CyberArkは中国本土で使えるか：特権アクセスデータの国内保存、PIPL、中国国内PAM
CyberArkのIdentity Security Platform SaaS——Privilege Cloud、Secrets Manager、CyberArk Identity——は南北アメリカ・EMEA・APACのAWSリージョンでホストされ、自社文書のとおり中国本土には一つもありません。そのため中国システムのために保持する特権認証情報、シークレット、ボールトの中身、セッション記録はオフショアに置かれます。中国本土にとってこれは、その収集がPIPLの下での越境移転になることを意味し、特権アクセスデータが重要なシステムを統制し重要データに当たりうる場合はリスクが一段と高まります。国内保存・越境・国内保存義務の問い、そして適法な道筋——CyberArk自身のセルフホスト版PAMボールトを中国国内のインフラに置く——をコンプライアンス起点で読み解きます。
CyberArkは中国本土で使えるか
CyberArkは中国本土から到達できます——ですから正直な答えは、到達性は問題ではない、というものです。中国の可否を決めるのはデータの国内保存と越境移転であり、ここで問題になるのは貴社が保持する最もセンシティブなデータです。
CyberArkのIdentity Security Platform SaaS——Privilege Cloud、Secrets Manager、CyberArk Identityで、Palo Alto NetworksによるCyberArk買収後は現在Idiraブランドで提供——は固定のAWSリージョン群でホストされ、自社文書のとおり中国本土には一つもありません。最も近いのはシンガポール・東京・ムンバイ・シドニー・ジャカルタです。したがって中国システムのために保持する特権認証情報、シークレット、ボールトの中身、特権セッション記録はオフショアに置かれ、その収集はPIPL（第38〜40条）の下での越境移転になります。このデータはコントロールプレーンであるため、重要なシステムを守る場合は『重要データ』に当たりうるため、中国のデータ越境の安全評価（英語）が関わってきます。さらに重要情報インフラ運営者の場合、サイバーセキュリティ法（英語）第39条（旧第37条）が、どのオフショアリージョンも満たせない国内保存を求めます。
21YunBoxは貴社のリスクを整理し、中国環境をCyberArk自身のセルフホスト・ボールトへ中国国内のインフラでローカライズし、中国向けの画面をICP備案済みのインフラで国内から配信します——作り直しはなく、いかなる不正な手段も用いません。具体的な点は専門家に確認すべきリスクとして扱ってください。コンプライアンス評価を依頼する →
コンプライアンス・スナップショット
- ! CyberArkのIdentity Security Platform SaaS（Privilege Cloud、Secrets Manager、CyberArk Identity）は南北アメリカ・EMEA・APACのAWSリージョンでホストされ、自社のリージョン提供状況の文書のとおり中国本土にリージョンはない
- ! そのため中国システムのために保持する特権認証情報、シークレット、ボールトの中身、特権セッション記録はオフショアに置かれる——PIPL（第38〜40条）の下での個人情報の越境移転：通知、個別の同意、そして移転メカニズムのいずれか一つ
- ! リスクが一段高い点：特権アクセスとセッションのデータはコントロールプレーンであり、CyberArkが重要情報インフラを守る場合は『重要データ』に当たりうるため、中国のデータ越境の安全評価が関わってくる
- ! 重要情報インフラ運営者の場合、サイバーセキュリティ法 第39条（旧第37条）は中国で生成した個人情報を中国に保存することを求める——これはどのオフショアCyberArkリージョンも満たせない義務。より近いリージョン（シンガポール・東京・ムンバイ・シドニー・ジャカルタ）を選んでも、移転の場所が移るだけで終わらない
- ✓ 適法な道筋：中国環境の特権アクセスデータを、CyberArk自身のセルフホスト版Privileged Access Manager（ボールト）で中国国内のインフラに留め、他リージョンではCyberArk SaaSを使い、中国向けコンソールはICP備案済みのインフラで国内から配信する——不正な手段は決して用いない
CyberArkの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| CyberArk自身の文書は、Identity Security Platformが動くAWSリージョンを列挙しており——中国本土には一つもありません。CyberArkのプラットフォーム文書（現在は「Idira Docs」ブランド）は、「本トピックはISPSSの各IdiraサービスがサポートするAWSリージョンを列挙する」とし、各サービスは「最も近いサポート対象リージョンにデプロイされる」と述べています。列挙されるリージョンは南北アメリカ・EMEA・APACにわたり——本土に最も近いのはシンガポール・東京・ムンバイ・シドニー・ジャカルタ——中国本土のリージョンはありません。したがってPrivilege Cloud、Secrets Manager、そしてそれらが中国システムのために保持するボールトの中身はオフショアに置かれます。 | CyberArk (Idira) Docs — 「Validate supported AWS regions for ISPSS」（docs.cyberark.com、2026-10-09 取得） |
