セミナー情報証跡管理とは？内部統制の目的からツールの選び方まで解説
昨今、内部統制の強化やセキュリティインシデントへの対応、IPO準備における監査の観点から、証跡管理の重要性は高まっています。適切な証跡管理をおこなうためには、自組織の目的にあったツールの選定と運用体制の構築が必要です。
・証跡管理をおこなう3つの目的
・証跡管理の必要性が高まる社会的背景
・証跡管理で取得すべきログの例
・証跡管理でよくある課題
・証跡管理を効率化するツールの選び方 ・証跡管理に関するよくある質問 ・まとめ ・証跡管理に役立つIT資産管理ツール「SS1/SS1クラウド」
証跡管理とは？
証跡管理とは、PCやサーバー、各種アプリケーションなどのITシステム上でおこなわれた操作やイベントの履歴（ログ）をはじめ、承認履歴や申請記録といった業務上の記録を、あとから追跡・検証できる状態で保管・管理することです。
「いつ、誰が、どの端末から、どの情報にアクセスし、何をしたか」という一連の操作を客観的なデータとして記録することで、業務プロセスの正当性の証明や、不正行為・セキュリティインシデントの原因究明が可能になります。
「証跡」と「証憑（しょうひょう）」の違い
証憑とは、取引や契約の事実を証明するための書類を指します。一方、証跡はシステム上の操作履歴や行為の痕跡を記録したデータです。
証憑が「取引の存在」を証明するのに対し、証跡は「業務上のあらゆる操作プロセスや行為の履歴」を記録する点で異なります。両者は内部統制において相互に補完しあう関係にあります。
「証跡管理」と「ログ管理」の違い
ログ管理とは、システムやアプリケーションが出力するログを収集・保管・監視・分析することを指します。主な目的は、システム障害の原因調査やセキュリティ監視、運用管理の効率化です。
一方、証跡管理はログに加え、承認履歴や申請記録などの業務上の記録も含めて管理し、「いつ・誰が・何をしたか」を後から追跡できる状態を維持する取り組みです。ログ管理が運用や保守を主目的とするのに対し、証跡管理は監査対応や内部統制の強化、不正防止などを目的として活用されます。
証跡管理をおこなう3つの目的
証跡管理の目的は、記録を残すこと自体ではありません。ここでは、証跡管理の主要な目的について解説します。
目的1：内部統制を強化し不正行為を未然に防ぐ
操作履歴がすべて記録されているという事実は、従業員に対する心理的な抑止力として働き、内部不正や情報資産の私的利用といった不正行為を未然に防ぐ効果が期待できます。
また、万が一不正がおこなわれた場合でも、証跡をたどることで行為者を特定し、迅速な対応が可能です。これにより、健全な内部統制の維持に貢献します。
目的2：セキュリティインシデント発生時に原因を迅速に特定する
マルウェア感染や不正アクセス、情報漏洩といったセキュリティインシデントが発生した際、証跡は原因究明のための手がかりとなります。
どの経路で侵入されたのか、どの情報が影響を受けたのかといった被害範囲の確認を迅速におこなうことで、被害の拡大を防ぎ、効果的な再発防止策を講じられるのです。
目的3：IPO準備に向けた内部統制報告制度（J-SOX）に対応する
株式上場（IPO）を目指す場合、金融商品取引法に基づく内部統制報告制度（J-SOX）を見据えた内部統制の整備は重要な課題です。この制度では、財務報告の信頼性を確保するための内部統制の構築・運用・評価が求められます。
内部統制の有効性を評価・監査する際には、業務プロセスが適切に実施されたことを示す客観的な証拠（監査証跡）が欠かせません。そのため、証跡を適切に保存・管理する体制の整備は、IPO準備および上場後の内部統制運用において重要な取り組みのひとつなのです。
証跡管理の必要性が高まる社会的背景
証跡管理は、近年の社会やビジネス環境の変化に対応するために、その重要性を一層増しています。働き方の多様化や法改正、IT環境の複雑化といった背景が、従来の管理手法の見直しを迫っており、証跡管理はその有効な対策の一つなのです。
テレワーク普及による新たなセキュリティリスクへの備え
テレワークの普及により、従業員が組織内ネットワーク外で業務をおこなう機会が増えました。これにより、管理者の目が届かない場所でのPC操作や情報資産へのアクセスが増加し、情報漏洩や不正利用のリスクが高まっています。
このような環境下で適切な管理をおこなうためには、PCの操作ログなどの証跡を正確に記録し、遠隔地での作業状況の可視化が求められます。
改正電子帳簿保存法で求められるデータ管理体制の構築
2022年1月に施行された改正電子帳簿保存法では、電子取引で授受した書類のデータ保管が義務付けられています。この法律では、データの真実性を担保するための措置が求められており、訂正や削除の履歴が確認できる、あるいは訂正や削除がおこなえないツールでの管理が必須です。
