9-1. リスクアセスメントと適用法の特定
9-1-1. 域外適用のリスク評価
アメリカの法規制は、しばしば広範な「域外適用」の法理に基づき、米国外の企業活動にも適用されます。日本企業がアメリカのサイバーセキュリティ規制の対象となる主なパターンを以下に整理します。
(1) アメリカに拠点（子会社・支店）を有する場合
最も直接的なパターンです。アメリカ国内に設立された現地法人は、当然ながら連邦法及び当該州の法律の適用対象となります。日本本社は、現地法人のコンプライアンス体制を監督し、支援する責任を負います。特に、現地法人がインシデントを起こした場合、その影響はグループ全体に波及する可能性があるため、ガバナンスの強化が求められます。
(2) アメリカ市場で上場している場合
日本企業がニューヨーク証券取引所（NYSE）やナスダック（NASDAQ）に上場している場合（米国預託証券（ADR）を含む）、証券取引委員会（SEC）の規制対象となります。2023年に施行されたSECのサイバーセキュリティ開示規則は、これらの企業に対し、重大な（Material）サイバーインシデントの適時開示と、サイバーセキュリティ・リスク管理体制に関する年次開示を義務付けています。
(3) アメリカ居住者に対して商品やサービスを提供している場合
物理的な拠点がなくても、インターネットを通じてアメリカ居住者（特に消費者）に向けて積極的にビジネスを展開している場合、州のプライバシー法やデータ侵害通知法の適用対象となる可能性があります。例えば、カリフォルニア州消費者プライバシー法（CCPA/CPRA）は、一定の要件（売上高、取り扱う個人情報の量など）を満たす企業に対し、カリフォルニア州居住者の個人情報を保護し、合理的なセキュリティ対策を講じることを求めています。また、連邦取引委員会（FTC）は、アメリカの消費者に不利益を与えるような不十分なセキュリティ対策を行っていた企業に対し、国境を越えて執行権限を行使する可能性があります。
(4) 連邦政府または国防総省との取引（政府調達）に関与する場合
日本企業が直接又はサプライチェーンの一部として、アメリカ連邦政府や国防総省（DoD）に製品やサービスを納入している場合、厳格なセキュリティ要件が課されます。連邦調達規則（FAR）、国防連邦調達規則補足（DFARS）、CMMC（サイバーセキュリティ成熟度モデル認証）などがその代表例です。特に、管理された非機密情報（CUI）を取り扱う場合、NIST SP 800-171への準拠が求められます。プライムコントラクター（元請け）でなくても、サブコントラクター（下請け）として関与する場合、要件が「フローダウン」されるため、注意が必要です。
(5) 重要インフラ分野に関わる場合
金融・エネルギー・医療・通信等、アメリカが指定する16の重要インフラ分野に関連する事業を行っている場合、CISA（サイバーセキュリティ・インフラストラクチャ安全保障庁）の監督や、CIRCIA（重要インフラ向けサイバーインシデント報告法）に基づく報告義務の対象となる可能性があります。特に、アメリカ国内の重要インフラの運用に不可欠な技術やサービスを提供している日本企業は、高いレベルのセキュリティが求められます。
9-1-2. データマッピングと情報資産の特定
適用法を特定した後、次に行うべきは「守るべき情報資産は何か、どこにあるのか」を明確にすることです。多くのサイバーセキュリティ規制は、特定の種類の情報を保護対象としています。例えば、HIPAAは保護対象保健情報（PHI）、GLBAは非公開個人情報（NPI）、州プライバシー法は「個人情報（PI）」（定義は州により異なります）、そして政府調達規制はCUIを対象とします。
ここで重要となるのが「データマッピング」です。データマッピングとは、自社がどのようなデータを、どこから収集し、どのように処理・保存し、誰と共有し、いつまで保持するのかという、データのライフサイクル全体を可視化するプロセスです。データマッピングを通じて、以下の点を明確にする必要があります。
- データの種類と機微度: 氏名、住所、社会保障番号（SSN）、クレジットカード情報、健康情報、技術情報など、どのようなデータを取り扱っているか。また、その機微度はどの程度か。
- データの所在地: データはオンプレミスのサーバーにあるのか、クラウド（AWS、Azure、GCPなど）にあるのか。クラウドの場合、どのリージョンに保存されているか（データローカライゼーションの観点からも重要です）。
- データの流れ（Data Flow）: 誰がデータにアクセスできるのか。外部のベンダーや委託先とどのようにデータを共有しているか。国境を越えたデータ移転は発生しているか。
