Barracudaは中国本土で使えるか：アプライアンス、オフショアのクラウド、PIPLのリスク
Barracudaのセキュリティ製品は、中国では二つに分かれます：自己管理のアプライアンスは貴社自身の中国本土インフラの中で動かせますが、Barracudaのクラウドおよびサービス（SaaS）はすべて、中国本土リージョンを持たないオフショアのAWS・Azure上で動きます——中国ユーザーについて検査するメール・ログ・リクエストのデータを、PIPLの越境移転に変えてしまいます。二つの扉をコンプライアンス起点で読み解きます。
Barracudaは中国本土で使えるか
どのBarracudaを運用するかによります。自己管理のBarracudaアプライアンスは貴社自身の中国インフラの中に置けます——しかしBarracudaのクラウドおよびSaaSのサービスはすべてオフショアで、中国本土の中には一つもないAWS・Azureのリージョン上で動くため、貴社の中国ユーザーについて検査するメール・ログ・ウェブリクエストのデータは、オンにした瞬間に国境を越えます。
Barracuda自身のTrust Centerは「世界各地で保存データを保管するためAWS・Azureのデータセンターを活用」すると述べ、メール保護は「Amazon Web Services（AWS）のクラウドインフラ上で提供」され、挙げられたリージョンは南北アメリカ・欧州・アジア太平洋にわたります——中国本土には一つもありません。それらのサービスが扱うメール本文・ログ・検査されるリクエストは日常的に個人情報を含むため、中国ユーザーに提供することはそれをPIPLの下での越境移転（英語）（第38〜43条）にします。そしてBarracudaのクラウドサービスが単に中国本土の公開サイトの前段に立つだけの場合、ICP備案は依然としてBarracudaではなくそのサイトに残ります。下の表はBarracuda自身の言葉と、それぞれの扉が引き起こすルールです。
これは判定ではなくリスクの見取り図です——どのBarracudaの配備が法令適合を保つかは、貴社の事業体、取り扱うデータ、そしてユーザーが誰かによって変わります。当社の中国チームが、貴社のリスクを一緒に整理します →
コンプライアンス・スナップショット
- ✓ 自己管理のアプライアンスは、貴社自身の国内インフラの中で動かせる
- ! その国内経路はデータを国内に保つが、コンプライアンスの負担はすべて貴社のもの
- ! BarracudaのクラウドとSaaSはオフショアのAWS・Azure上で動く——中国本土リージョンなし
- ! 中国ユーザーのメール・ログ・検査されるリクエストは国境を越える——PIPLが適用
- ✕ 中国本土の公開サイトは依然として独自のICP備案を要する——Barracudaは一つも持たない
Barracudaの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Barracudaは二つあり、国境を越えるのはクラウドの方だけです。Barracudaのセキュリティ製品は、自己管理のアプライアンスとしても、クラウドサービスとしても提供されます。自身のWAFドキュメントでBarracudaは「Barracuda Web Application Firewall Vxをクラウドホスト型の仮想マシンとして提供」し、別途「Barracuda Web Application Firewallアプライアンス」でオンプレミスに配備することを説明しています。自己管理のアプライアンスは貴社自身の中国インフラの中に置くことができ——検査とデータを国内に保ちます——しかしその場合、適法な中国本土でのホスティング、公開サイトに必要なあらゆる備案、そしてそれが処理するデータの法令に沿った取扱いは、すべてBarracudaではなく貴社に帰します。 | Barracuda — Web Application Firewall 配備ドキュメント（campus.barracuda.com）、2026-10-07 取得 |
| Barracudaのクラウドサービスはすべてデータをオフショアに保存します——中国本土リージョンはありません。BarracudaのTrust Centerは「世界各地で保存データを保管するためAWS・Azureのデータセンターを活用」すると述べ、それらのリージョンを南北アメリカ・欧州・中東・オーストラリア・インド・日本にわたって挙げています。中国本土の中には一つもありません——最も近いAzureの「East Asia」リージョンは香港にあります。そのいずれかから中国ユーザーに提供することは、彼らの個人データを海外に置きます——PIPLの下での越境移転（英語）（第38〜43条）であり、CIIOや大量取扱者の場合はデータを中国に保存しなければなりません（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））。 | Barracuda Trust Center — Data center locations（trust.barracuda.com）、2026-10-07 取得；PIPL 第38〜43条・第40条；サイバーセキュリティ法 第39条（旧第37条） |