このような要件を満たすうえで、データの変更履歴を正確に記録する証跡管理の仕組みが役立ちます。
組織内システムの多様化・複雑化に伴う管理体制の見直し
近年、多くの組織でクラウドサービスの利用が拡大し、従来のオンプレミス環境と併用するハイブリッド構成が一般化しています。管理対象となるツールが多様化・分散化することで、ログの管理も複雑になるのです。
それぞれのツールからログを収集し、一元的に分析・監視する証跡管理の仕組みを構築することは、組織全体のITガバナンスと内部統制を維持するうえで不可欠です。
証跡管理で取得すべきログの例
証跡管理を実践するうえで、どのようなログを取得すべきか理解しておくことも大切です。対象とすべきログは組織の目的や管理対象のシステムによって異なりますが、一般的には以下のようなものが挙げられます。
・認証ログ：システムやアプリケーションへのログイン・ログアウトの成功および失敗の履歴
・アクセスログ：サーバーやWebサイトへのアクセス履歴
・イベントログ：OSやアプリケーションが記録するエラーや設定変更などのイベント情報
・印刷ログ：誰が、いつ、どのプリンターで、何を印刷したかの履歴
・メール送受信ログ：メールの送信者、受信者、件名、送受信日時などの記録。
証跡管理でよくある課題
証跡管理の重要性を認識していても、漠然とした運用では以下のような課題に直面しがちです。こうした課題を解消して形骸化を防ぐためにも、後述のポイントを参考に自組織にあった「専用ツール」の導入を検討しましょう。
課題1：必要なログが十分に取得できていない
取得できるログの種類や範囲はツールによって異なるため、自組織が必要とする操作記録が網羅されていないケースがあります。必要な情報が取得できていなければ、証跡管理本来の目的を果たすことはできません。
「なんとなくログを収集している」状態に陥らないよう、管理目的に応じた必要なログが正確に取得できるかを事前に確認することが大切です。
課題2：有事の際に即座に対応できる体制が整っていない
セキュリティインシデントが発生した際、膨大なログのなかから必要な証跡を迅速に探し出すことは容易ではありません。検索機能が不十分な環境では、原因究明に多大な時間を要し、被害の拡大を招くリスクがあります。
また、異常な操作を検知し管理者に通知するアラート機能がなければ、インシデントの予兆を見逃し、事態が深刻化してから初めて発覚するという事態にもなりかねません。有事の際に実効性のある対応をおこなうためには、ログの検索性や検知の仕組みをあわせて整備しておくことが不可欠です。
課題3：コストや導入形態が自組織の環境にあっていない
証跡管理ツールには、オンプレミス型とクラウド型があり、それぞれコスト構造や運用負荷が大きく異なります。また、自組織のセキュリティポリシーやIT環境と合致していないツールを選んでしまうと、導入後に運用が定着しないケースも少なくありません。
ツールの選定にあたっては、コストだけでなく、自組織の環境や体制にあった導入形態かどうかを事前に見極めることが重要です。
証跡管理を効率化するツールの選び方
証跡管理を効果的におこなうためには、手作業に頼るのではなく、専用のツールを活用することが現実的です。ただし、やみくもにツールを導入するのではなく、事前の準備と自組織の目的にあった選定をしましょう。
適切な証跡管理機能をもつツールを選ぶことで、管理業務の効率化とセキュリティレベルの向上が期待できます。
最初にやるべきこと：管理対象となる証跡の範囲を明確にする
証跡管理をはじめるにあたり、まず「何の目的で、どのツールの、どのような操作を記録すべきか」という管理範囲を定義しましょう。内部統制、セキュリティ、コンプライアンスなど、目的によって優先すべき証跡は異なります。
対象範囲の確認を事前におこなうことで、必要なデータを確実に収集し、無駄なコストや管理工数を削減できます。
自組織に最適な証跡管理システムを選ぶ4つのポイント
証跡管理を効率化するツールはさまざまですが、自組織の目的や環境に適したものを選ぶことが成功の鍵です。選定にあたっては、いくつかのポイントがあります。
ポイント1：業務に必要な操作ログを正確に取得できるか
ツール選定で最も重要なのは、自組織が管理対象として定めたログを網羅的かつ正確に取得できるかという点です。
例えば、ファイルサーバーへのアクセス履歴、特定のアプリケーションの操作内容、USBメモリの使用状況、印刷された文書の確認など、目的達成に必要な作業ログが取得できるか、導入前に必ず確認しましょう。
ポイント2：不正操作の疑いを検知するアラート機能の有無