| CyberArkはデータ主権が問われる市場向けに国内リージョンを運用していますが——中国本土にはありません。そのリージョン提供状況のリストにはUAE（me-central-1）とインド（ムンバイ、ap-south-1）の専用リージョンがあり、規制業種の顧客がアイデンティティデータを自国内に留められるよう追加されました。つまり一部の法域では国内保存はこの製品の現実的な選択肢ですが、中国本土には選べるリージョンがなく、中国テナントも依然として国外のデータセンターに解決されます。 | CyberArk (Idira) Docs — 「Validate supported AWS regions for ISPSS」（docs.cyberark.com、2026-10-09 取得） |
| 中国の特権アクセスデータをオフショアのCyberArkリージョンへ移すことは、PIPLの越境移転です。中国本土の識別可能な人とシステムから収集した認証情報、シークレット、ボールトの中身、特権セッション記録を国外のAWSリージョンに保持することは、PIPL 第38〜40条を発動します——通知、個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）。義務は取扱者（貴社）にあり、処理者であるCyberArkにはありません。 | 中華人民共和国個人情報保護法 第38〜40条（cac.gov.cn、2026-10-09 取得） |
| 特権アクセスデータは、通常のSaaSデータより重い義務を伴うことがあります。特権認証情報とセッション記録は、それらが守るシステムのコントロールプレーンであるため、貴社のCyberArk導入が重要情報インフラを保護している場合、そのデータは『重要データ』に当たりうるため、その移転は、何かが国外へ出る前に中国のデータ越境の安全評価を要することがあります。重要情報インフラ運営者の場合、サイバーセキュリティ法 第39条（旧第37条）は、中国で生成した個人情報を中国に保存することを求めます——これはオフショアのリージョンでは満たせない義務です。 | 中華人民共和国サイバーセキュリティ法 第39条（旧第37条）；データ越境安全評価弁法、CAC（cac.gov.cn、2026-10-09 取得） |
情報源は21YunBox コンプライアンスチームが2026年10月9日に確認しました。
中国にまたがるシステムで特権アクセス管理を運用する企業にとって、CyberArkについての最初の問いはたいてい、コンソールが中国本土から読み込まれるかどうかです。通信上は到達できます——しかし、中国での可否はそこで決まるものではありません。CyberArkは、貴社の環境で最もセンシティブなデータを一か所に集約します。ボールト内の特権認証情報とシークレット、そしてすべての特権セッションの記録と監査証跡です。中国で使えるかを決めるのは、そのデータがどこに置かれるか、そしてそこへ移すことが適法だったか——パフォーマンスではなく、データの国内保存と越境の問いです。
そしてCyberArkは前半を自社の文書で答えています。そのIdentity Security Platform Shared Services——Privilege Cloud、Secrets Manager、CyberArk Identityを支えるSaaSレイヤーで、Palo Alto NetworksによるCyberArk買収を受けて現在はIdiraブランドで提供されています（ただし文書は引き続きdocs.cyberark.comにあります）——は、固定されたAWSリージョン群でホストされており、そのいずれも中国本土にありません。したがって貴社の中国システムの鍵はオフショアに置かれ、それが許されたかどうかは別の法体系が決めます。
中国でのCyberArk：ひと目で
| 決め手 | CyberArk自身の言葉、そして中国の法 |
|---|---|
| それは何か | CyberArkのIdentity Security Platformは、特権アクセス管理（PAM）とアイデンティティセキュリティのスイートです。Privilege Cloud、Secrets Manager、CyberArk Identityを通じて、貴社が持つ最もセンシティブな運用データ——特権認証情報とシークレット、ボールトの中身、そして中国システム上の特権セッションの記録と監査証跡——を保持します。 |
| 中国本土から到達できるか？ | 中国での可否は到達性で決まるものではありません。コンソールが中国本土から読み込まれる場合でも、重要なのは、それらが管理する特権アクセスデータがどこに置かれるか、そしてそこへ移すことが適法だったかです。本ページに中国でのレイテンシ値は掲載しません——速度は軸ではありません。 |
| データはどこに置かれるか？ | オフショアです。CyberArk自身の文書は、そのSaaSが動くAWSリージョンを南北アメリカ・EMEA・APACにわたり列挙しており、最も近いのはシンガポール・東京・ムンバイ・シドニー・ジャカルタです。中国本土のリージョンはありません。サービスは“deployed in the closest supported region”（最も近いサポート対象リージョンにデプロイ）されますが、その最も近いリージョンも依然として国外です。 |
