情報セキュリティマネジメント 2016年 春期 午前（科目A） 問10

利用者アクセスログ運用【情報セキュリティマネジメント解説】

正解の理由

• 早期発見には「取得」だけでなく「見る（確認）」ことが必要です。
• 事後対策（証拠の提出・原因追及）には、確認したログの保存と改ざん防止の体制が不可欠です。

解法ステップ

1. 問題の目的を把握する：ここでは「内部不正の早期発見及び事後対策」がテーマ。
2. 各選択肢が「検出力」と「証拠性（改ざん防止・保存）」にどう寄与するかを評価する。
3. 「早期発見」に直結するかを優先して選ぶ（確認・監視が最も直接的）。
4. 選んだ案が運用面や法令（個人情報保護等）と矛盾しないかを確認する。

選択肢別の誤答解説

• ア: コストにかかわらずログを永久保存する。
  • 永久保存はコスト増、管理負担、個人情報保護法などの法的問題を招くことがあります。保存＝発見ではなく、確認しなければ意味が薄いです。
• イ: 利用者にログの管理権限を付与する。
  • 利用者が自分のログを管理できると、改ざんや削除のリスクが高まり、証拠性が失われます。内部不正対策としては逆効果です。
• ウ: 利用者にログの保存期間を周知する。
  • 周知は透明性向上やコンプライアンスには有効ですが、「早期発見」には直接寄与しません。事後対応のための周知は補助的措置です。
• エ: ログを定期的に確認する。
  • 定期確認は不審な挙動を速やかに検知でき、初動対応（遮断・調査）につながります。監査証跡の把握と組み合わせれば、事後調査の効力も高まります。

よくある誤解

• 誤解1：ログを取ればそれだけで十分と思う
  • ログ取得だけでは意味が薄く、見る・分析する体制がないと早期発見は期待できません。
• 誤解2：ユーザにログを任せれば管理負担が減る
  • 利用者管理は改ざんの温床になりやすく、管理権限は分離するのが原則です。
• 誤解3：長く保存すれば調査は完璧になる
  • 保存期間と保存方法（改ざん防止、アクセス制御）が適切でないと証拠能力は担保されません。また法規制に注意。

補足コラム

• 中央化：サーバや機器のログは中央のログサーバに集める（ログサーバはログの改ざんを防ぐ仕組みで保護）。
• 自動化：SIEM（Security Information and Event Management：セキュリティ情報とイベントを統合管理し自動で検知する仕組み）やログ分析ツールで異常検知を自動化。
• 定期レビュー：リスクに応じて「毎日・毎週・毎月」の確認頻度を決め、結果は記録して保存。
• 権限管理：ログへのアクセスは監査担当やセキュリティ運用担当など、限定された者のみ。
• 連携：異常検知時は速やかに遮断・調査・人事・法務にエスカレーションする運用を決めておく。

• 一般的なアクセスログは数か月〜1年程度が多い。法令や業務上の必要性に応じて定める。重要なのは「根拠ある保存期間」と「保全方法」です。

FAQ