KnowBe4は中国本土で使えるか：データの国内保存・ICP・越境移転の規則
KnowBe4は、クラウド専用のセキュリティ意識向上・フィッシング模擬訓練プラットフォームで、従業員名簿の個人情報と「誰がクリックしたか」の結果を保持します。そのインスタンスは米国・EU・英国・カナダ・ドイツにあり——中国本土にはありません——そのため中国の従業員データは、PIPLの越境規則の下でオフショアに置かれます。
KnowBe4は中国本土で使えるか
KnowBe4が中国で使えるかは、まず到達性ではなく、データの国内保存と越境の問いです。セキュリティ意識向上と模擬フィッシングのプラットフォームは、貴社の従業員の個人情報——従業員名簿と、各テストで誰がクリックし、報告し、不合格だったかの記録——を保持し、中国の法律は、そのデータがどこに置かれようと追随します。
KnowBe4はクラウド専用のSaaSです。自社の文書は、インスタンスを米国・EU・英国・カナダ・ドイツにのみ挙げ、中国本土には一つもなく、自己ホスト版もなく、個人データは“will always be processed in the United States.”（常に米国で処理される）と述べています。したがって中国の従業員の行動プロファイル——誰が最もフィッシングに引っかかりやすいかを順位づけした地図——はオフショアに置かれ、PIPLが規律する越境移転となり、CIIOや大量取扱者には、オフショアのクラウドでは満たせない国内保存の義務（英語）が生じます。
これは判定ではなくリスクの見取り図です——貴社の義務は、法人・データ量・利用者が誰かで変わります。当社の中国コンプライアンスチームが、貴社のKnowBe4のリスクを一緒に整理します →
コンプライアンス・スナップショット
- ✕ KnowBe4はクラウド専用のSaaS——中国本土のインスタンスも自己ホスト版もない
- ! 中国の従業員の名簿の個人情報——氏名・業務用メール・部署・上長——を保持する
- ! フィッシングテストと研修の結果が、誰がクリックし誰が不合格かをプロファイルする——行動データ
- ! その従業員データは米国／EUのインスタンスに置かれる——PIPLの越境移転（第38〜40条）
- ! CIIOや大量取扱者は、オフショアのクラウドでは満たせない国内保存を負う
- ✓ 21YunBoxは、そのデータのための適法な中国国内の基盤と、ICP備案済みの配信を立ち上げる
KnowBe4の公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| KnowBe4自身のデータ保護影響評価（DPIA）で：“KnowBe4 operates instances located within the US, EU, UK, Canada, and Germany instances”（KnowBe4は米国・EU・英国・カナダ・ドイツ内にインスタンスを運用している）——一覧に中国本土のインスタンスはなく——そのプラットフォーム（セキュリティ意識向上研修、KCM GRC、PhishER、SecurityCoach）は“built in the cloud leveraging Amazon AWS.”（Amazon AWSを活用してクラウド上に構築）とされています。KnowBe4は自己ホスト版のないクラウド専用のSaaSであるため、中国の従業員のデータには、中国国内に置き場所がありません。 | KnowBe4 — KSAT, KCM GRC, PhishER & SecurityCoach DPIA（サーバー所在地；クラウドアーキテクチャ）、2026-10-14 取得 |
| リージョンを選んでも、データはそこに留まりません。同じDPIAは、“Customers may choose where data is stored during the course of the services,”（顧客はサービスの過程でデータの保存場所を選べる）と記しつつ、KnowBe4が米国拠点のサブプロセッサーに依拠するため“generally personal data will always be processed in the United States”（一般に個人データは常に米国で処理される）と付け加えています。したがって、セキュリティ意識向上のプラットフォームが収集する従業員データ——名簿に加え、各キャンペーンで誰がクリックし、報告し、不合格だったか——は、オフショアに置かれ、処理されます。 | KnowBe4 — KSAT, KCM GRC, PhishER & SecurityCoach DPIA（保存先の選択；米国での処理）、2026-10-14 取得 |
