2025年の中国のサイバーセキュリティ法は今までより厳格です。準拠するには、ビジネスは、 サイバーセキュリティ法（CSL）, データセキュリティ法（DSL）、 中国人格权保护法 (PIPL)__CAPGO_KEEP_0__
- ユーザー認証: 携帯電話番号または政府発行の身分証明書を使用してください。
- データの保存: 中国のサーバー上にすべての中国ユーザーデータを保存する必要があります。
- ログの保存: 最低 60 日間、ユーザーの活動ログを保存してください。 データの保護 : 従来のデータ (AES-256) と通信中のデータ (TLS 1.3+) を暗号化してください。
- Verify User IdentityStore Data Locally
- セキュリティ監査を実行: 年間1回の定期監査と定期的なセキュリティチェックは必須です。
- 更新の管理: OTA更新は暗号化、ログ化、ユーザー承認が必要です。
これらの基準を満たさないと、¥50,000,000（約$7,500,000）または年間収益の5%の罰金が科せられます。暗号化された更新と法的遵守のトラッキングに使用できるツールは Capgo です。
| 主な規制 | 有効日 | 影響 |
|---|---|---|
| ネットワークデータセキュリティ管理規制 | 2025年1月1日 | __CAPGO_KEEP_0__ |
| データ保護規制の強化 | 2025年3月28日 | __CAPGO_KEEP_1__ |
中国のサイバーセキュリティ規範の最新情報に従い、ユーザーデータの保護、適切なドキュメントの維持、およびユーザーデータの保護を確実にすることで、規制遵守を維持する。
中国の主要なサイバーセキュリティ法規制
中国サイバーセキュリティ法 (CSL)
中国サイバーセキュリティ法 (CSL) は、ネットワークセキュリティの維持に必要な基本的な要件を定めている。これには、実名登録、強力なセキュリティ対策の実施、定期的な評価、および即時の報告が含まれる。最近の改正は、2025年3月に発効する予定で、データ保護基準の進化に合わせて違反に対する厳格な罰金を導入している。 [1].
個人情報保護法 (PIPL)
個人情報保護法 (PIPL) は、ユーザーデータの管理に厳格なガイドラインを定め、透明性とセキュリティを強調している。主な規定には、
| 要件 | __CAPGO_KEEP_2__ | 実装 |
|---|---|---|
| ユーザー同意 | __CAPGO_KEEP_0__ | すでに適用中 |
| 境界を越えるデータ転送 | __CAPGO_KEEP_0__ | データ保護 |
| 個人データを保護するための技術的な対策を適用 | 継続的な監視 | PIPLでは、ユーザーがデータをどのように扱っているかを明確かつオープンに説明し、ユーザーの同意に関する詳細な記録を維持することが求められます。違反は、運用停止や最大¥50,000,000（約$7,500,000）の罰金につながる可能性があります。 |
これらの規則は、データセキュリティ管理規則の技術的対策の基盤を形成しています。 [2]These rules form the backbone for the technical measures outlined in the Data Security Management Rules.
データセキュリティ管理規則
__CAPGO_KEEP_0__
- リスク評価: データの感度度、処理量、潜在的な国家安全保障影響を評価します。
- 技術的セキュリティ対策: データを分類し、アクセス制御を実施し、機密情報を暗号化します。
- インシデント対応: セキュリティ上のインシデントに対処するためのrobustなドキュメントと技術的対策を維持します。
これらの更新は、強化された執行と新興のサイバーセキュリティ課題に対処することを目的としています。 [1].
アップデートとセキュリティパッチを実施するアプリ開発者にとって、 セキュアなアップデートプラットフォーム を利用することで、規制遵守を簡素化できます。たとえば、 Capgo (https://capgo.app)を使用すると、エンドツーエンド暗号化とリアルタイムの更新管理が可能になります。これは、世界で最も多くのモバイルインターネットユーザーを擁する市場に4,000万を超えるモバイルアプリが存在するという状況において特に貴重です。 データプライバシー要件ユーザーID認証 [4].
