証跡として残すべきログとは？PC操作ログの種類と効率的な管理方法を解説

「監査に備えて証跡を記録するように」と経営層から指示を受け、具体的にどのような内容を保存すべきか悩む担当者も少なくありません。実務において「証跡」と「ログ」は混同されがちですが、これらは本来異なる概念です。目的を曖昧にしたまま膨大なログを蓄積しても、必要な情報を即座に抽出できなければ、監査や有事の調査で機能しません。そこで本記事では、証跡とログの相違点を明確にした上で、証跡として記録・管理すべきPC操作ログの具体的な種類と、担当者の負担を抑えて運用を続けるための管理方法を解説します。

証跡とログの違いを正しく理解する

両者の違いは、ログが「システムが自動的に出力した記録データ」であるのに対し、証跡は「事実を証明する目的で選び、整えられた記録」である点にあります。ログは証跡の材料の一つにすぎません。

適切な証跡管理を行うために、2つの言葉の意味について整理しておきましょう。

証跡は業務の過程を証明する記録

証跡とは、業務や操作が適切に行われたことを、後から確認・証明するための記録です。英語の「エビデンス」に近く、第三者に事実を説明するための根拠となります。

証跡は、システム上のデータだけを指すものではありません。次のような記録も証跡に含まれます。

• 稟議書の承認履歴
• 契約書
• 作業報告書
• 入退室記録
• メールによる指示や確認
• システム上の操作履歴

これらに共通しているのは、業務がどのような手順で行われたのかを、第三者に示せる点です。

例えば「上長の承認を得てから発注した」と口頭で説明するだけでは、客観的な証明にはなりません。誰が、いつ承認したのかが記録された稟議データがあって、初めて手続きの正当性を示せます。

証跡とは、単に事実を記録したものではなく、必要なときに「証明できる状態」をつくるための情報といえるでしょう。

ログはシステムが出力する記録データ

ログとは、PCやサーバー、ネットワーク機器、ソフトウェアなどが自動的に出力する時系列の記録データです。

報告書のように人が意識して作成するものではなく、システムの動作や操作に伴って自動的に蓄積される点が特徴です。

企業で扱われる主なログには、次のようなものがあります。

• イベントログ：OSの起動、終了、エラーなどの動作記録
• 認証ログ：ログインの成功や失敗に関する記録
• 操作ログ：利用者がPC上で行った操作の記録
• アクセスログ：サーバーやWebサイトへの接続記録
• 通信ログ：ネットワーク上で行われた通信の記録
• メールログ：メールの送受信日時や宛先などの記録

ただし、ログは保存されているだけでは証跡として十分とはいえません。

調査や監査の目的に合わせて必要な情報を選び、検索・確認できる状態に整理することで、初めて証跡として活用できます。

監査証跡は後から追跡できる記録

監査証跡とは、業務やシステム処理の流れを、後から時系列で追跡できる記録です。英語では「オーディットトレイル」と呼ばれます。

監査証跡で重要なのは、個別の記録が点で残っているだけでなく、一連の流れとしてつながっていることです。

顧客情報が社外に持ち出された可能性を調査する場面を考えてみましょう。

PCへのログイン記録、ファイルサーバーへのアクセス、USBメモリの接続、ファイルのコピーといった複数のログを時系列で確認できれば、情報が持ち出された経緯を追跡できます。

一方、USBメモリの接続記録だけが残っていても、どのファイルをコピーしたのか、誰が操作したのかが分からなければ、十分な証明にはなりません。

複数の記録をひも付けて、一連の操作として再現できる状態にしておくことが、監査証跡の基本です。

証跡ログが果たす四つの役割

専任の情報システム担当者がいない企業や、限られた人数で業務を行っている企業ほど、客観的な記録がトラブル発生時の重要な判断材料になります。

ここでは、証跡ログが果たす四つの役割を解説します。

情報漏洩時の経緯を客観的に確認する

情報漏洩が疑われたとき、最初に確認しなければならないのは事実関係です。

証跡ログがなければ、当事者への聞き取りや社員の記憶に頼って調査することになります。しかし、時間が経過するほど記憶は曖昧になり、悪意がなくても正確な事実を確認できない場合があります。

証跡ログが残っていれば、対象ファイル、操作者、操作日時、持ち出し経路などを絞り込めます。

内部不正や操作ミスの抑止につなげる

証跡ログは、トラブルが起きた後の調査だけでなく、不正や不適切な操作の予防にも役立ちます。

操作の記録が残り、問題が起きた場合には後から確認されることが周知されていれば、安易な情報の持ち出しやルール違反は起こりにくくなります。

ただし、ログを取得しているだけでは十分な抑止効果は期待できません。どのような目的で、どの範囲の操作を記録しているのかを、従業員に伝える必要があります。

記録が残ることを明確にし、不正やルール違反が見つかる環境を整えることが重要です。

監査や内部統制への対応を効率化する

監査や取引先からのセキュリティ調査では、業務やシステムが適切に管理されていることを示す資料の提出を求められます。

例えば、次のような情報です。

• アクセス権限の設定状況
• アカウントの作成・変更履歴
• 退職者のアカウント停止記録
• システムの設定変更履歴
• 管理者権限の利用履歴
• 不正アクセスや操作ミスへの対応記録

