中国におけるサイバーセキュリティ・コンプライアンス・チェックリスト

2025年、中国のサイバーセキュリティ法はかつてないほど厳格になっています。遵守するには、企業は次のような主要規制に従う必要があります。 サイバーセキュリティ法 (CSL), データセキュリティ法 (DSL)、および 個人情報保護法 (PIPL)。コンプライアンスのクイックチェックリストはこちら:

• ユーザー認証の確認: 電話番号または政府発行のIDを使用してください。
• データのローカル保存: 中国のユーザーデータはすべて中国国内のサーバーに保存する必要があります。
• アクティビティのログ記録: ユーザーの 操作ログを 最低60日間保持してください。
• データの保護: 保存データ（AES-256）および転送データ（TLS 1.3以上）を暗号化してください。
• 監査の実施: 定期的なセキュリティチェックと年次監査が義務付けられています。
• アップデート管理: OTAアップデートは暗号化・ログ記録・ユーザー承認が必須です。

これらの基準を満たさない場合、最大5,000万人民元（約750万ドル）または年間売上高の5%の罰金が科される可能性があります。次のようなツールを活用してください： Capgo 暗号化されたアップデートとコンプライアンス追跡のために。

ユーザーデータの保護、適切なドキュメントの維持、そして中国のサイバーセキュリティ枠組みの最新アップデートへの対応により、コンプライアンスを維持しましょう。

主要なサイバーセキュリティ法と規制

中国サイバーセキュリティ法 (CSL)

中国サイバーセキュリティ法 (CSL) は、ネットワークセキュリティを維持するための基本的な要件を定めています。これには、実名登録、強力なセキュリティ対策の実施、定期的なアセスメントの実施、およびインシデントの迅速な報告が含まれます。2025年3月には改正案が意見公募のために公開されました。 [1]施行された改正版は2025年10月28日に採択され、2026年1月1日に発効しました。違反に対する罰則はより厳格になっています。

中国のデータ規則は、中国国外から運営されるアプリにも適用される可能性があります。PIPLは、中国本土の居住者に製品やサービスを提供すること、またはその行動を分析することを目的とした個人情報の処理に適用されます。データローカライゼーションは一律のルールよりも限定的です。CSLは重要情報インフラ運営者に対し、中国国内で収集した個人情報および重要データの国内保存を義務付けており、PIPLも、一定の閾値を超える個人情報を扱う処理者に対して同様の要件を課しています。 中国国家インターネット情報弁公室 (CAC)。越境移転には、CACによるセキュリティアセスメント、標準契約、または認証など、いくつかのルートを利用できます。一部の移転は免除されるため、データの量や種類に応じてどのルートが適用されるかを確認してください。

アプリ開発者を含むネットワーク事業者は、以下も計画すべきです： 機密システムでの多要素認証、 重要データのバックアップとリカバリ、標準化されたユーザーデータのエクスポート、処理活動のモニタリングまたは監査。

アプリの機能に応じて、リリース前または後に一部の評価が適用される場合があります。たとえば、 個人情報保護影響評価 （PIPLに基づき、機微個人情報の処理、自動意思決定、またはデータの国外移転を行う場合）、 CACセキュリティ評価 （越境データ移転が規制上の閾値を超える場合、または重要データを含む場合）、 サイバーセキュリティ審査 （重要情報インフラ運営者が、国家安全保障に影響を与える可能性のあるネットワーク製品やサービスを購入する場合）です。ほとんどのアプリがそのすべてを必要とするわけではありません。

個人情報保護法 (PIPL)

個人情報保護法（PIPL）は、ユーザーデータ管理に関する厳格なガイドラインを定め、透明性とセキュリティを重視しています。主な規定は次のとおりです：

PIPLはまた、アプリ開発者に対し、ユーザーの同意に関する詳細な記録を保持しつつ、明確かつ透明性の高いデータ取り扱いを義務付けています。違反した場合は、業務停止や最大5,000万元（約750万ドル）の罰金が科される可能性があります。 [2]。これらの規則は、「データセキュリティ管理規則」に定められた技術的措置の根幹を成しています。

