中国におけるサイバーセキュリティ・コンプライアンスのチェックリスト

2025年、中国のサイバーセキュリティ法はかつてないほど厳格化しています。コンプライアンスを維持するため、企業は以下の主要な規制に従う必要があります。 サイバーセキュリティ法 (CSL), データセキュリティ法 (DSL)や 個人情報保護法 (PIPL)。以下に、迅速に確認できるコンプライアンス・チェックリストをまとめました。

• ユーザー認証の確認: 電話番号または政府発行のIDを使用してください。
• データのローカル保存: 中国のユーザーデータはすべて中国国内のサーバーに保存する必要があります。
• アクティビティのログ記録: ユーザーの 操作ログを 最低60日間保持してください。
• データの保護: 保存データ（AES-256）および通信データ（TLS 1.3以上）を暗号化してください。
• 監査の実施: 定期的なセキュリティチェックと年次監査が義務付けられています。
• アップデート管理: OTAアップデートは暗号化、ログ記録、およびユーザーの承認が必要です。

これらの基準を満たさない場合、最大5,000万円（約750万ドル）または年間売上高の5%の罰金が科される可能性があります。以下のツールを活用してください： Capgo 暗号化アップデートとコンプライアンス追跡に。

ユーザーデータを保護し、適切なドキュメントを維持し、中国のサイバーセキュリティの枠組みに関する最新アップデートを追うことで、コンプライアンスを保ちましょう。

主要なサイバーセキュリティ法と規制

中国サイバーセキュリティ法 (CSL)

中国サイバーセキュリティ法 (CSL) は、ネットワークセキュリティを維持するための基本要件を定めています。実名登録、強固なセキュリティ対策の実施、定期的な評価の実施、インシデントの迅速な報告などが含まれます。2025年3月には改正案がパブリックコメントのために公開されました。 [1]. 改正法は2025年10月28日に成立し、2026年1月1日に施行され、違反に対する罰則が厳しくなりました。

中国のデータ規則は、中国国外から運営されるアプリにも及びます。PIPLは、中国本土の個人に製品やサービスを提供すること、またはその行動を分析することを目的とした個人情報の処理に適用されます。データのローカライズ義務は一律ではなく、対象は限定的です。CSLは重要情報インフラ運営者に対し、中国国内で収集した個人情報および重要データの国内保存を義務付けており、PIPLも、一定の閾値を超える個人情報を扱う処理者に同様の要件を課しています。 中国国家インターネット情報弁公室 (CAC) が定める閾値です。越境移転には、CACのセキュリティアセスメント、標準契約、認証などのルートが使え、一部の移転は免除されるため、データの量と種類に応じてどのルートが該当するか確認してください。

アプリ開発者を含むネットワーク事業者は、以下の事項についても計画を立てる必要があります： 多要素認証（MFA）を 機密システム、重要データのバックアップとリカバリ、標準化されたユーザーデータの書き出し、および処理活動のモニタリングや監査。

アプリの機能に応じて、リリース前または後に以下の評価が必要になる場合があります： 個人情報保護影響評価（PIA） PIPLに基づき、機密性の高い個人情報の処理、自動化された意思決定、またはデータの国外移転を行う場合。 CACセキュリティ評価 データの越境移転が規制の閾値を超える場合、または重要データが含まれる場合。 サイバーセキュリティ審査 重要情報インフラ事業者が、国家安全保障に影響を与える可能性のあるネットワーク製品やサービスを購入する場合。ほとんどのアプリでは、これらすべてが必要になることはありません。

個人情報保護法 (PIPL)

個人情報保護法（PIPL）は、透明性とセキュリティを重視した、ユーザーデータ管理に関する厳格なガイドラインを定めています。主な規定は以下の通りです：

PIPLはまた、アプリ開発者に対し、ユーザーの同意に関する詳細な記録を保持しつつ、明確かつ透明性の高いデータ取り扱いを義務付けています。違反した場合は、業務停止や最大5,000万元（約750万ドル）の罰金が科される可能性があります。 [2]。これらの規則は、「データセキュリティ管理規則」に定められた技術的措置の根幹を成しています。