| 中国の特権アクセスデータをそこへ移すこと | 識別可能な人とシステムに紐づく認証情報、シークレット、ボールトの中身、セッション記録は個人情報です。これらをオフショアのリージョンに保持することは、PIPL（第38〜40条）の下での越境移転（数据出境）に当たります——通知、個別の同意、そして移転メカニズムのいずれか一つ。そのデータが重要なシステムを統制する場合、重要データに当たることもあり、その場合はデータ越境の安全評価が必要になります。さらに重要情報インフラ運営者（CIIO）の場合、サイバーセキュリティ法 第39条（旧第37条）が、オフショアのリージョンでは満たせないデータ国内保存義務を課します。 |
| 適法な道筋 | 中国環境の特権アクセスデータを国内に留めます——CyberArk自身のセルフホスト版Privileged Access Manager（貴社が管理するインフラで運用するボールト）を中国国内のインフラに展開し、同意を得た国内での処理・保存を行い、他リージョンではCyberArkのSaaSを使い続けます。21YunBoxはマッピング・ローカライズ・配信を担います。いかなる不正な手段も用いず、推奨もしません。 |
最重要データがオフショアのリージョンに置かれる
CyberArkの存在意義そのものが、最も危険なデータを堅牢な一か所に集約することにあります——システムを解錠する特権認証情報とシークレット、それらを保管するボールト、そして各特権セッションで管理者が行ったことの記録と監査証跡です。貴社の中国システムにとって、それはコントロールプレーンそのもの——攻撃者も規制当局も最も気にかける、ただ一つの保管庫です。
その保管庫がどこにあるかは、自社文書に示されています。Identity Security Platform Shared Services（ISPSS）——Privilege Cloud、Secrets Manager、CyberArk Identityを支えるSaaS——は、南北アメリカ・EMEA・APACにわたる固定のAWSリージョン群で動き、CyberArkは各サービスが 「最も近いサポート対象リージョンにデプロイされる」 としています。本土に最も近いのはシンガポール・東京・ムンバイ・シドニー・ジャカルタ——そのいずれもオフショアです。リストに中国本土のリージョンはなく、貴社の中国環境向けに割り当てられたテナントも依然として国外のデータセンターに解決されます。ボールトの中身とセッション記録は、割り当てられたリージョンに従います。近くに置いても、中国国内に置いたことにはなりません。
オフショアの特権アクセスデータは越境移転——そしてここでは賭け金が大きい
その関門は、あらゆるオフショアサービスが直面するものと同じですが、データの性質がそれをより鋭くします。CyberArkが中国の識別可能な管理者とシステムのために保持する特権認証情報、シークレット、ボールトの中身、特権セッション記録は個人情報であり、これらを本土外のAWSリージョンに保持することは、中国の個人情報保護法（PIPL）の下での個人情報の越境移転（数据出境）に当たります。PIPLは義務を取扱者——処理者であるCyberArkではなく、貴社——に課します。第38〜40条は、通知、一般的な利用規約とは別個の個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を求めます。
通常のSaaSの移転より賭け金を高める要素が二つあります。第一に、このデータが何であるか。特権認証情報とセッション記録は、それらが守るシステムのコントロールプレーンそのものです。したがって貴社のCyberArk導入が重要情報インフラを保護している場合、保持するデータ自体が 「重要データ」 に当たりうるため、重要データの移転は、何かが国外へ出る前に中国のデータ越境の安全評価（英語）（数据出境安全评估）を要することがあります。第二に、国内保存です。重要情報インフラ運営者の場合、サイバーセキュリティ法（英語）第39条（旧第37条——データ国内保存の規定は、2026年1月1日に施行された2025年改正で条番号が変わりましたが、内容は変わっていません）が、中国で生成した個人情報を中国国内に保存することを求めます——これはオフショアのCyberArkリージョンでは満たせないデータ国内保存義務です。これらのどれが具体的な導入に当てはまるかは、実際に何をボールトに入れ、記録し、守っているかに照らして専門家に確認すべきリスクです。
より近いAWSリージョンも、中国リージョンではない
直感的には、最も近いリージョン——アジア拠点ならシンガポールか東京——を選んで国内保存は片付いたと考えがちです。しかし近さは国内保存ではありません。CyberArkのAPACリージョンはどれも中国本土になく、たとえばテナントをフランクフルトからシンガポールへ移しても、越境移転の場所が移るだけで、移転が終わるわけではありません。
