中国国内でのシステム開発は危険？情報漏えいと法制度リスクを現役エンジニアが解説

現役エンジニアの視点で読み解く／中国オフショア開発の現実

「中国のエンジニアは優秀で、単価も手ごろ。だから開発を任せたい」——この判断そのものは、決して間違いではありません。問題は技術力ではなく、どの国で、どの法律のもとでデータを扱うのかという構造にあります。本記事は「中国だから危ない」という感情論ではなく、契約や設計でコントロールできる部分と、そもそもコントロールが効かない部分を切り分けて、現実的な問題として整理します。

なぜ今あらためて「中国国内開発」のリスクを整理するのか

中国は、日本のオフショア開発において依然として大きな存在です。近年は主流がベトナムなどへ移りつつありますが、漢字文化圏で意思疎通しやすく、日本との取引の歴史が長いという強みは今も健在です。一方で、単価は経済成長とともに上昇し、為替の影響もあって「安いから中国」という時代ではなくなりつつあります。

それでも、あらためてリスクを棚卸しすべき最大の理由は、この数年で中国のデータ関連法制度が大きく変わったことにあります。2017年から2021年にかけて、データをめぐる法律が相次いで整備され、外国企業に新たな義務とリスクを課すようになりました。技術者としては、この「ルールの土台が変わった」という事実から目をそらすわけにはいきません。

リスク（1）情報漏えい・ソースコード流出

まず、国を問わず外部委託につきまとう古典的なリスクから。ソースコードは会社の資産そのものです。委託の過程では、機密情報やコードが相手側の環境に共有されます。持ち出し用媒体（USBメモリなど）による意図的なデータの持ち出し、脆弱な社外接続経路（VPN、社外から社内網へつなぐ仕組み）を経由した不正アクセス、そして委託先の先にいる再委託先を狙うサプライチェーン攻撃——いずれも「相手の善意」ではなく「仕組み」で防ぐしかありません。

金融システムの世界では、障害の影響範囲を局所化するフォールト・アイソレーション（障害の切り分け・封じ込め）という考え方があります。情報漏えい対策もまったく同じで、「万一漏れても被害が広がらないように、最初からデータと権限を区切っておく」設計が本質です。ここは中国に限らず、どの国のどのベンダーでも変わりません。

リスク（2）中国の法制度がもたらす「構造的」リスク

ここが本記事の中核です。中国国内開発が他国と決定的に異なるのは、契約書やNDA（秘密保持契約）では上書きできない法律が存在する点にあります。まず、データを直接規律する三つの法律——通称「データ三法」を、順に平易に解説します。

サイバーセキュリティ法（ネットワーク安全法）

2017年6月に施行された、三法のなかで最も早い基本法です。ネットワーク運営者の責任、重要な情報インフラを運営する事業者への保護義務、そして国家の安全にかかわるデータの保存・移転に関する厳格な要件を定めています。ざっくり言えば「中国のネット空間全体を国家安全の観点から守る」ための土台の法律です。

データ安全法（データセキュリティ法、Data Security Law）

2021年9月に施行。データを重要度で分類・等級付けし、特に「重要データ」や「核心データ」には強い保護と国家による安全審査を課します。目的条文には「国家の主権、安全および発展の利益を擁護する」ことが明記されており、データを国家安全保障の一部として扱う姿勢がはっきりと出ています。業界によっては、個人情報がこの「重要データ」に化けることもあり、単純に個人情報の話だけでは済みません。

個人情報保護法（ピーアイピーエル、PIPL）

2021年11月に施行。欧州のGDPR（一般データ保護規則）に近い枠組みで、「告知・同意・撤回」を軸に、個人情報の収集から国外移転までを規律します。三法のなかでは最も個人の権利保護に寄った法律ですが、罰則は非常に重く、違反時は最高5,000万元、または前年度売上高の5%という制裁が科され得ます。中国から個人データを国外へ移す(越境移転)には、安全評価の申告、標準契約の締結、認証の取得のいずれかの手続きが原則必要です。

なお2024年3月に「データ越境流通の促進・規範化に関する規定」が施行され、一定件数以下の個人情報の移転などで複雑な事前手続きが免除されるなど、規制緩和の動きも出ています。ただし機微な個人情報や「重要データ」への制限は維持されており、緩和されたからといって自由になったわけではありません。

そして最大の論点——国家情報法

2017年施行の国家情報法（国家の情報活動に関する法律）は、データ三法とは別枠ですが、実務上いちばん重い意味を持ちます。焦点はその第7条です。趣旨は「いかなる組織および個人も、法に基づき国家の情報活動に協力しなければならない」というもの。つまり、中国政府が「国家の情報活動」と判断すれば、中国の企業や個人は保有する情報の提供を求められ、それを拒めない構造になっています。しかも、その協力の事実には秘密保持義務がかかります。