データセキュリティ管理規則

2025年1月1日より、「ネットワークデータセキュリティ管理規定」が施行され、データ関連のリスク管理に関する包括的な枠組みが導入されます。この規定では、以下の点が強調されています：

• リスクアセスメント: データの機密性、処理量、および国家安全保障への潜在的な影響を評価すること。
• 技術的保護措置: データの分類、アクセス制御の実装、および機密情報の暗号化を行うこと。
• インシデント対応: セキュリティインシデントに対処するため、堅牢なドキュメント管理と技術的措置を維持すること。

これらの更新は、法執行を強化し、新たに発生するサイバーセキュリティの課題に対処することを目的としています。 [1].

アプリのアップデートやセキュリティパッチの開発を行うアプリ開発者にとって、利用すべきは 安全なアップデートプラットフォーム これらの規制への準拠を簡素化できます。例えば、 Capgo (https://capgo.app) はエンドツーエンド暗号化とリアルタイムの アップデート管理を提供します。これは、4億以上のモバイルアプリが存在し、世界最大のモバイルインターネットユーザー層を持つ市場において、特に価値があります。 [4].

データプライバシー要件

ユーザー本人確認

ユーザーアカウントの有効化前に、携帯電話番号または政府発行のIDを使用した実名認証を実装してください。真の身元を記録・暗号化しつつ、ユーザーが公開用のアカウント名を表示できるようにする必要があります。また、規制に従ってユーザーのアクティビティをログに記録してください。 [4]このプロセスを効率化するために、以下のような現地の認可済み認証サービスとの統合を検討してください。 China Mobile と China Unicom [4].

保存されるすべてのデータが、現地のホスティング規制に準拠していることを確認することも同様に重要です。

データ保存要件

2025年1月1日に施行されるネットワークデータセキュリティ管理規定に基づき、中国ユーザーのすべてのデータは中国本土内のサーバーに保存する必要があります。 [1]データを国外に転送する必要がある場合は、事前に政府のセキュリティ審査を受けるか、ユーザーから明示的な同意を得る必要があります。 [3].

これらの要件を満たすには、次のような中国の認定クラウドプロバイダーと連携してください： Alibaba Cloud または Tencent Cloud。これにより、ユーザーデータが指定された地理的境界内に留まることが保証されます。

ストレージ要件が満たされたら、次に以下に示す必要なセキュリティ対策の実装に注力してください。

必須セキュリティ基準

2025年のサイバーセキュリティフレームワークでは、ユーザーデータを保護する堅牢な暗号化プロトコルの使用を重視しています [1][3]。主な対策は以下の通りです：

アップデートを管理する開発者にとって、Capgo のようなプラットフォームは、これらのセキュリティ要件に準拠したエンドツーエンドの暗号化を標準で提供しています。

すべてのセキュリティ対策が有効かつ最新の状態であることを保証するために、定期的な監査とテストが不可欠です。 [1].

中国におけるサイバーセキュリティとデータ保護のコンプライアンス：課題と対策

技術的セキュリティ要件

中国のサイバーセキュリティ規制では、コンプライアンスを維持するために詳細な技術的セキュリティ対策の実装が求められています。2025年3月には、 中国国家インターネット情報弁公室 (CAC) はサイバーセキュリティ法 (CSL) の改正案を導入し、法的義務を具体的な実務へと落とし込むための要件を規定しました [1].

セキュリティスキャン・スケジュール

モバイルアプリは、CACが承認したスキャンツールを使用して、毎月セキュリティチェックを実施する必要があります [1]。これらの評価では、アプリのセキュリティに関する以下の項目に重点が置かれます：

すべてのスキャンレポートは保存し、年次の規制監査で提示できるようにしておく必要があります。また、当局の検査時には、これらの結果への即時アクセスを求められる場合があります。 [1][5].