こうした情報を監査のたびに手作業で集めると、担当者や現場の大きな負担になります。

証跡ログを一元管理しておけば、対象期間や利用者、端末などの条件を指定して、必要な情報を抽出できます。

テレワークの業務状況を公正に把握する

テレワークでは、オフィス勤務と比べて従業員の働く様子が見えにくくなります。

そのため、成果物や本人の申告だけで業務状況を判断しようとすると、評価に偏りが生まれることがあります。

PC操作ログを活用すれば、次のような情報を客観的に確認できます。

• PCを起動・終了した時刻
• 業務に使用したアプリケーション
• ファイルやシステムを操作した時間帯
• 長時間にわたる連続稼働
• 深夜や休日の作業状況

ただし、目的を伝えないままログを取得すると、従業員から「監視されている」と受け取られ、かえって信頼関係を損ないます。「適正な労働時間を把握する」「過重労働を防ぐ」といった目的を就業規則や社内通知で明示し、評価そのものをログで決めるわけではないことを、あわせて伝えましょう。

証跡として残すべきPC操作ログの種類

PC上で行われる全ての操作を記録する必要はありません。

取得するログが増えるほど、保存容量や運用負荷、従業員への説明範囲も大きくなります。自社のリスクや目的に応じて、優先度の高いものから取得しましょう。

ここでは、中小企業がまず検討したい三つの領域を紹介します。

ログインとログオフの履歴

認証ログは、証跡管理の基本となる記録です。

誰が、いつ、どの端末やシステムを利用したのかを確認でき、さまざまな調査の出発点になります。

主に確認したいのは、次のような情報です。

• ログインした利用者
• ログインとログオフの日時
• 利用した端末
• ログインの成功と失敗
• 管理者権限によるログイン
• 深夜や休日のログイン

特に注意したいのが、ログイン失敗の履歴です。

深夜に短時間でログイン失敗が続いている場合は、総当たり攻撃（ブルートフォース攻撃）やパスワードリスト攻撃の兆候かもしれません。「5分間に10回以上失敗したら管理者へ通知する」など、確認すべき目安をあらかじめ決めておくと、異常に気づきやすくなります。

退職者のアカウントが使用されていないか、複数人が共有アカウントを使っていないかも確認しましょう。

ファイル操作と情報持ち出しの確認

情報漏洩の原因はさまざまですが、社内のファイルが持ち出されるケースは、外部からの攻撃と違って気づきにくく、発覚が遅れやすいという特徴があります。

そのため、重要なファイルに対して誰がどのような操作を行ったのかを記録することが重要です。

取得を検討したい主なログは、次の通りです。

• ファイル操作：作成、閲覧、コピー、移動、名称変更、削除
• 外部媒体：USBメモリや外付けディスクの接続、書き出し
• 印刷：印刷したファイル名、日時、枚数、プリンター
• メール送信：宛先、送信日時、添付ファイル
• クラウド利用：オンラインストレージへのアップロード
• Web利用：ファイル転送サービスへのアクセスや送信

自社で情報が持ち出される可能性の高い経路を整理し、優先順位をつけることが重要です。

アプリケーションの利用状況

アプリケーションの利用履歴も、業務や操作の実態を把握するための証跡になります。

アプリケーションログを確認すれば、会社が許可していないソフトウェアやクラウドサービスの利用に気づきやすくなります。

ただし、全てのアプリの履歴を追うと、データが膨大になってしまいます。業務上の必要性を整理し、目的に対して過剰な情報を収集しないようにしましょう。

証跡ログを無理なく管理する方法

証跡管理は、導入することよりも継続して運用することが難しい取り組みです。

管理負担を抑えながら証跡ログを活用するための進め方を解説します。

取得目的と対象範囲を先に決める

取得目的は、前章で挙げた四つの役割（原因調査・不正抑止・監査対応・業務可視化）のうち、自社で最も切実なものを一つか二つに絞ります。 

例えば「退職者による顧客リストの持ち出しを防ぎたい」であれば、軸は原因調査と不正抑止です。取得対象はファイル操作・外部媒体・メール送信の三つに限定でき、Webの閲覧履歴やアプリケーションの利用状況までは不要と判断できます。目的が決まれば、取得すべきログも自ずと絞られます。 

