監査ログと、監査で示す記録の違い

監査ログと、監査で示す記録(監査の場では証跡と呼ばれます)は、同じものを指しているように見えて役割が違います。前者はシステムが自動で残す記録、後者はその記録を監査の目的に合わせて選び、守り、点検した結果です。

監査ログとは何か

サイバーセキュリティ戦略本部の「政府機関等のサイバーセキュリティ対策のための統一基準」(令和 7 年度版。以下、統一基準)は、情報システムにおけるログを「システムの動作履歴、利用者のアクセス履歴、通信履歴その他運用管理等に必要な情報が記録されたもの」と説明しています。SaaS(インターネット経由で使う業務ソフト)の管理画面にある「監査ログ」や「アクティビティログ」は、この意味のログです。誰がいつログインし、何を変えたかが、出来事ごとに一行ずつ、システムの側で自動的に残ります。

IPA の「組織における内部不正防止ガイドライン」第 5 版は、ログと証跡を分けて定義しています。ログはシステム等で取られる作業ログであり、証跡は監査や監視のためにポリシー(ルール)を決めて収集されるものです。この区別が、二つの言葉の違いの出発点になります。

監査で示す記録とは何か

監査で示す記録は、「あとから説明する」という目的のために集めた記録です。IPA のガイドラインは、証跡について、決めたルールに応じて情報を取得するとしています。ログ以外の日時、利用者、操作端末、操作内容、送受信の内容などです。システムが自動で残したものをそのまま出すのではなく、何を説明したいかを先に決め、それに要る情報を集めて保存したものです。

金融庁の「財務報告に係る内部統制の評価及び監査の基準」は、内部統制の整備及び運用状況は適切に記録及び保存される必要がある、としています。実施基準は、IT に係る全般統制の例に「内外からのアクセス管理などシステムの安全性の確保」を挙げています。経営者は、評価の手続とその結果を記録し保存しなければならないとしています。監査人は、データやシステムの不正使用や改ざんを防ぐためのアクセス管理の方針を定めているかを確認します。IT 全般統制の全体はIT 全般統制(ITGC)とはにまとめています。

監査で通用する記録の 4 つの条件

公的な文書が求めていることを、この記事では 4 つに整理します。文書ごとの求めの一覧は管理者用アカウントの監査で示せるようにしておく記録にあるので、ここでは条件の側から説明します。

一つ目は、誰が・いつ・何をしたかがつながっていることです。内閣官房の「政府機関等の対策基準策定のためのガイドライン」(令和 7 年度版。以下、内閣官房のガイドライン)は、ログとして取得する項目の例を 10 挙げています。アカウント管理に関わるのは次の 5 つです。事象の主体(人物又は機器等)を示す識別コード、情報システムの操作記録、事象の種類、事象の対象、正確な日付及び時刻です。時刻については、機器の時刻を基準となる時刻に同期させ(そろえ)、ログに時刻を記録するよう求めています。時計がずれていると、複数のシステムの記録を並べたときに前後関係が崩れるためです。

二つ目は、改ざんされていないと示せることです。統一基準は、改ざんや消失等が起こらないようログが適切に保全されなければならない、としています。内閣官房のガイドラインは、取得したログへの不正な消去、改ざん及びアクセスを防止するよう求めています。そのために、適切なアクセス制御(触れる人を絞ること)を含む保全の方法を定めます。IPA のガイドラインも、管理者の記録は改ざんまたは不正な消去ができないように、暗号化などの対策を実施するとしています。確認のときは、改ざん及び削除の防止と、特定の管理者だけが触れる状態にしておくことが望ましいとしています。管理者が自分の記録を消せる状態では、記録があっても「消していない」ことを示せません。

三つ目は、保存期間を決めて守ることです。統一基準は、ログを取得する目的を決めたうえで、取得する対象の機器、取得する項目、保存期間、扱い方を定めるよう求めています。内閣官房のガイドラインの解説は、標的型攻撃の経緯を初期の段階から確認する観点から、1 年間以上の保存が望ましいとしています。IPA のガイドラインは、保存期間はリスクとコストのバランスで決めるとしています。監査で問われるのは長さそのものより、決めた期間のとおりに残っているかです。

四つ目は、管理者以外が点検していることです。統一基準は、取得したログを定期的に点検又は分析する機能を設け、不正侵入や不正操作の有無を点検するよう求めています。IPA のガイドラインは、システム管理者のアクセス履歴や操作履歴を記録して保存するとしています。その内容は、定期的に管理者以外が確認しなければならないとしています。確認する人の例は、管理者の上司または総括責任者です。記録は残っているだけでは条件を満たさず、点検した記録が加わって初めて監査で示せるものになります。

共有アカウントでは何が欠けるか

一つのアカウントを複数人で使っていると、4 つの条件のうち一つ目が欠けます。システムの監査ログに残るのはアカウントの名前であって、その日にそれを使った人ではないためです。IPA のガイドラインは、システムからログを集められない場合の形を示しています。管理者の作業内容を文書に記録し、上司または総括責任者が定期的に確認します。共有アカウントの利用を台帳に書き、別の人が確認する運用は、この形に当たります。台帳の記入が本人任せなら、改ざんされていないことを示す二つ目の条件も弱くなります。共有アカウントの整理は共有アカウントの管理にまとめています。

操作の記録と画面の記録はどう違うか

監査ログは、出来事を一行ずつ文字で残す記録です。画面の記録(セッション録画)は、ログインしてから終えるまでに画面に映ったものを残します。文字の記録は検索と集計ができ、一覧で示せますが、画面で何を見て何を打ったかまでは残りません。画面の記録は操作の中身まで再生できますが、全件を見返すことはできず、探すには文字の記録が要ります。どちらを取る場合も、上の 4 つの条件は同じように問われます。IPA のガイドラインは、記録の保存を行っている事実を従業員に通知することが望まれるとしています。これは、どちらの記録にも当てはまります。