| Barracudaのメール保護はAWS上でクラウド配信され、ユーザーのメールを読みます。Barracudaのメール保護サービス記述書（2026年7月30日付）は、それを「包括的な、クラウド配信のソリューション」と呼び、「Amazon Web Services（AWS）のクラウドインフラ上で提供」され、データを「顧客またはその代表者が選択したリージョン」に保存すると述べています——Email Gateway Defenseのリージョンは北バージニア・カナダ中部・ロンドン・フランクフルト・シドニーで、中国本土には一つもありません。中国ユーザーの受信・送信メールをスキャンすることは、そのメールのコンテンツ——個人情報——がオフショアで処理されることを意味し、まさにPIPLの越境ルール（英語）（第38〜43条）の中にあります。 | Barracuda — Email Protection SaaS Service Description、2026年7月30日付（assets.barracuda.com）、2026-10-07 取得；PIPL 第38〜43条 |
| Barracuda自身の越境の枠組みは、欧州と米国を挙げます——中国ではありません。同じサービス記述書は、必要な場合にBarracudaは「EUの標準契約条項を含む、欧州委員会が承認した越境データ移転メカニズム」に依拠し、米国への移転については「米国商務省のData Privacy Frameworkの下で自己認証している」と述べています。中国のPIPL制度には触れられていません。ですからそれを満たすこと——通知、個別の同意、そしてCACの安全評価・標準契約・認証——は、取扱者の義務です：Barracudaではなく貴社の義務です。 | Barracuda — Email Protection SaaS Service Description、2026年7月30日付（assets.barracuda.com）、2026-10-07 取得；PIPL 第38〜43条 |
| BarracudaのクラウドWAFは備案ではなく、セキュリティ層です。BarracudaのTrust Centerは、WAF-as-a-Serviceのデータリージョンを「East Asia」——Azureの香港リージョンで、本土の外、北京でも上海でもありません——として挙げています。中国本土の公開ウェブサイトの前段にクラウドWAFを立てることは、リクエストのデータ（個人情報を含む）をオフショアのインフラを通して検査・転送しますが、そのサイトのライセンスについては何もしません：中国本土のサイトは依然として、国務院令第292号と工業・情報化部（MIIT）令第33号の下で、サイト運営者が保持する独自のICP備案を必要とします。 | Barracuda Trust Center — Data center locations（trust.barracuda.com）、2026-10-07 取得；国務院令第292号；工業・情報化部（MIIT）令第33号 |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
中国本土の利用者にとって、Barracudaが「使える」かは、パフォーマンスである前にコンプライアンスの問いです——そして正直な答えは二つに分かれます。Barracudaは、メール保護、アプリケーションおよびウェブのセキュリティ、ネットワークセキュリティ、データ保護・バックアップを、貴社自身の環境にデプロイする自己管理のアプライアンスとしても、Barracudaが貴社のために運用するクラウドおよびSaaSサービスとしても販売しています。自己管理のアプライアンスは貴社自身の中国インフラの中に置くことができ、検査とデータを国内に保ちます——しかしBarracudaのクラウドやSaaSのサービスはすべてオフショアで、中国本土の中には一つもないAWS・Azureのリージョン上で動きます。そのようなサービスが貴社の中国ユーザーのメール・ログ・ウェブリクエスト——日常的に個人情報を含むデータ——を検査した瞬間、それはその個人データを海外で取り扱っています。到達性は簡単な半分です——ライセンスとデータの国内保存こそがリスクです。
中国でのBarracuda：ひと目で
| 決め手 | Barracuda自身の言葉では |
|---|---|