ユーザー権限管理

中国で展開するモバイルアプリにおいて、ロールベースのアクセス制御（RBAC）は必須要件です。 [1]。開発者は以下の対応が求められます：

• ユーザーロールに基づいた正確な権限レベルの設定。
• アクセスアクティビティの詳細なログ保持。
• 権限設定が適切であることを確認するための、定期的なレビューと更新。

アプリのアップデートを担当する開発者にとって、Capgo のようなプラットフォームは、ユーザーのロールや権限を効率的に管理できるツールを備えており、セキュリティパッチの迅速なデプロイを可能にします。

セキュリティインシデント対応

組織は、セキュリティインシデントを検知してから12時間以内にCACへ通知しなければなりません。この通知には、初期評価と封じ込め措置の詳細を含める必要があります。 [1][5].

包括的なインシデント対応計画には、以下を含めるべきです：

• 問題の検知と封じ込め。
• 調査およびコミュニケーション戦略。
• 必要に応じたユーザーへの通知。

インシデント発生後は、根本原因、修正アクション、およびセキュリティプロトコルの更新内容を文書化してください。その後、詳細なレポートを規制当局に提出する必要があります。

「CSLの最新の改正により、PIPLやDSLといった中国の他の主要なデータ保護法に合わせる形で、執行の強化と罰金額の引き上げが行われました」と、中国サイバースペース管理局は2025年3月のガイダンスで述べています。 [1].

定期的なセキュリティ演習やスタッフトレーニングも義務付けられており、規制当局の検査に備えて関連するすべてのドキュメントを手元に保管しておく必要があります。 [1][2].

App Storeの要件

中国でアプリを公開する場合、技術基準を満たすことは始まりに過ぎません。開発者は、中国サイバースペース管理局（CAC）が定める規制にも準拠する必要があります。 工業情報化部 (MIIT) [1].

MIIT登録手続き

MIITに登録するには、開発者は以下を準備する必要があります：

• 営業許可証または組織証明書、および委任状
• アプリの機能とデータ収集方法に関する詳細な説明
• ネットワークセキュリティ評価に関する書類
• 個人情報保護影響評価

標準的な審査プロセスは通常7〜10営業日です。ただし、海外の開発者は現地法人を通す必要があるため、処理に最長2〜3ヶ月かかるケースがよくあります。これらのステップは、データセキュリティとユーザーのプライバシーを確保するための既存の技術的保護策をさらに発展させたものです。

セキュリティテスト要件

登録に加えて、アプリは必須のセキュリティテストを受ける必要があります。 ネットワークデータセキュリティ管理規定、2025年1月1日に施行され、アプリのカテゴリに基づく具体的なテストプロトコルを定めています。 [3]:

• 金融およびヘルスケアアプリ
  これらのアプリでは、CACが承認した組織によるペネトレーションテストとソースcodeレビューが必須です。開発者はセキュリティ関連ドキュメントを3年間保管する必要があります。

• ソーシャルおよび教育アプリ
  テストは脆弱性評価とデータ保護基準への準拠に重点を置いています。さらに、ユーザーアクティビティログを少なくとも60日間保持する必要があります。 [4].

• 一般アプリケーション
  これらのアプリは、暗号化規格やデータの取り扱い方法を含む基本チェックの対象です。また、承認された方法によるユーザー本人確認の提供も必要です。

SDK コンプライアンスチェック

開発者は、アプリで使用されているすべてのSDKについて、以下の内容を含む詳細なインベントリを維持する必要があります：

• SDK の名称、バージョン、プロバイダー
• データアクセス権限と保存場所
• セキュリティ証明書
• 個人情報保護法（PIPL）およびデータセキュリティ法（DSL）への準拠 [2]

以下の機能を利用するアプリの場合、 クラウドベースのアップデート、Capgo のようなプラットフォームは、中国のサイバーセキュリティ基準に準拠したバージョン管理やパッチデプロイのツールを提供しています。

コンプライアンスを徹底するため、CAC（国家インターネット情報弁公室）は通報制度を導入しています。違反した場合は、アプリの削除や多額の罰金につながる可能性があります。 [4].

