR 要件を満たすエンドツーエンドのデータ暗号化を適用するようにアプリケーションを設計する責任があります。 Microsoft は、Azure または Azure Government にデプロイされたアプリケーションを検査、承認、または監視しません。

Azure Government は、顧客データの米国でのストレージに関する契約上のコミットメントを通じて、データを処理するシステムへの潜在的なアクセスを スクリーニングされた米国人に制限することで、追加の保護レイヤーを提供します。 Azure での ITAR のサポートの詳細については、「 Azure ITAR コンプライアンス オファリング」を参照してください。

DOE 10 CFR 第810部

米国エネルギー省(DOE)の輸出規制規則 10 CFR Part 810 は、 1954年原子力法 (AEA)第57b条(2)および 1978年核拡散防止法 (NNPA)第302条の改正を実施しています。 これは、国家核安全保障局(NNSA)によって管理されています。 改訂されたパート810(最終規則)は2015年3月25日に発効し、とりわけ、機密扱いではない原子力技術と支援の輸出を管理しています。 米国から輸出された原子力技術が平和目的にのみ使用されることを保証することにより、平和的な原子力貿易を可能にします。 第810.7条(b)項は、機密性の高い原子力技術を外国の主体に提供または移転するには、特定のDOEの承認が必要であると規定しています。

Azure Governmentは、Azure運用要員間で米国人に情報やシステムへのアクセスを制限する特定の規制を実装するために設計されているため、DOE 10 CFR Part 810の輸出管理要件を満たすのに役立ちます。 Azure Government にデータをデプロイする場合は、独自のセキュリティ分類プロセスに責任を持つ必要があります。 DOEの輸出管理対象となるデータについては、AEA第148条で定められた 非機密制御核情報(UCNI) 管理によって分類システムが補強されます。 DOE 10 CFR Part 810のAzure サポートについての詳細は、Azure DOE 10 CFR Part 810 コンプライアンス・オフィシングをご覧ください。

NRC 10 CFRパート110

原子力規制委員会(NRC)は、10 CFR Part 110輸出管理規則に基づく原子力機器および材料の輸出入を担当しています。 NRCは、原子力施設および関連機器および材料の輸出入を規制しています。 NRCはこれらの項目に関する原子力技術や支援を規制しておらず、これらはDOEの管轄下にあります。 したがって、 NRC 10 CFR Part 110 規制 は、Azure または Azure Government には適用されません。

OFAC制裁法

米国外国資産管理局(OFAC)は、米国の外交政策および国家安全保障の目標に基づき、標的となる外国/地域、テロリスト、国際麻薬密売人、および大量破壊兵器の拡散に関連する活動に従事する団体に対する経済制裁および貿易制裁を管理および執行する責任を負っています。

OFACは禁止された取引を、OFACの承認なしに米国人が関与できない取引、または法令で明示的に免除されている取引と定義しています。 ウェブベースのやり取りについては、OFACが発表した一般的なガイダンスである FAQ第73号 を参照してください。例えば「eコマースを促進または関与する企業は、顧客を直接知るために最善を尽くすべきである」と明記されています。

Microsoft Online Services年利用規約データ保護付録(DPA)に記載されているように、「Microsoft顧客またはそのエンドユーザーが顧客データにアクセスしたり移動したりできる地域を制御または制限するものではありません。」Microsoft オンライン サービスについて、Microsoftは、OFACの禁輸国・地域からの企業との取引を防ぐためにデューデリジェンスを実施しています。 たとえば、制裁対象では Azure サービスのプロビジョニングが許可されていません。 OFACは、みなし輸出に関して、クラウドサービスプロバイダーと顧客を区別するEARに関するBISのガイダンスに相当する指針を一切提供していません。 したがって、Azure上で展開されたアプリケーションを含むウェブサイトを含むオンライン取引から制裁対象を除外する責任があります。 MicrosoftはAzure上に展開されたウェブサイトへのネットワークトラフィックをブロックしません。 OFACはIPアドレス範囲に基づいてアクセスを制限できると述べていますが、このアプローチがインターネット企業のコンプライアンスリスクを完全には解決しないことも認めています。 したがって、OFACは、eコマース企業が顧客を直接知ることを推奨しています。 Microsoft は、Azure にデプロイされたアプリケーションを操作するエンド ユーザーを直接知る責任を負わず、その手段もありません。

OFACの制裁は、「制裁対象のある取引」、すなわち貿易、支払い、金融商品などの取引を防ぐために設けられています。 OFACの制裁は、禁止された国や地域の居住者が公共ウェブサイトを見ることを妨げるものではありません。

輸出管理要件の管理

Azure の使用が米国の輸出規制にどのように影響するかを慎重に評価し、クラウドに保存または処理するデータのいずれかが輸出規制の対象となる可能性があるかどうかを判断する必要があります。 Microsoftは、Azureを使用する際の輸出管理義務を満たすための契約上の約束、運用プロセス、技術機能を提供しています。 次の Azure 機能は、潜在的な輸出管理リスクの管理に役立ちます。