| 中国で収集され、米国やEUのKnowBe4インスタンスへ送られる従業員の個人情報は、越境移転です。PIPLの下で、取扱者——KnowBe4ではなく、雇用主である貴社——は、通知し、個別の同意を取得し、一つの移転メカニズム（CACの安全評価、CAC標準契約、または認証）を満たさなければなりません（PIPL第38〜40条）。 | 個人情報保護法 第38〜40条 |
| 重要情報インフラ運営者や大量取扱者は、中国本土で収集した個人情報を中国本土内に保存しなければなりません（PIPL第40条；サイバーセキュリティ法 第39条（旧第37条）（英語））。中国本土のインスタンスを持たないオフショア専用のセキュリティ意識向上クラウドは、構造的にその国内保存の義務を満たせません。 | PIPL第40条；サイバーセキュリティ法 第39条（旧第37条） |
情報源は21YunBox コンプライアンスチームが2026年10月14日に確認しました。
中国本土のスタッフにセキュリティ意識向上の研修を展開するチームにとって、KnowBe4をめぐる問いは、従業員がプラットフォームに到達できるか、研修モジュールを読み込めるかではありませんでした——ブラウザを向ければ、フィッシングテストも教材も動きます。本当の問いは、国内保存の問いです。KnowBe4が保持する従業員データは、どこに置かれることを許されるのか。セキュリティ意識向上と模擬フィッシングのプラットフォームは、ひときわ機微なもの——メール本文やソースコードではなく、貴社の人々の行動の記録——を集約します。従業員名簿——氏名・業務用メール・部署・上長——を保持し、キャンペーンごとに、誰が誘いを開き、誰がクリックし、誰が報告し、誰が追跡研修に不合格だったかを保持します。どの従業員が最もフィッシングに引っかかりやすいかを、人ごとに順位づけした地図です。KnowBe4はクラウド専用のSaaSで——中国国内に立ち上げられる自己ホスト版はなく、そのインスタンスはオフショアにあります。つまり、人的リスクを減らすために購入したツールそのものが、貴社の従業員の行動データにとって、オフショアへの越境の経路なのです。
中国でのKnowBe4：ひと目で
| 決め手 | KnowBe4自身の言葉で——そして中国の法律では |
|---|---|
| 従業員データが物理的にどこに置かれるか | KnowBe4はクラウド専用のSaaSで、アカウントは一つのインスタンスに固定されます。自社のデータ保護影響評価（DPIA）は、"operates instances located within the US, EU, UK, Canada, and Germany instances"（米国・EU・英国・カナダ・ドイツ内にインスタンスを運用している）とし、プラットフォームは"built in the cloud leveraging Amazon AWS"（Amazon AWSを活用してクラウド上に構築）とされています——中国本土には一つもなく、中国国内で動かせる自己ホスト版もありません。さらに"personal data will always be processed in the United States."（個人データは常に米国で処理される）と付け加えています。 |
| 何を取り込むか、そしてなぜ国内保存が効くか | セキュリティ意識向上のプラットフォームは、貴社の人々を見ます。従業員名簿（氏名・業務用メール・部署・上長）、そしてキャンペーンごとに、誰が開き、クリックし、報告し、不合格だったか——多くは人ごとのリスクスコアを伴う、貴社の従業員の行動プロファイルです。それは参照によってではなく、直接PIPL（英語）の下での個人情報であり、国境を越えるのはそのプロファイルそのものです。 |
| 貴社の中国本土の従業員のデータ | 中国のスタッフから収集され、米国やEUのインスタンスに保持される名簿とキャンペーン結果は、PIPLが規律する越境移転です。通知、個別の同意、そして一つの移転メカニズム（PIPL第38〜40条）です。責めを負う取扱者は、KnowBe4ではなく、雇用主である貴社です。 |
| 国内保存の義務 | 重要情報インフラ運営者や大量取扱者は、オフショアのクラウドでは満たせない国内保存の義務を負います——中国本土の個人情報と重要データは中国本土内に留めなければなりません（PIPL第40条；サイバーセキュリティ法 第39条（旧第37条）（英語））——2025年のサイバーセキュリティ法改正は、2026年1月1日施行で、データ国内保存の条文を実質を変えずに第37条から第39条へ改番しました。 |
