データ主権とセキュアなMicrosoftサポート：現実的な検証

マイクロソフトの統合サポートに依存している場合、おそらく次のような単純な疑問を抱いているでしょう：データを危険にさらすことなく、迅速かつ専門的な支援を得られるのか？最近の報道によれば、この疑問に対する答えはもはや当然のことではなくなっている——特に公共部門や規制対象のワークロードにおいては。

経営陣が懸念するのはシステム停止だけではない。サポートが実際に提供される現場にも危険が潜む。チケットやログ、ライブセッションに誰がアクセスし、どの国の法規制が適用されるのかだ。プロパブリカは、マイクロソフトが複数の米政府機関で中国在住のエンジニアを（「デジタルエスコート」付きで）活用していた事実を突き止めた。国防総省システムではこの慣行を中止したものの、他の環境では疑問が残る。

US CloudはCIO/CISO向けにこれらの動向を追跡し、管轄権とサポートアーティファクト（チケット、ダンプ、セッション記録）が生産データだけでなくリスクモデルに組み込まれるべき理由を要約します。本記事は、スタッフの所在地、サブプロセッサー、越境アクセスに関する曖昧さなく、安全なMicrosoftサポートを求める組織向けです。

深夜2時にログをSev-Aチケットに貼り付けた経験がある者なら誰でも、サポートは脆弱な場所であり、秘密や特権情報が漏洩する可能性があることを知っている。ヘルプデスクが有用かつ自律性を保つ方法——ベンダーに何を尋ねるべきか、今日すぐにロックダウンすべき事項——を解説する。

• 2025年の調査報道により、マイクロソフトが中国在住のエンジニアを雇用し、米国政府の機密システムの保守業務に従事させていたことが明らかになった。これらのエンジニアは、低賃金の「デジタル・エスコート」と呼ばれる者たちによる遠隔監督下で業務を行っていた。
• 報告後、マイクロソフトは国防総省（DoD）向けサポート業務において中国在住のエンジニアの使用を停止したと表明したが、その他の連邦政府および商業向け業務については疑問が残る。
• リスクとなるのは管轄権の適用範囲です。つまり、サポート対象組織の国籍に関わらず、どの国の法律がサポートアーティファクトやセッションへのアクセスを強制し得るかという点です。
• 中国の国家情報法（第7条）および関連措置は、中国からサポートを提供する場合に強制アクセスリスクを高め、データ主権とサポートスタッフの所在地がコンプライアンス上の重要課題となる。
• サポート活動では、秘密情報や規制対象データを含む可能性のある機微なアーティファクトが自然に生成される。多くのプログラムは本番データを慎重に扱う一方で、こうしたサポートデータの流れを見落としている。
• 今すぐ行動を：ベンダーにセキュリティ詳細を要求せよ。業界の論評では既にこれらの代替案が検討され始めている。

Sev Aチケットを開く際、ログを共有する際、またはホットフィックスをエスカレートする際、必然的に以下を作成または公開することがよくあります：

• 時間的制約のもとで貼り付けられた設定、IPアドレス、または認証情報を含む可能性のあるチケットおよびチャット内容。
• 診断用アップロード（ログ、メモリダンプ、トレース）には、キー、トークン、または個人識別情報（PII）が含まれる可能性があります。
• リモートセッション（画面共有／JIT管理）によるトラブルシューティングのための昇格アクセス権限の付与
• テレメトリとクラッシュレポートはシステム状態を反映し、時にはデータのスニペットも伴う。

これらのアーティファクトまたは特権セッションが物理的に異なる管轄区域に所在する担当者によって処理される場合、契約および法令（公共部門の法令、部門別規則、または内部方針）に基づく貴社の義務が発生する可能性があります。

過去1年間、ProPublicaはマイクロソフトのサポート担当者の出身地について取材を続けてきました。以下は、これらの状況下でUnifiedチケットを解決している人物に関する既知の情報をまとめたタイムラインです：

• 2025年7月15日：プロパブリカは、マイクロソフトが中国在住のエンジニアを国防総省システムの保守支援に活用しており、その監視役を務める「デジタル監視担当者」には技術的専門知識が不足しているケースが多く、効果的な監督が行われていないと報じた。
• 2025年7月18日：この報道を受け、マイクロソフトは国防総省（DoD）向けクラウドシステムにおいて中国在住のエンジニアの使用を停止したと発表した。
• 2025年7月18日～20日：複数の報道機関が変更と連邦政府の審査活動について報じた。
• 2025年8月1日：ProPublicaはこの慣行をSharePointに関連付け、重大なセキュリティ懸念が生じた時期に中国在住のエンジニアが関与していたことを指摘した。
• 2025年7月25日：プロパブリカはまた、中国拠点の支援が他の連邦政府機関（例：司法省、財務省）に対しても行われていたと報じ、国防総省の発表が必ずしも全ての機関を網羅していたわけではないことを強調した。
• 業界の反応：US Cloudの分析は連邦政府の対応をまとめ、機密性の高いワークロード向けの米国ベースのサードパーティ代替案への関心を浮き彫りにした。US Cloud
• 市場動向：LinkedIn上の経営陣によるコメントが懸念を増幅させ、経営幹部向けにSharePointの側面を指摘している。