ユーザーアカウントを有効にする前に、携帯電話番号または政府発行の身分証明書を使用した実名認証を実施する必要があります。ユーザーの本物の身元を記録し暗号化し、ユーザーがパブリックエイリアスを表示できるようにする必要があります。また、規制に従ってユーザーの活動を記録する必要があります。
このプロセスを簡素化するには、中国移動通信や中国聯通などの権威あるローカル認証サービスと統合することを検討してください。
China Mobile [4]China Unicom update management Data Privacy Requirements User Identity Verification [4].
__CAPGO_KEEP_0__
データストレージ要件
中国ユーザーのすべてのデータは、2025年1月1日以降のネットワークデータセキュリティ管理規則に従って、中国大陸のサーバー上に保存する必要があります。 [1]データが国外に転送される必要がある場合は、政府のセキュリティレビューを受け入れまたは明示的なユーザーの同意を取得する必要があります。 [3].
これらの要件を満たすには、承認された中国クラウドプロバイダーと協力する必要があります。 Alibaba Cloud または Tencent Cloudこれにより、ユーザーデータは指定された地理的境界内に保持されます。
ストレージ要件が満たされたら、下記の必要なセキュリティ対策を実装することに焦点を当ててください。
必要なセキュリティ基準
2025年のサイバーセキュリティフレームワークでは、ユーザーデータを保護するために強力な暗号化プロトコルを使用することを強調しています。 [1][3]. Key measures include:
| セキュリティ対策 | 技術仕様 | 目的 |
|---|---|---|
| 静止中のデータ | AES-256暗号化 | 保存されたデータを保護する |
| データの移動 | TLS 1.3 またはそれ以上 | セキュアなネットワーク通信 |
開発者が更新を管理する場合、Capgoのようなプラットフォームは、これらのセキュリティ要件に沿ったビルトインのエンドツーエンド暗号化を提供します。
定期的な検査とテストは、すべてのセキュリティ対策が効果的で最新であることを保証するために不可欠です。 [1].
中国におけるサイバーセキュリティとデータ保護の規制、課題、ヒント
技術的セキュリティ要件
__CAPGO_KEEP_0__の中国におけるサイバーセキュリティ規制では、組織に詳細な技術的セキュリティ対策を実施する必要があります。2025年3月、中国サイバースペース庁(CAC)は、サイバーセキュリティ法(CSL)の改正を発表し、これらの要件を具体的な実践に翻訳しました。 中国サイバースペース庁 __CAPGO_KEEP_0__は、中国サイバーセキュリティ法(CSL)の改正で定められたセキュリティ要件を具体化しています。 [1].
セキュリティスキャン実施スケジュール
モバイルアプリは、CAC認定のスキャニングツールを使用して毎月セキュリティチェックを受ける必要があります。 [1]これらの評価は、モバイルアプリのセキュリティのさまざまな側面を対象としています。
| セキュリティ側面 | 評価頻度 | 必要なドキュメント |
|---|---|---|
| 脆弱性評価 | 月 | __CAPGO_KEEP_0__ セキュリティ レビュー |
| Code Security Review | __CAPGO_KEEP_0__ ソース分析結果 | Source code analysis results |
| 月 | 依存関係の依存関係アウディットレポート | すべてのスキャンレポートは、年次法規監査のために保存され、必要に応じて検査の際に即時アクセスが求められる |
中国で稼動するモバイルアプリケーションには、ロールベースのアクセス制御（RBAC）が不可欠
月 [1]. 開発者は以下のことを行うことが期待されます:
- ユーザー ロールに基づいて正確な権限設定を設定する。
- アクセス活動の詳細なログを維持する。
- 権限設定を適切であることを保証するために、定期的に確認し更新する。
アプリケーション更新を取り扱う開発者にとって、Capgoのようなプラットフォームは、ユーザー ロールと権限の効率的な管理をサポートし、セキュリティ パッチの迅速な展開を可能にするビルトイン ツールを提供します。
セキュリティ インシデント リスポンス
セキュリティ インシデントの発生時、12 時間以内に CAC に通知する必要があります。この通知には、初期評価と抑制措置の詳細が含まれます。 [1][5].
完全なインシデント リスポンス プランは、以下の点をカバーする必要があります:
- 問題の検出と抑制。
- 調査とコミュニケーション戦略。
- 必要に応じてユーザーに通知する。
インシデント後の、根本原因、対策措置、セキュリティ プロトコルの更新に関する詳細な報告書を、規制当局に提出する。
中国のCSLの最新の改正により、中国の主要なデータ保護法規制と同様に、中国サイバースペース庁(CAC)の2025年3月のガイドラインで強化された執行と罰金額の引き上げが行われました。 [1].
