Help Net Securityのインタビューに応じたMicrosoftのカスタマー・セキュリティ・オフィサー、Roger Halbheer氏は、デジタル主権はまずセキュリティの問題だと主張します。同氏は、攻撃者を検知して阻止するまでの時間という「スピード」を組織が過小評価している理由と、ワークロードをオンプレミスに移すとコスト曲線が急に立ち上がる理由を説明しました。
Halbheer氏によると、取締役会は独立性を求めながら、実際には「所在地」と「保証の声明」を購入しているにすぎません。同氏は代わりに、ワークロードごとにリスクを判断するよう促します。また、欧州を含むほぼあらゆる地域で政府はプロバイダーに対応を強制でき、侵害された環境は決して主権を保てないとも指摘しました。
主権にはコスト、人材、スピードが必要です。この3つのうち、組織が一貫して過小評価しているのはどれで、それはなぜですか。
スピードです。ここでいうのはセキュリティのスピード、つまり侵入を検知し、判断し、行動するまでの速さです。コストは調達の判断の場面で表面化します。一方、スピードが表に出るのは攻撃者が内部に入り込んだその日だけです。そしてその日には、スピードこそが唯一重要な数字になります。
その猶予は縮まり続けています。Microsoft Digital Defense Report 2026によると、脆弱性が実環境で発見されてから積極的に悪用されるまでの時間は、24時間を大きく下回ることがあります。今年は公開されるCVEが過去最多の7万2,000件に達する見通しです。また、正規アカウントを使った侵入の52.2%では、攻撃者がさらに別の認証情報を盗んでいました。1つの足がかりが、短時間で多数に広がります。
多くの組織が見落としているのは、主権のコストが直線的には増えないという点です。これは私のモデルですが、どの案件でも同じ傾向を目にします。クラウド内であれば、主権の多くは低コストで実現できます。顧客管理キー、法務担当が必要とする場所でのデータ保管、アクセスの透明性などです。これらはプラットフォームの作り直しではなく設定変更で済み、プラットフォームの検知機能、脅威インテリジェンス、自動対応もそのまま使えます。同レポートは、共有・相関された脅威インテリジェンスを、防御側が操作できる変数のなかでも特に効果の大きいものの1つに挙げています。スピードの低下はごくわずかで、追加の人員もほとんど要りません。
クラウドはイノベーションの場でもあり、顧客もそれを求めています。データと連携して動くサービスを必要とするAIアシスタント、エージェント、分析などです。防御も同じです。エージェント型AIは、防御側にできることを変えつつあります。当社のマルチモデル型エージェント方式のコードスキャナーであるMDASHは、100以上の専門AIエージェントを連携させ、攻撃者より先に脆弱性を見つけて検証します。EUとスイスのリージョンでも提供しています。
Project Perceptionでは、レッド、ブルー、グリーンの各エージェントが、機械の速度で探索、調査、堅牢化を行います。影響の大きい操作はすべて、人間が承認します。どちらも現在プレビュー段階で、クラウドから提供されています。オンプレミスに移し、多くの場合オープンソースで自前構築した途端に、コスト曲線は急になります。検知ルールはすべて自分で書き、パッチはすべて自分で展開し、得られる教訓はすべて午前3時の自社インシデントで学ぶことになります。しかも、こうしたイノベーションは自動的には届きません。オープンソースにしても依存関係の問題は消えません。ライセンスは無料でも、サプライチェーンは無料ではないからです。
そこで必要になるのが人材です。スピードは人によって作られるからです。プラットフォーム、ID、セキュリティのスキルを同時に備え、24時間体制で対応し、ストレス下でも機能するランブックを用意しなければなりません。ISC2の2025年版Workforce Studyでは、33%が「セキュリティチームに十分な人員を配置する予算がない」と答えました。ドイツでは、その結果が大規模に表れています。2025年10月、BSIは、インターネットから到達可能なオンプレミスのExchangeサーバー約3万3,000台のうち92%が、サポート終了済みまたは終了間近のバージョンで稼働していると確認しました。2026年8月の時点でCERT-Bundが拡張セキュリティパッチを確認できたのは、わずか9台でした。主権とは、自社でサーバーを所有することではありません。所有した後も、十分な速さで作業を続けることです。
欧州の取締役会が「主権が欲しい」と言うとき、通常は何を求めていて、結局何を購入することになりますか。
求めているのは独立性です。外部の誰にもデータに触れられず、止められないという状態です。ところが実際に購入するのは、たいてい所在地と保証の声明で、それを全社に一括して適用します。
問題は両方にあります。独立性は売り物ではありません。また、全社一律の方針には、判断の単位も、価格も、検証方法もありません。監査人に対して説明できないので、管理することもできません。