  • データの位置管理機能 - データの保存場所を確認でき、Azureは単一の地理や国・地域にデータ保存を制限する強力なツールを提供します。 例えば、データを米国やあなたの選んだ国・地域に保存し、管理された技術や技術データの対象国・地域外への移転を最小限に抑えることができます。 お客様のデータは、EARおよびITARのルールに準拠して、意図的に不適合な場所 に保存され ることはありません。
  • エンドツーエンド暗号化 - データは送信者と受信者の間で暗号化され、復号手段は第三者に提供されません。 Azureは基盤となるオペレーティングシステムにFIPS 140認証済みの暗号モジュールを搭載しており、Azure Key Vaultを用いた暗号化鍵管理を含む、トランジットおよび静止中のデータの暗号化に多くのオプションを提供しています。 Key Vault サービスでは、お客様の制御下にある FIPS 140 検証済みハードウェア セキュリティ モジュール (HSM) ( カスタマー マネージド キー (CMK)) に暗号化キーを格納できます。 Azure Key Vault は、Microsoft とそのエージェントが 暗号化キーを表示または抽出しないように設計、デプロイ、運用されています。
  • データへのアクセス管理 - 誰がどのような条件でデータにアクセスできるかをコントロールできます。 Microsoft テクニカル サポート担当者は、お客様のデータに対する既定のアクセス権を必要としません。 サポートリクエストの解決にデータへのアクセスが上位で必要になる稀な場合、Customer Lockbox for Azureではデータアクセスリクエストの承認・拒否をあなたが担当します。
  • 不正な推定輸出/再輸出を防ぐためのツールとプロトコル - EARおよび ITARのエンドツーエンド暗号化 セーフハーバーの物理的な保管場所に加え、暗号化は潜在的な潜在的な推定輸出や再輸出を防ぐ役割も果たします。なぜなら、非米国人が暗号化されたデータにアクセスしても、暗号化されている間はデータを読み取ったり理解したりできないからです。 制御されたデータは一切公開されません。 しかし、ITARは外国人にITARの技術データを復号化するための情報へのアクセスを許可する前に、ある程度の承認を必要とします。 Azure には、幅広い暗号化機能とソリューション、暗号化オプションから選択できる柔軟性、暗号化を管理するための堅牢なツールが用意されています。

顧客データの場所

Microsoft は、クラウド サービスのデータ所在地と転送ポリシーに関して、お客様の強力なコミットメントを提供します。 ほとんどの Azure サービスはリージョンごとにデプロイされるため、サービスをデプロイするリージョン (米国など) を指定できます。 このコミットメントにより、米国の地域に保存されている 顧客データは 米国に残り、米国外の別の地域に移動されることはありません。

データの暗号化

Azure には、さまざまな暗号化モデルなど、 データ暗号化を使用してデータを保護するための広範なサポートがあります。

  • サービスマネージド キー、Azure のカスタマー マネージド キー (CMK)、または顧客が管理するハードウェアの CMK を使用するサーバー側暗号化。
  • オンプレミスまたは別のセキュリティで保護された場所にキーを管理および格納できるクライアント側の暗号化。

データ暗号化は、暗号化キー アクセスに直接関連付けられている分離保証を提供します。 Azure ではデータ暗号化に強力な暗号が使用されるため、暗号化キーにアクセスできるエンティティのみがデータにアクセスできます。 暗号化キーを取り消すか削除すると、対応するデータにアクセスできなくなります。

FIPS 140検証済み暗号化

連邦情報処理標準 (FIPS) 140 は、情報技術製品の暗号化モジュールの最小セキュリティ要件を定義する米国政府の標準です。 標準の現在のバージョンである FIPS 140-3 には、暗号化モジュールの設計と実装に関連する 11 の領域をカバーするセキュリティ要件があります。 Microsoft は、 FIPS 140 の要件を満たすための積極的な取り組みを維持しており、2001 年の標準の開始以来、暗号化モジュールを検証してきました。 Microsoft は、米国国立標準技術研究所 (NIST ) の暗号化モジュール検証プログラム (CMVP) の下で暗号化モジュールを検証しています。 多くのクラウド サービスを含む複数の Microsoft 製品では、これらの暗号化モジュールが使用されています。

現在の CMVP FIPS 140 実装ガイダンスでは、クラウド サービスの FIPS 140 検証は除外されていますが、クラウド サービス プロバイダーは、クラウド サービスを構成するコンピューティング要素に対して FIPS 140 検証済みの暗号化モジュールを取得して運用できます。 Azureはハードウェア、市販のオペレーティングシステム(LinuxおよびWindows)、そしてAzure専用バージョンのWindowsを組み合わせて構築されています。 Microsoft セキュリティ開発ライフサイクル (SDL) を通じて、オペレーティング システムはハイパースケール クラウドで動作する際に FIPS 140 承認アルゴリズムを使用するため、すべての Azure サービスはデータ セキュリティに FIPS 140 承認アルゴリズムを使用します。 対応する暗号化モジュールは、Microsoft Windows FIPS 検証プログラムの一部として FIPS 140 で検証されています。 さらに、独自の暗号化キーやその他のシークレットをFIPS 140検証済みハードウェアセキュリティモジュール(HSM)に保存できます。