データセキュリティ管理規則

2025年1月1日より、「ネットワークデータセキュリティ管理規定」が施行され、データ関連のリスク管理に関する包括的な枠組みが導入されます。この規定では、以下が強調されています：

• リスクアセスメント：データの機密性、処理量、および国家安全保障への潜在的な影響を評価する。
• 技術的保護措置：データの分類、アクセス制御の実装、および機密情報の暗号化を行う。
• インシデント対応：セキュリティインシデントに対処するため、堅牢なドキュメントと技術的措置を維持する。

これらのアップデートは、法執行の強化と、新たに発生するサイバーセキュリティの課題への対応を目的としています。 [1].

For app developers working on updates and security patches, utilizing 安全なアップデートプラットフォーム これらの規制への準拠を簡素化できます。例えば、 Capgo (https://capgo.app) はエンドツーエンド暗号化とリアルタイムの アップデート管理を提供します。これは、4億以上のモバイルアプリが存在し、世界最大のモバイルインターネットユーザー層を持つ市場において、特に価値があります。 [4].

データプライバシー要件

ユーザーの本人確認

ユーザーアカウントを有効化する前に、携帯電話番号または政府発行のIDを使用した実名認証を実装してください。真の身元は記録・暗号化しつつ、ユーザーが公開用のアカウント名を表示できるようにします。また、規制に従ってユーザーのアクティビティをログに記録してください。 [4]このプロセスを効率化するために、以下のような現地の認可済み認証サービスとの統合を検討してください。 China Mobile と China Unicom [4].

また、保存されるすべてのデータが現地のホスティング規制に準拠していることを確認することも同様に重要です。

データストレージ要件

2025年1月1日に施行されるネットワークデータセキュリティ管理規定に基づき、中国ユーザーのすべてのデータは中国本土内のサーバーに保存する必要があります。 [1]データを国外に転送する必要がある場合は、事前に政府のセキュリティ審査を受けるか、ユーザーから明示的な同意を得る必要があります。 [3].

これらの要件を満たすには、以下のような中国の認可済みクラウドプロバイダーと連携してください： Alibaba Cloud または Tencent Cloud。これにより、ユーザーデータが指定された地理的境界内に保持されることが保証されます。

ストレージ要件が満たされたら、次に以下に記載する必要なセキュリティ対策の実装に注力してください。

必須セキュリティ基準

2025年のサイバーセキュリティフレームワークでは、ユーザーデータを保護するための堅牢な暗号化プロトコルの使用が強調されています [1][3]。主な対策は以下の通りです：

アップデートを管理する開発者にとって、Capgo のようなプラットフォームは、これらのセキュリティ要件に準拠したエンドツーエンド暗号化を標準で提供しています。

すべてのセキュリティ対策が有効かつ最新の状態であることを保証するには、定期的な監査とテストが不可欠です。 [1].

中国のサイバーセキュリティとデータ保護：コンプライアンス、課題、ヒント

技術的なセキュリティ要件

中国のサイバーセキュリティ規制では、コンプライアンスを維持するために、組織が詳細な技術的セキュリティ対策を講じることが求められています。2025年3月には、 中国国家インターネット情報弁公室 (CAC) はサイバーセキュリティ法 (CSL) の改正案を導入し、これらの要件を規定しました。これにより、法的義務が具体的な実務へと落とし込まれています。 [1].

セキュリティスキャン・スケジュール

モバイルアプリは、CACが承認したスキャンツールを使用して、毎月セキュリティチェックを行う必要があります。 [1]これらの評価では、アプリのセキュリティに関する以下の側面が重点的に確認されます：

すべてのスキャンレポートは保存し、年次の規制監査で提示できるようにしておく必要があります。また、当局の検査時には、これらの結果への即時アクセスを求められる場合があります。 [1][5].