データマッピングは一度実施すれば終わりではなく、ビジネスの変化やシステム構成の変更に合わせて定期的に見直す必要があります。正確なデータマッピングは、適切なセキュリティ管理策を実装するための基盤となるだけでなく、万が一インシデントが発生した場合に、影響範囲を迅速に特定し、規制当局や影響を受ける個人への通知義務を果たすためにも不可欠です。情報資産の特定と分類が曖昧なままでは、過剰な対策によるコスト増や必要な対策の欠如によるリスク増大を招くことになります。
9-2. グローバル・コンプライアンス体制の構築
適用法と守るべき情報資産を特定した後、それらの要件を満たすための具体的な体制を構築する必要があります。アメリカの法規制は、特定の技術的対策を義務付けるだけでなく、組織としてのガバナンスやリスク管理プロセスを重視する傾向が強いためです。
9-2-1. NIST CSFを共通言語とした対策の評価と実装
アメリカのサイバーセキュリティ規制の複雑さに対処する上で、最も有効なアプローチの一つは、NISTサイバーセキュリティフレームワーク（CSF）を共通の基準として活用することです。NIST CSFは法的義務ではないものの、多くの規制当局や業界団体が参照しており、「合理的なセキュリティ」の基準として広く受け入れられています。
NIST CSFは、「特定（Identify）」「防御（Protect）」「検知（Detect）」「対応（Respond）」「復旧（Recover）」という5つの主要な機能（コア機能）で構成されており、組織がサイバーセキュリティリスクを管理するための体系的なアプローチを提供します。日本企業は、以下のステップでNIST CSFを活用することができます。
(1) 現状評価（アセスメント）
まず、NIST CSFのコア機能とサブカテゴリを用いて、自社の現在のセキュリティ対策の成熟度を評価します。この際、自社に適用される個別の規制要件（例えば、SEC開示規則、HIPAAセキュリティ・ルール、NIST SP 800-171など）とCSFとのマッピングを行うことが重要です。NISTは、他の標準や規制とCSFとのマッピング情報（Informative References）を提供しており、これを活用することで、複数の規制要件に対する準拠状況を統合的に評価できます。
(2) 目標プロファイルの設定
リスクアセスメントの結果とビジネス目標、適用される法的要件に基づき、達成すべき目標とするセキュリティレベル（目標プロファイル）を設定します。全ての項目で最高レベルを目指す必要はなく、リスクに応じたメリハリのある目標設定が現実的です。
(3) ギャップ分析と改善計画の策定
現状評価と目標プロファイルとの間のギャップを特定し、そのギャップを埋めるための具体的な改善計画を策定します。優先順位を付け、ロードマップを作成して段階的に実装を進めます。
NIST CSFを活用するメリットは、技術部門だけでなく、法務部門や経営層にとっても理解しやすい共通言語を提供することにあります。これにより、組織全体でのコミュニケーションが円滑になり、一貫性のあるセキュリティ戦略を推進することが可能となります。また、2024年に公開されたCSF 2.0では、新たに「ガバナンス（Govern）」機能が追加され、サプライチェーン・リスク管理の重要性も強調されています。これらの最新動向も踏まえた対応が求められます。
9-2-2. 法務・技術・経営層の連携（ガバナンスの重要性）
サイバーセキュリティは、もはやIT部門だけの問題ではなく、企業経営の根幹に関わる重要なリスク管理課題です。特にアメリカの規制当局は、経営層の関与と強力なガバナンス体制を強く求めています。SEC開示規則において、取締役会によるサイバーセキュリティリスクの監視体制や、経営陣の専門知識について開示が求められていることが、その象徴です。
日本企業は、以下の点を重視してガバナンス体制を強化する必要があります。
- 経営層のコミットメントと責任の明確化: 取締役会は、サイバーセキュリティリスクを主要な経営リスクの一つとして認識し、戦略的な方向性を決定し、必要なリソースを配分する責任を負います。CISO（最高情報セキュリティ責任者）を任命し、その役割と責任、報告ラインを明確にすることが重要です。CISOには、技術的な知識だけでなく、ビジネスや法規制に関する理解も備え、経営層と効果的にコミュニケーションできる能力が求められます。