CyberArkが何を提供し何を提供しないかを正確に見ておく価値があります。示唆に富むからです。CyberArkはデータ主権が問われる市場向けに国内リージョンを設けてきました——リストにはUAE（me-central-1）とインド（ムンバイ、ap-south-1）があり、規制業種の顧客がアイデンティティデータを自国内に留められるよう追加されたものです。つまり一部の法域では国内保存はこの製品の現実的な選択肢ですが、中国本土には選べるリージョンがないというだけのことです。したがって中国の特権アクセスデータを国内に留めることは、リージョン切り替えではなく別の展開モデルを意味します——CyberArk自身のセルフホスト版Privileged Access Manager（貴社が管理するインフラで運用するボールト）を、中国環境のために中国国内のインフラに立ち上げるのです。これは技術的判断である前に、法的な設計判断です。
こうした事情はCyberArkを中国で「遮断されている」とか「違法だ」とするものではありません——到達でき、広く使われています。これはリスクと国内保存の見取り図です。どの義務が当てはまるかは、貴社の法人、守るシステム、ボールトに入れ記録するデータ、そして管理者が誰かで変わります——特権アクセスデータがそれに依存する前に、専門家と整理しておく価値があります。
適法な道筋——マッピング、ローカライズ、配信
中国環境で特権アクセス管理を運用するには適法な形があり、それはネットワークではなくデータから始まります。
まずマッピング。当社の中国チームが、CyberArkが貴社の中国システムのために保持するものに付随するPIPLのリスクを洗い出します——どの認証情報、シークレット、ボールトのエントリ、セッション記録が本土で収集・生成され国内に留まるべきか、（あれば）何が適法に国外へ出られるか、守るシステムがそのデータを 「重要データ」 にしたり重要情報インフラの義務を生じさせたりしないか、そして通知と個別同意のフローが何をカバーすべきか。法的結論は貴社の専門家と確定し、当社はそれを支える技術的な見取り図を作ります。
次にローカライズ。中国環境については、CyberArk自身のセルフホスト版Privileged Access Manager（貴社自身のインフラで運用するボールト）を中国国内のインフラに立ち上げて統合し、同意を得た国内での処理・保存を行います。これにより特権アクセスデータが既定で国外へ出ることがなくなります。すでに役立っているリージョンではCyberArkのSaaSを使い続けます。変わるのは、本土の最重要データが本土に留まるという点です。
そして配信。中国本土内から到達できる必要のある、中国向けのコンソール・ポータル・管理画面は、それ自体が中国で提供されるサービスであり、ICP備案の義務を負い、法令に沿った国内からの配信を必要とします。21YunBoxはそれを国内から配信します——21YunBox Optimizer——既存の構成の前段に置き、作り直しも再プラットフォーム化もありません。その結果、特権アクセス管理が中国のユーザーに対して適法かつ法令に沿って動きます。当社が決して行わないこと——そして誰も適法にはできないこと——は、中国のデータ越境ルールやネットワーク上の制限をかいくぐる手立てを渡すことです。当社は留まるべきものを国内化し、国内から配信します。個人情報を密かに中国の外へ移すことは決してありません。
関連する読み物：
よくあるご質問
CyberArkは中国本土で利用できますか？
CyberArkのコンソールとSaaSエンドポイントは中国本土から到達できるため、利用可否は障害ではありません——また本ページは中国でのレイテンシ値を掲載しません。速度は軸ではないからです。本当の問いはデータの国内保存です。CyberArkのIdentity Security Platformは中国本土外のAWSリージョン（最も近いのはシンガポール・東京・ムンバイ・シドニー・ジャカルタ）でのみ動くため、中国システムのために保持する特権認証情報、シークレット、セッション記録はオフショアに置かれます。具体的な点は専門家に確認すべきリスクとして扱ってください。
当社の中国の特権アクセスデータをCyberArkのクラウドへ送ることは、越境移転になりますか？
テナントがCyberArkのどのリージョン——いずれも本土外——にあっても、中国システムのために保持する認証情報、シークレット、ボールトの中身、特権セッション記録はオフショアに保存されます。PIPLの下での越境移転です：通知、個別の同意、そして移転メカニズムのいずれか一つ。このデータは、それが守るシステムのコントロールプレーンであるため、重要情報インフラを保護する場合は『重要データ』に当たりうるため（データ越境の安全評価が関わる）、重要情報インフラ運営者の場合はサイバーセキュリティ法 第39条（旧第37条）が、どのオフショアリージョンも満たせない国内保存義務を加えます。正確な義務は専門家に確認してください。
CyberArkのシンガポールや東京のリージョンを選べば、データを中国に留められますか？
いいえ——CyberArkのリージョンはどれも中国本土にないため、より近いリージョンでは中国の国内保存義務を満たせません。テナントをフランクフルトからシンガポールへ移しても、越境移転の場所が移るだけで終わりません。中国環境の特権アクセスデータを国内に留めることは、別の展開モデルを意味します：CyberArk自身のセルフホスト版Privileged Access Manager（貴社が管理するインフラで運用するボールト）を中国国内のインフラに立ち上げるのです。21YunBoxは留まるべきものを整理し、その国内展開へローカライズし、中国向けの画面をICP備案済みのインフラで配信します——中国のデータ越境ルールをかいくぐる経路ではありません。
