かつてサーバーの設置場所は調達上の細かな事項でした。現在では3つのことを同時に左右します。ユーザーが感じるアプリケーションの速さ、保持するデータに適用される法律、そして施設やリージョンに障害が起きたときの復旧能力です。
本ガイドでは、インフラストラクチャチームが行うべき手順に沿って判断を進めます。データとユーザーから出発し、レイテンシを数値化し、法的制約を概略的に整理し、（プライマリだけでなく）データのすべてのコピーを把握し、その結果を契約に盛り込みます。
始める前に一点ご注意ください。本ガイドはエンジニアリングのガイドであり、法的助言ではありません。プライバシーとデータレジデンシーに関する規則は変化し、お客様の事業に固有の事実に左右され、規制当局によって解釈も異なります。本資料は論点を整理するために活用し、そのうえで、お客様に関係する法域においてすべての法的結論を資格のある弁護士に確認してください。
地図ではなく、データから始める
都市を選ぶ前に、システムが保存し処理するデータを分類します。多くの組織では、最終的に少数のデータ分類に落ち着き、それぞれに独自の配置ルールが設けられます。
- 個人データ。氏名、メールアドレス、IPアドレス、デバイス識別子、位置情報の履歴など、個人を特定できるあらゆる情報です。多くのプライバシー法はここを対象とします。
- 機微なデータまたは特別な種類のデータ。健康、生体情報、金融、政府発行の身分証、子どものデータです。通常、より厳格な取り扱いと移転のルールが適用されます。
- 規制業種のデータ。決済データ、銀行の記録、医療記録、公共部門のデータです。業界の規制当局は、一般的なプライバシー法に加えて要件を課すことがよくあります。
- 業務上の機密データ。ソースコード、モデル、契約、価格情報です。必ずしも規制対象ではありませんが、顧客が保存場所の管理を求める場合があります。
- 運用データ。ログ、メトリクス、トレース、サポートチケットです。見落とされがちで、個人データを多く含むことが多く、初期設定のまま第三国に送られていることもよくあります。
分類ごとに、データ主体がどこにいるか、データがどこで作成されるか、誰がどこからアクセスする必要があるか、そして顧客との契約ですでに何を約束しているかを記録します。
レイテンシ：距離が実際にもたらすコスト
光ファイバー中の光は秒速約20万km、真空中の約3分の2の速度で進みます。これは、ファイバー100 kmごとに往復約1 msに相当します。実際のケーブル経路は直線より長く、ルーターや相互接続点ごとにわずかな遅延が加わるため、実測の往復時間は直線距離から求めた値の1.3倍から2倍になるのが一般的です。
実環境でのおおよその往復時間は次のとおりです。
- 同一都市圏内。1〜5 msです。
- 同一リージョン内、最大約1,000 km。10〜25 msです。
- 米国本土を東海岸から西海岸まで横断する場合。60〜80 msです。
- 米国東海岸から西欧。75〜100 msです。
- 米国東海岸からインド。180〜250 msです。
- シンガポールからインド。50〜80 msです。
- 米国西海岸からシンガポール。160〜200 msです。
- 米国東海岸からサンパウロ。110〜140 msです。
これが見た目以上に重要な理由：ページやAPI呼び出しが1回の往復で済むことはまれです。往復200 msの場合、5回の連続した往復だけで、サーバー処理の前に丸1秒待つことになります。同じ流れでも往復20 msなら100 msで済みます。
実践的な目安：対話型アプリケーションは、オリジンまでの往復が約50 ms未満であれば快適に感じられ、総応答時間が数百ミリ秒を超えると多くのユーザーが遅延に気づきます。自社の層間のレイテンシも重要です。アプリケーションサーバーとそのデータベースは通常、同じ施設またはアベイラビリティゾーンに置くべきです。やり取りの多いデータベース通信では、1ミリ秒の差が何倍にも増幅されるためです。
データレジデンシー、データ主権、越境移転規則の概要
3つの用語があいまいに使われています。データレジデンシーは、データが物理的に保存されている場所です。データローカライゼーションは、特定のデータを国内にとどめることを求める法的要件です。データ主権は、データが保管されている場所の法律、場合によってはプロバイダーの本拠地がある国の法律に従うという、より広い考え方です。一般的なプライバシー法の多くはローカライゼーションを義務付けていません。代わりに、越境移転とそれに伴う保護措置を規制しています。
- GDPR（欧州連合およびEEA）。個人データをEEA外に移転することは可能ですが、認められた仕組みに基づく場合に限られます。具体的には、移転先の国に対する十分性認定、移転リスク評価を伴う標準契約条項、拘束的企業準則、または限定的な例外です。EU-US Data Privacy Frameworkの認証を受けた米国の組織への移転は、十分性認定の対象となります。他国からのリモートアクセスも移転とみなされます。
