中国インターネット・通信規制トピック ｰ 中国進出日系企業を悩ませる「商用暗号管理条例」とは？
中国ITプロフェッショナル「JOYTEL」が、中国在住の日本人が注意すべきインターネット・通信、IT全般に関する中国の規制等について説明をしていきます。
今回は「商用暗号管理条例」。
商用暗号製品に関する全般的かつ基本的な取り決めとして1999年に「商用暗号管理条例（国務院第273号令）」として公布された古い条例です。
海外製暗号製品の中国への輸入、販売を禁止しており、国家暗号管理局が認可した暗号製品のみ利用可能と定めた条例になります。
商用暗号管理条例（国務院第273号令）
https://baike.baidu.com/item/商用密码管理条例
この条例は、中国に進出する外資系企業をかなり惑わせたものであると言えるでしょう。
と言うのも「暗号製品」の定義が曖昧であり、どこまでの暗号製品について対応を行えばよいのかがわからず、海外製の製品であれば認可を得ようとしてもほぼ実運用上困難であるという状況があったためです。
中国の商用暗号管理条例によるパソコン没収は都市伝説？
日本からの出張者が中国で暗号化製品がインストールされたパソコンで業務する場合、その暗号化製品の使用許可を取得しなければならない、と様々な中国進出関連のコンサルティング会社や法律関係のページにて説明がなされています。
しかし、ITに少しでも詳しい人ならわかりますが、パソコンの中の暗号化製品とは明示的なハードディスク暗号化ツールのようなソフトウェアだけではありません。インターネットのブラウザやMicrosoftのOfficeにも当然に暗号化の機能は含まれますし、スマートフォン等も当然にその機能を持ちます。
つまり、あらゆるソフトウェアやハードウェアが暗号化の機能を持っているため、これを一つづつ認可を得るということは実質上不可能であると思われます。
中国側もそれは理解はしているようであり、施行当初から厳密な運用が行われてこなかった条例であると言えます。
認可されていない暗号化ツールがインストールされたパソコンを空港で没収されたという事例もあるとのことですが、これはコンサルティング会社等が流布した都市伝説でしょう（もちろん実際にそのような事例があった可能性はありますが、、）。
このような状況の中、2017年9月30日に中国当局は『一部の行政許可事項の取消についての決定』（国発〔2017〕46号）を発表し、商用暗号化製品について
「海外組織又は個人が中国国内で暗号化製品又は暗号化技術を含む設備を使用することに対する許可」
等を含む四つの行政許可事項を取り消すことを発表しました。
これによると、外国人による暗号化製品の使用に対する制限は廃止されたように見えるのですが、その直後の2017年10月11日に国家暗号管理局が公布した
「商用暗号化製品製造業許可等関連管理政策の引き継ぎについての通知」（国密局〔2017〕336号）
において、外国人は「暗号化製品を使用する場合、許可を得る必要がない。ただし、暗号化製品を海外から輸入する必要がある場合は、依然として『暗号化製品輸入許可証』を申請して取得する必要がある。」と通達がなされました。
この中では中国企業は当該規制を受けない、との内容も含まれています。
外国人は商用暗号化製品を中国国内に持ち込む際には、事前に『暗号化製品輸入許可証』を申請し取得する必要があるということは変わらないということです。
中国国内で販売されている商用暗号化製品を購入又は使用する場合は、許可手続を行う必要がないということだけ規制の条件が緩和されたと言えます。
実際に大手日系企業は中国の商用暗号管理条例にどのように対応しているのか？
実際にこの条例が中国の日系企業にどのような影響を与えているのか？筆者も、日系の大手通信機器メーカーの責任者にこの暗号化機器の利用についてヒアリングをしたことがあります。
この大手通信機器メーカーは東証一部上場、当然にコンプライアンスも厳しく順守している企業です。
このメーカーは中国国内でもルーターやスイッチを販売しており、そのルーターは当然に暗号化機能を備えています。そして、VPNの性能を大々的に強調しているのです。
しかし、この製品は「商用暗号」の認可は取得していません。ただし、もちろんCCCやインターネットへの接続許可「進網許可」は取得しています。
筆者がこの責任者に冗談半分で「商用暗号」の認可は取得していないのであれば、中国国内においてはVPNルーターとしては販売することはできないのではないのか？と聞いたのです。
その責任者は（何とも嫌なことを聞くなという表情で）本製品は「通信機器」であって「暗号化を主とする製品では無い」と回答をしています。
であれば、VPNルーターとしての性能をアピールすることはできないのではないかと聞き返したくなりますが、これは仕方のないところでしょう。
これが正式見解のようであり、他のアメリカや日本の通信機器メーカーも同様とのことのようです。
結論としては、中国の商用暗号管理条例を「厳密に」適用した運用は難しいと考えます。
関連する製品を販売したり利用したりする場合は、それが「暗号化を主とする製品ではない」と主張するよりほかはないようです。
※本記事は独自に調査、確認をした内容から筆者の個人的な意見をまとめたものとなります。
一部内容に関しては、推測も含んでおります。
なお、本内容の情報を使用された結果については、責任を負いかねますのであらかじめご了承ください。
※本記事のイラストは「イラストAC」からダウンロードして利用させていただいています 。
