2026年のフロンティア：トンネリングが今やコンプライアンスの課題に

2020年代初頭、ネットワークトンネリングは開発者の世界で多用途のツールでした。Ngrok、Cloudflare Tunnel、Tailscaleなど、これらのツールはローカルテストやリモートアクセスの静かなヒーローでした。しかし、2026年に向けて、「シャドウトンネリング」の時代は事実上終わっています。

EUや北米の規制当局は、技術的現実に追いつきました：トンネルは単なるパイプではなく、法域間の橋です。その橋が誤った国に落ちると、あなたのコンプライアンス体制は崩壊しかねません。

このガイドでは、インフラの意思決定に影響を与える二つの最も重要な法的・技術的変化を検討します：EU-USデータプライバシーフレームワークを無効化し得る*Schrems III*判決の実際のリスクと、トンネリング環境でのDNSレコードの垂れ下がりによる法的リスクの拡大です。

---

パートI：Schrems IIIとトンネル出口位置の重要性

法的背景：変動する土台の上に築かれた枠組み

多くの組織は2023年に、EU-USデータプライバシーフレームワーク（DPF）が施行され、二度無効となったSafe HarbourとPrivacy Shieldに代わるものとして安心しました。DPFは2025年9月3日に最初の大きな裁判所審査に合格し、*Latombe v European Commission*（ケースT-553/23）でEU一般裁判所により支持され、フランスの議員の取り消し請求を退けました。裁判所は、米国が現在、DPF下でのデータ移転に十分な保護レベルを提供していると確認しました。

しかし、これは物語の終わりではありません。一般裁判所の分析は、2023年7月の適正性判断時点の米国法に明示的に基づいており、現米国政権下の動向は考慮されていません。Max Schremsが設立したプライバシー擁護団体NOYBは、EU司法裁判所（CJEU）に対して別の広範な訴訟を評価すると即座に表明しました。そうした上訴は直接提出可能で、Latombe事件で既に検証された詳細な法的議論の恩恵を受けることになります。

一方、Schrems事件の核心にある構造的脆弱性は未だに手つかずです。FISAセクション702の下、米国の情報機関は、個別の司法審査なしに非米国人のデータにアクセスできるため、GDPRの比例性と必要性の原則と直接対立します。2025年3月、Schremsは、現在の政権下でPrivacy and Civil Liberties Oversight Board（PCLOB）などの主要監視機関の解体が、欧州委員会にDPFの一時停止を自己判断で強いる可能性を公に警告しました。

IAPPのJoe Jonesは率直に言います：「すべての道はSchrems IIIに向かっているようだ」。

Bindl判決：非物質的損害は今や実質的損害

Schrems IIIのマクロリスクが抽象的に感じられる場合でも、*Bindl v Commission*（ケースT-354/22）の判決はその結果を具体的に示しました。

2025年1月8日、EU一般裁判所は、ドイツ人のIPアドレスが適切な保護措置なしに米国のMeta Platformsに転送されたとして、欧州委員会に€400の損害賠償を命じました。これは、委員会のウェブサイト上の「Facebookでサインイン」ボタンを使用した際の事例です。委員会は標準契約条項やその他の合法的な移転メカニズムを実施していませんでした。

金額は小さいですが、法的な前例は巨大です。裁判所は、非物質的損害 — 具体的には、個人データの処理に関する不確実性や制御喪失 — に対しても補償が可能であると確認しました。法学者は、この判決が大規模な集団訴訟の扉を開く可能性があると指摘しています。グルノーブルアルプス大学のThéodore Christakis教授は、「€400は、類似の状況にある何千、何百万の個人を対象とした集団訴訟で数十億円の価値になる可能性がある」と述べています。

USインフラを通じてネットワークトラフィックが流れる組織にとって、Bindlは警告です。

トンネリングにおける「出口ノード」罠

これはインフラと法が最も思いもよらない形で交差するポイントです。

標準的なトンネリング設定では、データはローカルサーバーから出口ノード（トンネル提供者が運営するリレーサーバー）を経由してインターネットへ出ます。問題は、多くのトンネル提供者が出口ノードを米国のインフラにデフォルト設定していることです。あなたのアプリケーションデータがフランクフルトで処理され、バージニアのリレーを経由して出る場合、GDPRの下で個人データを米国に輸出していることになります。その特定のデータフローに有効な移転メカニズムがなければ、Bindl判決が明示するように、たとえ一時的または偶発的な移転でもリスクにさらされるのです。

