Ⅳ．サーバーセキュリティ法の規則案(CCII Regulation)の内容と問題点
(1) Norton Rose Fulbright LLP のCII Regulationの解説「China Seeks Comment on Draft Regulation on Critical Information Infrastructure」が”7月10日付けCII Regulation”の内容を体系的に解説しているので、以下、仮訳する。
① CIIの規制当局 (Regulatory Authorities of CII)
CIIの下では、CACは重要情報インフラストラクチャ（CII）のセキュリティ保護の計画と調整を担当する。公安部(Public Security Authority)、国家安全部(National Security Authority) (筆者注3)、国家保密局( State Secrets Authority )(筆者注4)、国務院の 国家密码管理局(.State Cryptography Administration, i.e. the Office of the Central Leading Group for Cryptography Work (中央密码工作领导小组办公室) Wikipedia) (筆者注5)は、CIIの規制当局となる。 郡レベル以上の地方自治体の関連部門は、CIIに関連してセキュリティ保護業務を実施する責任を負う。
② CIIの範囲
CII規制に含まれるCIIの範囲は、サイバーセキュリティ法上のCIIの範囲に比べて広い。 以下の部門は、CII規則案で具体的に言及されている。
- 政府機関、エネルギー、金融、交通、水質保全、医療、教育、社会保障、環境保護および公益事業。
- 通信ネットワーク、ラジオおよびテレビネットワーク、インターネットおよびその他の情報ネットワーク、クラウドコンピューティング、大容量データおよびその他の大規模な公共情報ネットワークサービス。
- 国防科学技術、大規模機器、化学薬品、食品および薬物。
- ラジオ局、テレビ局、通信社(news agencies)。
上記の多くのセクターは、ヘルスケア、教育、環境保護、クラウドコンピューティング、ビッグデータなどのサイバーセキュリティー法では言及されていなかった。CII規則の下でのCIIの広範な範囲は、中国の一部の事業が次のような適用可能性を高める可能性がある。（1）CII事業者とみなされるもの、（2）中国法に基づくCII事業者の厳しい法的要件に従う。
重要な点は、CAC、通信当局および公安当局は、CIIの識別のためのガイドラインを共同で作成し公表する点である。産業監督当局は、これらのガイドラインに基づいて各部門のCIIを特定し、その結果を関係当局に報告する。各業界の専門家はこれらのプロセスの途上で相談を受ける。
③ II事業者が購入する製品やサービスの追加要件
CII規則は、中国の国家安全保障に脅威を与えるとみなされるCII事業者が購入した製品やサービスのサイバーセキュリティレビューの観点から、サイバーセキュリティ法の要件に繰り返し言及している。 これらの製品・サービスは、５．で述べる 2017年6月1日付け（カタログ）のCACおよび他の当局によって発行された主要なネットワーク機器および専用ネットワークセキュリティ製品のカタログ（最初のバッチ）に掲載される。 サイバーセキュリティレビューは、2017年5月2日にCACが発行したネットワーク製品およびサービス（トライアル実施）のセキュリティ評価に関する措置に基づいて実施されるべきである。
CII規則では、CII事業者は、オンラインアプリケーションに先立ってCII事業者が使用するアウトソーシングされたシステム、ソフトウェア、および寄贈された/贈与されたネットワーク製品に関するセキュリティ検査とテストを行う必要がある。これにより、カタログの範囲が拡大され、カタログに掲載されていないネットワークシステムや製品がサイバーセキュリティレビューの対象となる可能性がある。CII事業者は、ネットワーク製品/サービスの使用に関して実質的なリスクが特定されている場合には、是正措置を講じ、管轄当局に報告することが求められる。
CII規則は、またCIIの運用と保守が中国の領土内で行われることを要求している。 事業上の理由で遠隔保守が必要な場合、遠隔保守に着手する前にCII事業者はこれを産業監督官庁及び公安機関に報告しなければならない。CII規制が現在の形態で発行されている場合、このローカリゼーション要件は、中国内で実施されなければならないため、外国企業（クラウドサービスプロバイダーなど）がCIIの運営にサービスを提供することを禁止する可能性がある。しかし、現在言及されているように、この条項は完全には明確ではなく、その意味合いはまだ残っている。
