目次
2025年1月17日、EU全域でDORA（Digital Operational Resilience Act／デジタル・オペレーショナル・レジリエンス法）が正式に適用を開始しました。銀行・保険・投資会社・暗号資産サービス提供者など、約22,000の金融機関とそのICTサービスプロバイダーに対して適用されるこの規制は、サイバー攻撃や ICTシステム障害に対する金融セクターの耐性強化を目的としています。
DORAには5つの柱（ICTリスク管理、インシデント報告、レジリエンステスト、サードパーティリスク管理、情報共有）がありますが、中でも業界が最も注目し、かつ対応に頭を悩ませているのが「使用中データの保護（Encryption in Use / data in use）」の要件です。
本記事では、この要件の法的根拠・技術的背景・実装上の課題を整理します。
DORAにおけるデータ保護の核心は、第9条（保護と予防）第2項に明記されています。
「金融機関は、ICTシステムのレジリエンス・継続性・可用性を確保し、特に重要な機能を支えるシステムにおいて、保存中（at rest）・使用中（in use）・転送中（in transit）のデータの可用性・真正性・完全性・機密性の高水準を維持することを目的とするICTセキュリティのポリシー・手続き・プロトコル・ツールを設計・調達・実装しなければならない。」
――DORA 第9条第2項
（※筆者訳。正確な内容は原文をご参照ください）
「保存中（at rest）」と「転送中（in transit）」の暗号化は、多くの金融機関がすでに実装済みです。しかし「使用中（in use）」——CPUがデータを実際に処理している瞬間——の保護は、これまで業界全体で手が届いていなかった領域です。DORAはこの空白を明示的に規制要件として定めた、世界でも先進的な規制のひとつです。
従来のセキュリティモデルでは、データはメモリ上に展開されて処理される際、必ず「平文（暗号化されていない状態）」になると考えられてきました。暗号化を解かなければ計算できない——これが長年の常識であり、「使用中」の保護は技術的ブラックホールとして放置されてきた経緯があります。
ドイツの金融業界団体（GDV）が発表したポジションペーパーは、この点を率直に指摘しています。生成AIや大規模言語モデル（LLM）の文脈における「使用中の暗号化」は「現時点では技術的に完全には実現できていない」段階であり、特に準同型暗号については処理負荷の課題が残ると述べています。
一方で同ペーパーは、コンフィデンシャルコンピューティング（TEE：Trusted Execution Environment）が中期的な有力解として言及されており、すでにいくつかのクラウドプロバイダーが初期バージョンを提供し始めていると評価しています。
DORAの規制技術標準（RTS）の第6条は、金融機関に対して「使用中データの暗号化に関するルールを文書化すること」を求めています。この要件が実際に何を意味するかを理解するには、「使用中」の脅威モデルを把握する必要があります。
DORAが想定する主な脅威シナリオは以下の通りです。
内部者による不正アクセス（Insider Threat）：クラウドプロバイダーの管理者、自社のインフラ担当者など、特権的なアクセス権を持つ者がデータ処理中に情報を窃取するリスク。
サプライチェーン攻撃：ICTサードパーティプロバイダーが侵害された場合に、処理中のデータが漏洩するリスク。DORA第28〜44条でサードパーティリスク管理を厳格に規定している背景でもあります。
クラウド環境でのメモリ攻撃：マルチテナント型クラウド環境において、他テナントや悪意あるホストからメモリ内データへの不正アクセスが行われるリスク。
現時点でDORAの「使用中データの保護」要件に対応しうる主な技術は以下の3つです。
ハードウェアレベルで隔離された安全な実行環境（エンクレーブ）内でデータを処理する技術です。IntelのTDXやAMDのSEV-SNPといった最新のサーバーCPU、さらにNVIDIAのH100 GPUにも実装が進んでいます。MicrosoftのAzure Confidential ComputingはNVIDIAとの協業によってGPU上のコンフィデンシャルコンピューティングを実現しており、生成AI推論への適用も可能になりつつあります。
CCCの定義によれば、TEEは「データ機密性・データ完全性・コード完全性」の3特性を暗号学的に保証し、かつリモートアテステーション（環境の正当性の第三者証明）によって、データが適切に保護された環境で処理されたことを検証可能にします。この「証明可能性」は、DORAが求める監査・説明責任の要件とも整合します。
暗号化したまま演算を行える技術ですが、処理速度の問題から、現状では特定の演算に限定した用途（例：集計・照合）での実用化が中心です。大規模なAI推論への完全対応は研究段階にあります。
データを集約せず各組織のローカル環境で学習を行い、モデルのパラメータのみを共有するアプローチです。データ自体を移動させない設計は、使用中リスクの一部を低減します。ただしパラメータから元データが推測されるリスク（勾配漏洩攻撃）への対策として、TEEとの組み合わせが推奨されます。
CCC（Confidential Computing Consortium）がIDCに委託し2025年12月に発表した調査（グローバル600社以上対象）では、DORAを理由にコンフィデンシャルコンピューティングの採用を検討していると回答した組織が77%にのぼりました。
同調査では「コンフィデンシャルコンピューティングはニッチな概念から、データセキュリティと信頼性の高いAIイノベーションに不可欠な戦略へと成長した」と結論づけており、規制対応が技術採用を加速させている構図が鮮明です。
DORAはEUの規制ですが、EU域内の金融機関にサービスを提供するICTサードパーティプロバイダーにも適用されます。すなわち、EU顧客を持つ日本のクラウドベンダー・データ分析会社・AIソリューション提供企業も対象になり得ます。GDPRと同様、DORAも国境を越えて効力を持ちます。
さらに日本国内においても、金融庁のサイバーセキュリティ対策強化の方針や、改正個人情報保護法の観点から、「使用中データの保護」は近い将来、日本の規制環境でも議論されるテーマとなる可能性があります。
DORAが示した「保存中・転送中・使用中」のデータを包括的に保護するという要件は、データセキュリティの考え方を根本から刷新するものです。特に「使用中（in use）」の保護は、これまで技術的に困難とされてきた領域であり、各社の対応が問われています。
現時点での最有力な実装アプローチはTEEを中心としたコンフィデンシャルコンピューティングであり、準同型暗号・連合学習との組み合わせにより、ユースケースに応じた多層的な保護が実現できます。
EAGLYSは、これらの秘密計算技術を組み合わせたDORA対応の実装支援を行っています。規制対応の観点からコンフィデンシャルAIの導入を検討されている方は、ぜひお問い合わせください。
参考情報
※本記事に記載されている会社名・製品名・サービス名は、 各社の商標または登録商標です。