ソブリンクラウドとは｜データ主権の基本と、Microsoftソブリンクラウドの3つのモデル

クラウドに預けたデータは、いったい「誰の管理下」にあるのか——保存されている場所だけでなく、どの国の法律が及び、誰がアクセスでき、運用は誰が握っているのか。この問いに正面から向き合う考え方が「ソブリンクラウド（Sovereign Cloud）」であり、その根底にあるのが「データ主権（データソブリンティ）」です。地政学的な緊張、データ保護規制の強化、クラウド依存の高まりを背景に、いま多くの企業・行政が関心を寄せています。本記事では、ソブリンクラウドとは何か、データ主権とデータの保管場所（レジデンシー）はどう違うのか、Microsoftが用意する3つのモデルと、日本企業にとっての現実的な選び方までを、公式情報をもとに整理します。

株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へ Microsoft 365・Azure の導入支援と、AIの業務活用（AIプライベート）の支援を提供しているIT企業です。

弊社は、データを外部に預けきることに不安のあるお客様に対し、お客様専用のAI基盤「AIプライベート」を、データがお客様の管理下に留まる形で構築しています。本記事は、その根っこにある「データ主権」という考え方を、業界全体の潮流とMicrosoftの整理をもとに、実務目線で解説するものです。

ソブリンクラウドとは｜「隔離」ではなく「自らが統治権を持つ」こと

ソブリンクラウドとは、データ主権（デジタル主権）を担保することを主眼に設計されたクラウドの利用形態です。ここでいうデジタル主権について、Microsoft は「組織や政府が、自らのデータ・インフラ・運用に対する統制を保ちながら、デジタル経済のなかで安全かつ独立して活動できること」と説明しています。重要なのは、これは「外の世界から切り離す（隔離する）」ことではなく、グローバルにつながった環境のなかで「自らが統治権（ガバナンス）を持つ」ことを意味する、という点です。

なぜいま注目されるのか。理由は大きく3つに整理できます。①法令順守——データの保存・処理・アクセスに関する国内外の規制に従う必要があること。②リスク管理——地政学的リスクや不正アクセス、運用停止への備え。③信頼の確保——行政や重要産業では、市民・利用者の信頼を守り、機微なデータを保護することが不可欠であること。クラウドの利便性を享受しながら、これらをどう両立させるか——その答えの一つがソブリンクラウドです。

よくある誤解｜「データの保管場所」＝「データ主権」ではない

最初に、混同されやすい2つの言葉を整理します。データレジデンシー（データの保管場所）とデータ主権は、重なる部分はあっても同じではありません。「データを国内に置いているから主権は守られている」と考えるのは、よくある誤解です。

観点	データレジデンシー（保管場所）	データ主権
何を指すか	データが物理的に保存・処理される地理的な場所（例：国内リージョン）	データが誰の統制下にあり、どの法域の管轄に服し、誰がアクセスできるか
答えるべき問い	「どこに置いてあるか」	「誰が握っているか・どの国の法律が及ぶか」
担保する手立て	リージョンの指定・国内データセンターの選択	保管場所の指定に加えて、顧客管理の暗号鍵・運用アクセスの制御・監査ログ・契約上の取り決め
ありがちな落とし穴	国内に置いても、運用者や外国法の影響までは自動的には防げない	技術・運用・契約を組み合わせて初めて実効性が出る

つまり、データを国内に保管すること（レジデンシー）は、主権を確保するための必要条件ではあっても、十分条件ではありません。「どこに置くか」に加えて、「誰がアクセスでき、鍵を誰が握り、運用を誰が統制し、どの法律が及ぶか」までを設計して初めて、データ主権は実効的なものになります。この全体像を捉えるために、Microsoft はデジタル主権を3つの層で整理しています。

デジタル主権の3つの層｜データ・運用・技術

Microsoft は、デジタル主権を相互に関連する3つの柱で捉えると理解しやすい、と整理しています。上の層ほど取り組みやすく、下にいくほど実現の難度が上がります。

層	内容	代表的な手立て
① データ主権（データ制御）	データが「どこに保存され」「誰がアクセスでき」「どう処理されるか」を統制する	データレジデンシー（保管場所の指定）、アクセスガバナンス、暗号化と鍵管理
② 運用主権（運用制御）	クラウドの運用・管理に対する透明性と権限を保つ	コンプライアンスの徹底、改ざん検知ログによる監査、環境を自ら構成・管理する自律運用
③ 技術的独立	特定の外国技術やベンダーに過度に依存せず、技術スタックを選び・管理・保護できる	自前・分離（エアギャップ）型インフラ、オープン標準、国産技術・供給網の育成