- 部門横断的な連携体制の構築: サイバーセキュリティ対策は、IT・セキュリティ部門、法務・コンプライアンス部門、リスク管理部門、人事部門、広報部門など、多岐にわたる部門の連携によって初めて効果を発揮します。例えば、法規制の解釈や契約書のレビューは法務部門が、技術的な対策の実装はIT部門が、従業員教育は人事部門が担当するなど、役割分担を明確にし、定期的な情報共有と連携のための会議体を設置することが有効です。
- 法務部門の役割の再定義: 法務部門は、単に発生した問題に対処するだけでなく、平時からサイバーセキュリティリスクの評価と対策に積極的に関与する必要があります。具体的には、最新の法規制動向のキャッチアップ、セキュリティポリシーやインシデント対応計画の策定への関与、ベンダー契約におけるセキュリティ条項の精査、インシデント発生時の法的助言などが含まれます。サイバーセキュリティに関する専門知識を有する法務人材の育成や、外部専門家との連携も重要となります。
9-2-3. ポリシー・手順書の整備と従業員教育
強固なガバナンス体制を構築しても、それが具体的なルールとして文書化され、従業員に周知徹底されなければ意味がありません。多くの規制は、情報セキュリティポリシーやインシデント対応計画（IRP）などの文書化を明示的に要求しています。
- 情報セキュリティポリシー: 組織の情報セキュリティに関する基本的な方針とルールを定めます。NIST CSFや適用される規制要件に基づき、アクセス制御、暗号化、脆弱性管理、物理的セキュリティなどに関する要件を盛り込みます。グローバル企業の場合、グループ全体で適用される基本ポリシーを策定しつつ、各国の法規制やビジネス環境に応じたローカルポリシーを整備するアプローチが一般的です。
- インシデント対応計画（IRP）: インシデント発生時の対応手順を定めた計画書です。検知、封じ込め、根絶、復旧、そして事後の分析といった一連の流れに加え、誰が意思決定を行うのか、どのタイミングで規制当局や影響を受ける個人に通知するのかといった法的な要件も盛り込む必要があります。
- プライバシーポリシー/通知: 州プライバシー法に基づき、どのような個人情報を収集し、どのように利用・共有するのかを対外的に説明する文書です。正確かつ透明性の高い記述が求められます。
これらの文書は、作成するだけでなく、定期的に見直し、最新の状況に合わせて更新する必要があります。また、文書化したルールを実効性のあるものにするためには、継続的な従業員教育が不可欠です。
- セキュリティ意識向上トレーニング: 全従業員を対象に、フィッシングメールの見分け方、パスワード管理の重要性、不審な活動を発見した場合の報告手順などについて、定期的なトレーニングを実施します。標的型攻撃メール訓練なども有効です。
- 役割に応じた専門教育: IT管理者、ソフトウェア開発者、法務担当者など、特定の役割を担う従業員に対しては、それぞれの業務に必要な専門的な知識やスキルに関する教育を実施します。
アメリカの規制当局は、形式的なポリシーやトレーニングだけでなく、それらが実際に遵守され、組織文化として根付いているかを重視する傾向があります。実効性のある教育プログラムの実施とその記録の保持が重要となります。
9-3. 具体的な規制への対応プラクティス
9-3-1. SEC開示規則への対応：重要性の判断とプロセスの確立
米国上場企業にとって、SECのサイバーセキュリティ開示規則への対応は喫緊の課題です。この規則の核心は、「重大な（Material）」サイバーインシデントが発生した場合、その事実を認識してから原則4営業日以内にForm 8-K（臨時報告書）で開示することを義務付けている点にあります（外国民間発行体の場合はForm 6-Kでの速やかな開示）。この「4営業日」という極めて短い期間内に、複雑な事実関係を把握し、開示の要否と内容を決定することは容易ではありません。
対応の鍵となるのは、「重要性（Materiality）」の判断基準と、迅速な意思決定プロセスの確立です。
(1) 重要性の判断基準の策定
「重要性」とは、合理的な投資家が投資判断を行う上で重要とみなす可能性が高い情報のことです。サイバーセキュリティの文脈では、インシデントが企業の財務状況や事業運営に与える影響を、定量的および定性的な側面から評価する必要があります。
- 定量的要因: 直接的な損失額（復旧費用、身代金支払い、制裁金など）、売上高への影響、株価の変動など。
- 定性的要因: 企業の評判やブランドイメージへのダメージ、顧客や取引先との関係悪化、重要な知的財産や企業秘密の漏洩、規制当局による調査や訴訟のリスク、競争上の不利益など。