保存期間を決める

ログは継続的に蓄積されるため、保存期間を決めないまま運用するとデータ量が増え続けます。

保存容量や費用が増えるだけでなく、検索対象が多くなり、必要な情報を探しにくくなる可能性もあります。

保存期間を決める際は、次の点を考慮しましょう。

• 法令や業界ルールで求められる期間
• 監査の実施間隔
• インシデントが発覚するまでの想定期間
• 保存にかかる費用
• 取り扱う情報の重要度

全てのログを同じ期間保存する必要はありません。認証ログ、管理者操作、ファイル持ち出しなど、重要度の高い記録は長く保存し、業務状況の把握を目的とした詳細ログは短期間にするなど、目的に応じて期間を分ける方法があります。

閲覧できる担当者を限定し、ログを閲覧・出力した履歴も残すことで、記録の信頼性を確保しましょう。

ログを閲覧できる担当者を限定する

ログには従業員の業務内容が含まれるため、誰でも閲覧できる状態は避けるべきです。閲覧権限は情報システム担当者と管理部門の責任者に限定し、ログを閲覧・出力した履歴自体も記録しておきましょう。

「記録を見る側も記録される」状態にすることで、恣意的な閲覧を防ぎ、記録の信頼性を確保できます。

ログを自動収集して一元管理する

担当者が手作業でログを集め続ける運用は、長続きしません。日々の業務が繁忙になれば収集作業は停滞し、肝心の監査や有事の際、必要な期間のデータが欠落しているといった事態を招くことも考えられます。

専用のログ管理ツールを導入すれば、点在するPCや各システムから記録を自動で吸い上げ、一つの管理画面へと集約できます。端末一台ごとに情報を確認する手間が省け、実務担当者の工数削減に大きく寄与するでしょう。

さらに、ログの「時刻」を統一できる点も見逃せません。機器ごとに内蔵時計にずれが生じていると、複数の記録を時系列で並べた際に整合性が取れず、正確な追跡（トレース）が困難になります。端末やサーバーの時刻同期を徹底することは、証跡管理を成立させるための大前提です。

情報の「一元管理」がもたらす最大の利便性は、検索のスピードと精度です。「特定の期間に機密情報へ触れた人物」や「外部メディアへ書き出しを行った端末」など、目的に応じた条件検索により、対象を迅速に特定できます。

必要な事実をすぐに取り出せる状態にして、記録は初めて証跡として機能します。

必要な機能だけで低コストに始める

ログ管理ツールを導入する際は、機能の多さだけで選ばないことが重要です。高機能なツールでも、担当者が使いこなせなかったり、必要以上のログや通知が発生したりすれば、運用が形骸化する恐れがあります。

特に中小企業では、最初から全てのPC操作を記録するのではなく、自社の課題に必要な機能に絞って始めるとよいでしょう。

必要な機能だけを選んで導入できるログ管理ツールとして、「Watchy（ウォッチー）」があります。

Watchyは、中小企業向けのクラウド型IT資産管理・操作ログ管理ツールです。機能が一つにまとめられたパッケージではなく、PC1台・1機能単位で契約できるため、自社に必要な範囲から段階的に導入できます。料金は、PC1台・1機能当たり50～100円です。

まずは、ログオン・ログオフや重要フォルダーの操作など、優先度の高い記録から始めましょう。その後、USBドライブやWeb操作などへ対象を広げれば、費用と運用負担を抑えながら、自社に必要な証跡管理の仕組みを整えられます。

▶ Watchy（ウォッチー）の機能・料金を見る

証跡ログを活用し情報漏洩リスクと管理負担を減らす

証跡は、ログを大量に保存するだけでは十分ではありません。問題が発生した際に、誰が、いつ、どの端末で、何をしたのかを確認できる状態にして、初めて調査や監査に役立ちます。

一方で、複数の端末から必要なログを手作業で集め、確認する運用には大きな負担がかかります。専任の情報システム担当者がいない企業では、ログの取得や確認が後回しになり、必要な記録が残らない可能性もあるでしょう。

そこで活用できるのが、クラウド型IT資産管理・操作ログ管理ツールの「Watchy（ウォッチー）」です。

Watchyでは、ログオン・ログオフ、ファイル操作、USBドライブの利用、Webアクセス、アプリケーションの利用状況など、証跡として必要な情報を自動で収集し、一元管理できます。利用者や端末、日時などの条件からログを検索できるため、トラブル発生時の経緯も効率的に確認できます。

また、PC1台・1機能単位で必要な機能を選べるため、最初から大規模なシステムを導入する必要はありません。重要なファイルを扱う部署や、USBによる情報持ち出しが心配な端末など、優先度の高い範囲から段階的に導入できます。

情報漏洩や内部不正への対策では、問題を完全に防ぐだけでなく、発生時に速やかに原因と影響範囲を把握できる仕組みも重要です。Watchyを活用して必要な証跡ログを無理なく収集・管理し、情報漏洩リスクと担当者の運用負担を減らしましょう。