| 到達できるか？ | 到達性は、問いではなく配信の半分として扱ってください——ブラウザも研修モジュールも問題なくクラウドに到達します。KnowBe4は自己ホスト版のないクラウド専用であるため、適法なレバーは、従業員データの層を、免許を持つ中国国内の、あるいはソブリンの同等物の上で中国国内で動かすことです。そしてその前段にある中国向けのあらゆる画面——管理コンソール、レポートポータル、スタッフがアクセスする研修ページ——には、中国本土のホスティングリソースに紐づくICP備案が必要です（国務院令第292号；工業・情報化部令第33号）。 |
従業員データは実際にどこに置かれるか
KnowBe4は、切り替えられる中国本土のリージョンを提供しません。自社のデータ保護影響評価（DPIA）——セキュリティ意識向上研修、KCM GRC、PhishER、SecurityCoachの各製品を対象とする——は、“operates instances located within the US, EU, UK, Canada, and Germany instances”（米国・EU・英国・カナダ・ドイツ内にインスタンスを運用している）と述べています。顧客はセットアップ時にそれらから選べますが、一覧はそこで止まります。選べる中国本土のインスタンスはなく、KnowBe4は”built in the cloud leveraging Amazon AWS”（Amazon AWSを活用してクラウド上に構築）で、中国国内のインフラにインストールできる自己ホスト版はありません。組織をKnowBe4に向ければ、従業員データはそれらオフショアのインスタンスの一つに着地します。
リージョンを選んでも、データがそのリージョンに留まるわけでもありません。同じ評価は、KnowBe4が米国拠点のサブプロセッサーに依拠するため、“generally personal data will always be processed in the United States”（一般に個人データは常に米国で処理される）と記しています。つまりEUのインスタンスでさえ、処理を米国経由に戻します——そして中国の従業員にとって、その時点で名簿もすべてのキャンペーン結果も、すでに中国本土を出ています。個人情報保護法（PIPL）の下では、それらの記録に含まれる中国の個人情報を国外へ移すことは越境移転であり、責めを負う取扱者は雇用主である貴社です。
保持するものは個人情報——そして皮肉は正確だ
KnowBe4がこの精査に値するのは、セキュリティ意識向上のプラットフォームが集約するものゆえです。多くのツールは貴社のデータの一片に触れます。これは、貴社の人々の行動の記録を保持します。名簿だけでも——氏名・業務用メール・部署・報告ライン——個人情報です。キャンペーン履歴を加えれば、より鋭いものを保持することになります。模擬の誘いをそれぞれ誰が開いたか、誰がクリックしたか、誰が偽ページに認証情報を渡したか、誰が報告したか、誰が是正研修に不合格だったかを、人ごとにタイムスタンプ付きで記録したもの——しばしば、名前のある従業員ごとのリスクスコアに凝縮されます。それは貴社のスタッフのプロファイルであり、中国の従業員にとっては、中国本土にいる人々の個人情報です。
皮肉こそが、セキュリティの購入者にとっての核心です。人的リスクを減らすために導入したプラットフォームが、そのリスクを最もよく映す地図——どの中国の従業員が最もだまされやすいか——を保持し、それをオフショアに置いています。これは単なるベストプラクティス上の懸念ではありません。重要情報インフラ運営者にとって、そして取扱量が規制当局の閾値を超える取扱者にとって、中国本土で収集した個人情報は中国本土内に保存しなければなりません（PIPL第40条；サイバーセキュリティ法 第39条（旧第37条）（英語））。中国本土のインスタンスを持たないオフショアのセキュリティ意識向上クラウドは、構造的にその義務を満たせません——従業員データは、定義上、誤った国にあるのです。そして移転が許される場合でも、量の閾値を超えると、いずれかが適法に国外へ出る前に、CAC主導のデータ越境安全評価が発動することがあります。
中国リージョンのないクラウドで動かしても国内保存の義務は満たせない——では何が満たすのか
正直な要約は、狭く、そして重要です。KnowBe4について「ブロックされている」ものは何もなく、リスクはソフトウェアではありません——それは、中国本土の従業員の行動プロファイルを中国本土の外に置くマネージドサービスだ、ということです。ただし、このベンダーに特有の点があります。KnowBe4はクラウド専用です。中国本土のインフラに立ち上げられる自己ホスト版のKnowBe4はないため、ここでの中国国内のレバーは「ベンダーのバイナリをローカルで動かす」ことではありません。別の方法で従業員データの層を中国国内で動かすこと——名簿とキャンペーン結果を中国本土の地に保つ、適法な中国国内の、あるいは免許を持つソブリンクラウドの同等物——であり、最小化され・同意を得た・適法に移転可能な部分のみが国境を越えます。中国本土のコネクタをKnowBe4のオフショアのインスタンスへ向け直すことはローカライズではなく、保存の義務を満たしません。適法な中国国内の同等物を立ち上げることが、それを満たします。プラットフォームの前段にある中国向けのあらゆる画面——管理コンソール、レポートポータル、中国本土のスタッフがアクセスする研修ページ——は、それ自体が、中国本土のホストに紐づくICP備案を要します。
