海外拠点のITを本社はどこまで持つ？当番なしで回す線引きと連絡文

夜11時、スマートフォンに英語のチャットが届きます。「Customer emails are not arriving. Can you check?」。送り主はニューヨーク拠点の総務の人で、向こうは朝9時を回ったばかりです。

これは編集部が組み立てた場面ですが、この1通のために当番を置く必要はありません。夜中に電話してよい場面を3つに絞り、基準は本社、作業は現地に分けておけば、少人数の情シスでも夜を越せます。

夜中に鳴るのは、アジアの拠点ではない

本社も拠点も平日9〜18時で働くとして、欧米が冬時間に戻った2026年11月の時差で重なりを計算しました。

時差の数字と逆なのが、米国の東と西です。14時間のニューヨークは本社と1時間も重なりませんが、17時間のロサンゼルスは、日本の朝9〜11時が現地の夕方にあたり、話す時間を取れます。一方、アジアの拠点は夜中にかかりません。困るのは日本の18時を過ぎてからの1〜3.5時間で、要るのは当番より夕方以降の受け方でしょう。

情シス本人が夜中の呼び出しを書いた公開の文章は、読んだ範囲では見つかりませんでした。時差を書いていたのは隣の職種で、本社が欧米にある外資メーカーの財務担当者は、こう決めたそうです。

僕自身、夜に本社からメッセージが届いても、緊急でなければ翌朝の自分の稼働時間に返す、というルールを徹底するようにしています。

この筆者も、即座に返さなくてよいという前提をチームで共有できるかが大事だと書いています。線を先に渡すのは本社の仕事です。

同じルールでも、任せきりでも、穴があく

本社が迷うのは、2つの失敗の間で揺れるからです。

1つ目は全社に同じルールをかける形。シンガポールに赴任している日系ITベンダーの営業担当者は、ある日系企業の現地のIT担当者からこんな話を聞きました。

日本経由でインターネット接続をしているが、あまりにも帯域が細く仕事にならないので、現法のスタッフは近くのスターバックスに行ってフリーWi-Fiで仕事をしている

現地の人は、仕事を止めないために外へ出たのです。同じブログによると、不満を受けた担当者が独自のネットワークを用意することもあり、積み重なれば穴になりかねません。ITの専任がおらず、総務や経理が兼務する現地法人も多いとのこと。本社のIT部門も日本の案件で手いっぱいで、どちらが怠けているわけでもありません。海外子会社を長く見てきた別の筆者の言葉はもっと短いものです。

本社の規程をそのまま翻訳して送っても、現地では運用されません

2つ目は現地に任せきりにする形です。IPAのプラクティス・ナビが紹介するC社（従業員1万人規模、6カ国に12の製造拠点）は、各国のコンプライアンス対応を拠点任せにしていて、ある拠点で顧客情報の管理不備が見つかりました。個人情報保護委員会が10月7日に改訂したWARNINGには、海外拠点が足がかりになった事例が載っています。

海外拠点に設置されていた貸与品のVPN装置が台帳にリストアップされておらず、VPN装置の存在が把握できなくなっていた。

本社が知らない機器でも、現地が隠していたとは限りません。借りた機器は購入の記録に出ないので、買ったものから作る台帳には載りにくいはずです。

足並みをそろえにくいのは、経済団体に入っている会社も同じようです。個人情報保護委員会は2022年、経団連の委員会などに属する会社と新経連の加盟企業に調査しました。越境移転の規制の課題を自由記述で答えた44社のうち20社（45%）が、海外拠点の協力が得られにくい、リソースが足りないといった運用上の課題を挙げました。現地の側でも、ジェトロの2025年度の調査で、サイバーセキュリティ法規制の注目点を答えた在欧日系企業331社の52.0%が、人材やインフラの不足を選びました。

最初に切り離したのは、どちらも現地だった

H.I.S.のタイ法人とACCESSの台湾子会社は、10月の公表日数の集計で検知から公表まで300日と34日でした。ただ、2件だけで「海外だから遅い」とは言えません。H.I.S.は、無関係のデータが混ざって手作業で確認した事情を節を立てて説明しています。読み比べて気になったのは、日数より役割の分かれ方です。

本社がいつ知り、指示を待ったかどうかは、どちらの発表からも分かりません。台北とバンコクは本社と7〜8時間重なる拠点です。それでも処置の主語は現地の法人でした。夜中にかかる欧米の拠点なら、本社の返事を待たせる手順はなおさら成り立ちにくい、と編集部は考えます。

報告の窓口も分かれます。ACCESSは日本と台湾で報告する者まで違いました。アドバンテストでも、カリフォルニア州の届け出に載る名前は米国法人です。誰が何を出すのかは、事故の前に確認しておくしかありません。

基準は本社、作業は現地に分ける

では、何を本社が持ち、何を現地に任せるのか。本社が持つのは、止まると全拠点に響くものと、あとから取り戻せないものです。現地に任せるのは、現地でないと分からないこと。この分け方で案を表にしました。