ユーザー権限コントロール

中国で展開するモバイルアプリにおいて、ロールベースのアクセス制御（RBAC）は必須要件です。 [1]開発者は以下の対応が求められます：

• ユーザーロールに基づいた正確な権限レベルの設定。
• アクセスアクティビティの詳細なログの保持。
• 権限設定が適切であることを確認するための、定期的なレビューと更新。

アプリのアップデートを担当する開発者にとって、Capgo のようなプラットフォームは、ユーザーのロールや権限を効率的に管理しつつ、セキュリティパッチを迅速にデプロイできる組み込みツールを提供しています。

セキュリティインシデント対応

組織は、セキュリティインシデントを検知してから12時間以内にCACへ通知しなければなりません。この通知には、初期評価と封じ込め措置の詳細を含める必要があります。 [1][5].

包括的なインシデント対応計画には、以下を含めるべきです：

• 問題の検知と封じ込め。
• 調査およびコミュニケーション戦略。
• 必要に応じたユーザーへの通知。

インシデント発生後は、根本原因、修正アクション、およびセキュリティプロトコルの更新内容を文書化してください。その後、詳細なレポートを規制当局に提出する必要があります。

「CSLの最新の改正により、PIPLやDSLといった中国の他の主要なデータ保護法に合わせる形で、執行の強化と罰金額の引き上げが行われました」と、中国サイバースペース管理局は2025年3月のガイダンスで述べています。 [1].

定期的なセキュリティ演習やスタッフトレーニングも義務付けられており、規制当局の検査に備えて関連するすべてのドキュメントを手元に保管しておく必要があります。 [1][2].

App Storeの要件

中国でアプリを公開する場合、技術基準を満たすことは始まりに過ぎません。開発者は、中国サイバースペース管理局（CAC）が定める規制にも準拠する必要があります。 工業情報化部 (MIIT) [1].

MIIT登録プロセス

MIITへの登録には、開発者は以下の準備が必要です：

• 営業許可証または組織証明書、および委任状
• アプリの機能とデータ収集に関する詳細な説明書
• ネットワークセキュリティ評価のドキュメント
• 個人情報保護影響評価（PIA）

標準的な審査プロセスは通常7〜10営業日です。しかし、海外の開発者は現地法人を通じた手続きが必要となるため、審査に2〜3ヶ月ほどかかるケースが多々あります。これらのステップは、データセキュリティとユーザーのプライバシーを確保するための技術的な保護策を補完するものです。

セキュリティテストの要件

登録に加えて、アプリは義務的なセキュリティテストを受ける必要があります。「 ネットワークデータセキュリティ管理規定」、2025年1月1日に施行されるこの規定では、アプリのカテゴリに基づいた具体的なテストプロトコルが定められています。 [3]:

• 金融・ヘルスケアアプリ
  これらのアプリでは、CAC認定機関によるペネトレーションテストとcodeのソースコードレビューが義務付けられています。また、開発者はセキュリティ関連のドキュメントを3年間保管する必要があります。

• ソーシャル・教育アプリ
  テストは脆弱性診断とデータ保護基準への準拠に重点を置いています。さらに、ユーザーのアクティビティログを少なくとも60日間保持する必要があります。 [4].

• 一般アプリケーション
  これらのアプリは、暗号化規格やデータ取り扱い慣行を含む基本的なチェックの対象となります。また、承認された方法によるユーザー本人確認機能を提供する必要があります。

SDK コンプライアンス・チェック

開発者は、アプリで使用しているすべてのSDKについて、以下の内容を含む詳細なインベントリを管理する必要があります：

• SDKの名前、バージョン、プロバイダー
• データアクセス権限と保存場所
• セキュリティ証明書
• 個人情報保護法（PIPL）およびデータセキュリティ法（DSL）への準拠 [2]

以下の機能を利用するアプリの場合、 クラウドベースのアップデート、Capgo のようなプラットフォームは、中国のサイバーセキュリティ基準に準拠したバージョン管理やパッチデプロイのツールを提供しています。

コンプライアンスを徹底するため、CACは通報制度を導入しています。違反した場合は、アプリの削除や多額の罰金につながる可能性があります。 [4].

