英国サイバーセキュリティ・レジリエンス法案：VPNプライバシーへの影響

英国政府は「サイバーセキュリティ・レジリエンス法案」を提出した。これはデータセンターを重要インフラとして再分類し、国家的なサイバーセキュリティ報告体制に正式に組み込む重要な法律である。企業のコンプライアンス義務に関する報道が中心となっているが、英国内のインフラを経由してトラフィックをルーティングするVPNサービスを利用しているユーザーにとっても実質的な影響がある。プライバシーを重視するユーザーにとって、英国サイバーセキュリティ・レジリエンス法案のプライバシーへの影響を理解することは、もはや任意ではない。

サイバーセキュリティ・レジリエンス法案がデータセンターに実際に求めること

この法案の核心は、既存のネットワーク・情報システム（NIS）規制の適用範囲を拡大することにある。英国内で運営されるデータセンターは、新たな基準となるサイバーセキュリティ基準を満たし、重大なインシデントを定められた期限内に規制当局に報告することが義務付けられる。政府の理由は明快だ。データセンターはもはや受動的なストレージ施設ではない。銀行、医療、通信、クラウドサービスを支えるインフラである。それらを通常の商業施設と同様に扱うことは、常に規制上の空白であり、近年の注目すべき侵害事例によってその空白を無視できなくなった。

この法案は、技術情報の提供要求、セキュリティ慣行の監査、および要件を満たさない事業者への執行措置を実施する権限を含む、より広範な調査権限を規制当局に付与する。大規模な商業データセンターにとっては、コンプライアンスチームが新たな報告基準に照らしてすべてのインシデントをマッピングする必要が生じる。小規模事業者にとっては、その負担は相当なものとなる可能性がある。

少なくとも現在の枠組みでは、この法案が強制的開示のプライバシーへの影響を明示的に取り上げていないことに注意が必要だ。データセンターが政府の規制当局にインシデントを報告する場合、その報告書にはどのデータが影響を受けたか、どのテナントが関与していたか、どのシステムにアクセスされたかが記載される可能性がある。その情報は政府のデータベースに収められるが、さらに共有される条件はまだ十分に定義されていない。

義務的報告体制が英国内のVPNサーバーインフラに新たなリスクをもたらす理由

英国のデータセンター内でサーバースペースを借りているVPNプロバイダーは、それらの施設のテナントである。報告連鎖から免除されることはない。VPNサーバーをホストするデータセンターが報告対象となるインシデントを経験した場合、事業者はそれを報告しなければならない。その報告には、影響を受けたインフラ上でどのサービスが稼働していたかに関する詳細が含まれる可能性があり、それ以外では存在しないVPNサーバー活動への窓口が開かれることになる。

インシデント報告を超えて、この法案の拡大された調査権限はより根本的な問題を提起する。規制当局は調査中にデータセンターにテナントのインフラへのアクセスを強制できるのか、という問題だ。情報収集に関する法案の文言は幅広く、法的解釈は判例法と規制ガイダンスを通じて定着するまでに時間がかかるだろう。

VPNユーザーにとっての現実的なリスクは、必ずしも明日にでも政府職員が自分の閲覧履歴を読むことではない。リスクは構造的なものだ。データセンターを重要な国家インフラとして扱い、アクセスおよび強制的開示の拡大権限を備えた規制の枠組みは、そうでない枠組みと比べて、匿名化されたプライバシー保護サービスに対して根本的に友好的でない条件を生み出す。

サーバーの押収は、この懸念のより鋭い側面だ。英国の法執行機関はすでに刑事捜査の一環としてサーバーを押収する仕組みを持っている。新法案はそれらの権限を直接拡大するものではないが、データセンター事業者と政府規制当局との緊密な関係は、運用環境をより透過性の高いものにする。検証済みのノーログアーキテクチャを実装していないプロバイダーは、このような状況において露出リスクが高まる。

英国サイバー法 vs. GDPRおよびNIS2：グローバルな規制パターンにおける位置づけ

英国の法案は真空の中から生まれたわけではない。ブレグジット後、英国はEUの旧NIS指令から派生したNIS規制を維持したが、EUの更新版NIS2が発効する前に分岐した。NIS2はEU加盟国全体で対象エンティティの範囲を大幅に拡大し、インシデント報告のタイムラインを厳格化した。英国のサイバーセキュリティ・レジリエンス法案は、その一部において、英国政府がNIS2に対して国内立法の手段で同様の目標を追求する形での答えである。