これは理論的なリスクではありません。ノルウェーのデータ保護当局は、DPFが取り消された場合、即座に制限を課す可能性を警告しています。過去の執行措置では、オーストリア、フランス、イタリアの規制当局がUSルートの分析トラフィックがGDPRに違反していると判断しています。

2026年のコンプライアンスチェックリスト

コンプライアンスを維持するには、組織はトンネル出口ノードに対してクラウドホスティングの決定と同じ注意を払う必要があります。

地域的出口の偏り。 トンネル提供者が出口ノードを特定の地理的地域（例：EUのみ）に固定できるか確認してください。デフォルト設定に頼らないこと。

暗号鍵の所有権。 トンネルの暗号化は十分ではありません。鍵は米国の提供者が管理しているべきではなく、データコントローラーまたはEUの主権的な提供者（Bring Your Own Key / BYOK）に管理させる必要があります。

RoPA（処理記録）ドキュメント。 GDPRの下、すべてのトンネルはあなたの処理活動記録に記録される必要があります。未記録の開発者トンネルは規制当局からのコンプライアンスギャップとみなされる可能性があります。

移転メカニズムの検証。 EU外のインフラを経由するルートには、有効な移転メカニズム（SCCs、DPF自己認証、Binding Corporate Rules）が必要です。

緊急対応計画。 DPFの脆弱性を考慮し、米国ルートのデータに対して代替のSCCや移転影響評価を準備しておくことが推奨されます。ノルウェーDPAも退出戦略の策定を明示的に推奨しています。

トンネルアーキテクチャ比較

特徴	レガシーパブリックトンネル	主権トンネル（2026年標準）
出口点	動的 / グローバル	地域に固定
法域	米国（FISA 702リスク）	EU内に限定
鍵管理	提供者管理	顧客管理（BYOK）
移転メカニズム	不在の場合も	SCCまたはDPFドキュメント
責任状態	高リスク	監査対応可能

---

パートII：垂れ下がるDNSと法的責任

垂れ下がるDNSレコードとは何か？

開発者がdev-testing.yourcompany.comのようにトンネルエンドポイントを設定すると、そのDNS CNAMEレコードはトンネル提供者のインフラを指します。プロジェクト終了後、通常このレコードは残され、提供者がホスト名を解放します。

その結果、あなたの企業サブドメインは公開され、誰でも制御可能なインフラを指す状態になります。攻撃者が同じホスト名を登録すれば、あなたのブランドの信頼を利用したフィッシングページやマルウェア、認証情報収集フォームを即座に仕掛けることが可能です。

DNSシステムは、CNAMEが指すリソースが依然として元の所有者の管理下にあるかどうかを検証しません。トラフィックはレコードの指示通りに盲目的にルーティングされます。

問題の規模

調査によると、110万以上のCNAMEレコードが潜在的にサブドメイン乗っ取りのリスクにさらされており、Azure、AWS S3、GitHub Pages、Heroku、Zendeskなどのクラウド提供者のインフラが最も狙われやすいです。2024年の”SubdoMailing”キャンペーンでは、8,000以上の正規ドメインを乗っ取り、スパムメールを大量に送信し、親ドメインの信頼性を悪用してフィッシングを行いました。

このリスクは、クラウド移行や開発者ツールの頻繁な利用がある組織で特に高まります。DNSレコードの作成と削除が頻繁に行われる一方で、クリーンアップは一貫して行われていません。セキュリティ研究者は、削除されたAWS S3バケットに対するDNS参照が、ソフトウェア開発パイプラインを狙ったサプライチェーン攻撃に利用されている例も発見しています。

攻撃対象はCNAMEだけに留まりません。MX、NS、A、AAAAレコードも、廃止または期限切れのリソースを指す場合、同じリスクにさらされます。

法的変化：セキュリティから法務へ

サブドメイン乗っ取りは従来、セキュリティの衛生管理の問題とされてきましたが、その枠組みは変わりつつあります。*Bindl v Commission*判決は、単なるリスクの露出 — つまり、誰があなたのデータを処理し、あなたのインフラからコンテンツを提供しているのかが不明な状態 — もEU法の下で非物質的損害とみなされると示しました。

