中国拠点の情報セキュリティについて担当者に確認すると、「等級保護は取得済みです」という答えが返ってくることがあります。では、その取得はいつのことか。どのシステムを対象にしたものか。取得後にシステムの追加や改修はなかったでしょうか。2026年2月施行の新技術標準に対して、再評価の準備はできていますでしょうか。
これらの問いにすぐ答えられない場合、対応が想定より古くなっている可能性があります。等級保護は一度取得して終わりではなく、システムの変化や規制の改訂に合わせて継続的に管理する必要があります。
等級保護とはどのような制度か
等級保護制度は、中国国内で情報システムを運用するすべての事業者に課される、セキュリティレベルの認定制度です。システムの重要度に応じて1〜5等級に分類し、各等級が定める技術的・管理的セキュリティ対策の実施と、公安機関への届け出・定期的な第三者評価が義務付けられています。
中国国内にサーバーやシステムを持つ日系企業は、業種・規模を問わず原則として対象です。社内の業務システム、会計システム、人事管理システムも含まれます。「小規模だから」「製造業だから」という理由で適用除外になるわけではありません。
2026年改訂で変わったこと
2026年2月1日、公安部は等級保護に関する6つの新技術標準を施行しました。追加された対象分野はクラウドコンピューティング、エッジコンピューティング、ビッグデータ処理、5Gアクセス環境、IPv6対応システム、ブロックチェーン利用環境の6分野です。これらを業務で利用している場合、追加の評価対応が必要になります。
また、2026年改訂ではAIセキュリティの評価が正式要件となりました。AIモデルの安全評価の仕組みを構築することが求められており、業務にAIツールや機械学習モデルを利用している企業は、その運用が評価対象になります。
さらに評価の観点自体も変化しています。従来はコンプライアンス上の要件を満たしているかどうかが中心でしたが、現在は継続的なリスク評価・脆弱性管理・インシデント対応体制といった実際の運用状況が重視されるようになっています。
申請・更新で直面する実務的な課題
現状把握が難しい
等級保護への対応を始めるには、まず自社が中国国内で運用しているシステムの洗い出しが必要です。ところが、部門ごとに導入されたシステムが分散していたり、クラウドサービスの利用状況が本社側で把握されていなかったりするケースが多く見られます。現状が整理されていなければ、対象範囲の特定も申請内容の作成もできません。
書類の作成・手続きに専門知識が必要
公安機関への届け出や第三者評価機関への申請には、中国語での書類作成と、規制要件に沿った自己評価レポートの準備が必要です。等級の判定基準や評価項目は細かく定められており、規制の読み解きと実態への対応付けには専門的な知識が求められます。社内のIT担当者だけで対応を完結させることが難しいケースがほとんどです。
取得後の継続管理が手薄になりやすい
等級保護は定期的な再評価と更新が必要です。初回取得から数年が経過し、更新手続きが滞っている企業や、担当者の異動により対応状況が引き継がれていないケースがあります。また、システムの追加・変更があるたびに対象範囲の見直しが必要ですが、日常業務の中で見落とされやすい点でもあります。
クラウドの扱いが整理されていない
中国国内のクラウドサービス上に構築した業務システムも等級保護の対象です。クラウド事業者側の対応範囲と、利用者である自社側の対応範囲を明確に分けて整理した上で評価を受ける必要があります。「クラウドはプロバイダーが管理しているから自社の責任ではない」という認識では、評価時に問題として指摘される可能性があります。
NRI北京のご支援
NRI北京は、対象システムの洗い出しから等級判定、公安機関への届け出・第三者評価の申請対応、2026年新技術標準への適合確認まで、一貫してサポートします。
既に等級保護を取得している企業に対しては、現在の認証が最新の規制要件を満たしているかどうかの確認から始めることができます。日本本社との調整が必要な場面にも対応しており、「現状を確認したいが何から手をつければよいかわからない」という段階からでもご相談ください。