アップデート管理

中国におけるアップデート管理は、単なる技術的な調整ではありません。絶えず進化する厳格なサイバーセキュリティ規制への対応が求められます。 [1].

OTAアップデートの要件

中国における Over-the-air（OTA）アップデートは、厳格なセキュリティとコンプライアンスのルールに従う必要があります。 [1]。要件は以下のとおりです：

• エンドツーエンド暗号化：アップデートパッケージは転送中に暗号化され、真正性を確認するためのデジタル署名を含める必要があります。 [1].
• ユーザー認証: アップデートは、ユーザーの明示的な同意がある場合にのみ実行でき、多くの場合、携帯電話番号の検証によって確認されます [4].
• データローカライゼーション: 中国のユーザーにアップデートを配信するインフラは、物理的に中国国内に設置されている必要があります [2].
• ドキュメント: ユーザーの同意情報、アクセス記録、セキュリティ評価を含むアップデートの詳細なログを、少なくとも60日間保持してください [3].

重大なセキュリティパッチについては、中国サイバースペース管理局（CAC）が迅速な対応を義務付けています。企業は脆弱性の通知を即座に行い、修正プログラムのデプロイを迅速化しなければなりません [1].

これらの要件は、整備されたバージョン管理システムと密接に関係しています。

バージョン管理

2025年1月に施行される「ネットワークデータセキュリティ管理規定」に基づき、企業は堅牢なバージョン管理プロセスを実装する必要があります。具体的には次のとおりです:

迅速に以前のバージョンへ戻せるロールバック機能は不可欠です。また、これらの旧バージョンは少なくとも60日間保持する必要があります [3].

バージョン管理にサードパーティサービスを利用する場合、中国当局への登録、ローカライズされたインフラの展開、責任範囲の明確な文書化、およびデータローカライゼーション法の遵守を確実に行う必要があります [1].

機密データを扱うプラットフォームでは、データ収集方法やアクセス権限を変更するアップデートに対し、規制遵守を維持するための追加のテストと検証レイヤーが求められます [4].

Capgo (https://capgo.app) のようなツールは、 live update ソリューションを 提供しています。暗号化、シームレスなCI/CD統合、詳細なバージョン管理機能を備えています。

これらの規制に従わない場合、前年度売上高の最大5%に達する罰金や、中国のアプリストアからの削除といった深刻な結果を招く可能性があります [2].

コンプライアンス文書

中国のサイバーセキュリティの枠組みは、徹底した文書化を強く重視しています。2025年3月の改正により要件はより厳格化され、不遵守に対する罰則も大幅に強化されました [1].

必須の年次監査

アプリには、個人情報保護法（PIPL）、データセキュリティ法（DSL）、および最新のサイバーセキュリティ法（CSL）改正内容に準拠していることを確認するため、詳細なセキュリティ監査の実施が義務付けられています。 [1][2]一般的な監査スケジュールと文書保存要件の概要は次のとおりです：

これらの監査には、セキュリティ評価レポート、データ処理記録、ユーザーの同意メカニズム、プライバシーポリシーの承認、およびインシデント対応計画などのドキュメントを含める必要があります。

データフローのドキュメント化

データを国境を越えて転送する場合、組織はデータフローマップの詳細なドキュメントを提供し、セキュリティ評価を実施し、ユーザーから明示的な同意を得て、リスク軽減策を講じる必要があります。これらの記録は、転送関係の終了後、少なくとも3年間保持しなければなりません。 [2].

