ログ管理と特権IDをテーマとした情報セキュリティ監査の所見判定

判断基準（監査計画で合意済みのものを用いる） ①統制目的「インシデントを検知し原因を特定できる」に対する影響、②影響度と是正の緊急性、③是正に経営判断・予算が必要か。監査人の主観ではなく、事前に合意した区分基準に当てはめて判定する。

重大な不備と判断するもの

1. NTPの47分ずれ：複数機器のログを時系列で突合できず、原因特定という統制目的そのものを達成できない。是正も容易（外部NTPへの同期）。重大。
2. 特権IDの共有：誰が何をしたかを追跡できず、不正の抑止も効かない。説明責任の観点からも重大。
3. ログの保管期間と管理の分離不足：認証ログ3か月・FWログ1か月では侵入から検知までの期間をカバーできず、保存先が単一かつ管理者が運用担当と同一では改ざん・消去の可能性を排除できない。過去2件の原因特定に1週間以上を要した事実が、影響の実現を示す証拠になっている。重大。

改善要望にとどめるもの

• クラウド監査ログ未取得：統制目的への影響は大きいが、まずは取得設計と保管コストの検討が必要。ただし基幹システムのAPI操作が追えない点は次期計画で優先的に対応すべきと付言する。

留意：「重大」の最終判定は監査報告書で根拠とともに示し、被監査部門の意見を聴取して事実誤認を排除する。

インシデント対応への影響

• 時刻が最大47分ずれていると、VPNログ、認証ログ、FWログ、アプリログを突合した際に前後関係が反転し、「侵入→横展開→持ち出し」の順序を再構成できない。
• 相関分析に基づくスコープ特定（どの端末・どのアカウントが影響を受けたか）が遅れ、封じ込めの判断を誤る。実際に過去2件で原因特定に1週間以上を要している。
• 保管期間が短いと、そもそも侵入時点の記録が残っておらず、検知後の調査しかできない。

証拠能力への影響

• デジタルフォレンジックでは、証拠の同一性・完全性・時系列の信頼性が前提となる。時刻同期が不正確なログは、民事・刑事の場面で証明力を弱める。
• ログの管理者と運用担当が同一で、単一サーバに集約されている場合、改ざん・削除の可能性を否定できず、内部不正事案では特に証拠として使いにくい。

改善の方向

• 外部の時刻源（NTS等の認証されたNTP）へ同期し、ずれを監視・警報する統制を設ける。
• ログは別ホスト／WORM領域へ転送し、ハッシュ値の記録とアクセス制御の分離を行う。
• 保管期間は法令・契約要求とインシデント対応期間から逆算して定め、構成管理の対象とする。

十分性（量）と適切性（関連性・信頼性）

• ヒアリングだけでは不十分。①実際に機器へログインして時刻ずれを測定する、②ログのローテーション設定ファイルを実機で確認する、③紙の作業申請書と特権作業の実績（コマンド履歴等）を突合する、④Syslogサーバのアクセス権限設定を確認する、といった実証手続を組み合わせる。
• 証拠の出所を区別する。被監査部門が用意した資料より、監査人が直接取得した証拠の信頼性が高い。取得日時・取得者・取得方法・ハッシュ値を記録する。
• サンプリングで足りる範囲と全件確認が必要な範囲を分ける。特権アカウントの共有は4名×期間で全件突合が可能であり、サンプルで済ませる理由がない。

監査調書の記載

• 「基準（あるべき姿）」「事実」「影響」「原因」「結論（重大性区分）」を分けて記載する。事実と評価を混ぜない。
• 被監査部門の見解と、それに対する監査人の判断を併記する。
• 改善策そのものを監査人が指示しない。実行責任は被監査部門にあり、監査人は期限とフォローアップ方法を確認する。
• 経営層が予算要求に使えるよう、リスクの大きさと是正コストの概算を対応付けて示す。ただし金額の妥当性は被監査部門の見積りに基づくことを明記する。