情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問45

データベース監査ログ【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. まず「監査ログ」の目的が何かを考える。ログは「記録（証跡）」であり、即時にアクセスを止めたり、データを復旧したりする仕組みではない。
2. 各選択肢を「予防（preventive）・検知（detective）・復旧（corrective/recovery）・事後調査（forensic）」に分類する。
3. 監査ログは「記録して後で調べる（事後調査）」に最も適するため、該当する選択肢を選ぶ。

選択肢別の誤答解説

• ア: 権限のない利用者のアクセスを拒否する。
  → これはアクセス制御や認可（許可管理）の役割です。例えば認証（本人確認）や権限設定でアクセスを拒否します。監査ログは拒否の記録は残せますが、アクセスをリアルタイムで拒否する機能ではありません。
• イ: チェックポイントからのデータ復旧に使用する。
  → データ復旧にはバックアップやトランザクションログ（変更履歴を記録する仕組み）が使われます。監査ログは操作の記録が目的で、復旧用の詳細な物理データを保持するわけではありません。
• ウ: データの不正な書換えや削除を事前に検知する。
  → 監査ログ自体は「記録」手段であり、単独では事前検知（リアルタイム検出）になりません。ただし、監査ログをリアルタイム監視する仕組み（SIEMなど）と組み合わせれば検知も可能になりますが、設問の表現「事前に検知する」は監査ログの主目的ではありません。
• エ: 問題のあるデータベース操作を事後に調査する。
  → 監査ログの本質的な役割です。いつ誰が何をしたかを明らかにし、原因追及や責任追跡、法的証拠として用います。

よくある誤解

1. 「ログを取れば不正は防げる」
   → ログは抑止（後でバレるため抑止力になることはある）が主で、防止策（アクセス制御や認証）とは別物です。防ぐには両方必要です。
2. 「監査ログとバックアップは同じ」
   → バックアップはデータを復元するためのコピー、監査ログは操作の記録です。用途が違います。
3. 「ログは取れば安心」ではない
   → ログを取るだけでなく、保存期間、改ざん防止、定期的なレビューやアラート設計が必要です。

補足コラム

• 監査ログに含める項目例：ユーザID、時刻、SQL文、操作対象、成功・失敗、接続元IP
• 保全：時刻同期（NTP）、ログの二重保存、ハッシュやWORM（Write Once Read Many：追記専用保存）で改ざん防止
• 運用：ログの定期レビュー、重大イベントのアラート設定（SIEM連携）と保存期間の規定

FAQ