セキュリティ証跡の保存期間はどう決める？ログ・設定・訓練記録の整理

セキュリティ証跡は、何を実施し何が起きたかを後から確認するための記録です。操作ログ、設定の変更、承認、権限点検、復元試験などが含まれます。保存期間を決める時は、必要な調査の範囲、契約や適用される要求、データの性質、取得の遅れを考えます。全企業に共通する万能の日数はありません。

長く残すほどよいとも限りません。ログに個人情報や秘密情報が含まれる場合は、集める項目、閲覧者、保管場所、削除の条件を管理します。一方、短すぎる保持や取得に時間がかかる委託先のログでは、事故を知った時に材料を失うことがあります。保存と検索、取得、時刻の対応までを一組で設計してください。

記録を監査の判断へつなぐときはSGのシステム監査・証拠と結論の範囲で、資料が存在することと何を裏付けるかを区別できます。

画面にログがあること、調査対象の期間を保持していること、必要な形式で取り出せることは別です。記録の改変を防ぐ仕組みも、保存量とは別に確認します。

ログの種類ごとに利用目的、保持期間、取得担当、アクセス権、削除条件を定めます。保存容量だけでなく取得試験を行い、必要な事象を取り出して説明できるか確認します。

事故などで保全が必要な記録は、通常の削除と区別して責任者が判断します。無期限の保存へ黙って切り替えるのではなく、目的と見直し条件を残します。

時刻の基準は記録の照合を左右します。UTCのログと日本時間の報告をそのまま並べると、発生の順序を間違える場合があります。元の時刻とタイムゾーンを保ち、比較する際の変換を明示します。時刻が分からない場合は推定を実時刻として埋めず、不明と範囲を残します。

ログの取得に使う権限も管理します。広い閲覧権限を全員へ与えるのでなく、調査担当が必要な期間の記録を取得できる設計を考えます。保全した記録を別の目的へ使う際には利用目的と対象を見直します。

サイバーセキュリティの学習ガイドで、このテーマを資産・リスクと運用管理の中に位置付けてください。関連する前提はセキュリティチェックシートの回答方法、クラウド監査ログの設計で確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。