アップデート管理

中国におけるアップデート管理は、単なる技術的な調整ではありません。絶えず進化する厳格なサイバーセキュリティ規制への対応が求められます。 [1].

OTAアップデートの要件

中国におけるOver-the-air (OTA) アップデートは、厳格なセキュリティおよびコンプライアンス規則に従う必要があります。 [1]主な要件は以下の通りです：

• エンドツーエンド暗号化・アップデートパッケージは送信時に暗号化され、真正性を確認するためのデジタル署名を含める必要があります。 [1].
• ユーザー認証: アップデートの実行にはユーザーの明示的な同意が必要であり、多くの場合、電話番号による検証が行われます [4].
• データのローカライゼーション: 中国国内のユーザーにアップデートを配信するためのインフラは、物理的に中国国内に配置されている必要があります [2].
• ドキュメント: ユーザーの同意情報、アクセス記録、セキュリティ評価を含むアップデートの詳細なログを、少なくとも60日間保持してください [3].

重大なセキュリティパッチについては、中国サイバースペース管理局（CAC）が迅速な対応を義務付けています。企業は脆弱性の通知を即座に行い、修正プログラムのデプロイを迅速化しなければなりません [1].

これらの要件は、適切に管理されたバージョン管理システムと密接に関連しています。

バージョン管理

2025年1月に施行されるネットワークデータセキュリティ管理規定に基づき、企業は堅牢なバージョン管理プロセスを実装する必要があります。具体的な内容は以下の通りです：

迅速に以前のバージョンへ戻せるロールバック機能は不可欠です。また、これらの旧バージョンは少なくとも60日間保持する必要があります [3].

バージョン管理にサードパーティサービスを利用する場合、中国当局への登録、ローカライズされたインフラの展開、責任範囲の明確な文書化、およびデータローカライゼーション法の遵守を確実に行う必要があります [1].

機密データを扱うプラットフォームでは、データ収集方法やアクセス権限を変更するアップデートに対し、規制遵守を維持するための追加のテストと検証レイヤーが求められます [4].

Capgo (https://capgo.app) のようなツールは、 live update ソリューションを 提供しており、暗号化、シームレスなCI/CD統合、詳細なバージョン管理機能を備えています。

これらの規制に従わない場合、前年度売上高の最大5%に達する罰金や、中国のアプリストアからの削除といった深刻な結果を招く可能性があります [2].

コンプライアンス文書

中国のサイバーセキュリティの枠組みでは、徹底した文書化が強く重視されています。2025年3月の改正により要件はより厳格化し、非遵守に対する罰則も大幅に強化されました [1].

年次監査の義務

アプリは、個人情報保護法（PIPL）、データセキュリティ法（DSL）、およびサイバーセキュリティ法（CSL）の最新改正に準拠していることを確認するため、詳細なセキュリティ監査を受けることが義務付けられています。 [1][2]一般的な監査スケジュールと文書保存要件の概要は以下のとおりです：

これらの監査には、セキュリティ評価レポート、データ処理記録、ユーザーの同意メカニズム、プライバシーポリシーの承認、およびインシデント対応計画などのドキュメントを含める必要があります。

データフローのドキュメント化

データを国境を越えて転送する場合、組織はデータフローマップの詳細なドキュメントを提供し、セキュリティ評価を実施し、ユーザーから明示的な同意を得て、リスク軽減策を講じる必要があります。これらの記録は、転送関係の終了後、少なくとも3年間保持しなければなりません。 [2].