CII規則は、CACと国務院の関連部門が、CIIに対して以下のサービスを提供する事業者に特定の要件を共同で発行することを想定している。
① サイバーセキュリティ検査、テストおよび評価
② システム脆弱性、コンピュータウィルス、サイバー攻撃を含むサイバーセキュリティ脅威情報のリリース
③ クラウドコンピューティングサービスと情報技術アウトソーシングサービス。なお、これらの要件がどのようなものになるのか、いつ公開されるのかは不明である。
④ CIIのサイバーセキュリティ保護担当者
CII規則の下では、CIIオペレータの責任者がCIIのセキュリティ保護の第一の責任を引き受ける。CII事業者は、CIIのサイバーセキュリティ保護の責任者を任命することができ、その職務には次のものが含まれる。
① サイバーセキュリティ・ルールとシステム、運用手順の策定を組織し、同じ手順の実施を監督する。
② 主要職種の職員の技能評価を調査する。
③ サイバーセキュリティ教育及び訓練プログラムの策定及び実施を組織する。
④ サイバーセキュリティ検査と緊急訓練を組織し、サイバーセキュリティ・インシデントを処理する。
⑤ 重要なサイバーセキュリティの問題と事件・出来事を関係当局に報告する。
CII規則は、またCIIのサイバーセキュリティの主要職の技術職員にライセンス要件を導入する。CACと中国の人事・社会保険局は、これらの免許要件に関する特定の規則をさらに発行する。
CIIのモニタリング、緊急事態対応および検査の枠組み
CII規制は、セキュリティ保護CIIのための以下の3つの主要システムの枠組みを概説している。
① モニタリング、早期警告、情報共有
② 緊急時対応と処分
③ 試験、試験、評価
CACは、産業規制当局または他の監督当局と協力して、CIIの保護のためにこれらの3つのシステムを確立し、実施する。
CII規則は、工業監督当局がCII事業者に対して以下の点を評価するための恣意的な査察を行う際の措置との関連で、より詳細な情報を提供している。（1）CIIに関連するセキュリティリスク。（2）CII事業者による法令遵守（サイバーセキュリティー法第39条に規定）に関す次の点を明記する。
① CII事業者の関係者に説明を要求する。
② サイバーセキュリティの保護に関する文書と記録を見直し、入手し、コピーする。
③ サイバーセキュリティ管理システムの策定と実施、CIIのサイバーセキュリティ技術措置の計画、構築、運用を検証する。
④ 検査ツールを利用するか、サイバーセキュリティサービス・プロバイダーに技術検査を実施する権限を与える。
⑤ CIIの運営者と合意した他の必要な措置を実施する。
⑥ 国家の秘密と暗号化法規を遵守 する。
CII規則は、CIIの国家秘密情報の保管と処理が中国の国家秘密法を遵守しなければならず、CIIの暗号の使用と管理は中国の暗号法律（ Cryptography Lawが公表された2017年4月13日に国家商用暗号管理局の官報によって公表された）。 さらに、軍事CIIの保護のための規制は、中国中央軍事委員会によって別途発行される。
＊潜在的な示唆すべき点
CII規制は、CII関連の規定に関する更なる詳細を提供することによりサイバーセキュリティ法を実施するためのもう1つの重要なステップである。
しかし、CII規制の下では、CIIの範囲は広範な分野に及んでおり、CII規制は具体的には次のようなものを指す。(1）中国当局によって策定され発行されるCII識別ガイドライン。 （2）産業規制当局またはその他の監督当局によって実施されるCII識別プロセス。 そのような詳細を後でこのように残すと、CIIを構成するものを決定する際にあいまいさや不確実性が生じる可能性があります。 また、CIIの識別プロセスが完了するまで、サイバーセキュリティー法のCII規制およびCII関連の規定が実際に実施されることは考えにくい。
CII規則はまた、CII事業者が購入した製品/サービスに一定の追加要件を課している。これは、CII事業者のサービスプロバイダに大きな影響を与える可能性がある。 したがって、中国の企業は、現在の製品、サービス、中国の顧客を見直し、CII規則の下でこれらの追加的な義務/要件を受けるリスクを評価することが推奨される。
(2) 前述したCovington＆Burling LLPの特別弁護士(special counsel) Yan Luo 氏が、新サイバーセキュリティ法で提案された変更点を説明するとともに、海外の企業が新しい中国のデータ移転要件に準拠するために取るべきデータ移転に関する法令遵守戦略について2017年2月14日 付けEURObizで以下のとおり解説を加えているので、以下、一部抜粋のうえ仮訳する。((1)から(2)の内容は割愛する)