EUのNIS2指令は、2024年10月までに各国が取り入れる必要があり、2025/2026年には完全施行されます。第20条の下、経営層（CTOやCISOを含む）はサイバーリスク管理策の承認と監督に個人的責任を負います。無知は明確に免責事項ではありません。ドイツは2025年12月6日に修正されたBSI法を通じてNIS2を正式に実施し、重要インフラの登録期限は2026年4月です。ベルギーは2024年10月から積極的に執行を開始し、2025年第3四半期から適合性評価を行っています。

罰則は重く、重要インフラは最大€1,000万または世界売上高の2％の罰金、重要な組織は€700万または1.4％の罰金が科される可能性があります。規制当局は、重大な過失に対して経営幹部の一時的な役職停止も可能です。

企業のサブドメインにおいてフィッシング攻撃を引き起こす垂れ下がるDNSレコードについて、法的には「組織が注意義務を怠った」との主張が高まっています。ハッキングされたわけではなく、基本的なデジタル資産の管理義務を怠った結果とみなされるのです。

保険の現実

サイバー保険もこの傾向を注視しています。多くの保険にはDNS衛生に関する条項が含まれ、特定の期間内に監査されていないCNAMEによる侵害を否定するケースもあります。”DNS衛生”はもはや技術的推奨事項ではなく、契約上の義務となりつつあります。

---

パートIII：コンプライアンス優先のトンネリングの実践戦略

1. 一時的なトンネルURLを使用

開発作業には静的で永続的なサブドメインの使用をやめましょう。短命で暗号署名されたURLを生成し、セッション終了時に自動的に有効期限切れとなるサービスを利用すれば、垂れ下がるDNSの問題を根本から解消できます。レコードにハードエクスパイアリーが設定されていれば、忘れて削除し忘れることもありません。

2. プライベートリレー・ノードのホスティング

公共のトンネル提供者のインフラを経由せず、自組のプライベートリレー・ノードを自主管理のクラウド環境（例：EUのみのAWSリージョンやオンプレミス）に設置しましょう。これにより、トンネルのメタデータさえもあなたの法域を離れず、移転メカニズムの問題を完全に排除できます。

3. DNS監査の自動化

サブドメインをトンネルや外部サービスに利用している場合、レコードの自動検出と削除が必要です。MicrosoftのPowerShellツール（Get-DanglingDnsRecords）などを活用し、一定期間（例：24〜48時間）トラフィックのないCNAMEを検出し、フラグ付けして削除待ちリストに入れましょう。

基本原則：サービスの廃止とDNSレコードの削除は一つの原子操作として扱うことです。

4. ベンダー契約の更新

法務チームは、B2B契約に一時的なネットワークアクセスポイントやトンネルに関して、地域的データ居住要件を明記させるべきです。これにより、規制対応の一端をベンダー側に担わせ、証拠となる書面を残せます。

5. DPFの緊急対応計画の策定

EU-USデータプライバシーフレームワークの政治的・法的変動を踏まえ、これに依存する組織は今のうちに代替のStandard Contractual Clausesや移転影響評価を準備すべきです。判決を待つ必要はありません。ノルウェーDPAの「退出戦略」策定のアドバイスは妥当であり、ますます主流になっています。

---

結論：ネットワークは法的レイヤー

2026年、インフラの選択はコンプライアンスの決定です。トンネル出口ノードの選択は単なる遅延のトレードオフではなく、どの法域の法律がデータを支配し、どの監督機関がアクセスを強制できるかの問題です。

DNSの管理は単なる雑務ではなく、NIS2の個人責任枠組みの中で訴訟リスクを防ぐための重要な作業です。

Schrems事件はすでに二度、米欧間のデータフローを変えました。第三の混乱も十分にあり得ます。NOYBは準備を進めており、PCLOBの独立性も圧力にさらされています。最も効果的にこれを乗り越える組織は、自組の”パイプ”をデータベースと同じくらい法的に真剣に扱っているところです。

---

最終更新：2026年3月。法的状況は変わる可能性があります。法域固有のアドバイスについては資格を持つ法律顧問に相談してください。