2．システム監査

　システム監査の目的は、経済産業省「システム監査基準」が下記の通り定めている。

## 前文．［1］システム監査の意義と目的

（前略）システム監査は、情報システムにまつわるリスク（以下「情報システムリスク」という。）に適切に対処しているかどうかを、独立かつ専門的な立場のシステム監査人が点検・評価・検証することを通じて、組織体の経営活動と業務活動の効果的かつ効率的な遂行、さらにはそれらの変革を支援し、組織体の目標達成に寄与すること、又は利害関係者に対する説明責任を果たすことを目的とする。

　一般的にシステム監査は情報システムにまつわる広範なリスクを対象としていることから、より具体的な監査基準が必要だ。その監査基準としては、経済産業省「システム管理基準」と、公益財団法人の金融情報システムセンター（FISC）が発行している「金融機関等のシステム監査指針」がある。

システム管理基準

　システム管理基準は、ログ管理について下記のように規定している。

## V．5．ログ管理

（1）運用管理者は、ログを取得し、定期的に分析すること。（中略）
（2）運用管理者は、情報セキュリティ方針に基づいて、適切なツールを利用するなどして、全てのログを一元管理し、即時に分析して、可及的速やかにセキュリティインシデントの予兆や痕跡を取得し、対策を講じること。

　簡単にまとめると「運用管理者はログを取得し、定期的に分析する」「運用管理者は全てのログを一元管理し即時に分析する」である。ログを取得するだけでなく定期的に分析する、という踏み込んだ内容を規定しているとともに、必要なときに迅速にログを利用できるように運用面での留意事項にも触れている。

金融機関等のシステム監査指針

　FISCによる金融機関等のシステム監査指針は、タイトルの通り金融機関向けであり、項目はシステム管理基準と比べて具体的になっていることが特徴だ。金融機関に対してシステム監査を実施する際には、監査法人のみならず、金融機関の内部監査部門やIT企業も活用している。

　ログ管理に関して、金融機関等のシステム監査指針は下記のように規定している。なお原文ではなく要約した内容となる。

• システムや情報の重要性に応じてログを取得し一定期間保管する
• 特権の使用は特に注意して監視する
• 重要システムについては必要に応じてログを分析する

　金融機関等のシステム監査指針は、ログの取得や監視について具体的な項目を規定しているとともに、分析については「必要に応じて」と表現している。全てのログに対して同等の管理レベルを求めるのではなく、重要性と必要性の判断を求めていると考えられる。