| どこで動くか | 二通り：貴社自身がホストする自己管理のハードウェアおよび仮想アプライアンスと、Barracudaが運用するクラウド／SaaSのサービス。BarracudaはWAFを「クラウドホスト型の仮想マシンとしてのVx」として提供し、また「Barracuda Web Application Firewallアプライアンス」を貴社自身のネットワーク上にもデプロイします。 |
| クラウドの保存データ | Barracudaは「世界各地で保存データを保管するためAWS・Azureのデータセンターを活用」し、南北アメリカ・欧州・中東・オーストラリア・インド・日本にわたります——中国本土には一つもありません（最も近いAzureの「East Asia」は香港にあります）。 |
| メール保護（Email Protection） | 「包括的な、クラウド配信のソリューション」であり、「Amazon Web Services（AWS）のクラウドインフラ上で提供」され、「顧客またはその代表者が選択したリージョン」に保存されます——北バージニア、カナダ中部、ロンドン、フランクフルト、またはシドニー。 |
| Barracudaの越境の枠組み | EUの「標準契約条項」と「米国商務省のData Privacy Framework」の上に構築されています。中国のPIPLには触れられていません——それを満たすのは取扱者の義務、すなわち貴社の義務です。 |
| 一般公開でのサービス提供 | 中国本土の公開サイトは、国内ホスティングに紐づくICP備案を必要とします。そのサイトの前段に立つBarracudaのクラウドサービスは、自身のICPを持ちません——備案はサイト運営者に残ります。 |
二つのBarracuda——国境を越えるのはクラウドの方だけ
Barracudaは、一つの答えを持つ一つの製品ではありません。そのセキュリティ製品群は、自己管理のアプライアンスとしても、クラウドサービスとしても提供され、コンプライアンスの様相はどちらを運用するかで変わります。自身のWAFドキュメントでBarracudaは*「Barracuda Web Application Firewall Vxをクラウドホスト型の仮想マシンとして提供」し、別途「Barracuda Web Application Firewallアプライアンス」を中心に構築されたハードウェア配備を説明しています——そして製品ページでは「オンプレミスのBarracuda Web Application Firewallは、ミッドマーケット向けの定番のウェブアプリケーションファイアウォールであり続けている」*とされています。
その分かれ目は中国で重要です。自己管理のアプライアンス——物理でも仮想でも——は貴社自身の中国本土インフラの中に立ち上げられるため、検査とそれが保持するデータは国内に留まります。だからこそBarracudaは一律の「ノー」ではありません。しかしアプライアンスはハードウェアを動かすだけで、残りを渡してくれるわけではありません。適法な中国本土でのホスティング、公開サイトに必要なあらゆるICP備案、アプライアンスが処理する個人データのPIPLに沿った取扱い、そしてそれに続く現地のセキュリティ義務は、すべて貴社が担い、文書化する負担になります——製品が貴社に代わって片づけるものではありません。
クラウドの扉——オフショアのAWS・Azure、中国本土リージョンなし
代わりにBarracudaをクラウドやSaaSのサービスとして運用すると、データは中国本土を離れます。BarracudaのTrust Centerは、「世界各地で保存データを保管するためAWS・Azureのデータセンターを活用」すると明言し、挙げられたリージョンは南北アメリカ・欧州・中東・オーストラリア・インド・日本にわたります。中国本土の中には一つもありません——最も近いAzureの「East Asia」は香港にあり、本土のデータ規制の外に位置します。メール保護は明確です：「包括的な、クラウド配信のソリューション」であり、「Amazon Web Services（AWS）のクラウドインフラ上で提供」され、データは「顧客またはその代表者が選択したリージョン」——北バージニア、カナダ中部、ロンドン、フランクフルト、またはシドニー——に保存されます。