ログの保存ルール

ネットワークデータセキュリティ管理規定では、ログの保持に関する具体的な要件が定められています。 [3]これには以下が含まれます：

• システムアクティビティログ

  • ユーザー登録の詳細
  • IPアドレスを含むログインタイムスタンプ
  • 機能の使用パターン
  • コンテンツの公開アクティビティ

• 金融取引ログ

  • 最低3年間の保存が必須
  • 取引の詳細をすべて含めること
  • 改ざん防止ストレージを確保すること

• 管理者アクセスログ

  • システム管理者の操作を記録
  • データアクセスイベントを追跡
  • 変更およびエクスポート/ダウンロード操作をログに記録

• 一般ログ

  • 保存要件：最低60日間 [4]

これらのログを維持できない場合、年間売上高の最大5%の罰金が科される可能性があります [1]。さらに、コンプライアンスを証明するために、自動アップデートサービスはすべてのアップデート関連のアクティビティを記録する必要があります。

適切なドキュメント化は、スタッフトレーニングやインシデント対応計画を含む、他のすべてのコンプライアンス対策の基盤となります。

コンプライアンス研修と違反

違反発生時の対応計画

2025年3月のCSL改正では、違反に対処するための詳細なプロトコルを整備することの重要性が強調されています [1]。しっかりした対応計画には、通常、次の主要フェーズが含まれます：

CACは内部告発制度も導入しており、迅速かつ詳細な記録に基づく対応が不可欠となっています [4]. これらの取り組みを支えるため、組織は対応計画と徹底したスタッフ研修を組み合わせ、あらゆるレベルでコンプライアンスを確保すべきです

スタッフ研修の要件

2025年1月より、ネットワークデータセキュリティ管理規定により、技術および文書基準に準拠した正式な研修プログラムの実施が義務付けられます [3]。これらの研修プログラムは、最新の規制要件へのコンプライアンスを維持するために不可欠です。

必須の年次研修トピック

• データプライバシーの原則と適切な取り扱い手順
• CSLおよび個人情報保護法（PIPL）の更新情報
• セキュアコーディング技術
• インシデント対応プロトコル
• ユーザー本人確認プロセス

ドキュメント作成の実践

• 研修の出席記録、評価、および教材の更新履歴を保持すること
• 研修ドキュメントが常に最新であることを確認すること
• 規制アップデートの確認状況を追跡する

2025年3月28日に施行予定のCSL改正など、重要な規制変更が発生した際には、組織として追加トレーニングを実施する必要があります [1].

効果的なトレーニングのための実践的なステップ

• 規制の更新を監視・実施するための専任コンプライアンス担当者を任命する
• 規制アップデートサービスを購読し、業界のワークショップに参加する
• 定期的な内部コンプライアンス評価を実施する
• コンプライアンス管理ソフトウェアを活用してプロセスを効率化する

頻繁かつ体系的なトレーニングは、規制の遵守を確実にするだけでなく、コンプライアンスリスクを効果的に軽減することにもつながります。

結論：コンプライアンス・チェックリストのまとめ

このチェックリストは、3つの主要法によって形成される中国の規制枠組みを遵守するために不可欠な領域をまとめたものです。最新の改正に対応するには、適切なツールを活用しながら厳格に遵守することが求められます。

この ネットワークデータセキュリティ管理規定、2025年1月1日より、より厳格なコンプライアンス措置が施行されます。 [3]アプリのアップデートをスムーズに行いつつこれらの要件を満たすには、中国市場に特化したエンドツーエンド暗号化OTAアップデートを提供する Capgo のようなツールの活用が有効です。

コンプライアンスを維持するための主なステップは以下の通りです：

• 規制の変更を常に把握し、必要に応じて社内プロトコルを更新してください。
• すべてのセキュリティ対策とデータ取り扱い慣行を徹底的に文書化してください。
• 定期的なセキュリティアセスメントを実施し、スタッフにコンプライアンスプロトコルのトレーニングを行ってください。
• 潜在的な脅威に対処するため、強力なインシデントレスポンス体制を構築してください。

コンプライアンスに従わない場合、公式な警告から中国のアプリストアからのアプリ削除に至るまでの罰則が科される可能性があります。 [4].