Microsoft 自身も、「技術的独立は最も達成が難しい層だが、法規制上の義務によっては求められることがある」と述べています。多くの民間企業にとって現実的な出発点は、①データ主権と②運用主権を、クラウドの利便性を保ったまま高めていくことです。すべてを一足飛びに満たそうとするのではなく、自社の規制要件とリスクに応じて必要な層を選ぶ——これが賢い進め方です。

Microsoftソブリンクラウドの3つのモデル

Microsoft は、旧「Microsoft Cloud for Sovereignty」を発展させた「Microsoft Sovereign Cloud（マイクロソフト ソブリンクラウド）」として、主権要件のレベルに応じて選べる複数のデプロイモデルを用意しています。ハイパースケールクラウドの利便性（スケール・俊敏性・高度なセキュリティ）と、主権のためのコントロールをどう両立させるかという観点で、大きく3つのモデルに分かれます。

モデル	置き場所・運用	主な想定用途
ソブリンパブリッククラウド (Sovereign Public Cloud)	Microsoft が運用する、地政学的境界（例：EUデータ境界）内のデータセンター。グローバルなAzure基盤の上に、データレジデンシー・顧客管理の暗号鍵・運用の透明性といった主権コントロールを上乗せ	クラウドの利便性を保ちつつ、規制対応を求められる政府・規制産業
ナショナルパートナークラウド (National Partner Clouds)	Microsoft が承認した各国・地域のパートナーと提供する、ローカライズされた実装。運用の一部をパートナーが担う／共同統治する形	国ごとの政策・規制・地域振興の要件を、クラウドの革新性を保ちつつ満たしたい場合
ソブリンプライベートクラウド (Sovereign Private Cloud)	お客様が統制する、またはパートナーが運用するデータセンター。ハイブリッドや、外部と切り離した（分離／エアギャップ）運用に対応。Azure Local、Microsoft 365 Local などで提供	防衛・重要インフラ・国家安全保障など、最も強い主権が求められる領域

この3モデルは、「クラウドの価値」と「主権コントロールの強さ」のトレードオフとして理解すると分かりやすくなります。プライベート型は最も強い主権コントロール（ハードウェア・ソフトウェア・データ・場所・管理の全てを掌握）を提供しますが、その分、コスト効率・スケーラビリティ・革新のスピードといったクラウド本来の価値は限定的になります。逆にパブリック型は、クラウドの価値を保ったまま主権コントロールを上乗せします。「隔離」か「ハイパースケールの恩恵」かの二者択一を迫るのではなく、要件に合わせて選べるようにする——これがMicrosoftソブリンクラウドの狙いです。

主権を支える技術的コントロール

モデルの違いにかかわらず、データ主権を実効的にするのは、いくつかの技術的なコントロールの組み合わせです。とくに重要なのは、「保存中」「転送中」だけでなく「使用中（処理中）」のデータまで保護し、クラウドの運用者からのアクセスまで含めてリスクを下げるという考え方です。

コントロール	何をするか
データレジデンシー（保管場所の指定）	デプロイ先を承認済みのリージョンに限定し、データを指定した地理的境界内に留める。日本であれば国内リージョンの指定がこれにあたる
顧客管理の暗号鍵（CMK／BYOK）	暗号鍵をお客様自身のHSM（ハードウェアセキュリティモジュール）で保有・管理する（External Key Management）。鍵の統制権をお客様側に残す
使用中の暗号化（コンフィデンシャルコンピューティング）	信頼できる実行環境（TEE）の中でデータを処理し、処理中のデータも保護する。ハードウェアベースで、運用者からの覗き見も防ぐ
アクセスの統制（Customer Lockbox など）	Microsoft のサポート担当者がお客様データへアクセスする際に、お客様の承認を必須にするなど、運用アクセスを可視化・制御する
改ざん検知ログ（監査性）	運用上の操作やアクセスを、改ざんが検知できる形でログに残し、透明性と監査を担保する
ポリシー・アズ・コード（Sovereign Landing Zone）	主権要件（保管場所・暗号化・構成など）を「コード化したガードレール」として適用し、準拠した環境を大規模に構成・展開・監視できる