日本企業は、平時のうちに自社のビジネス特性や過去の事例を踏まえ、どのようなインシデントが「重大」と判断される可能性があるかについて、具体的なシナリオを想定し、判断基準を策定しておく必要があります。この基準策定には、法務、財務・経理、IR、IT・セキュリティ部門、そして経営層が関与し、外部の法律専門家や会計専門家の助言も得ながら進めることが望ましいです。
(2) 迅速なエスカレーションと意思決定プロセスの確立
インシデント発生時に迅速かつ適切な判断を下すためには、現場から経営層に至るまでの明確なエスカレーション・フローと意思決定プロセスを確立しておく必要があります。
- インシデントの検知と初期評価: IT・セキュリティチームは、インシデントを迅速に検知し、その影響範囲や深刻度を初期評価します。
- 情報共有と連携: 評価結果は、直ちに法務、広報、関連事業部門などに共有します。秘匿性を確保しつつ、必要な情報を関係者間で連携することが重要です。
- 重要性の判断: 事前に定められた基準に基づき、インシデントの重要性を評価します。この判断は、最終的には開示責任を負う経営層（CEOやCFO）や開示委員会が行う必要があります。
- 開示内容の作成とレビュー: 開示が必要と判断された場合、正確かつ誤解を招かない内容の開示文書を作成します。インシデントの性質、範囲、期間、および企業への影響について記述します。このプロセスでは、外部弁護士によるリーガルレビューが不可欠です。
これらのプロセスを円滑に進めるためには、定期的な机上演習（テーブルトップ・エクササイズ）を実施し、関係者の役割と責任、連携手順を確認しておくことが極めて有効です。演習を通じてプロセスの課題を洗い出し、継続的に改善していくことが求められます。
9-3-2. サプライチェーン・リスク管理（TPRM）の実践
現代のビジネスにおいて、サプライチェーンを通じたサイバー攻撃のリスクは増大しています。アメリカ政府は、このリスクを国家安全保障上の脅威と捉え、特に政府調達に関わる企業に対して厳格なセキュリティ要件を課しています。また、民間企業間の取引においても、サプライチェーン全体のセキュリティレベルを確保することが不可欠となっています。日本企業は、サードパーティ・リスク管理（TPRM）のプロセスを強化し、サプライチェーン全体の可視化と管理に取り組む必要があります。
(1) ベンダー管理プロセスの強化
自社の重要な情報資産にアクセスしたり、重要な業務を委託したりするベンダー（クラウドサービスプロバイダー、SaaSベンダー、外部委託先など）に対しては、適切なセキュリティ対策が講じられていることを確認する必要があります。
- デューデリジェンス（事前評価）: 新規ベンダーを選定する際、セキュリティチェックシートやアンケートを用いて、ベンダーのセキュリティ体制や認証取得状況（SOC 2、ISO 27001など）を評価します。必要に応じて、インタビューや監査を実施します。
- 契約による担保: 契約書において、ベンダーが遵守すべきセキュリティ要件、インシデント発生時の通知義務、監査権、責任範囲などを明確に規定します。特に、アメリカの法規制が適用される場合、それらの要件を契約に反映させることが重要です。
- 継続的なモニタリング: 契約後も、定期的にベンダーのセキュリティ状況をモニタリングします。定期的な評価の実施や、セキュリティ関連のニュースや脆弱性情報の収集などが含まれます。
(2) 政府調達要件への対応（CMMCとNIST SP 800-171）
国防総省（DoD）との取引に関わる日本企業は、CMMC（サイバーセキュリティ成熟度モデル認証）への対応が求められます。CMMC 2.0では、取り扱う情報の機微度に応じて3つのレベルが設定されており、特にCUIを取り扱う場合（レベル2）は、NIST SP 800-171に規定される110項目のセキュリティ管理策への準拠が求められます。
NIST SP 800-171への準拠は容易ではなく、多大なコストと時間を要します。日本企業は、まず自社がCUIを取り扱っているかどうかを特定し、取り扱っている場合は、NIST SP 800-171の要件に基づき現状評価を行い、ギャップを埋めるための改善計画（POA&M: Plan of Action and Milestones）を策定する必要があります。また、システムセキュリティ計画（SSP: System Security Plan）を作成し、実装状況を文書化することも求められます。
将来的には、CMMCの適用範囲が国防総省以外の連邦政府機関にも拡大される可能性があるため、政府調達に関わる企業は、早期から体制整備に着手することが重要です。
(3) ソフトウェア・サプライチェーン・セキュリティとSBOM
