デジタル主権とは、組織、政府、または機関が、自らの条件に基づいてデジタル環境を管理する能力のことです。つまり、システムが稼働する場所、データが保管されている場所、データにアクセスできるユーザー、重要な業務を支えている技術、セキュリティ上の意思決定の方法などを理解していることを意味します。
企業のリーダーにとって、これは現実的なビジネス上の問題となっています。クラウドの導入、AI、データ共有、ITサービスの外部委託、グローバルな技術サプライチェーンにより、現代の組織では、内部における外部との依存関係が増加しています。こうした依存関係によって、業務のスピードと規模が担保できていることは事実ですが、同時に重要な課題も発生しています。
重要システムの管理者は誰か、機密データを保管する場所はどこか、どの法的権限の管轄を適用すべきか、プロバイダー、プラットフォーム、接続が中断された場合の、組織の事業継続性は担保されるか、内部データを外部に公開することなく、セキュリティアップデートや脅威インテリジェンスを使用できるのか。
これらはもはや、単なる法的な問題や調達上の問題ではありません。サイバーセキュリティ、レジリエンス、ガバナンスにまつわる問題なのです。
具体的には、デジタル主権は次の管理を対象としています：
- データが保管、処理される場所
- システム、ワークロード、およびテレメトリにアクセスできるユーザー
- デジタルサービスの導入、管理、更新方法
- 重要な業務をサポートするベンダー、プラットフォーム、技術
- サイバーセキュリティツールが脅威インテリジェンスを使用し、情報を共有する方法
- 組織がコンプライアンスとレジリエンスを実証する方法
デジタル主権の実現に、必ずしもグローバルな技術エコシステムからの分離が必要であるとは限りません。明らかに、ほとんどの企業にとって、それは非現実的であり、逆効果となるでしょう。むしろ、デジタル主権とは、最新のデジタルサービスを安全に使用しつつ、自主性と選択の自由を維持することを意味します。
主権的なデジタル戦略とは、組織がクラウド、AI、自動化、脅威インテリジェンスの恩恵を享受できるようにするものであるべきです。一方で、機密データ、重要なワークロード、セキュリティに関する意思決定の適切な管理を維持できるようにする必要もあります。
なぜ今、デジタル主権が重要なのか
デジタルインフラは、組織の運営において中心的な役割を果たすようになりました。業務プロセス、顧客サービス、サプライチェーン、金融取引、産業システム、公共サービスはすべて、技術の接続に依存しています。
一方で、組織はサイバーセキュリティ、プライバシー、レジリエンス、およびサードパーティに関するリスクの面において、より厳しい要件に直面しています。政府、金融、エネルギー、通信、医療、重要インフラなどの規制対象業界では、機密データや重要な業務が、正式に認可された管理体制のもとで維持、運営されていることを証明する必要があります。
ここで重要になるのが、デジタル主権です。デジタル主権は、組織が回避可能な依存関係の軽減やレジリエンスの強化を図り、自社のデジタル資産を明確に把握していることをステークホルダーに示すために役立ちます。
セキュリティ担当責任者にとって、これは特に緊急性が高い問題です。現代のサイバーセキュリティは、脅威インテリジェンス、評価データ、セキュリティアップデート、エキスパートによる分析への早期アクセスに依存しています。しかし、一部の組織では、内部のテレメトリデータ、ファイル、URL、その他の機密情報を自社の環境外に持ち出すことが許可されません。また、分離されたネットワーク、エアギャップ方式を採用したネットワーク、厳重に制限されたネットワークを運用している組織もあります。
ここに課題があります：データやインフラに対する管理を犠牲にすることなく、組織が現在の脅威に対して強力な防御体制を維持するには、どうすればよいのでしょうか？
デジタル主権とデータ主権
デジタル主権とデータ主権の葉関連性がありますが、同じものではありません。
データ主権が焦点を当てるものは、データです。情報が収集、保管、処理、アクセスされる場所、およびその情報に適用される法律や社内ポリシーに関与しています。
たとえば、金融機関では、顧客データが特定の管轄区域内に滞留するよう確保する必要があるかもしれません。医療機関では、患者記録へのアクセスを管理する必要があるかもしれません。政府機関では、承認された環境外のシステムで機密情報が処理されるのを防止する必要があるかもしれません。
データ主権は、次のような問いに答えを与えます：
- このデータはどこに保存されていますか？
- 誰がそれにアクセスできますか？
- どの法律が適用されますか？
- 国境を越えた転送は可能ですか？
- ライフサイクル全体を通じて、どのように保護されていますか？
デジタル主権の範囲は、より広範です。データ主権が含まれるほか、インフラ、アプリケーション、セキュリティツール、運用管理、サプライヤーへの依存、および技術の選択についても網羅しています。