中国のサイバースペース庁(CAC)の2025年3月のガイドラインでは、定期的なセキュリティ演習と従業員のトレーニングセッションも必要であり、関連するすべてのドキュメントは規制検査のために保管する必要があります。 [1][2].
App Store 要件
中国でアプリを公開する場合、技術基準を満たすだけでは終わりません。開発者は、中国サイバースペース庁(CAC)と産業情報技術省(MIIT)の規制に従う必要があります。 産業情報技術省(MIIT) 要件 MIIT 登録プロセス [1].
MIIT に登録するには、以下の準備が必要です。
事業許可証または組織証明書、承認状
- アプリの機能とデータ収集実践の詳細な説明
- ネットワークセキュリティアセスメントのドキュメント
- 個人情報保護影響評価
- __CAPGO_KEEP_0__
通常、審査プロセスは7～10日間で完了します。ただし、外国人開発者は、ローカルエンティティを通じて作業する必要があるため、2～3か月間の延長された処理時間を経験することがよくあります。
セキュリティテスト要件
登録に加えて、必須のセキュリティテストを受ける必要があります。 ネットワークデータセキュリティ管理規制2025年1月1日に施行される予定の規制では、特定のテストプロトコルをアプリケーションカテゴリ別に定めている。 [3]:
-
金融と医療アプリ
These apps require penetration testing and source code reviews conducted by CAC-approved organizations. Developers must also retain security documentation for three years. -
社会と教育アプリ
テストは脆弱性アセスメントとデータ保護基準への準拠に焦点を当てています。さらに、ユーザー活動ログは少なくとも60日間維持する必要があります。 [4]. -
一般アプリ
これらのアプリは、暗号化基準とデータハンドリング慣行の基本的なチェックを受けます。また、承認された方法を通じてユーザー識別情報を提供することも必要です。
SDK Compliance Check
開発者は、使用しているすべての SDK の詳細なインベントリを維持する必要があります。
- SDK の名前、バージョン、およびプロバイダー
- データアクセス許可とストレージの場所
- セキュリティ証明書
- 個人情報保護法（PIPL）とデータセキュリティ法（DSL）への準拠 [2]
クラウドベースのアップデートに依存するアプリ __CAPGO_KEEP_0__ のようなクラウドベースのプラットフォームは、中国のセキュリティ基準に準拠したバージョン管理とパッチの展開のためのツールを提供しています。, platforms like Capgo provide tools for version control and patch deployment that align with Chinese cybersecurity standards.
アップデート管理 [4].
中国では、アップデートの管理は技術的な調整だけではありません。中国のセキュリティ基準に準拠し、常に進化している厳格なセキュリティ規制を満たすことです。
OTA アップデート要件 [1].
__CAPGO_KEEP_0__
中国におけるオーバー・ザ・エア（OTA）アップデートは厳格なセキュリティと法令遵守のルールに従う必要があります。 [1]ここでは、必要なものを説明します。
- 端末間の暗号化: 送信中のパッケージの更新は暗号化され、デジタル署名が付与され、実際の有効性を確認するために使用されます。 [1].
- ユーザー認証: アップデートは、ユーザーが明示的に同意するまで、ユーザー認証（携帯電話番号検証など）を通じて確認する必要があります。 [4].
- データローカライズ: 中国ユーザー向けのアップデートを配信するインフラストラクチャは、中国国内に物理的に設置されている必要があります。 [2].
- ドキュメント: アップデートの詳細なログを、ユーザーの同意、アクセス記録、セキュリティ評価に関する情報を含めて、少なくとも60日間保存する必要があります。 [3].
重要なセキュリティパッチの場合、中国のサイバースペース管理局（CAC）は迅速な対応を強制します。企業は即時で脆弱性の通知を発行し、修正の展開を優先する必要があります。 [1].