これは判定ではなくリスクの見取り図です。国内保存、移転メカニズム、個別の同意、ICP備案、あるいはそれらの組み合わせのどれを負うかは、貴社の法人、データ量、キャンペーンの対象者のうち何人が中国本土にいるか、そして結果がどう使われるかで変わります——従業員一人の記録がどこに置かれるかを決める前に、法務と確定する価値があります。
適法な道——マップ、ローカライズ、デリバー
中国本土に向けてセキュリティ意識向上の研修を適法に運用するために、KnowBe4を手放す必要はありません。21YunBoxは移行ではなく、法令に適合したオーバーレイです——そしてすでに運用中のプラットフォームにとっては、スタックと並んで立つ、競合ではないパートナーです。三つの動きがあり、それらは組み合わさります。
マップ。 当社の中国コンプライアンスチームが、貴社のPIPLの越境・データ国内保存・データローカライゼーション（CII）の義務を、実際の法人・キャンペーン量・名簿と結果が誰の個人情報を含むかに照らして読み解きます——何かを移す前に、リスクを書き出すためです。
ローカライズ。 リスクは従業員データがどこに置かれるかにあるため、当社は、従業員データの層を中国国内で——免許を持つ中国国内の、あるいはソブリンクラウドの同等物の上で——動かし、中国が中国本土の地に留めるよう求める名簿とキャンペーン結果を、そのようにします。ローカライズとは、そのデータ層の適法な中国国内でのデプロイを意味し、オフショアのエンドポイントへ送り返す経路では決してありません。最小化され適法に移転可能な部分のみが国境を越えます。
デリバー。 プラットフォームの前段にある中国向けのあらゆる画面——管理コンソール、レポートポータル、中国本土のスタッフがアクセスする研修やセルフサービスのページ——に対し、21YunBox Optimizerが、すでに運用中のスタックの前段で、ICP備案済みの中国国内からの配信を提供します。作り直しも、二つ目のコードベースもありません。21YunBoxはいかなる不正な手段も用いず、推奨もしません。要点はまさに、適法な・備案済みの・中国国内の経路です。
目標は明快です。貴社のセキュリティ意識向上のプログラムが、中国の人々に向けて適法かつ法令に適合して動作することです。
関連する読み物：
よくあるご質問
KnowBe4は中国の従業員のデータを中国に保存しますか？
いいえ。KnowBe4はクラウド専用のSaaSであり、自社のデータ保護影響評価（DPIA）では、インスタンスを米国・EU・英国・カナダ・ドイツにのみ挙げ——中国本土には一つもなく——個人データは“will always be processed in the United States.”（常に米国で処理される）と述べています。自己ホスト版はないため、中国の従業員の名簿とキャンペーン結果は、オフショアに置かれ、処理されます。
中国の従業員にKnowBe4を使うのは違法ですか？
本質的に違法ではありません——一律の禁止ではなく、管理すべきリスクです。中国のスタッフから収集されオフショアに保持される名簿と「誰がクリックしたか」の結果は、PIPLが通知・個別の同意・移転メカニズムがあって初めて認める越境移転です。そしてCIIOや大量取扱者は、オフショアのクラウドでは満たせない国内保存の義務を負います。中国向けのあらゆる研修や管理の画面にもICP備案が必要です。貴社に国内保存が求められるかは、法人とデータ量によります——法務と確認してください。
21YunBoxは、当社のKnowBe4のデプロイを中国で法令適合にする手助けができますか？
はい。当社の中国コンプライアンスチームが、貴社の法人とキャンペーン量に照らして、PIPLの越境・国内保存・ローカライゼーションのリスクを評価し、従業員データの層のために適法な中国国内の、あるいは免許を持つソブリンの同等物を立ち上げ——中国が中国本土に留めるよう求める名簿と結果を保ち——中国向けのあらゆる研修や管理の画面を、すでに運用中のスタックの前段で、ICP備案済みの中国国内のインフラで配信します。作り直しも移行もありません。お問い合わせいただければ、個別のケースを進めます。