ここが「契約では守れない」部分です。どれほど厳密なNDAを結んでも、相手の善意がどれほど高くても、法律による協力要請が優先される以上、委託先個人の意思では拒否できません。技術や契約でコントロールできるリスクと、制度そのものに由来するコントロール不能なリスク——この二つを混同しないことが、冷静な意思決定の出発点になります。

リスク（3）開発環境へのアクセスという盲点

意外と見落とされがちなのが、「委託先に開発環境そのものへ入ってもらう」ことのリスクです。開発を進めるうえで、委託先の技術者に検証環境や本番に近い環境、社内網へのVPN接続、強い権限を持つ管理者アカウントを渡す場面が出てきます。その"アクセス権"こそが最大の攻撃面になります。

ここで効くのが最小権限の原則（least privilege／必要最小限しか権限を与えない考え方）です。開発に本当に必要な範囲だけを、期間限定で、個人ごとに区切って渡す。共有アカウントで「全員が同じ強い権限」を持っている状態は、誰が何をしたのか追えなくなり、監査ログ（誰がいつ何にアクセスしたかの記録）の意味も失われます。アクセスは「渡すもの」ではなく「絞るもの」だと考えるべきです。

特に注意したいケース

同じ「開発委託」でも、扱うデータの種類によってリスクの重さはまったく違います。以下は、渡し方を特に慎重に設計すべき代表的なケースです。

【付帯】それでも中国国内で開発する場合の現実的な対策

ここまで読むと「もう無理では」と感じるかもしれません。しかし、コスト・人材・既存の取引関係から、どうしても中国国内で開発を進める判断もあり得ます。その場合に、リスクを「ゼロ」にはできなくても「大幅に下げる」ための実務的な打ち手を挙げます。前提は一貫して「渡さなくて済むものは渡さない」です。

1. データ最小化——本番データを渡さない

開発に本物の個人情報や顧客データは要りません。仮名化・匿名化した加工データや、構造だけ同じダミーデータを用意すれば、多くの開発は回ります。「本番データが必要」という要望が出たら、まず本当に必要かを疑うのが鉄則です。

2. 環境分離——障害と情報の封じ込め

開発環境と、本番・顧客データを持つ環境を物理的・論理的に分離します。委託先が触れるのは切り離された箱の中だけ、という状態を作れば、万一の際も被害がその箱に封じ込められます。フォールト・アイソレーションの発想そのものです。

3. 最小権限とアカウント個別化

権限は必要最小限、期間限定、個人ごとに発行します。共有アカウントは禁止。プロジェクト終了時には即座に権限を失効させ、定期的にアクセス権の棚卸しを行います。

4. 監査ログの取得——誰が何に触れたかを残す

誰が、いつ、どのデータに、どの操作をしたか。監査証跡（audit trail／後から追跡できる操作記録）を残しておくことで、抑止力にもなり、事故時の原因究明も可能になります。ログは委託先が消せない場所に保存するのが肝心です。

5. 持ち出し制御と閉じた作業環境

持ち出し用媒体の無効化、閉じたネットワークでの作業、入退室が管理された作業専用ルームの利用など、物理・論理の両面でデータの持ち出し経路を塞ぎます。

6. 契約での手当て（ただし限界も自覚する）

秘密保持、知的財産の帰属を発注側に明記、再委託の原則禁止、準拠法と裁判管轄を日本にする——といった契約条項は必須です。ただし前述のとおり、契約は民間同士の約束にすぎず、国家情報法のような公法上の要請までは縛れません。契約は「効く範囲」と「効かない範囲」を分けて理解することが重要です。

7. 工程の切り分け——機密は国内に残す

要件定義や機密性の高い上流工程・データ設計は国内に残し、切り出しても安全な下流工程だけを委託する。国内開発と海外委託の「棲み分け」を最初から設計に組み込むのが、もっとも現実的で効果の高いリスク低減策です。

まとめ

中国国内開発のリスクは、突き詰めると「中国かどうか」ではなく、データがどこに置かれ、誰がその支配権を持つのかという問題に行き着きます。情報漏えいやアクセス権のリスクは、設計と運用で確実に下げられます。一方、国家情報法のように制度そのものに由来するリスクは、契約では上書きできません。

だからこそ、感情論で「中国は危険」と切り捨てるのでも、「契約すれば大丈夫」と楽観するのでもなく、コントロールできる部分は徹底的に設計で潰し、コントロールできない機密は最初から渡さない。この切り分けこそが、現役エンジニアとして取るべき、いちばん誠実で現実的な態度だと考えます。

【この記事の前提と注意】本記事は、公開情報をもとに一般的な解説として作成したものです（記事公開時点の情報に基づきます）。中国の関連法令は改正・新規定の追加が続いており、内容が現在の運用・解釈と異なる場合があります。実際の委託判断や越境移転の可否については、中国法の専門家・弁護士へ必ず確認してください。誤りが判明した場合は、本欄で訂正します。