これらの要件は、バージョン管理システムの整理が必要です。
バージョン管理
2025年1月から有効となるネットワークデータセキュリティ管理規制により、企業は強力なバージョン管理プロセスを実施する必要があります。具体的には、以下の点が含まれます。
| 要件 | 期間 | 目的 |
|---|---|---|
| バージョン履歴 | 最低60日 | セキュリティの調査と調査のために |
| 変更ログ | 徹底的な | すべての更新と修正を記録する |
| セキュリティ評価 | Per update | 法令遵守の確認 |
| ユーザー分布トラッキング | 継続 | 更新の採用状況の監視 |
ロールバック機能は、企業が以前のバージョンに迅速に戻ることができるようにするため、不可欠です。これらの古いバージョンは、少なくとも60日間保存する必要があります。 [3].
第三者サービスを使用したバージョン管理の場合、企業は以下を確認する必要があります: 中国当局への登録、ローカライズされたインフラの展開、責任の明確な文書化、データローカライズ法への準拠 [1].
データ管理に敏感なプラットフォームでは、データ収集方法またはアクセス許可を変更する更新には、規制遵守を維持するために追加のテストと検証が必要です。 [4].
ツールとしては、Capgo (https://capgo.app)が提供 ライブアップデートソリューション __CAPGO_KEEP_0__
暗号化、CI/CD統合、バージョン管理の詳細な機能を含むもの [2].
これらの規制に従わないと、最大5%の前年収益に相当する罰金や中国のアプリストアからの削除など厳重な結果につながる可能性があります。
規制遵守ガイド [1].
中国のサイバーセキュリティフレームワークでは、徹底したドキュメント作成に強い焦点が置かれており、2025年3月の改正により、規制遵守の義務が厳しくなり、罰則が大幅に増加しました。
必要な年間監査 [1][2]アプリは、個人情報保護法（PIPL）、データセキュリティ法（DSL）、および最新のサイバーセキュリティ法（CSL）改正に準拠することを確認するために、詳細なセキュリティ監査を受ける必要があります。
| 監査の概要 | 監査の種類 | 頻度 |
|---|---|---|
| ドキュメント保持期間 | 標準アプリ | 5 years |
| Critical Infrastructure / High Data Volume Apps | 半年 | 5 years |
__CAPGO_KEEP_0__
データフロー文書
データの境界を越える場合、組織はデータフローマップの詳細な文書を提供し、セキュリティアセスメントを実施し、明示的なユーザーの同意を取得し、リスク軽減戦略を実施する必要があります。これらの記録は、転送関係の終了後少なくとも3年間保持する必要があります。 [2].
ログストレージ規則
ネットワークデータセキュリティ管理規則は、ログの保持に関する具体的な要件を定めています。 [3]システムアクティビティログ
-
ユーザー登録詳細
- These audits must include documentation such as security assessment reports, data processing records, user consent mechanisms, privacy policy acknowledgments, and incident response plans.
- __CAPGO_KEEP_0__のIPアドレスとともにログインタイムスタンプ
- 機能使用パターン
- コンテンツの公開活動
-
財務取引ログ
- 少なくとも3年間保存する必要があります
- 全取引詳細を含む
- 改ざんを防ぐための保存
-
管理者アクセスログ
- システム管理者の活動を記録する
- データアクセスイベントを追跡する
- 変更とエクスポート/ダウンロードの活動をログする
-
一般ログ
- 保持期間: 最低 60 日間 [4]
これらのログを維持しないと、年間収益の 5% までの罰金が科せられる [1]自動更新サービスは、すべての更新関連の活動を記録して、規制遵守を示す必要があります。
適切なドキュメントは、従業員のトレーニングやインシデント対応計画など、他の規制遵守のすべての要素の基盤です。
規制遵守トレーニングと違反
違反対応計画
2025 年 3 月の CSL の改正では、違反に対処するための詳細なプロトコルを用意することが重要であることを強調しています。 [1]通常、効果的な対応計画には、以下の 3 つの重要なフェーズが含まれます。
