3．セキュリティ監査

　経済産業省「情報セキュリティ監査基準」は、セキュリティ監査の目的を下記の通り定めている。

## 情報セキュリティ監査の目的

情報セキュリティ監査の目的は、情報セキュリティに係るリスクのマネジメントが効果的に実施されるように、リスクアセスメントに基づく適切なコントロールの整備、運用状況を、情報セキュリティ監査人が独立かつ専門的な立場から検証又は評価して、もって保証を与えあるいは助言を行うことにある。

　セキュリティ監査は、情報システムだけでなく、紙や記憶媒体などの管理も含めた情報セキュリティに係るリスクを対象としている。情報セキュリティ監査基準はシステム監査と同様に、セキュリティ監査の具体的な基準を策定している。

　セキュリティ監査に関する基準を詳細に定めているのは、経済産業省の「情報セキュリティ管理基準」だ。セキュリティ監査に関する基準としては、その他FISCの「金融機関等コンピュータシステムの安全対策基準・解説書」や、PCI Security Standards Council（PCI SSC）が発行している「Payment Card Industry Data Security Standard」（PCI DSS）がよく利用される。

　システム監査に関する基準においても、情報セキュリティに関する項目が規定されている。にもかかわらずセキュリティ監査が独立した制度および監査基準として定められている背景には、事業運営における情報セキュリティの重要性の高まりと、脅威の増大が挙げられる。

　セキュリティ監査に関する基準におけるログ管理の項目は、システム監査に関する基準と比較して詳細かつ具体的になっている。

情報セキュリティ管理基準

　情報セキュリティ管理基準は、ログ管理について、例えば下記のように定めている。

## 12.4　ログ取得及び監視

（前略）

* 12.4.1　利用者の活動、例外処理、過失及び情報セキュリティ事象を記録したイベントログを取得し、保持し、定期的にレビューする。（中略）

* 12.4.2　ログ機能及びログ情報は、改ざん及び認可されていないアクセスから保護する。（中略）

* 12.4.3　システムの実務管理者及び運用担当者の作業は、記録し、そのログを保護し、定期的にレビューする。

　要約すると上記の通りだが、小項目レベルでは20項目規定している。システム監査に関する基準では見られない、ログ情報の保護に関して定めていることが特徴といえる。

　ログの分析（レビュー）については具体的に「システムの実務管理者及び運用管理者の作業」だと限定している。リスクの高い作業に関するログのレビューは必須といえる。

金融機関等コンピュータシステムの安全対策基準・解説書

　FISCによる金融機関等コンピュータシステムの安全対策基準・解説書は、ログ管理について例えば下記のように定めている。なお原文ではなく要約した内容となる。

• ログを取得し監査証跡として保管し、定期的にチェックしていることを周知させ、不正アクセス行為をけん制する
• 監査証跡やオペレーション記録、運転記録などは、改ざんや不正アクセスを防ぐために、正当なアクセス権限者以外から適切に保護される
• インターネットを利用した取引では、利用者自らが使用状態を確認できる機能を設ける
• インターネットを利用した取引では、当該取引を特定できる情報をログとして取得し保存できる機能を設ける
• CD（現金支払機）やATM（現金自動預け払い機）などを利用した取引においては、偽造・盗難カードなどによる不正使用が発生する場合に備え、取引情報などを記録、管理できる機能を設ける

　インターネット取引やCD／ATMを利用した取引といった、金融機関特有の項目を含めていることが特徴だ。

PCI DSS

　PCI SSCのPCI DSSは、ログ管理について例えば下記のように定めている。なお原文ではなく要約した内容となる。

• 全てのシステムについて、アクセスログや特権ID作業ログ、ログファイルへのアクセスログなどを取得する
• ログファイルへのアクセス権限を制限し、不正な変更から保護する
• ログファイルのバックアップを取得する
• ログファイルのファイル整合性監視を実装する
• 重要システムのログやセキュリティイベントは毎日レビューする
• 上記以外の全てのログを定期的に分析する
• ログは少なくとも1年間保持し、3カ月はすぐに分析できる状態にする

　PCI DSSはクレジットカード情報を保有するシステムとネットワークに対して要件の順守を確認することで、認証を付与する基準だ。要件のレベルが高いことはもちろん、項目の具体性もこれまで紹介したどの基準よりも詳細であり、一般企業がセキュリティを整備するための指標としても活用できる。

　以上のように、各監査基準におけるログ管理の項目を見ると、それぞれの目的に応じたログ管理の在り方が示されている。次回は、それぞれのIT監査の目的と想定するリスクに応じたログ管理について具体例を紹介する。