データ所在地は厳格に管理していても、デジタル主権が欠如している組織もあります。たとえば、データをローカルに保管していても、重要なシステムが、外部で管理されるプラットフォーム、海外のサポートチーム、不透明な更新メカニズム、運用への制御が制限されるクラウドサービスなどに依存している場合があります。
データ主権は、データの管理に関係しています。デジタル主権は、そのデータの作成、保存、処理、保護、使用より広範なデジタル環境の管理に関係しています。
運用主権とは何か？
運用主権とは、デジタルシステムの運用、管理、保守の方法を管理する能力のことです。
これには、システムの可用性とセキュリティの維持に関与する人員、プロセス、アクセス権限、運用上の意思決定が含まれます。必要不可欠なサービスを供給する組織や、規制が厳格な分野で事業を展開する組織にとって、特に重要です。
技術主権は、次のような問いに答えを与えます：
- システムを運用するのは誰ですか？
- 管理上の変更を行うことができるのは誰ですか？
- 誰が特権アクセスを持っていますか？
- 障害発生中も事業は継続できますか？
- 組織は、何が起きているかを監視、監査することができますか？
- 管理管轄外の外部プロセスに依存することなく、セキュリティを維持できますか？
運用主権は、単に内部の所有権に関するだけのものではありません。多くの組織は、信頼できるサービスプロバイダーやサービスパートナーとの協業を継続していくでしょう。重要な問題は、組織が重要な運用に対して、十分な可視性、権限、契約上の管理権を保持しているかどうかです。
サイバーセキュリティでは、運用主権はインシデントレスポンスと密接に関連しています。攻撃発生時において、組織が把握しておくべきことは、対応できる人物が誰か、どのシステムを切り離せるか、ログがどこに保管されているか、そして外部の承認を待ったり機密情報を外部に公開したりすることなく、すぐにレスポンス処理を実行できるかどうかです。
技術主権とは何か？
技術主権とは、組織をサポートする技術を選択し、管理し、適応させる能力のことです。
これは、不要なロックインを回避し、プラットフォーム全体の柔軟性を維持するとともに、主要な技術がセキュリティ、コンプライアンス、およびレジリエンスの要件を満たせるようにすることに関係しています。
技術主権は、次のような問いに答えを与えます：
- 組織は、ソリューションの導入場所や導入方法を自由に選択できますか？
- オンプレミス、クラウド、ハイブリッド環境、または分離されたネットワーク上で、重要なツールを実行できますか？
- 既存のシステムやサードパーティの技術との連携は可能ですか？
- ビジネス、セキュリティ、規制に関するニーズが変化した場合、プロバイダーを切り替えたり、適応させたりすることは可能ですか？
- 企業は、自社の技術スタック内の依存関係を把握していますか？
企業のセキュリティチームにとって技術主権が特に重要となるのは、サイバーセキュリティツールが、組織で最も機密性の高いシステムやデータに密接に関わっているためです。エンドポイント保護、EDR、XDR、 SIEM、NDR、脅威インテリジェンスのソリューションは、大量のセキュリティテレメトリを処理することが可能です。また、新種の脅威の検知に際しては、アップデートや評価情報のルックアップや、クラウドを活用したインテリジェンスが必要となる場合もあります。
これにより、ある種の緊張状態が生じます。組織には保護が必要である一方で、セキュリティデータの取り扱い方法についても管理が必要だからです。技術主権は、柔軟な導入モデル、透明性の高いデータフロー、強力な管理的統制を優先させることで、その緊張状態を解消するのに役立ちます。
主権の概念が連携する仕組み
この4つの概念には関連性があります。
- データ主権は、情報を保護します
- 運用主権は、システムの運用方法を管理します
- 技術主権は、選択と柔軟性を維持します
- デジタル主権はこれらを統合し、デジタル分野における管理、レジリエンス、信頼性に関するより広範な戦略を形成します。
次のように考えてみてください：
- データ主権とは、データがどこにあり、誰がそれにアクセスできるのかを問うものです。
- 運用主権とは、誰が環境を管理し、どのように意思決定が行われるのかを問うものです。
- 技術主権とは、組織がどの技術に依存しており、それらを変更することができるかを問うものです。
- デジタル主権とは、依存するデジタルシステムに対して、組織が全体的な権限を持っているかを問うものです。
CISO、CIO、リスク管理責任者にとって、目標はあらゆる分野で主権を最大限に発揮することではありません。そうなればコストがかさみ、イノベーションを阻害する危険性があるからです。主権が最も重要となる分野を特定し、適切なシステムに適切な管理措置を講じることが、目標なのです。