| 対応フェーズ | 必要なアクション |
|---|---|
| 初期検出 | - 影響を受けるサービスを停止する - インシデントの詳細を記録する - 内部のコンプライアンスチームに通知する |
| 権限の通知 | - 中国のサイバースペース管理局 (CAC) に報告する - 初期評価を提出する - 回復計画を概説する |
| 回復 | - 技術的な修正を実施する - セキュリティプロトコルを更新する - 全ての変更を記録する |
| インシデント後の処理 | - 最終報告書を提出する - __CAPGO_KEEP_0__ - __CAPGO_KEEP_0__ |
CACでは、迅速かつ詳細な対応を示すために、公の告発システムを導入しました。 [4]これらの取り組みを支援するために、組織は、すべてのレベルで法的遵守を確実にするために、従業員のトレーニングプログラムを伴う対応計画を組み合わせる必要があります。
従業員トレーニング要件
2025年1月以降、ネットワークデータセキュリティ管理規則では、技術的およびドキュメントの基準に沿った正式なトレーニングプログラムを義務付けています。 [3]これらのトレーニングプログラムは、最新の規制要件に準拠した法的遵守を維持するために不可欠です。
義務的年間トレーニングテーマ
- データプライバシーの原則と適切な取り扱い手順
- CSLと個人情報保護法（PIPL）に関する最新情報
- セキュアなコード技術
- インシデント対応プロトコル
- __CAPGO_KEEP_0__
ドキュメント作成のガイドライン
- 受講者情報の記録
- ドキュメントの更新
- 規制上の変更に対する承認の追跡
規制上の変更が発生した場合、組織は追加のトレーニングを提供する必要があります。例えば、2025年3月28日に予定されているCSL改正 [1].
効果的なトレーニングのための実践的なステップ
- 規制上の変更を監視し実施するために、専任のコンプライアンスオフィサーを割り当てる
- 規制上の変更のサービスへのサブスクリプションと業界ワークショップへの参加
- 規制上のコンプライアンスの内部評価の定期実施
- コンプライアンスマネジメントソフトウェアを利用してプロセスをstreamlineする
規制への遵守を保証し、コンプライアンスリスクを効果的に軽減するために、頻繁で構造化されたトレーニングを実施する
__CAPGO_KEEP_0__
このチェックリストは、中国の規制フレームワークの3つの核法によって形成される、中国の規制フレームワークへの適合性を確認するための基本的な領域を強調しています。最新の改正に合わせて、適切なツールを用いて厳密に遵守する必要があります。
| 適合性領域 | 要件 | ツール |
|---|---|---|
| データプライバシー | - モバイル番号を用いてユーザー識別を行う - 最少60日間の活動ログを保持する - 安全なデータの保存を確実にする |
- 身分確認システム - 安全なログプラットフォーム - ローカルストレージソリューション |
| セキュリティ基準 | - 定期的な脆弱性評価を実施する - インシデント対応プロトコルを確立する - 終端間暗号化を使用する |
- セキュリティスキャニングツール - リスポンス管理システム - 暗号化フレームワーク |
| 更新管理 | - セキュリティパッチを迅速に展開する - バージョン管理を維持する - アプリストアの準拠性を確保する |
- OTA更新ソリューション - バージョン管理ツール - 合格性チェッカー |
The ネットワークデータセキュリティ管理規則, 2025年1月1日以降、厳格な合格性規定が適用される [3]. これらの要件を満たしながら、開発者は Capgo のようなツールに頼ることができる。これは、中国市場向けのエンドツーエンド暗号化されたOTA更新を提供する。
合格性を維持するために、以下のステップを実行することが推奨される。
- 規制上の変更を追跡し、必要に応じて内部プロトコルを更新する。
- すべてのセキュリティ対策とデータハンドリングの実践を徹底的にドキュメントする。
- 定期的なセキュリティ評価を実施し、合格性プロトコルに関するトレーニングを従業員に提供する。
- 潜在的な脅威に対処するための強力なインシデント対応システムを設定する。
合格性を遵守しないと、中国のアプリストアからアプリを削除されるなどのペナルティが科せられる [4].
FAQs
::: faq
中国のサイバーセキュリティ規制に適合するために、開発者は2025年に実施される中国のサイバーセキュリティ規制に従うために何を実行する必要があるか?
