GCP コンプライアンス完全ガイド｜HIPAA・FedRAMP・ISO・PCI DSS・3 省 2

GCP のコンプライアンス対応を完全網羅します。 HIPAA / FedRAMP / PCI DSS / ISO / GDPR / 日本 3 省 2 等の主要規制と、Assured Workloads による自動化を解説します。

主要認証一覧

Assured Workloads

規制対応を 1 クリックで実現するフォルダレベル機能。許可サービス / リージョン / Access Transparency / CMEK 等が自動適用されます。

HIPAA 対応構成例

1. Google Workspace 経由で BAA 締結
2. Assured Workloads for HIPAA でフォルダ作成
3. 許可サービスのみ使用 (Cloud Healthcare API / GCE / GCS / BQ 等)
4. CMEK 全 PHI データに適用
5. Cloud Audit Logs 全有効化 + BQ エクスポート (6 年保持)
6. Access Transparency + Approvals 有効化
7. VPC Service Controls で持ち出し防止
8. Sensitive Data Protection で PHI 検知 + マスキング

FedRAMP 対応 (US Federal)

• FedRAMP High Authorization (Compute / GKE / Storage / BigQuery 等)
• FedRAMP Moderate 範囲はさらに広い
• 専用 GovCloud Region (us-central-fedramp 等)
• Assured Workloads for US Government で自動化

日本固有: 3 省 2 ガイドライン

医療情報を扱う際の総務省 + 経産省 + 厚労省の 2 ガイドライン (3 省 2 ガイドライン)。

• asia-northeast1 (Tokyo) で完結 + asia-northeast2 (Osaka) DR
• Cloud Healthcare API + CMEK
• Cloud Audit Logs 全有効化
• Access Transparency でサポートアクセス透明性
• Sensitive Data Protection で PHI 検知
• VPC Service Controls

ISMAP (政府情報システム)

• 日本政府のクラウド利用基準 (Information system Security Management and Assessment Program)
• GCP は ISMAP 登録済みクラウドサービス
• asia-northeast1 / 2 リージョン + 日本人 SI 経由が一般的

EU GDPR / Data Sovereignty

• EU regions (europe-west1 等) でデータ完結
• Data Residency Controls (Organization Policy)
• Sovereign Cloud パートナー
• T-Systems Sovereign Cloud (ドイツ)
• S3NS Sovereign Cloud (フランス、Thales + Google)
• EU GDPR Data Processing Addendum (DPA) 提供

Access Transparency / Approvals

• Access Transparency: Google サポート / SRE のデータアクセスを Audit Log 記録
• Access Approvals: 顧客の事前承認なしにアクセス不可
• Key Access Justifications: KMS 鍵利用時にも承認
• 規制業界の説明責任に必須

Shared Responsibility Model

コンプライアンス情報ソース

• Compliance Reports Manager: GCP コンソールから認証レポート PDF DL
• Trust Center (cloud.google.com/security/compliance)
• Compliance Resource Center で各規制詳細

※ Google Cloud は Google LLC の商標です。各規制の詳細は GCP Compliance 公式 をご確認ください。