取締役会が求めるべきは、ワークロードごとのリスク判断です。どのリスクを減らすのか、それにコスト、人材、スピードの面でどれだけかかるのか、そして機能することをどう証明するのか。3つ目の問いに答えられないなら、何も購入していないのと同じです。しかもその判断は、調達交渉やニュースの流れではなく、リスク登録簿に属するものです。
独立性が売り物でないとすれば、欧州の組織が主権にお金を払うとき、何を買っているのですか。
精度です。欧州委員会は、EUが主要なデジタル製品、サービス、インフラ、知的財産の80%超を域外の国々に依存していると述べています。これを絶望的だと受け止めれば、身動きが取れなくなります。主権のあるレイヤーを1つ購入して勝利を宣言すれば、残るのはプレスリリースだけです。
実際に対価を払っているのは、特定のワークロードにとって重要な依存関係を管理できる状態です。誰が鍵を持つのか。プロバイダーが何について異議を申し立て、何を通知するのかを定めた契約。代替が存在する場合の第2のサプライヤー。実際に試した出口計画。しかも対象はコアプラットフォームだけではありません。給与計算、CRM、バックアップ、セキュリティ監視はいずれも、それぞれの法域で同じデータのコピーを保持しています。法的命令も攻撃者も、最も入りやすい経路から入ってきます。
何よりも、購入しているのはセキュリティです。侵害された環境には主権がないからです。合法的なアクセスに関してどんな保証を持っていても、誰かが違法にデータへアクセスした時点で意味を失います。当社のDigital Defense Reportでは、侵入の63%でデータ窃取が確認されました。重要インフラに対して観測された攻撃手法の78%は、クラウドIDの悪用でした。これらはIDの失敗であり、法域の失敗ではありません。どんなスライドに書かれた主権のコントロールも、これを止められません。
セキュリティは、主権と並行するプログラムではありません。その前提条件です。
「欧州に移せば、政府がプロバイダーに強制できなくなる」わけではないことを、欧州の顧客はどの程度理解していますか。
本来あるべき水準よりも少ないと思います。数字は持っていませんし、数字を挙げる人がいても信用しません。ただ、私が顧客と話す限り、理解されていることはまれです。強制的なアクセスは、米国特有のものではありません。英国は、プロバイダーに特定の機能の構築を強制できます。フランスは、特定のプロバイダーに対し、72時間以内に復号鍵の提出を求めることができます。さらに2026年8月18日以降は、e-Evidenceにより、ある加盟国の当局が別の加盟国のプロバイダーに対し、10日以内(緊急時は8時間以内)にデータの提出を命じられます。
公平を期すなら、e-Evidenceは、基本的権利の共通基準を持つ相互承認の領域内で運用されます。それでも要点は変わりません。政府は私のプロバイダーに強制できるのか。答えは、ほぼどこでも「できる」です。法域を分けるのは、どのような条件で、どのような監督の下で行われ、それが行われていることを私が確認できるかどうかです。
ここで、私たち社会はバランスを取らなければなりません。誰もが、法執行機関に児童の性的虐待、人身取引、テロ、詐欺と戦ってほしいと考えています。こうした犯罪は世界規模で起きており、その証拠は多くの場合、別の国の誰かのサーバーにあります。
同時に、プライバシーと管理されたリスクも必要です。したがって問うべきは、こうした権限が存在すべきかどうかではなく、適切に制限されているかどうかです。法的根拠、独立した承認、範囲の限定、異議申し立ての手段、そして制度が機能していることを私たちが確認できる仕組みが求められます。
政府の要請の多くに秘匿命令が付いているとすれば、まれなリスクと、巧妙に隠されたリスクをどう見分ければよいのですか。
まず前提から確認したいと思います。私が確認できないことを前提にしているからです。秘匿命令は、米国にも欧州にも存在します。ただ、欧州企業のデータに関わる要請にどれほどの頻度で付いているのかは、公開されている記録からは、多いとも少ないとも自信を持って言えません。
秘匿命令が存在するということは、記録された事例がないことに2通りの解釈があるという意味です。リスクが本当にまれなのか、秘匿のルールが設計どおりに機能しているのかのどちらかです。前者だけを主張すれば言い過ぎになります。後者だけを主張すれば、決して反証できません。ただし、秘匿は異議を唱えられないものではありません。Microsoftは2016年、無期限の秘匿命令をめぐって米司法省を提訴し、司法省は2017年に方針を変更しました。
数値化できないリスクとして扱ってください。プロバイダーに、透明性レポートが外部の保証を受けているかを尋ねましょう。命令に異議を申し立て、通知するという約束は、ブログ記事ではなく契約に盛り込みます。それが必要な限られたデータには、プロバイダーが内容を読めない設計を採用し、機能面のコストを受け入れます。そのうえで、同じ場にあるもう1つのリスク、つまり分単位で測られるリスクに目を向けてください。一方のリスクは数えられません。もう一方は、毎日数字を示してくれます。どこから手を付けるべきかを教えてくれるのは、その片方だけです。
翻訳元: https://www.helpnetsecurity.com/2026/10/22/roger-halbheer-microsoft-data-sovereignty/
