サイバーセキュリティ法への日系企業の対応

1. 越境データの評価と現地化

データの越境に係る評価は、主に個人情報と重要情報を対象としており、個人情報の国外持ち出しについては、個人情報の主体が同意しない限り、個人情報の中国国外への持ち出しは禁止されています。従って、従業員情報や顧客情報を中国国外で保存しようとする場合は、個々に本人からの同意を取得する必要がある点に留意が必要です。また、有害化学物質の生産・保管をしている企業は、工場の平面図、化学品保管の建物の分布、倉庫面積等が重要情報に該当する可能性があることから、本社と情報共有を行う場合は事前にセキュリティ評価プロセスを経る必要がある点に留意が必要です。

2. サイバーセキュリティの等級保護

サイバーセキュリティの等級保護とは、国や組織の重要情報を保存・転送・処理する情報システムに対し、後述する等級に応じてセキュリティ保護を行わなければならないという規定になります。等級保護の対象となるものは主に、情報システムや工業システムなどになります。これら等級保護評価の対象となる情報システム、工業システムには大量の個人情報や重要なデータが保存されているため、情報漏えいなどが生じた場合、国や国民に一定の危害を及ぼすと考えられています。19年5月に等級保護に関する規定が改正され要求事項が引き上げられており（等級保護2.0）、12月から施行されています。等級保護規定においてはサイバーセキュリティ事故ないし情報漏えい事故が発生した場合に社会に対する影響の範囲が大きいほど、また、損害の程度が深刻なほど等級が高くなり、「第三級」以上の評価となった情報システムに対しては年1回の測定評価が必要となります（＜表1＞参照）。