プライバシーの観点から重要な違いは管轄権だ。英国でも引き続き適用される英国GDPRは、データ主体の権利のための枠組みを提供し、個人データの処理および共有方法に制限を課している。新しいサイバーセキュリティ法案は異なる規制レーンで機能し、データ主体の権利よりもセキュリティ態勢とインシデント報告に焦点を当てている。この二つの枠組みがどこで相互作用し、潜在的に衝突するかは、規制当局と裁判所が解決しなければならない未解決の問題だ。

管轄区域を比較するVPNユーザーにとって、これは英国を5年前より複雑な立場に置く。英国はGDPR由来の保護を維持しているが、インフラ層に直接アクセスできる、より介入主義的なサイバーセキュリティ体制も構築しつつある。

VPNユーザーが英国管轄の下での露出を避けるために確認すべき事項

管轄権はVPNプロバイダーを選択する際に最も見落とされる要素の一つであり、英国サイバーセキュリティ・レジリエンス法案のプライバシーへの影響により、その重要性はかつてないほど高まっている。具体的に評価する価値のある点がいくつかある。

まず、VPNプロバイダーの法的な設立地はどこか？英国に本社を置く企業は、サーバーが物理的にどこに置かれているかにかかわらず、英国の法執行機関の要請および規制上の義務に従う。英国外かつファイブアイズ情報共有同盟外の管轄区域に拠点を置くプロバイダーは、異なる法的基準の下で運営される。

次に、実際に使用するサーバーはどこにあるか？英国外のプロバイダーであっても、現在新たな報告体制に組み込まれた英国のデータセンター内でサーバーを運営している場合がある。RAMのみのサーバーを提供しているプロバイダーや、インフラの選択を明確に文書化しているプロバイダーは、ユーザーに対してより多くの情報を提供する。

第三に、プロバイダーのノーログポリシーは独立した監査を受けているか？監査報告書は法的リスクを排除するものではないが、どのようなデータが存在するかについての事実上の基準を確立する。何も記録しないプロバイダーには、強制的な報告シナリオの下で開示する意味のある情報が存在しない。

たとえばスウェーデンを拠点とするプロバイダーはスウェーデン法の下で運営され、英国の枠組みとは異なる独自のプライバシー保護を有している。2009年に設立され、スウェーデンに本社を置くPrivateVPNは、管轄権が英国の規制の手の届かない場所に完全に位置するプロバイダーの一例だ。それはあらゆる法的圧力に対して免疫があるということではないが、英国当局が国内法を通じて直接開示を強制できないことを意味する。

あなたにとっての意味

英国サイバーセキュリティ・レジリエンス法案は、従来の意味での監視法ではない。主として国家インフラを強化することを目的としたセキュリティおよびコンプライアンスの措置だ。しかし、その対象となるインフラにはVPNサーバーが存在するデータセンターが含まれており、法案が創出する拡大された報告および調査権限はプライバシーに間接的な影響をもたらす。

VPNプロバイダーが英国のデータセンターでサーバーを運営している場合、それらのサーバーは以前よりも規制が強化され、政府に対して透明性が高い環境に置かれることになる。プロバイダーが英国で法的に設立されている場合、リスクはさらに増大する。

今すぐ実行すべき具体的な手順：

  • VPNプロバイダーのサーバーリストを確認し、デフォルトの接続経路に英国のサーバーが含まれているかチェックする。
  • プロバイダーのプライバシーポリシーを読み、ノーログの主張に関する独立した監査の有無を確認する。
  • プロバイダーが強力なプライバシー法を持ち、英国の規制強制に直接さらされない管轄区域に設立されているかどうかを検討する。
  • 英国の管轄権が懸念される場合は、英国外かつファイブアイズ加盟国外に本社を置くプロバイダーを評価する。

このような法律は導入後に発展する傾向がある。現在の法案は議会を通過し、修正を受け、その後数ヶ月にわたって規制ガイダンスを生成する。詳細が固まるにつれて情報を得続けることが、現時点でプライバシーを重視するユーザーにできる最も効果的な対応だ。