証跡は、単に記録・保存するだけではインシデントの発生を防げません。リアルタイムで不正の兆候を検知し、管理者に通知するアラート機能は、実用的な証跡管理機能として非常に有効です。
例えば、深夜や休日のサーバーアクセス、機密情報への権限外アクセス、大量のデータコピーといった異常な操作を検知し、即座に対応を促す仕組みが求められます。
ポイント3：証跡データ自体の改ざんを防止できるか
取得した証跡は、改ざんや削除ができない状態で安全に保管されなければ意味がありません。万が一、悪意のある第三者や内部関係者によって記録が書き換えられてしまうと、証拠としての真実性が失われるからです。
そのため、システム管理者であってもログの編集ができない仕組みが求められます。操作権限を細かく設定し、ログの閲覧や抽出を特定の担当者のみに制限できる機能も欠かせません。ログ自体の暗号化や、書き込み専用メディアへの保存に対応しているかも確認すべき項目です。
客観性と信頼性を担保できる強固な保護体制を構築することが、組織を守る基盤となります。
ポイント4：導入形態はクラウド型かオンプレミス型か
証跡管理ツールには、組織内のサーバーに構築するオンプレミス型と、インターネット経由で利用するクラウド型があります。
オンプレミス型は柔軟なカスタマイズが可能な一方、初期投資や運用負荷が大きくなりがちです。クラウド型は導入が容易で運用負荷も低いですが、カスタマイズの自由度は限られます。
組織のセキュリティポリシーや予算、IT部門のリソースを考慮して最適なツールを選択しましょう。
証跡管理に関するよくある質問
ここでは、証跡管理に関してよく寄せられる質問とその回答を紹介します。
証跡管理は法律で義務化されていますか？
証跡管理自体を直接義務付ける単一の法律はありません。しかし、前述したJ-SOXや電子帳簿保存法、個人情報保護法などを遵守する過程で、操作履歴やアクセス記録の保管が事実上求められる場面が多くあります。
証跡の保存期間は何年ですか？
証跡の保存期間は、情報の種類や適用される法律によって異なります。
例えば、会計帳簿などの証跡書類については、会社法では10年、法人税法では原則7年（欠損金が生じた事業年度は10年）の保存が求められます。どの法律が適用されるかを確認し、最も長い期間にあわせて保存することが安全な運用といえるでしょう。
なお、システムのアクセスログや操作ログについては、一律の法定保存期間はありませんが、業界規制や監査要件によって数年単位での保存義務が生じる場合があります。必要な保存期間は業界規制や監査要件によって異なるため、自組織のポリシーに基づいて定めることが重要です。
中小企業でも証跡管理は必要ですか？
必要です。組織の規模にかかわらず、情報漏洩や内部不正のリスクは存在します。
特に近年は、中小企業がサプライチェーン攻撃の起点として狙われるケースも増えており、インシデント発生時に「いつ・誰が・何をしたか」を証明できる体制の有無が、取引先からの信頼にも直結するようになっています。
クラウドサービスでも証跡管理できますか？
可能です。前述の通り、クラウド型の証跡管理ツールも存在します。
ただし、取得できるログの範囲や保存期間、取得方法はサービスによって異なるため、利用前にサービスの仕様や利用規約をよく確認する必要があります。
まとめ
証跡管理とは、内部統制の強化、セキュリティインシデントへの備え、そして法令遵守のために不可欠な取り組みです。テレワークの普及やツールの複雑化といった環境変化に対応するためにも、その重要性はますます高まっています。
自組織の目的を明確にし、要件にあった適切なツールを導入することで、効率的かつ実効性のある管理体制を構築できます。
証跡管理に役立つIT資産管理ツール「SS1/SS1クラウド」
証跡管理を効率化し、強固なセキュリティ体制を構築するためには、自組織にあった専用ツールの活用が欠かせません。ツールの選定でお悩みの場合は、IT資産管理ツール「SS1/SS1クラウド」がおすすめです。
SS1/SS1クラウドは、PC操作ログをはじめ、Webサイトの閲覧ログやメールの送受信ログから、違反操作時の管理者向けアラート通知まで、証跡管理に求められる機能をしっかりと備えています。
また、オンプレミス型（SS1）とクラウド型（SS1クラウド）の両方をご用意しているため、自組織のセキュリティ要件や運用体制にあわせて、柔軟に導入形態をお選びいただけます。
日々のログ管理から監査対応まで、証跡管理体制の構築・見直しをお考えの際は、ぜひご検討ください。
SS1LAB編集部IT資産管理ツールSS1/SS1クラウドを開発・販売している、株式会社ディー・オー・エスの営業企画部メンバーで構成されています。IT資産管理・ログ管理・情報セキュリティ対策など、情シス業務の効率化に役立つ最新トレンド情報を随時発信中！