FAQ

::: FAQ

2025年にモバイルアプリが中国のサイバーセキュリティ規制に準拠するために、開発者はどのような手順を踏むべきでしょうか？

2025年に施行される中国のサイバーセキュリティ規制に対応するため、開発者は最新の法的基準への準拠を優先し、アプリが厳格なデータ保護要件を満たしていることを確認する必要があります。重点を置くべき主な領域は以下の通りです：

• データの安全な保存と転送: 不正アクセスを防ぐため、保存時および転送時の両方で暗号化を使用して機密性の高いユーザーデータを保護します。
• データのローカライゼーション: 必要に応じて、現地のデータ保存法を遵守するためにユーザーデータを中国国内に保持します。
• ユーザーの同意と透明性: ユーザーデータの収集、使用、共有方法を明確に説明します。必要に応じて、ユーザーから明示的な同意を得るようにしてください。
• 定期的なセキュリティ評価: 定期的な監査と脆弱性スキャンを実施し、潜在的なセキュリティ問題を特定して解決します。

Capgo は、以下の機能を提供することで開発者のコンプライアンス遵守をサポートします： エンドツーエンド暗号化 と リアルタイムアップデート Capacitor アプリ向け。これにより、修正や新機能のアップデートを App Store の承認を待たずに即座にデプロイでき、アプリのセキュリティとコンプライアンスを簡単に維持できます。 :::

::: FAQ

中国のサイバーセキュリティ規制を遵守しながら、ユーザーデータを安全に保存・転送するために、開発者が取れる対策とは？

中国のサイバーセキュリティ規制に準拠するには、開発者は以下の点に注力する必要があります。 ユーザーデータの安全な保存と転送を実現するための方法は以下の通りです：

• 使用するのは 強力な暗号化標準 を用いて、保存時および転送時の機密データを保護します。
• Employ 安全な通信プロトコル （HTTPS や TLS など）を使用して、データ転送中の安全を確保します。
• 新たな脆弱性や脅威に対抗するため、セキュリティ対策を継続的に監視・強化してください。
• 中国の 個人情報保護法 (PIPL) と サイバーセキュリティ法を遵守してください。これには、必要に応じて中国国内のサーバーにデータを保存する要件も含まれます。

Capgo のようなプラットフォームは、リアルタイム更新を提供することでコンプライアンス対応を簡素化できます。これにより、アプリストアの承認を必要とせず、アプリを安全かつ最新の状態に保てます。さらに、Capgo のエンドツーエンド暗号化はデータ保護を強化し、規制要件を満たしやすくなります。 :::

::: FAQ

中国のサイバーセキュリティ規制に従わない場合、どのようなリスクがあり、企業はどう対応すればよいでしょうか？

中国のサイバーセキュリティ規制に従わない場合、次のような深刻な事態を招く可能性があります： 高額な罰金, アプリストアからのアプリ削除, データ漏洩、さらには 法的措置、といったリスクがあります。これらに加え、コンプライアンス違反は企業の評判を著しく損ない、中国市場での地位を維持することを困難にします。

これらのリスクを軽減するため、企業はアプリがすべての規制基準に準拠していることを確認しなければなりません。これには、以下への対応が含まれます。 データのローカライゼーション規則、 データ収集に関するユーザーの同意取得、および徹底した セキュリティアセスメントの実施、などが挙げられます。Capgo のようなツールを活用すれば、開発者はアプリの機能を損なうことなく、効率的にアップデートや修正をロールアウトできるため、コンプライアンス対応を簡素化できます。規制の変化を常に把握し、プロアクティブに対処することは、罰則を回避し、中国で長期的な成功を収めるために不可欠です。 :::

「中国におけるサイバーセキュリティ・コンプライアンス・チェックリスト」の続きへ

以下を使用している場合： 中国におけるサイバーセキュリティ・コンプライアンス・チェックリスト セキュリティとコンプライアンスの計画に使う場合は、以下と連携してください： 暗号化 実装の詳細は「暗号化」を参照： コンプライアンス 実装の詳細は「コンプライアンス」を参照： Capgo セキュリティスキャナー Capgo セキュリティスキャナーの製品ワークフローについては： Capgo セキュリティ Capgo Security でのプロダクトワークフロー向け、および Capgo Trust Center Capgo Trust Center でのプロダクトワークフロー向け。