- CPRAにより改正されたCCPA（カリフォルニア州）。データローカライゼーションの要件はありません。重点は、消費者の権利（アクセス、削除、販売または共有のオプトアウト）と、サービスプロバイダーによるデータの利用方法を制限する契約に置かれています。米国の他のいくつかの州でも、おおむね同様の法律が成立しています。
- LGPD（ブラジル）。GDPRとよく似た構成です。国際移転には、十分性、国家データ保護機関（ANPD）が承認した標準契約条項、または特定の同意などの法的根拠が必要であり、同機関はこれらの仕組みを詳細に定めた規則を公布しています。
- DPDP Act（インド）。2023年デジタル個人データ保護法（Digital Personal Data Protection Act, 2023）は、政府が告示によって制限する国への移転を除き、インド国外への移転を原則として認めています。施行規則は段階的に導入されています。インドの業界規制は一般法よりも厳しい場合があり、適用される場合はそちらが優先されます。
- その他の国。一部の法域では、特定の種類のデータ、または少なくともそのコピーを国内に保存すること、あるいは移転に承認を得ることを求めています。ある国のユーザーにサービスを提供する場合は、契約時ではなく早い段階でその国の規則を確認してください。
ある国に本社を置き、別の国でホスティングを行うプロバイダーは、両方の国からの法的要請の対象となる可能性があります。お客様の状況にどのように当てはまるかを法律顧問に確認し、その回答を設計文書に記録してください。
全体像に優先する業界規制
業界規制は、一般的なプライバシー法よりも厳格または具体的な要件を課すことがよくあります。代表的な例は次のとおりです。
- 決済。PCI DSSは国を指定していませんが、カード会員データ環境のセグメント化、アクセス、監査の方法を定めており、それによって適格となる施設やプロバイダーが変わります。さらに踏み込む国の規制当局もあります。例えばインド準備銀行（RBI）は、決済システムのデータをインド国内にのみ保存することを求めています。
- 医療。米国では、HIPAAは国内でのホスティングを義務付けていませんが、保護対象医療情報を扱うすべてのプロバイダーとの事業提携契約（BAA）を求めています。それでも多くの医療関連の顧客は、契約上の要件として米国内に限定することを追加しています。
- 金融サービス。銀行や保険の規制当局は、重要な業務委託に対する届出または承認、規制当局の監査権、文書化された撤退計画を求めるのが一般的です。
- 公共部門。政府のプログラムでは、国内でのホスティング、適格性審査を受けた人員、特定の認可フレームワークが求められることが多く、これらの要件は通常、下請け事業者にも適用されます。
顧客契約や規制当局がロケーション要件を課す場合、それは厳格な制約になります。
バックアップ、レプリカ、見落としがちなコピー
データレジデンシーに関する失敗の多くは、プライマリデータベースに起因するものではありません。本番データをある国に保存していても、夜間バックアップ、ログストリーム、サポート用のエクスポートを別の国に送っているシステムは、実質的に複数の国にまたがっています。
データのコピーが置かれる可能性のある場所を、次のとおりすべて洗い出します。
- バックアップとスナップショット。どこに保存され、どのくらいの期間保持され、お客様が管理する鍵で暗号化されているか。
- レプリカ。リードレプリカ、スタンバイデータベース、災害復旧のためのリージョン間レプリケーションです。
- ログとオブザーバビリティ。アプリケーションログ、アクセスログ、トレース、エラーレポートには、IPアドレス、ユーザーID、リクエストボディが含まれていることがよくあります。
- CDNとキャッシュ。エッジキャッシュには、多くの国で個人に関わるコンテンツが保持される可能性があります。何をどこでキャッシュできるかを設定してください。
- サポートと管理。他国にいるエンジニアやサポートスタッフによるリモートアクセスは、複数の法律のもとで移転とみなされる場合があります。
- 分析とAIのパイプライン。分析、モデルのトレーニング、推論のためにエクスポートされたデータは、別のリージョンやプロバイダーに移動する可能性があります。
一般的で合理的なパターンは、プライマリとその直近のスタンバイを1つの法域内に置き、可能であれば災害復旧用のコピーを同じ法域内の別の施設に配置し、国境を越えたバックアップが必要な場合は、プライマリの法域で保管する鍵を使って転送前に暗号化するというものです。暗号化によって法的な分析が変わるかどうかは、法律と事実関係によって異なるため、この点も法律顧問に確認してください。
専有の1 Gbps回線はフル稼働で1日あたり約10 TBを転送しますが、実際にはそれより少なくなります。その回線経由で最大のデータセットを完全に復元するのに目標復旧時間より長くかかる場合は、より大容量の回線、より近い場所のコピー、または別の復旧計画が必要です。
マルチリージョン設計とそのコスト
複数のリージョンで運用することは、異なる2つの課題を解決します。さまざまな地域のユーザーへの近接性と、リージョン障害を乗り切ることです。