後回しにされやすいのは契約の行でしょう。担当者のいない現地法人で保守契約の有無やログインIDが分からなくなる例を、LANSCOPEのブログも挙げています。だから管理者IDの持ち主を契約に書きます。

点検は、本社が現地の業務に沿ったチェックリストを作り、拠点が自己点検し、本社が内部監査で確認するC社の分担が参考になります。もっとも、少人数の会社なら10項目を年2回で足りるでしょう。高い点数だけを求めれば実態を映さない数字が返る、とSHINさんも書いています。

当番なしで夜を越す段取り

連絡票と写真台帳は、国内の支店の記事のものを英語にすれば使えます。海外で足すのは次の4つです。

1. 夜中に電話してよい場面を書き出します。拠点の全員が仕事にならない、不正アクセスの疑いがある、端末を紛失したか盗まれた、の3つです。1人のメールが届かないだけなら翌営業日に回し、1分の切り分けで受けます。
2. 入口を2本に分けます。ふだんはフォームかメールで受け、自動返信に返す時刻を書きます。Qiitaのヘルプデスクの連載が勧める「受領」「確認中」「完了」の定型文も、英語で用意します。
3. 電話の順番を3人まで書きます。情シス、上長、現地の保守会社の順なら、1人が寝ていても止まりません。電話に出た分の勤務の扱いは人事と決めておきます。切り離し方は最初の1時間の記事に合わせます。
4. 報告した人を責めないと、経営層の了解を取って書きます。GoogleのSREの本も、振り返りは人でなく仕組みに向けるよう勧めています。記録には人の名前でなく、起きた順に事実を書きます。本社の最初の一言は「なぜ」より「今、何が見えていますか」です。

現地へ送る文面の例です。アドレスと番号は自社のものに替えてください。

Subject: How to contact Tokyo IT

Hello team,

Tokyo IT works Monday to Friday, 9:00-18:00 Japan time, except Japanese public holidays.
Send normal requests to: it-help@example.com
We will reply by 10:00 Japan time on the next Japanese business day.

Call us only in these three cases, at any hour:
- Nobody in your office can work.
- You think there is a security problem.
- A company PC or phone is lost or stolen.

Who to call:
1. +81-XX-XXXX-XXXX
2. If nobody answers in 15 minutes: +81-XX-XXXX-XXXX
3. If nobody answers in 15 more minutes: your local IT vendor, +XX-XXX-XXX-XXXX

If you think there is a security problem, do this before you call:
Unplug the network cable and turn off Wi-Fi. Do not turn off the PC.
Do not wait for our answer.

Please report early. Nobody will blame you, even if it is a false alarm.

When you call or write, please tell us:
- Your office and your name
- When it started (your local time)
- What you see, in one line (a photo of the screen is fine)
- How many people are affected

手順書は機械翻訳にかける前提で

英語版を作る余裕がなければ、日本語の手順書を機械翻訳で読んでもらいます。内部監査を扱うnoteには、日本語の指示書ばかり届く現地が形だけの報告を返した例がありました。RevCommの情シスの担当者は、英訳の前提をこう書きます。

海外拠点の監査では、審査を担当する現地の監査法人にとっても英語が第一言語ではなく、さらに現地語へ再翻訳される可能性もあります。

だから凝った表現を避け、訳文を日本語に戻してずれを確認するそうです。原文は、文化審議会の「公用文作成の考え方」のとおり一文を短く、論点を一つにします。Microsoftの英語の案内も、機械翻訳向けに一つの概念に一つの語を使うよう求めます。

翻訳サービスは会社で決めます。無料版では翻訳データが一定期間残るとして、有償版を選んだ情シスの筆者もいます。

現地の法律は、聞く先を決めておく

個人情報の越境や現地の法律は、情シスが条文を読んで判断する話ではありません。動きも速く、ジェトロのレポート（2026年2月時点）によると、ベトナムは2026年1月施行の法律で越境移転に独自の要件を定めました。委員会の通則編のガイドラインも、外国で個人データを扱うならその国の制度を把握して措置を講じるよう求めます。

聞く先は3つです。

• 日本の法律との関係は、委員会の外国制度の情報提供と外国にある第三者への提供編を見て、顧問弁護士に聞きます。国別の情報は2021〜2022年の調査です。
• 現地の動きは、ジェトロの国別のレポートと無料の貿易投資相談が入口です。
• 最後の判断は現地の法律事務所に頼みます。

たとえば、現地の従業員のログを日本から見てよいか。現地の個人データを日本のテナントに置いてよいか。事故の届け出先と期限はどこで、誰が出すのか。この3問の答えで、線引き表の「ログ」と「事故の連絡」の行が埋まります。

夜11時のチャットに戻りましょう。困っているのが1人なら、自動返信が翌営業日の朝10時までの返事を約束し、情シスは眠れます。全員が止まっていれば電話が鳴ります。その区別を現地の人が迷わずつけられるかは、昼のうちに渡した1枚で決まります。

公開のブログやnoteなど10件と、個人情報保護委員会、IPA、ジェトロの公開資料を読んで整理しました。情シス本人の文章は4件です。確認日は2026年10月31日です。