大統領令 EO 14028以降、ソフトウェア・サプライチェーンのセキュリティ強化が急速に進められています。その中核となるのが、ソフトウェア部品表（SBOM: Software Bill of Materials）です。SBOMは、ソフトウェアを構成するコンポーネント（オープンソースソフトウェア（OSS）を含む）やその依存関係をリスト化したものです。
日本企業がアメリカ市場にソフトウェア製品を提供する、あるいは連邦政府に納入する場合、SBOMの提出が求められるケースが増加しています。SBOMを作成・管理することで、使用しているソフトウェアの脆弱性を迅速に特定し、対応することが可能となります。
日本企業は、自社で開発するソフトウェアについて、開発ライフサイクル全体を通じてセキュリティを確保する「セキュア開発（SSDF: Secure Software Development Framework）」の導入を進めるとともに、SBOMを自動的に生成・管理するためのツールやプロセスの導入を検討する必要があります。
9-3-3. 州プライバシー法とデータ侵害通知への対応
アメリカ市場で消費者向けビジネスを展開する日本企業にとって、州ごとのプライバシー法とデータ侵害通知法への対応は避けて通れない課題です。
(1) 包括的州プライバシー法への対応
カリフォルニア州（CCPA/CPRA）をはじめ、多くの州で包括的なプライバシー法が制定されています。これらの法律は、企業に対し、個人情報の取り扱いに関する透明性の確保、消費者の権利（アクセス権、削除権、オプトアウト権など）の保障、そして「合理的なセキュリティ対策」の実装を求めています。
日本企業は、まず自社がどの州のプライバシー法の適用対象となるかを判断し、対象となる場合は以下の対応を実施する必要があります。
- プライバシーポリシーの更新: 収集する個人情報の種類、利用目的、第三者提供の有無などを明確に記載し、最新の状態に保ちます。
- 消費者の権利要求への対応プロセスの構築: 消費者からの権利要求を受け付け、本人確認を行い、法定期限内に回答するためのプロセスを整備します。
- 合理的なセキュリティ対策の実装: データ侵害が発生した場合、不十分なセキュリティ対策が原因であると判断されると、規制当局からの制裁金や、消費者からの集団訴訟（特にCCPA/CPRAでは私的訴訟権が規定されています）のリスクに直面します。NIST CSFやCIS Controlsなどの業界標準を参照し、リスクに応じた適切なセキュリティ対策を実装することが重要です。
(2) データ侵害通知法への対応
全米50州すべてにデータ侵害通知法が存在しますが、その要件（対象となる個人情報の定義、通知のトリガー、通知期限、通知先など）は州ごとに異なります。これが、インシデント対応を複雑にする大きな要因となっています。
例えば、ある州では通知期限が「発見後30日以内」であるのに対し、別の州では「遅滞なく、可能な限り速やかに」と規定されています。また、通知先も、影響を受ける個人だけでなく、州司法長官（AG）や信用情報機関への通知が求められる場合があります。
日本企業は、インシデント対応計画（IRP）の中で、データ侵害が発生した場合の通知手順を明確に定めておく必要があります。
- 影響範囲の特定: どの州の居住者の、どのような個人情報が漏洩したのかを迅速に特定します。
- 適用法の特定と要件の確認: 影響を受ける居住者が所在する州のデータ侵害通知法の要件を確認します。この作業は専門知識を要するため、外部の法律専門家（特にプライバシー・サイバーセキュリティ分野に精通した米国の法律事務所）との連携が不可欠です。
- 通知の実施: 法的要件に従い、適切なタイミングと方法で通知を実施します。通知文書の作成、コールセンターの設置、クレジットモニタリングサービスの提供なども必要となる場合があります。
インシデント発生時に迅速かつ適切に対応するためには、平時から米国の法律事務所と連携体制を構築し、インシデント対応リテイナー契約を締結しておくことが強く推奨されます。
9-4. 国際比較と越境データ移転
アメリカのサイバーセキュリティ法規制への対応は、それ単独で完結するものではありません。グローバルに事業を展開する日本企業は、欧州をはじめとする他の国・地域の規制との整合性も考慮し、統合的なコンプライアンス戦略を策定する必要があります。また、国境を越えたデータの移転に伴う法的リスクも重要な論点となります。
9-4-1. EU規制との比較と統合的アプローチ
サイバーセキュリティとデータ保護の分野において、アメリカと並んで厳格な規制を敷いているのが欧州連合（EU）です。日本企業は、アメリカの規制とEUの規制の双方に対応する必要がある場合が多いです。