これらは、いずれか一つで完結するものではありません。「どこに置くか（レジデンシー）」「鍵を誰が握るか（顧客管理キー）」「処理中も守れるか（コンフィデンシャルコンピューティング）」「運用アクセスを統制できるか（Customer Lockbox・監査ログ）」を束ねて設計することで、データ主権は実効的なものになります。冒頭で述べた「国内に置くだけでは足りない」という話は、まさにこの点です。

日本企業にとっての現実解｜「主権を保ったままクラウド・AIを使う」

ここで、日本の企業が最も知りたい点を正確に押さえておきます。「Microsoftソブリンクラウド」というパッケージ化されたモデル（ソブリンパブリッククラウド等）は、まず欧州のデータセンター地域を主な対象として提供されています。一方でMicrosoftは、「基盤は欧州のデータセンター地域を対象とするが、データ主権を担保するための技術的な能力は世界中で利用できる」と明言しています。ここが、日本企業にとっての現実的な橋渡しになります。

つまり、欧州向けのソブリンクラウド「製品」をそのまま日本で使うわけではなくても、データ主権を高める個々の技術的コントロール——国内リージョンでのデータレジデンシー、顧客管理の暗号鍵、コンフィデンシャルコンピューティング、Customer Lockbox、監査ログ——は、日本の Azure 環境でも組み合わせて利用できます。「主権を保ったままクラウドとAIを活用する」という発想は、行政の調達（ガバメントクラウド）や、政府情報システムのセキュリティ評価制度、個人情報保護法における個人データの越境移転の扱いなどをきっかけに、民間企業でも急速に関心が高まっています。自社にとって必要な主権のレベルを見極め、そこに必要なコントロールだけを実装する——これが過不足のない現実解です。

正直な注意｜導入前に押さえておきたいこと

データ主権は魅力的な考え方ですが、進めるにあたって知っておくべき前提もあります。先に共有します。

弊社の支援｜主権を保ったまま、AIとクラウドを

弊社は、データ主権の考え方を、大企業だけでなく中堅・中小企業でも実装できる形に落とし込んで支援しています。その中心にあるのが、お客様専用のAI基盤「AIプライベート」です。共有型のサービスに出来合いの機能を借りるのではなく、Azureの基盤の上に、お客様の業務にフィットしたAI活用環境を一社ごとに構築します。

• データはお客様の管理下に置く
  お客様専用（シングルテナント）のAzure環境で、データをお客様の閉じた環境に留めます。国内リージョンでの処理を前提に設計します。
• 必要な主権コントロールだけを実装する
  データレジデンシー・顧客管理の暗号鍵・アクセスの統制・監査ログなどから、お客様の規制要件に必要なものを選び、過不足なく組み合わせます。
• 情報保護・ゼロトラストと一体で
  Microsoft Purview の情報保護や、Entra ID を軸としたゼロトラストと束ねて、データ・権限・運用の全体を統制します。
• まず動くものを、無料のPoCから
  いきなり大きく作り込むのではなく、無料のプロトタイプ（PoC）で実データを試していただき、納得のうえで導入へ進めます。

「機密データを外部に預けてよいのか」「自社の専門業務にフィットするのか」——生成AIやクラウドの活用でよく聞かれるこの不安に対して、弊社はデータと権限の主権をお客様の側に残したまま、AIとクラウドを活用することを一貫した基本姿勢としています。関連する具体的な情報保護の仕組みは「Microsoft Purviewで情報漏洩と内部不正を止める」で、AIエージェントの権限統制は「AIエージェントに権限をどう与え、統制するか（Entra Agent ID）」でご覧いただけます。

よくあるご質問

こちらをクリックして「よくある質問」を表示

ソブリンクラウドとは何ですか？

データ主権（デジタル主権）を担保することを主眼に設計されたクラウドの利用形態です。データの保管場所だけでなく、「誰がアクセスでき」「どの法域の管轄に服し」「運用を誰が統制するか」までを制御できるようにします。Microsoft は、デジタル主権を「自らのデータ・インフラ・運用に対する統制を保ちながら、安全かつ独立して活動できること」と説明しており、外部からの隔離ではなく、自らが統治権を持つことだと位置づけています。