ログ保存ルール

ネットワークデータセキュリティ管理規定では、ログの保持に関する具体的な要件が定められています。 [3]これには以下が含まれます：

• システムアクティビティログ

  • ユーザー登録の詳細
  • IPアドレスを含むログインタイムスタンプ
  • 機能の使用パターン
  • コンテンツの公開アクティビティ

• 金融取引ログ

  • 最低3年間の保存が必須
  • 取引の詳細をすべて含めること
  • 改ざん防止ストレージを確保すること

• 管理者アクセスログ

  • システム管理者の操作を記録
  • データアクセスイベントを追跡
  • 変更およびエクスポート/ダウンロードのログを記録

• 一般ログ

  • 保存要件：最低60日間 [4]

ログの管理を怠った場合、年間売上高の最大5%の罰金が科される可能性があります [1]。さらに、コンプライアンスを証明するため、自動アップデートサービスはすべてのアップデート関連のアクティビティを記録する必要があります。

適切なドキュメント化は、スタッフ研修やインシデント対応計画を含む、他のすべてのコンプライアンス対策の基盤となります。

コンプライアンス研修と違反への対応

違反発生時の対応計画

2025年3月のCSL改正では、違反に対応するための詳細なプロトコルを整備することの重要性が強調されています [1]。実効性のある対応計画は、通常、以下の主要なフェーズで構成されます：

CACは内部告発制度も導入しており、迅速かつ詳細な記録に基づく対応が不可欠となっています [4]. これらの取り組みを支えるため、組織は対応計画と徹底したスタッフ研修を組み合わせ、あらゆるレベルでコンプライアンスを確保すべきです

スタッフ研修の要件

2025年1月から、ネットワークデータセキュリティ管理規定により、技術基準と文書基準に沿った正式な研修プログラムが義務付けられます。 [3]これらの研修プログラムは、最新の規制要件へのコンプライアンスを維持するために不可欠です。

年次必須研修のトピック

• データプライバシーの原則と適切な取り扱い手順
• CSLおよび個人情報保護法（PIPL）の最新情報
• セキュアコーディング技術
• インシデント対応プロトコル
• ユーザー本人確認プロセス

ドキュメント作成の実践

• 研修の出席記録、評価、教材の更新記録を保管すること
• 研修ドキュメントが常に最新であることを確認すること
• 規制更新の確認状況を追跡する

組織はまた、2025年3月28日に施行予定のCSL改正など、重要な規制変更が発生した際には追加のトレーニングを実施する必要があります。 [1].

効果的なトレーニングのための実践的なステップ

• 規制更新を監視・実施する専任のコンプライアンス責任者を任命する
• 規制更新サービスを契約し、業界のワークショップに参加する
• 定期的に内部コンプライアンス評価を実施する
• コンプライアンス管理ソフトウェアを活用してプロセスを効率化する

頻繁かつ体系的なトレーニングは、規制の遵守を確実にするだけでなく、コンプライアンスリスクを効果的に軽減することにもつながります。

結論：コンプライアンス・チェックリストのまとめ

このチェックリストは、3つの主要法律で構成される中国の規制枠組みを遵守するための重要領域をまとめたものです。最新の改正に対応するには、適切なツールを活用した厳格な遵守が欠かせません。

この ネットワークデータセキュリティ管理規定、2025年1月1日より、より厳格なコンプライアンス措置が施行されます [3]。アプリのアップデートをスムーズに行いつつこれらの要件を満たすには、中国市場に特化したエンドツーエンド暗号化OTAアップデートを提供する Capgo のようなツールを活用するのが有効です。

準拠し続けるための主なステップは次のとおりです：

• 規制の変更を常に把握し、必要に応じて社内プロトコルを更新してください。
• すべてのセキュリティ対策とデータの取り扱い方法を徹底的に文書化してください。
• 定期的にセキュリティアセスメントを実施し、スタッフにコンプライアンスプロトコルのトレーニングを行ってください。
• 潜在的な脅威に対処するため、強力なインシデントレスポンス体制を構築してください。

コンプライアンスに違反した場合、正式な警告から中国国内のアプリストアからのアプリ削除に至るまで、罰則が科される可能性があります。 [4].