(1) GDPR（一般データ保護規則）
EUのGDPRは、個人データの保護に関する最も包括的かつ厳格な規制の一つです。アメリカにはGDPRに相当する包括的な連邦プライバシー法は存在しませんが、州プライバシー法の多くはGDPRの影響を受けています。GDPRは、個人データの処理に関する厳格な要件（適法根拠の確保、透明性の確保、データ主体の権利保障など）を定めており、違反した場合には巨額の制裁金が科される可能性があります。
セキュリティの観点から見ると、GDPR32条は、リスクに応じた「適切な技術的および組織的措置」を講じることを求めています。これは、アメリカの規制が求める「合理的なセキュリティ」と類似した概念ですが、GDPRの方がより詳細な要件を規定している場合があります（例えば、仮名化や暗号化の推奨）。
(2) NIS2指令（ネットワークおよび情報システムのセキュリティに関する指令）
NIS2指令は、EU全体のサイバーセキュリティレベルを向上させることを目的とした指令であり、重要インフラ事業者やデジタルサービスプロバイダーに対し、セキュリティ対策の実施とインシデント報告を義務付けています。2024年10月までに各加盟国での国内法化が求められており、適用対象範囲が大幅に拡大されます。
アメリカのCIRCIA（重要インフラ向けサイバーインシデント報告法）と類似した目的を持ちますが、NIS2指令はより広範な業種を対象とし、経営陣の責任やサプライチェーン・リスク管理に関する要件も明確に規定している点が特徴です。
(3) 統合的アプローチの重要性
日本企業がアメリカとEUの双方で事業を展開する場合、個別の規制にバラバラに対応するのではなく、統合的なアプローチを取ることが効率的です。例えば、NIST CSFをベースとしてセキュリティ体制を構築しつつ、GDPRやNIS2指令で求められる追加的な要件をアドオンする形で対応することが考えられます。最も厳格な基準に合わせて体制を整備することで、グローバル全体でのコンプライアンスレベルを底上げすることができます。
9-4-2. 越境データ移転とデータローカライゼーション
国境を越えたデータの移転は、現代のビジネスにおいて不可欠ですが、様々な法的リスクを伴います。
(1) データ移転規制（GDPRとDPF）
GDPRは、EU域内で収集した個人データを第三国に移転することを原則として禁止しており、移転先の国が十分なレベルのデータ保護を提供していると欧州委員会が認めた場合（十分性認定）、または標準契約条項（SCC）や拘束的企業準則（BCR）などの保護措置が講じられている場合にのみ移転を認めています。
アメリカは長らく十分性認定を得られていませんでしたが、2023年に「EU・米国データプライバシーフレームワーク（DPF）」が発効したことにより、DPFに参加し認証を取得したアメリカ企業に対しては、個人データを移転することが可能となりました。日本企業がEUの個人データをアメリカのクラウドサービスプロバイダーなどに移転する場合、そのプロバイダーがDPF認証を取得しているかを確認することが重要です。
(2) CLOUD法と外国政府によるアクセス要求
アメリカのCLOUD法（Clarifying Lawful Overseas Use of Data Act）は、アメリカの法執行機関が、アメリカ企業（クラウドサービスプロバイダーなど）が管理するデータについて、たとえそのデータが米国外のサーバーに保存されていたとしても、捜査令状などに基づき開示を要求できることを明確にした法律です。
これは、日本企業がアメリカのクラウドサービスを利用する場合、日本国内のデータセンターに保存していたとしても、アメリカ政府からのアクセス要求の対象となる可能性があることを意味します。特に機微な情報を取り扱う場合、このリスクを認識し、暗号化鍵の管理方法（自社で鍵を管理するなど）や、クラウドサービスの選定において慎重な検討が必要となります。
(3) データローカライゼーション規制の動向
近年、中国やロシア、インドなどを中心に、特定の種類のデータを国内に保存することを義務付けたり、国外への移転を制限したりする「データローカライゼーション規制」が強化される傾向にあります。アメリカでは現時点で広範なデータローカライゼーション規制は存在しませんが、国家安全保障上の懸念から、特定の機微なデータ（例えば、アメリカ国民のゲノムデータなど）について、国外への移転を制限する動きも見られます。
日本企業は、グローバルなデータガバナンス戦略を策定する上で、各国のデータ移転規制やデータローカライゼーション規制の動向を注視し、リスクに応じたデータ配置戦略を検討する必要があります。