要するに：マイクロソフトの国防総省向け特化型シフトは注目に値するが、国防総省以外の公共部門および商業顧客は、書面による保証がない限り、同等の保護が適用されると想定すべきではない。

この問題の根底にあるのは、単に支援を行う人物やその拠点だけではない。支援専門家が従うべき法律も関係している。中国国内から支援が実施される場合、関係者と企業は中国の国家安全保障および情報関連法規の適用対象となる。国家情報法第7条は、組織と市民が情報活動に「支援、援助、協力」すべきと定めている。 法律専門家や政策分析によれば、これはデータやシステムへのアクセスを含む支援を強制し得る。

CISOにとって、これは国境を越えたサポートが攻撃対象領域と強制対象領域を拡大する可能性があることを意味する。データ主権とは、自社のデータ（およびデータに関する記録）が選択した管轄区域と管理下（サポート層を含む）に留まることを保証する実践である。

• 公共部門：プロパブリカは中国拠点の支援が国防総省（現在は変更済み）、司法省、財務省に及んでいたことを記録しており、防衛業務以外の分野への影響を示唆している。
• 規制対象業界：金融サービス、医療、重要インフラは頻繁にサポートを要請し、規制対象または機密情報（例：PHI、認証ログ、ダンプ内の機密情報）を含む可能性のある診断データを送信することが多い。本番データが分離されている場合でも、サポート関連アーティファクトがリスクを再導入する可能性がある。

信頼できるマイクロソフトサポートと信頼できないマイクロソフトサポートは、サービスを提供する主体によって同じように見える場合があります。以下のシナリオは、信頼できるサポート機関とやり取りしている場合にはリスクを伴いませんが、信頼できないサポート環境と関わる場合には深刻なセキュリティリスクを引き起こす可能性があります。

• チケットの流出：エンジニアは「完全なログ」またはスクリーンショットを要求します。機密情報が、プライマリ地域外に保存されるアーティファクトに潜り込む可能性があります。
• クラッシュダンプとトレース：メモリキャプチャにはAPIキーや個人識別情報（PII）が含まれる可能性があります。これらはどこで、誰によって処理されるのでしょうか？
• リモート管理セッション：「緊急時アクセス」は権限を昇格させます。セッション内容は監視、記録、または現地法に基づき強制的に開示される可能性があります。
• ホットフィックス/ソースコードレビュー：深刻なエスカレーションでは、ベンダーがコードや設定を要求し、IP/機密情報の漏洩リスクが生じる可能性がある。

これらは複雑なマイクロソフト環境では日常的に発生する事象であり、多くの場合、複雑なIT問題の解決に必要不可欠である。しかし、違いはそれらを処理する担当者の所属部署にある。

マイクロソフトのサポートが不安定な場合の回避策があります。まず最初に、ベンダーにセキュリティ上の懸念を伝えることです。以下はベンダーの担当者と話し合うべきトピックです。もし彼らが質問に答えられない場合、懸念事項を上層部にエスカレートするか、代替サポートソリューションの検討を始める必要があるかもしれません。

もしMicrosoftサポートのセキュリティが以前考えていたほど高くないと懸念される場合、チームがMicrosoftサポートのセキュリティを再び強化するための対策があります。

マイクロソフトの国防総省限定変更は第一歩だが、国防総省以外の政府機関や企業は、特に法定機密やPII/PHIが関わる場合、書面による同等条件またはより強力な条項を要求すべきである。報告によれば、中国拠点の要員は従来から他の連邦政府クライアントも支援してきた。不都合な質問を投げかけ、その回答を契約書に明記せよ。

ITサポートにおけるコンプライアンスは、SLAや応答時間だけではありません。支援担当者の所在地、適用される法令、資産の保管場所も含まれます。設計段階からデータ主権に沿ったサポート体制を構築し、管轄区域の明確化を徹底するとともに、技術的・契約上の管理措置でサポート経路を強化しましょう。2025年に明らかになる事実が、その重要性と今後の道筋を示しています。

Unified CSAMまたは担当者が満足のいく回答を提供できない場合、安全なMicrosoftサポート代替案の検討を開始するため、本日US Cloudとの電話予約を今すぐ行いましょう。