よくある質問

::: FAQ

2025年にモバイルアプリを中国のサイバーセキュリティ規制に準拠させるため、開発者はどのような手順を踏むべきでしょうか？

2025年に施行される中国のサイバーセキュリティ規制に対応するため、開発者は最新の法的基準への準拠を優先し、アプリが厳格なデータ保護要件を満たすようにする必要があります。重点を置くべき主な領域は次のとおりです：

• データの安全な保存と転送: 不正アクセスを防ぐため、保存時および転送時の両方で暗号化を使用して機密性の高いユーザーデータを保護します。
• データローカライゼーション: 必要に応じて、現地のデータ保存法を遵守するためにユーザーデータを中国国内に保持してください。
• ユーザーの同意と透明性: ユーザーデータの収集、使用、共有方法を明確に説明します。必要に応じて、ユーザーから明示的な同意を得るようにしてください。
• 定期的なセキュリティ評価: 定期的な監査と脆弱性スキャンを実施し、潜在的なセキュリティ問題を特定して解決します。

Capgo は、以下の機能を提供することで開発者のコンプライアンス遵守をサポートします エンドツーエンド暗号化 と リアルタイムアップデート Capacitor アプリ向け。これにより、修正や新機能のアップデートをアプリストアの承認を待たずに即座にデプロイできるため、アプリのセキュリティとコンプライアンスを容易に維持できます。 :::

::: FAQ

中国のサイバーセキュリティ規制を遵守しながら、ユーザーデータを安全に保存・転送するために、開発者が取れる対策とは？

中国のサイバーセキュリティ規制に準拠するには、開発者は次の点に注力する必要があります： ユーザーデータの安全な保存と転送。これを実現する方法は次のとおりです：

• 使用する 強力な暗号化規格 を用いて、保存中も転送中も機密データを保護します。
• また、 安全な通信プロトコル （HTTPS や TLS など）を採用し、転送中のデータを保護します。
• 新たな脆弱性や脅威に対抗するため、セキュリティ対策を継続的に監視・アップグレードしてください。
• 中国のサイバーセキュリティ規制を遵守してください。これには、 個人情報保護法 (PIPL) と サイバーセキュリティ法必要に応じて中国国内のサーバーにデータを保存する要件が含まれます。

Capgo のようなプラットフォームは、リアルタイムアップデートを提供することでコンプライアンス対応を簡素化できます。これにより、アプリストアの承認を待たずに、アプリのセキュリティと最新性を維持できます。さらに、Capgo のエンドツーエンド暗号化がデータ保護を強化し、規制要件への対応を容易にします。 :::

::: FAQ

中国のサイバーセキュリティ規制に従わない場合、どのようなリスクがあり、企業はどう対処すべきでしょうか？

中国のサイバーセキュリティ規制に従わない場合、以下のような深刻な影響を受ける可能性があります。 高額な罰金, アプリストアからの削除, データ漏洩、さらには 法的措置、といったリスクがあります。これらに加え、コンプライアンス違反は企業の評判を著しく損ない、中国市場での地位を維持することを困難にします。

これらのリスクを軽減するため、企業はアプリがすべての規制基準に準拠していることを確認しなければなりません。これには、以下への対応が含まれます。 データのローカライゼーション規則、 データ収集に関するユーザーの同意取得、および徹底した セキュリティアセスメントの実施、などが挙げられます。Capgo のようなツールを活用すれば、開発者はアプリの機能を損なうことなく、効率的にアップデートや修正をリリースできるため、コンプライアンスへの対応を簡素化できます。規制の変化を常に把握し、プロアクティブに対処することは、罰則を回避し、中国で長期的な成功を収めるために不可欠です。 :::

「中国におけるサイバーセキュリティ・コンプライアンス・チェックリスト」の続きはこちら

使用している場合 中国におけるサイバーセキュリティ・コンプライアンスのチェックリスト セキュリティとコンプライアンスを計画するには、これを以下と連携させてください 暗号化 暗号化の実装詳細について コンプライアンス コンプライアンスの実装詳細について Capgo セキュリティスキャナー Capgo Security Scanner のプロダクトワークフローについて Capgo のセキュリティ Capgo Security のプロダクトワークフロー向け、および Capgo トラストセンター Capgo Trust Center のプロダクトワークフロー向け。