- 単一リージョン、複数施設。プライマリとスタンバイを、同じ都市圏または国の中の別々のデータセンターに置きます。レプリケーションのレイテンシが低く、データ所在地の説明も簡単で、施設の障害からは守られますが、リージョン全体に及ぶ事象には対応できません。
- リージョン間のアクティブ/パッシブ。一方のリージョンがトラフィックを処理し、もう一方がレプリカを保持して昇格できる状態にします。非同期レプリケーションのため、リカバリポイントは数秒から数分遅れます。多くの業務システムにとってバランスの良い選択です。
- リージョン間のアクティブ/アクティブ。両方のリージョンがトラフィックを処理します。書き込みの慎重な扱い、競合の解決またはデータの所有権の分割、そしてはるかに多くのテストが必要です。厳しい可用性要件を持つグローバルなユーザー基盤であれば、その価値があります。
- リージョンごとのセル。各リージョンが自らのユーザーのデータを保持してそのユーザーのみにサービスを提供し、共有される状態は最小限にとどめます。これはデータ所在地の要件とよく合致します。欧州のユーザーは欧州のセルに、インドのユーザーはインドのセルに、という形です。
リージョン間の同期レプリケーションでは、すべての書き込みにラウンドトリップ全体の時間が加わります。つまり、70 msの回線では、コミットされるすべてのトランザクションに少なくとも70 msが追加されます。多くのチームは、同期レプリケーションを同一都市圏内に限定し、それより長い距離では非同期レプリケーションを使用します。また、重複するインフラストラクチャ、該当する場合のリージョン間の転送料金、定期的なフェイルオーバーテストを実施するためのエンジニアの工数も予算に含めてください。
要求すべき契約条項
技術的な設計は、契約がそれを裏付けている場合にのみ機能します。ホスティングプロバイダーやクラウドプロバイダーを評価する際は、以下の事項を対象とする条項または書面による確約を求め、最終的な文言を弁護士に確認してもらってください。
- 明示されたロケーション。プライマリデータ、バックアップ、レプリカの国、できれば施設またはリージョンを、注文書または作業範囲記述書（SOW）に明記します。
- 承認なしの移転の禁止。プロバイダーは、お客様の事前の書面による同意なしに、データを別のロケーションに移動しないこと。
- データ処理契約。役割（管理者と処理者）、処理の目的、セキュリティ対策、そして国境を越えたデータの流れがある場合の移転の仕組みです。
- 再委託先のリストと通知。所在地を含む再委託先の最新リスト、そして変更前の事前通知と異議を申し立てる権利です。
- リモートアクセスの開示。プロバイダーのスタッフがどの国からシステムやデータにアクセスできるのか、そしてどのような統制のもとで行われるのか。
- 侵害の通知。自社の規制上の期限に合う、定められた通知期間と、プロバイダーが提供する情報です。
- 政府によるアクセス要請。法的に許される場合には通知し、範囲が過度に広い要請には異議を申し立てるという確約です。
- 監査とエビデンス。お客様の業界に関連する第三者監査報告書や施設の認証へのアクセス、そして必要な場合は規制当局による監査に対応するプロセスです。
- 契約終了と削除。利用可能な形式でのデータのエクスポート、移行期間、そして契約終了時にバックアップを含むすべてのコピーを削除したことの証明です。
次回の設計レビューのためのチェックリスト
- データ分類ごとにインベントリ化し、データ主体の法域を記録。
- 法令、規制、契約上のロケーション要件を洗い出し、弁護士に確認しています。
- 主要ユーザー層から各候補ロケーションまでのRTT：推定ではなく実測。
- アプリサーバーとDBが同じ施設またはゾーンにあること。
- 全コピーをマッピング済み：プライマリ、レプリカ、バックアップ、ログ、キャッシュ、分析、サポート用エクスポート。
- 越境データ：移転の仕組みを文書化し、責任者を指名。
- バックアップの鍵を想定した法域内で保管。
- RPOとRTOが定義され、バックアップ回線で達成できます。
- 過去6か月以内にフェイルオーバーを試験し、結果を記録。
- 契約でロケーションを固定し、無承認の移転を禁止し、再委託先、侵害通知、契約終了をカバー。
- 判断と根拠を文書化済み。次回の監査や顧客の質問票は数週間ではなく数時間で完了。
Vonahostがお手伝いできること
Vonahostでは、各サーバーを置く国をお客様が選択でき、お客様の承認なくデータが移動されることはありません。専用サーバー、NVMe VPS、SSD VPSはお客様が選択したリージョンに展開し、マネージドクラウドはVonahostの自社プラットフォーム、またはAWSとGoogle Cloudのリージョンで稼働できます。リージョン単位のセル構成や、特定の法域にディザスタリカバリサイトを置く設計が必要な場合に有効です。
Vonahostのすべての提案書には、構成、ロケーション、責任範囲、米ドル建ての月額料金が明記されるため、設計レビューで決めた配置は注文書そのものに記載されます。法的な結論については、引き続きお客様の法律顧問にご確認ください。