(3)中国国民の個人情報の国境を越えた移転
CACは、外国人、組織または個人が中国市民の個人情報を「喜んで守る」能力を持っているかどうかをどのように評価するかについての詳細はまだ述べていない。CACが、近い将来、特定の国が適切な水準の保護を提供し、自動的にそのような国へのデータの移転を許可できることをCACが認識することも示していない。
CACは、中国以外の他の国のデータ保護体制を認識していないため、CII事業者の約束や契約上の義務に依拠したデータ転送メカニズムを考案して、中国以外での個人情報の保護を十分に確保する可能性がある。現在のところ具体的な内容が不明であるにもかかわらず、このメカニズムの少なくともいくつかの要素は、「欧州連合（EU）のモデル契約条項」 (筆者注6)および「Binding企業規則 （BCR）」 (筆者注7)またはアジア太平洋経済協力（APEC）の「Cross Borderプライバシールール （CBPR）システム」 (筆者注8)等との比較することとなろう。
また、CACは、企業が中国国外の中国人の個人情報を堅固に保護する必要がある場合、どのような契約や会社の社内規則や手続きが政府認証機関の要件を満たすことができるかについての詳細を提供していない。 1つの潜在的な認証基準(ベンチマーク)は、CACによって提案された新しい国家規格である情報セキュリティ技術 - 個人情報セキュリティ規格仕様 （ 以下「基準(Standard)」という ）である 。この基準は、情報の収集、保管、使用、移転（中国内での）および個人情報の開示を規制する包括的なデータ保護の枠組みを確立し、 経済協力開発機構（OECD）のプライバシーに関する原則 。 法的拘束力はないが、そのような国家基準は、中国の規制当局が個人情報保護のベストプラクティスと考えるかもしれないものについて、企業に有用な洞察を提供することができる。 企業が中国以外の個人情報の取り扱いが規格に明記されている要件を満たしていることを確実にするならば、データが処理される場所であれば、中国人の個人情報の保護が適切であると主張することは容易である。
*************************************************************
(筆者注3) 国務院を構成する行政機関の1つ。
(筆者注4) 中华人民共和国保守国家秘密法の本文
同法は、1988年9月5日第7回全国人民代表大会常任委員会第3回会合で採択され、1988年9月5日に中華人民共和国首相令第6号によって公布、1989.年5月1日施行）、改正法(中华人民共和国保守国家秘密法(2010修订))が2010年4月29日公布、2010年10月１日施行。
(筆者注5) 中国の認証・認定業務の統一的な指導と監督管理を行う国家機関で、マネジメントシステム認証機関、製品認証機関等の認定を行う主管機構。
(筆者注6) EUのモデル契約条項に関する詳しい解説としては、①欧州委員会・司法・情報保護担当の解説「Model Contracts for the transfer of personal data to third countries」、②2010年3月7日筆者ブログ「欧州委員会が非EU/EEA国のデータ処理者への個人情報移送に関する改正標準契約条項を決定（その１）、同(その2完)」、③マイクロソフトの「EU標準契約条項」の日本語解説等があげられる。
(筆者注7) 「Binding企業規則 （BCR）に関する詳しい解説としては、2015年11月8日の筆者ブログ「欧州委員会はEU司法裁判所のシュレムス事件判決（セーフ・ハーバー協定の無効）を受けたガイダンス等を発布」を参照されたい。
(筆者注8) About the APEC CBPR system 参照。なお、わが国は2014年4月28日「日本国政府は、米国、メキシコに次いで、APEC越境プライバシールールシステムへの参加が認められた」旨リリースした。また、これを受けて2016年12月20日にわが国初のAPEC越境プライバシールールシステム（CBPRシステム）認証取得事業者が誕生した旨報じた。経済産業省「APEC-越境プライバシールール(CBPR)システム」図解参照。
************************************************************
Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.