暗号化キーの管理

データセキュリティには、暗号化キーの適切な保護と管理が不可欠です。 Azure Key Vault は、シークレットを安全に格納および管理するためのクラウド サービスです。 Key Vault を使用すると、FIPS 140 検証済みのハードウェア セキュリティ モジュール (HSM) に暗号化キーを格納できます。 詳細については、「 データ暗号化キーの管理」を参照してください。

転送中のデータの暗号化

Azure には、転送中のデータを暗号化するためのオプションが多数用意されています。 転送中のデータ暗号化は、ネットワーク トラフィックを他のトラフィックから分離し、傍受からデータを保護するのに役立ちます。 詳細については、「 転送中のデータ暗号化」を参照してください。

保存データの暗号化

Azure には、Microsoft が管理 する暗号化 キーとカスタマー マネージド暗号化キーの両方を使用して、データを保護し、コンプライアンスのニーズを満たすために役立つ保存データを暗号化するための広範なオプションが用意されています。 このプロセスは、セキュリティで保護されたキー アクセスと一元化されたキー管理を確保するために、Azure Key Vault や Microsoft Entra ID などの複数の暗号化キーとサービスに依存します。 Azure Storage 暗号化と Azure Disk 暗号化の詳細については、「 保存データの暗号化」を参照してください。

Azure SQL Databaseは、デフォルトで静止時の透過的なデータ暗号化(TDE)を提供します。 TDE により、データ ファイルとログ ファイルのリアルタイムの暗号化と復号化の操作が実行されます。 データベース暗号化キー (DEK) は、回復の間に使用できるよう、データベース ブート レコードに格納される対称キーです。 サーバーのマスターデータベースに保存された証明書か、Azure Key Vaultに管理されている非対称キーTDE Protectorによって保護されています。 Key Vault では Bring Your Own Key (BYOK) がサポートされているため、TDE 保護機能を Key Vault に格納し、キーのローテーション、アクセス許可、キーの削除、すべての TDE 保護機能の監査/レポートの有効化などのキー管理タスクを制御できます。 キーは、Key Vault で生成するか、インポートするか、オンプレミスの HSM デバイスから Key Vault に転送することができます。 また、Azure SQL Database の Always Encrypted 機能を使用することもできます。これは、アプリケーション内のデータを暗号化し、 暗号化キーをデータベース エンジンに公開することがなく、機密データを保護するために特別に設計されています。 このように、Always Encrypted では、データを所有して表示できるユーザーと、データを管理するがアクセス権を持たないユーザーの間で分離されます。

インサイダーアクセスの制限

米国内のすべての Azure および Azure Government の従業員は、Microsoft のバックグラウンド チェックの対象となります。 詳細については、 スクリーニングを参照してください。

内部脅威には、バックドア接続やクラウドサービスプロバイダー(CSP)によるシステムやデータへの特権管理者アクセスが含まれます。 Microsoft がデータへのインサイダー アクセスを制限する方法の詳細については、「 インサイダー アクセスの制限」を参照してください。

Azure リソースの監視

Azure には、プロビジョニングされた Azure リソースに関する詳細な分析情報を取得し、アプリケーションやデータを対象とした外部攻撃を含む疑わしいアクティビティに関するアラートを受け取るために使用できる重要なサービスが用意されています。 これらのサービスの詳細については、「 Azure リソースの顧客監視」を参照してください。

結論

お客様は、Azure の使用が米国の輸出規制にどのように影響するかを慎重に評価し、クラウドに保存または処理するデータのいずれかが輸出規制の対象となる可能性があるかどうかを判断する必要があります。 Microsoft Azure は、輸出管理リスクの管理に役立つ重要な技術的機能、運用プロセス、および契約上のコミットメントを提供します。 米国の輸出規制の対象となる技術データが含まれる可能性がある場合、Azure は、Azure で管理された技術データにアクセスする際に誤って米国の輸出規制に違反する潜在的なリスクを軽減するのに役立つ機能を提供するように構成されています。 適切な計画を立てることで、Azure の機能と独自の内部手順を使用して、Azure プラットフォームを使用する際に米国の輸出規制に完全に準拠することができます。

次のステップ

輸出管理規則を把握しやすくするために、MicrosoftはMicrosoft Azure輸出管理ホワイトペーパーを公開しています。ここでは、米国の輸出管理(特にソフトウェアや技術データに適用される部分)を説明し、輸出管理リスクの潜在的な要因をレビューし、これらの規制下での義務を評価するための具体的な指針を提供しています。

詳細については、以下をご覧ください。

  • Last updated on