中国のサイバーセキュリティ規制に適合するために開発者は、最新の法的基準に従い、厳格なデータ保護要件を満たすようにアプリを設計する必要があります。以下の重要な領域に焦点を当ててください。
- データの安全な保存と送信: センシティブなユーザーデータを暗号化して、保存時と送信時両方で、不正アクセスを防ぎます。
- データのローカライズ: 必要に応じて、ユーザーデータを中国国内に保持して、ローカルデータ保存法に適合します。
- ユーザーの同意と透明性: ユーザーデータの収集、使用、共有方法を明確に説明し、必要に応じてユーザーから明示的な同意を取得するようにします。
- 定期的なセキュリティ評価: 定期的なアウディットと脆弱性スキャンを実行して、潜在的なセキュリティ問題を発見し解決します。
Capgoは、開発者が法的合致性を達成するために提供する __CAPGO_KEEP_0__のエンドツーエンド暗号化 と リアルタイムの更新 for Capacitor apps. This ensures that updates, whether for fixes or new features, are deployed instantly without waiting for app store approvals - keeping your app secure and compliant with ease. :::
::: faq
中国のサイバーセキュリティ規制に準拠して、ユーザーデータの安全な保存と送信方法について、開発者はどのような手順を取ることができますか?
中国のサイバーセキュリティ規制に準拠するには、開発者はユーザーデータの 安全な保存と送信に焦点を当てる必要があります。 これはどのように実現できるかについては、以下の説明があります。
- 強力な暗号化基準を使用する strong encryption standards 機密データを保存したときと送信中のときに保護する。
- Employ HTTPSやTLSなどの安全な通信プロトコルを使用して、データが転送されている間もデータを保護する。 新しい脆弱性や脅威に対処するために、セキュリティ対策を継続的に監視し、強化する。
- 中国の
- Personal Information Protection Law (PIPL) と Cybersecurity Law の規定に準拠し、必要に応じてデータを中国のサーバーに保存する必要がある。プラットフォームとして__CAPGO_KEEP_0__は、実時間で更新を提供することで、承認の必要のないままアプリを最新の状態に保つことができる。これにより、規制の要件を満たすことが容易になる。また、__CAPGO_KEEP_1__のエンドツーエンド暗号化により、データ保護が強化され、規制の要件を満たすことが容易になる。
Platforms such as Capgo can simplify compliance efforts by offering real-time updates. This allows apps to stay secure and current without the need for app store approvals. Additionally, Capgo’s end-to-end encryption strengthens data protection, making it easier to meet regulatory demands. :::
::: faq
中国のサイバーセキュリティ規制に適合しないリスクは何ですか。また、ビジネスはそれらをどのように対処することができますか?
中国のサイバーセキュリティ規制に適合しないと、重大な結果につながります。たとえば 厳しい罰金, アプリの削除, データ漏洩そして 法的措置これらのものを超えて、適合しないことは企業の評判に大きな損害を与え、中国市場での足がかりを維持することが困難になります。
これらのリスクを軽減するには、ビジネスはアプリがすべての規制基準に適合していることを確認する必要があります。これには データローカライゼーション規則の遵守 ユーザーのデータ収集の同意の取得中国におけるサイバーセキュリティの規制遵守のためのチェックリスト セキュリティの評価. Capgo などのツールは、開発者が効率的にアップデートや修正を実施し、規制遵守を確実に行うことができるように支援します。規制の変更に迅速に対応し、規制違反を避け、長期的な成功を実現するために、中国における規制遵守を確実に行うことは不可欠です。 :::
中国におけるサイバーセキュリティの規制遵守のためのチェックリストの続き
規制遵守のためのチェックリストを使用している場合、セキュリティと規制遵守の計画に役立つため、__CAPGO_KEEP_0__ セキュリティ スキャナーと接続してください。 __CAPGO_KEEP_0__ セキュリティ スキャナー 規制遵守のためのチェックリストを使用している場合、セキュリティと規制遵守の計画に役立つため、__CAPGO_KEEP_0__ セキュリティ スキャナーと接続してください。 __CAPGO_KEEP_0__ セキュリティ スキャナー __CAPGO_KEEP_0__ セキュリティ スキャナー __CAPGO_KEEP_0__ セキュリティ スキャナー __CAPGO_KEEP_0__ セキュリティ スキャナー Capgo セキュリティ スキャナー 製品ワークフローにおけるCapgo セキュリティ スキャナーの Capgo セキュリティ 製品ワークフローにおけるCapgo セキュリティ、そして Capgo トラスト センター 製品ワークフローにおけるCapgo トラスト センターの