公共向けWebサイトには、国の決済システムと同じような主権モデルは不要かもしれませんし、標準的なSaaSのワークフローには、産業用ネットワークや政府の機密環境と同じような管理的統制は不要かもしれません。成熟した主権戦略では、これらのユースケースを区別し、適切なレベルの管理を適用します。
デジタル主権の基礎となるデプロイメント統制
クラウドサービスは多くのビジネス目標の達成を支援できますが、すべてのシステム、ワークロード、規制要件に必ずしも適しているとは限りません。組織によっては、セキュリティインフラ、管理システム、テレメトリ、アップデートを自社の環境内に保持する必要がある場合があります。
これが、デプロイメント統制がデジタル主権の重要な部分である理由です。
オンプレミスのサイバーセキュリティにより、組織は自社のインフラ内で主要なセキュリティ機能を導入、管理することが可能になります。このことは、データフロー、管理者アクセス、更新プロセス、運用手順に対する管理を維持するに役立ちます。また、外部への接続が制限または禁止されている環境にも対応可能です。
政府機関、軍需産業、金融サービス、エネルギー、製造業、通信、その他高度な機密性が要求される分野の組織にとって、この選択肢は必須であると言ってよいでしょう。
オンプレミスでの導入がデジタル主権をサポートする際に行われる、組織への具体的な支援は次の通りです：
- 機密性の高いセキュリティデータを企業ネットワークの境界内に保持する
- セキュリティインフラをローカルで制御可能な状態を維持する
- 分離または制限されたネットワークをサポートする
- 内部要件や規制要件に即した導入を行う
- 重要システムにおける外部管理環境への依存度を低減する
- 接続が制限されている場合でも、業務の継続性を確保する
ここでのキーワードは、「選択」です。主権に対応したサイバーセキュリティ戦略は、すべての組織に単一の導入モデルを強制するものであってはなりません。リスク、アーキテクチャ、規制上のニーズに応じて、クラウド、オンプレミス、ハイブリッド、分離された環境に対応できる必要があります。
データを境界外に持ち出すことなく、脅威インテリジェンスを受け取る
最新のサイバー防御は、タイムリーなセキュリティアップデートと脅威インテリジェンスに依存しています。攻撃者はツールやインフラ、テクニックを絶えず変更しているため、セキュリティチームは、最新の評価データ、悪意のあるオブジェクトの検知機能、脅威インジケーター、およびエキスパートによる調査結果にアクセスできる必要があります。
しかし、主権を重視する組織にとっては、内部データをネットワークの境界外に送信することは受け入れがたい場合が考えられます。これが特に当てはまるケースは、規制が厳格な企業、政府機関、重要インフラの運営組織、ネットワークが分離された組織などです。
たとえば、プライベートセキュリティネットワークモデルを採用することで、セキュリティアップデートや脅威インテリジェンスを自社で管理する環境内で受信できるようになります。このモデルでは、内部データを組織の境界外に転送することなく、セキュリティインテリジェンスを組織の環境内に配信する事が可能です。組織は、インフラやデータフローに対するローカル制御を維持しながら、脅威インテリジェンスやセキュリティアップデートの恩恵を受けることができます。
主権が保護レベルの低下を伴うべきではないという点で、これは重要なことです。厳格なデータ共有制限がある組織であっても、機動的な検知、最新の評価情報、強力なレスポンス能力は必要とされます。プライベートセキュリティインテリジェンスモデルは、こうした課題の解消に役立ちます。
このモデルは、よりバランスに優れたアプローチも実現します。つまり、機密データは適切な場所に保管しつつ、セキュリティツールが現在の脅威を検知、ブロックするために必要な情報を引き続き取得できるようにします。
主権対応のサイバーセキュリティアーキテクチャに必要な要素
主権対応のサイバーセキュリティアーキテクチャは、管理性、可視性、柔軟性を兼ね備えている必要があります。セキュリティデータの行き先、ツールの管理方法、保護の維持方法などに関する詳細な問題に対し組織が答えを出す際に、このアーキテクチャが役に立つでしょう。
実現可能なことは、主に次の通りです：
- 明瞭な導入オプション：組織は、環境の機密性に応じて、クラウド、オンプレミス、ハイブリッド、分離型の導入モデルを選択できる必要があります。
- セキュリティデータに対するローカル制御： セキュリティテレメトリ、ログ、評価リクエスト、運用データは、社内ポリシーや規制要件に従って取り扱う必要があります。
- 脅威インテリジェンスのプライベートな配信：組織は、境界外への内部データの転送を必要とすることなく、脅威インテリジェンスやセキュリティアップデートを受信できる必要があります。
- 強力なアクセスガバナンス：管理アクセス権、特権を持つロール、運用上の責任を明確に定義して、監査可能な状態にする必要があります。
- 既存インフラとの統合：主権とは、理論上の所有権ではなく、実質的な管理によって確立されるものです。セキュリティツールは、既存のSOCワークフロー、ID管理システム、SIEMプラットフォーム、および運用プロセスと連携させる必要があります。