それらのサービスが触れるコンテンツこそが要点です。メール本文、配信ログ、インシデント記録、そしてウェブファイアウォールが検査するリクエストのデータは、日常的に個人情報を含みます。それを貴社の中国ユーザーについてオフショアのリージョンで処理することは、中国の個人情報保護法（PIPL）（英語）の下では越境移転です：取扱者——Barracudaではなく貴社——は、第38〜43条の下で、通知を行い、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければなりません。貴社が重要情報インフラ運営者（CIIO）または大量取扱者であれば、中国で収集した個人情報は本土に保存しなければなりません（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））——オフショアのAWSやAzureのリージョンには満たせないことです。そしてBarracuda自身の越境の説明が、そのギャップを裏づけます：EUの*「標準契約条項」と「米国商務省のData Privacy Framework」*——欧州と米国の仕組み——に依拠しており、中国の制度は顧客に委ねられています。
ICPの扉——セキュリティ層は備案ではない
中国本土の公開ウェブサイトの前段に置かれたBarracudaのクラウドセキュリティサービスは、ライセンスを何も変えません。サイトの前段に立つことは、そのトラフィックをオフショアのインフラを通して検査・転送しますが、備案される義務は常にあるべき場所——提供されるサイトの運営者——に残ります。中国本土の訪問者に提供される一般公開のウェブサイトは、国務院令第292号と工業・情報化部（MIIT）令第33号の下でICP備案（ICP 備案、备案）を必要とし、それは中国本土に物理的にあるホスティングリソースに紐づきます。Barracudaは中国本土リージョンも、貴社に代わるICPも持たないため、備案されていないサイトの前段にクラウドWAFを取り付けても、加わるのは保護であって許可ではありません。「うちはBarracudaを前に置いている」はセキュリティの言明であって、コンプライアンスの言明ではありません。
これは判定ではなくリスクの見取り図です：どのBarracudaの配備が法令適合を保つかは、何を提供し、どれだけの個人データを保持し、ユーザーが誰かによって変わります——構築の前に専門家と確定する価値があります。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
貴社はBarracudaを運用し続けます。当社が加えるのは、Barracudaのクラウドが貴社に代わって担えない部分です——既存オリジンの前段に置く、法令に沿ったICP備案済みの中国本土内からの配信であり、作り直しも、二つ目のコードベースも、すでに運用するBarracudaスタックからの移行も要りません。当社の中国チームが、貴社のBarracudaサービスのどれがPIPLの越境やデータ国内保存のリスクを生むかを突き止め、それを貴社の事業体とデータ量に照らして検討し、法令に沿った中国での体制に必要なICP備案済みの中国国内からの配信と保存を立ち上げます——その間、貴社のBarracudaのセキュリティ層は、今日動いている場所にそのまま残ります。
関連する読み物：
よくあるご質問
Barracudaは中国本土にデータセンターを持っていますか？
いいえ。BarracudaのTrust Centerは、AWS・Azure上の顧客データリージョンを南北アメリカ・欧州・中東・オーストラリア・インド・日本にわたって挙げており——中国本土の所在地は一つも挙げていません。最も近いAzureの「East Asia」は香港にあります。メール保護はAWS上で、北バージニア・ロンドン・フランクフルト・シドニーなどのリージョンで動きます。ですから中国ユーザーに向けるどのBarracudaのクラウドやSaaSのサービスも、彼らのデータをオフショアで保存・処理します。
中国でBarracudaをオンプレミスのアプライアンスとして運用すれば、法令適合ですか？
越境の問題はなくなりますが、コンプライアンスの問い全体がなくなるわけではありません。自己管理のBarracudaアプライアンスは貴社自身の中国インフラの中に置くことができ、検査とデータを国内に保ちます——しかしその場合、あらゆる義務が貴社のものです：適法な中国本土でのホスティング、公開サイトに必要なあらゆるICP備案、アプライアンスが処理する個人データのPIPLに沿った取扱い、そして現地のセキュリティ義務。これはアプライアンスが貴社に代わってチェックを入れてくれる項目ではなく、専門家と整理すべきリスクとして扱ってください。
21YunBoxはBarracuda設定を中国で使えるようにする手助けができますか？
はい。当社の中国チームが、どちらの扉が合うかを整理し——貴社のBarracudaサービスが検査するメール・ログ・リクエストのデータについて、貴社の事業体・データ量・ユーザーに照らしてPIPLの越境とデータ国内保存のリスクを評価し——貴社がすでに運用するBarracudaスタックの前段に、法令に沿った中国本土での体制に必要なICP備案済みの中国国内からの配信を立ち上げます。お問い合わせいただければ、個別のケースを一緒に整理します。
