セッション録画(画面操作の記録)とは

セッション録画とは、ログインしてから終えるまでの一続きの利用(セッション)について、画面や操作を記録として残す仕組みです。

セッション録画とは何か

セッションとは、ログインしてから終えるまでの一続きの利用のことです。その間に画面に映ったものや、利用者が入力したものを、あとから見返せる形で保存するのがセッション録画です。IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版は、特権 ID 管理を、特権の利用申請や権限付与、操作ログ(誰がどんな操作をしたかの記録)などを管理する技術と説明しています。セッション録画は、この操作の記録を、画面や入力の単位で残す方法の一つです。

何が残るのか

残し方は 3 つに分かれます。

• 画面の映像として残す方式です。画面に映ったものを動画で残します。Azure Bastion は、仮想マシン(クラウド上のサーバー)を遠隔で操作する接続の画面を録画します。Teleport(サーバーやアプリへの接続を仲介する製品)は、デスクトップの画面とマウスの動きを記録します。
• 入力した文字と結果を残す方式です。打ち込んだ命令と、その出力を文字で残します。AWS Systems Manager の Session Manager は、セッション中に入力した命令とその出力を記録します。
• 出来事の一覧として残す方式です。何にいつアクセスしたかを、短い記録の列で残します。Teleport は、Web アプリの利用を、アクセスの出来事の流れとして記録します。

何が残らないのか

大事な点は 2 つです。録画は、その仕組みを通った利用しか記録しません。そして、文字で残す方式では、打ち込んだ秘密もそのまま残ります。

製品ごとの限界も公式ドキュメントに書かれています。Azure Bastion の録画は Premium の契約プランでだけ使え、専用クライアントからの接続では使えません。AWS の Session Manager は、通り道になるだけの接続(ポート転送や SSH)を記録できません。Teleport は、デスクトップの録画でキー入力を記録しません。AWS は、パスワードなど秘密の情報が記録に残るため、画面に表示しない命令を使うよう勧めています。

誰が見られるのか

録画の保存先と閲覧の権限は、録画の仕組みとは別に決めます。Azure Bastion では、録画は自社の保存領域(ストレージアカウント)に置かれ、一覧と再生には、その保存領域の読み取りの権限が要ります。閲覧できる人を絞れるかは、製品ごとに公式ドキュメントで確かめます。

本人に知らせる必要はあるか

個人情報保護委員会の Q&A(Q5-7)は、従業者の監督の一環として行うビデオやオンラインでのモニタリング(監視)について、4 つの点に留意するよう求めています。目的をあらかじめ特定し、社内規程などに定めて従業者に明示すること。実施の責任者と権限を定めること。実施のルールをあらかじめ作り、運用する人に徹底すること。ルールどおりに適正に行われているかを確認すること。労働組合などへの事前の通知や、従業者への周知も望ましいとしています。画面の録画を始める前に、この 4 点を社内の決まりとして持っておくことになります。