- 分離されたネットワークや重要ネットワークのサポート：環境によっては、外部との継続的な接続に頼ることができない場合があります。セキュリティアーキテクチャは、システムを危険にさらすことなく、こうしたシナリオをサポートする必要があります。
- 証拠と監査対応体制：組織は、管理体制が適切であることを実証する必要があります。ログ、レポート、ポリシーの適用、証拠の収集は、監査、規制当局による審査、内部ガバナンスを支援するものでなければなりません。
デジタル主権は単なるコンプライアンス要件ではなく、セキュリティ戦略です
デジタル主権については、規制の観点から議論されることがよくありますが、その価値はコンプライアンス以上のものがあります。デジタル主権は、より高い耐障害性、透明性、適応性を有するデジタル環境を、組織が構築する上で役立ちます。
サイバーセキュリティのリーダーにとって、これは管理について考える上で実用的なアプローチです。データの保管場所だけでなく、セキュリティの実現方法についても考える必要があります。また、使用するプロバイダーだけでなく、プレッシャーがかかる状況においても、組織が保護、可視性、意思決定権を維持できるかどうかも、重要なポイントです。
サイバーリスクは、理想的な条件が整うのを待ってはくれません。攻撃の標的となるのは、接続されたシステム、分離されたネットワーク、サプライヤー、エンドポイント、ID管理システム、重要インフラなどです。組織には、機動的な対応が可能である一方で、主権要件への配慮も両立できるセキュリティアーキテクチャを必要としています。
最も効果的なアプローチは、接続を制御することです。企業は、高度なサイバーセキュリティ技術、リアルタイムの脅威インテリジェンス、セキュリティのエキスパートによる専門知識を利用できる必要があります。その際、自社の重要なデータやインフラに対する管理権限を犠牲にすることがあってはなりません。デジタル主権には、これを実現するためのフレームワークが備わっています。
参考資料と詳細情報：
European Commission: NIS2 Directive |Data Act explained | Sovereign Cloud Framework explained | State of the Digital Decade 2025 report
FAQ
デジタル主権とはどのようなものか、簡単な言葉で教えてください
デジタル主権とは、組織が依存しているデジタルシステム、データ、技術、および運用を制御する能力のことです。つまり、システムがどこで稼働しているか、誰がアクセスできるか、どのように管理されているか、組織が重要なデジタル上の意思決定を制御し続けられるか、などを理解していることを意味します。
デジタル主権はデータ主権と同じですか？
いいえ。データ主権は、データの保存、処理、管理の場所に焦点を当てています。デジタル主権の範囲は、より広範です。データだけでなく、インフラ、サイバーセキュリティ、運用、テクノロジーサプライヤー、導入モデル、戦略的管理についても網羅しています。
デジタル主権は、サイバーセキュリティにとってなぜ重要なのですか？
サイバーセキュリティツールは、機密性の高いテレメトリデータ、ログ、ファイル、URL、システムデータなどを処理することがよくあります。主権に関する要件がある組織は、この情報が適切な管理の下で処理されることを保証する責任があります。また、機密データを不要に外部に公開することなく、セキュリティアップデートや脅威インテリジェンスを受け取る必要があります。
主権にとって、オンプレミス導入が重要な理由は何ですか？
オンプレミスでの導入により、組織は自社のインフラ内でセキュリティソリューションを実行することができます。これにより、データを境界内に保持し、分離されたネットワークをサポートし、内部チームがセキュリティ運用、アップデート、アクセスをより詳細に制御できるようになります。
組織は、ネットワーク外にデータを送信せずに脅威インテリジェンスを受け取ることができますか？
はい。プライベートな脅威インテリジェンスモデルにより、社内データを組織の境界外に送信することなく、管理されたローカル環境にセキュリティアップデートや評価データを配信することができます。Kaspersky Private Security Networkは、このユースケースをサポートする目的で設計されています。
デジタル主権を確立するには、クラウドの利用を避けるべきなのでしょうか？
いいえ。デジタル主権とは、クラウドサービスを一切利用しないことを意味するわけではありません。ワークロード、データの種類、リスクプロファイルごとに、それぞれに最適な導入モデルを選択することを意味します。システムによっては、クラウドが適している場合もあります。一方で、オンプレミスやハイブリッド環境、または分離した環境への導入が必要な場合もあります。