データレジデンシー（国内保管）とデータ主権は同じですか？

同じではありません。データレジデンシーは「データが物理的にどこに保存・処理されるか」を指し、データ主権は「誰が統制し、どの法律が及び、誰がアクセスできるか」まで含む、より広い概念です。データを国内に置くことは主権の必要条件ですが、それだけでは十分ではありません。保管場所の指定に加えて、顧客管理の暗号鍵・運用アクセスの制御・監査ログ・契約上の取り決めを組み合わせて初めて、実効的なデータ主権になります。

Microsoftソブリンクラウドにはどんなモデルがありますか？

大きく3つあります。①ソブリンパブリッククラウド（Microsoftが運用する境界内データセンターで、グローバルなAzure基盤に主権コントロールを上乗せ）、②ナショナルパートナークラウド（承認された各国・地域のパートナーと提供するローカライズ実装）、③ソブリンプライベートクラウド（お客様またはパートナーが運用するデータセンターで、分離運用にも対応。Azure Local などで提供）です。プライベート型ほど主権は強くなりますが、その分クラウド本来の価値（スケール・スピード・コスト効率）は限定的になる、というトレードオフがあります。

日本の企業でもソブリンクラウドは使えますか？

Microsoftソブリンクラウドのパッケージ製品は、まず欧州のデータセンター地域を主な対象として提供されています。一方でMicrosoftは、データ主権を担保するための技術的な能力は世界中で利用できると明言しています。つまり、国内リージョンでのデータレジデンシー、顧客管理の暗号鍵、コンフィデンシャルコンピューティング、Customer Lockbox、監査ログといった個々のコントロールは、日本の Azure 環境でも組み合わせて利用できます。自社に必要な主権のレベルを見極め、必要なコントロールを実装するのが現実的な進め方です。

コンフィデンシャルコンピューティングは、通常の暗号化と何が違うのですか？

一般的な暗号化は「保存中」と「転送中」のデータを守りますが、データを実際に処理する（メモリ上で使う）瞬間は、いったん復号される必要があります。コンフィデンシャルコンピューティングは、信頼できる実行環境（TEE）というハードウェアで保護された領域の中で処理を行うことで、「使用中（処理中）」のデータも保護します。これにより、クラウドの運用者を含む第三者からの覗き見リスクを下げられます。データ主権の観点では、「運用者からのアクセスまで含めて統制したい」という要件に応える技術です。

中小企業でもデータ主権に取り組む意味はありますか？

あります。取引先の大企業からセキュリティ質問票で「データの保管場所」「暗号鍵の管理」「再委託先の管理」を問われる場面は増えており、これらはまさにデータ主権の論点です。また、生成AIの業務活用でも「機密データを外部に預けてよいか」という不安がつきまといます。大がかりな仕組みを一度に導入する必要はなく、国内リージョンの指定やアクセス統制など、必要なコントロールから段階的に取り入れるだけでも、取引先や顧客に対する信頼の裏づけになります。

「AIプライベート」はデータ主権とどう関係しますか？

弊社の「AIプライベート」は、お客様専用のAI基盤をAzure上に一社ごとに構築し、データをお客様の管理下に留めたままAIを活用できるようにするサービスです。共有型のAIサービスにデータを預けきるのではなく、国内リージョンでの処理を前提に、必要な主権コントロール（データレジデンシー・顧客管理キー・アクセス統制・監査ログなど）を実装します。「主権を保ったままAIを使う」という、本記事で述べたデータ主権の考え方を、実際の業務で実装したものが「AIプライベート」だとお考えください。

データ主権を保ったままのAI活用・クラウド活用のご相談、無料でのご相談は、お問い合わせよりお気軽にご連絡ください。現在お使いの Microsoft 365・Azure の環境に合わせて、どこから始めるべきかをご提案します。

関連サービス・関連コラム

• 関連コラム：Microsoft Purviewで情報漏洩と内部不正を止める
• 関連コラム：AIエージェントに権限をどう与え、統制するか（Entra Agent ID）
• セキュリティ強化支援（ゼロトラスト）
• Azure導入支援
• Microsoft 365導入支援

まずは無料トライアルで、効果をご確認ください

「AIプライベート」は短期・低コストで試せます。帳票入力（AI-OCR）や電話受注（AI-Voice）の自動化、Azure/Microsoft 365・DXのご相談まで、お気軽にどうぞ。