マレーシアはデジタル技術の推進とデジタルエコノミーの促進に取り組んでいます。マレーシアでは「クラウドファースト」戦略が打ち出され、民間セクターと公共セクターの両方でクラウド導入を促進し、迅速なデジタルトランスフォーメーションを実現することを目指しています。マレーシアのデジタルエコノミー公社（Digital Economy Corporation、MDEC）や、銀行・金融サービス、ヘルスケア、通信などの各分野の規制当局は、イノベーションに対応し、企業がクラウドサービスの利用と導入から恩恵を受けられるよう、規制・監督フレームワークの再構築を進めています。

規制当局：
個人情報保護局（JPDP）は、デジタル省傘下の機関であり、個人情報保護コミッショナーによるマレーシア全土での個人情報保護法（PDPA）の規制および執行を補佐しています。

一般プライバシー法：
2010年個人情報保護法（Act 709）は、2013 年 11 月 15 日から施行されており、商取引での個人データ処理を規制しています。マレーシアのデータ保護基準をグローバルな基準に整合させるため、2024年個人情報保護（改正）法（Act A1727）がさらに制定されました。主な強化点には、データ処理者に直接課される法定義務、72 時間以内の個人データ侵害通知（DBN）の義務化、データ保護責任者（DPO）の任命要件などが含まれます。

個人データの越境移転要件：
データ管理者は、本法律および個人データ越境移転（CBPDT）ガイドラインに定める法的根拠のいずれか 1 つ以上を満たす場合、マレーシア国外へ個人データを移転できます。
1.移転先の法域が、実質的に同等のデータ保護法を有している、または同等水準の保護を提供している。
2.データ主体が適切に通知を受け、越境移転について明示的な同意を与えている。
3.移転が、データ主体が関わる契約の履行または締結に必要である。
4.移転が、法的手続き、法律助言の取得、法的権利の防御、またはデータ主体の重大な利益の保護に必要である。
5.データ管理者が、データ処理契約を含む拘束力のある契約上の保護措置をはじめ、あらゆる合理的な予防措置を講じ、デューデリジェンスを実施して、データが PDPA に違反する形で処理されないよう確保している。

概要：
Alibaba Cloud は、クアラルンプールの 3 つのゾーン（AZ）とジョホールの 2 つの AZ を備え、マレーシアで強靭で高可用性のクラウドインフラを提供しています。適切なソリューション設計により、金融サービス業界の規制対象事業者に求められるセキュリティ、レジリエンス、復旧性、パフォーマンスの要件を満たせます。Alibaba Cloud は、パブリッククラウドへの移行に伴う機密性、完全性、可用性の損失リスクを最小限に抑えるため、既に複数のお客様を支援してきました。

Alibaba Cloud は、お客様が金融業界固有の規制要件を遵守できるよう支援に取り組んでいます。対象には、初期段階のハイレベルなデューデリジェンスやリスクアセスメント、ソリューション選定、導入と移行、導入後の保証が含まれます。Alibaba Cloud は、これを支援する一式のサービスを提供しています。具体的には、デューデリジェンス評価のあらゆる側面への対応、サービスやプロダクト設定のベストプラクティス、自動化された継続的なセキュリティチェックツールを提供します。さらに、独立した監査報告書によって裏付けられた、内部統制の設計および運用の有効性に関する保証も含まれます。

規制当局：
•マレーシア中央銀行（BNM）：マレーシアの中央銀行であり、通貨および金融の安定、ならびに銀行、保険会社、タカフル事業者、決済システム運営者、決済サービスプロバイダーの健全性規制および監督を担っています。
•マレーシア証券委員会（SC）：マレーシア資本市場の規制と体系的な発展を託された法定機関であり、取引所、仲介業者、ファンドマネージャー、デジタル資産事業者を監督しています。

クラウドコンピューティングサービスを利用する際に確認すべき法規制 / ガイドライン：
1.BNM Risk Management in Technology（RMiT）ポリシー文書

(最終改訂：2025 年 11 月)
BNM の RMiT フレームワークは、金融機関向けのテクノロジーガバナンス、オペレーショナルレジリエンス、リスク管理、サイバーセキュリティに関する必須基準を定めています。パブリッククラウドを採用する金融機関は、付録 10 (クラウドサービスの主なリスクと管理措置) を遵守する必要があります。この付録は、金融機関が重要システムにパブリッククラウドを採用する際の、共通する主なリスクの評価や管理措置の検討に関する追加ガイダンスを提供するものです。本ガイダンスはさまざまなクラウドサービスモデルに広く適用できます。金融機関は、リスクベースのアプローチに基づいて本ガイダンスを適用する必要があります。

2.BNM Technology Requirements for Payment Services Regulatees（TR PD）

(発行：2026 年 3 月 12 日)
TR PD は、テクノロジーリスク管理、サイバーセキュリティ、オペレーショナルレジリエンスに関する基準を定めています。これらの基準は、電子マネー発行者、加盟店アクワイアラー、資金移動業者、指定決済システム運営者を含む、銀行以外の決済サービス規制対象事業者（PSR）向けに策定されたものです。また、サードパーティプロバイダー管理、クラウドサービスのリスクアセスメント、アクセス制御、サイバーセキュリティ報告に関する明確な要件を備えた階層型フレームワークを導入しています。

3.BNM Outsourcing（アウトソーシング）ポリシー文書

(発行：2019 年 10 月 23 日)
BNM は 2019 年 10 月に、金融機関向けのアウトソーシングに関するガイドラインを更新しました。アウトソーシングガイドラインは、金融機関のアウトソーシングプロセスおよびリスクの管理に関する要件を定めています。金融機関は、クラウドサービスプロバイダーを含むアウトソーシング先のサービスプロバイダーに対し、包括的かつ厳格なデューデリジェンスを実施する必要があります。

4. SC テクノロジーリスク管理ガイドライン（GTRM）

(改訂：2024 年 8 月 19 日)
GTRM は、資本市場事業者に求められるテクノロジーリスクガバナンス、運用信頼性、サイバーレジリエンスに関する期待事項を示しています。クラウド導入にあたっては、堅牢なサードパーティガバナンス、クラウド環境でのオペレーショナルレジリエンスとデータセキュリティ、積極的なインシデント報告を重視しています。

クラウドの利用は認められていますか？
はい。

追加の承認は必要ですか？
新たな重要アウトソーシング契約を締結する場合、または既存の重要アウトソーシング契約に大幅な変更を加える場合は、事前に BNM の書面による承認を取得する必要があります。重要でないアウトソーシング契約については、金融機関は完全かつ正確で最新の登録簿を維持し、BNM の要請に応じて提供する必要があります。

オフショアアウトソーシングは認められていますか？
BNM は、金融機関がオフショアアウトソーシングに伴う追加リスク（カントリーリスクなど）に対処し、サービスプロバイダのモニタリングおよびサービスプロバイダ障害時の業務復旧について同等レベルの能力を確保し、システム、情報、文書への BNM のタイムリーかつ無制限のアクセスを維持することを条件として、マレーシア国外へのアウトソーシングを認めています。Alibaba Cloud はマレーシアに 2 つのアベイラビリティゾーンを提供しており、現地の金融機関がオフショアアウトソーシングに伴うリスクを軽減するうえで有用です。