これは何か
監査ログ要件一覧は、システムの中のどの操作を、どの項目で記録し、どれだけの期間保管し、誰が確かめるかを、要件として一覧にした成果物です。
監査ログ（操作の記録）の考え方は 08-04 誰が何をしたか残す で学びます。この一覧は、その考え方を、作る人が作れる要件の形にしたものです。
なぜ作るか
- 「全部とっておけばよい」ではなく、あとから確かめたい場面に必要な記録を決める
- 設計・開発の担当が、何をどう記録すればよいかを分かるようにする
- 記録を守る（書き換え・削除させない）方法と、保管の期間を決める
- 監査や調査のときに、必要な記録があることを示せるようにする
誰が使うか・いつ作るか
- 作る人：セキュリティの担当、業務の担当（確かめたい場面を知っている人）、設計の担当
- 使う人：設計・開発・テストの担当、運用の担当、監査の担当
- 一般的には、設計の段階で作り、テストで実際に記録されることを確かめます
- アステリア案件の記録の対象・項目・保管の期間は、正本に記載がありません。未確定
CASE FACTFROZEN正本に記載されたアステリア案件の事実
記録に関係する記載
- SYS-11 監視・ログ基盤
- IF-11 新基幹 → 監視・ログ、IF-12 連携基盤 → 監視・ログ
- P-012 石井 稔 — セキュリティ責任者
- 成果物に SEC-004 監査ログ要件一覧がある
IF-11・IF-12 で何を送るかは、正本に記載がありません。未確定
主な項目（列）
一般的には、1行に次の列を持ちます。
- 要件番号
- 確かめたい場面：どんな問いに答えるための記録か
- 記録する操作：ログイン、権限の変更、重要なデータの閲覧・変更、承認、データの取り出し など
- 記録する項目：誰が・いつ・どこから・何に対して・何をして・結果どうなったか（変更の前後の値など）
- 記録しないもの：パスワード、必要以上の個人の情報 など
- 保管の期間
- 守り方：書き換え・削除を防ぐ方法
- 確かめる人と頻度
教材用サンプル成果物の読み方を学ぶための例
教材用サンプル — 一覧の数行
この成果物は学習用サンプルです。FROZEN正本に記載されたCASE FACTと、成果物の読み方を学ぶための教材用サンプル値を区別して表示しています。
次の表は、要件の書き方を学ぶための例です。場面・項目・期間は、すべて教材上の架空の例で、アステリア案件の要件ではありません。保管の期間は伏せています。
| 要件番号 | 確かめたい場面 | 記録する操作 | 記録する項目 | 保管の期間 | 確かめる人 |
|---|---|---|---|---|---|
| LOG-EX-01 | 誰がいつ権限を変えたか | 利用者と役割の設定の変更 | 誰が・いつ・誰の・どの役割を・足したか外したか | ○年 | セキュリティの担当（毎月） |
| LOG-EX-02 | 顧客のデータが、いつ誰に変えられたか | 顧客のデータの変更 | 誰が・いつ・どの顧客の・どの項目を・前の値と後の値 | ○年 | 業務の担当（問い合わせのとき） |
| LOG-EX-03 | 大量の取り出しがなかったか | データの一括の取り出し | 誰が・いつ・どこから・何件 | ○年 | セキュリティの担当（毎週） |
| LOG-EX-04 | なりすましの兆しがないか | ログインの失敗 | どのアカウントに・いつ・どこから | ○年 | 監視の仕組みが自動で知らせる |
読み方
- 「確かめたい場面」から書かれているか（何のための記録か分かるか）
- 記録する項目で、その場面の問いに答えられるか
- 記録しないもの（パスワードなど）が決められているか
- 守り方と保管の期間が決められているか
- 確かめる人と頻度が決められているか
書き方
- 業務の担当・セキュリティの担当と、あとから確かめたい場面を洗い出す
- 場面ごとに、記録する操作と項目を決める
- 記録しないものを決める
- 保管の期間（法令・社内の規程を確かめる）と守り方を決める
- 確かめる人と頻度を決める
- テストで、実際に記録されることと、探し出せることを確かめる
何を書いてはいけないか
- 「すべての操作を記録する」だけの要件
- 確かめる人のいない要件
- パスワードや必要以上の個人の情報を記録する要件
どこを見るか
- 確かめたい場面と、記録する項目の対応
- 記録しないもの
- 保管の期間と守り方
- 確かめる人と頻度
- テストで確かめた記録
赤信号
- 権限の変更の記録がない
- 共有のアカウントが残っていて、「誰が」を記録できない
- 管理者が記録を削除できる
- 一度も記録を探して確かめたことがない
よくある失敗
- 記録を増やしすぎて、必要な記録を探せない
- システムごとに時刻がずれていて、記録を並べられない
- 記録の保管の費用を考えず、あとで期間を短くする
関係するUnit・成果物・危機演習
- Unit：08-04 誰が何をしたか残す、08-01 ログインできれば安全なのか、08-05 開発者は本番データを自由に見てよいのか
- 成果物：SEC-001 セキュリティ基本方針、SEC-003 本番特権アクセス管理表、OPS-002 監視・アラート一覧
- 危機演習：この成果物を直接の題材にする危機演習はありません
AI WORKFLOW
AIは、要件の抜けを探す下書きに役立ちます。
「この監査ログ要件一覧と権限設計表を比べ、①記録の対象になっていない権限の変更・承認の操作、②確かめる人または保管の期間が空欄の行、を挙げてください。保管の期間の値は決めないでください。」
REVIEW
- AIが挙げた抜けを、人が元の文書で確かめたか
- AIが保管の期間や法令の要件を推測で書いていないか
- 抜けを埋める担当を、人が決めたか
人間が判断すること
- 何の操作を、どの項目で記録するか
- 保管の期間と守り方
- 誰が、どの頻度で記録を確かめるか
いつ使うか
この教材では STAGE 08｜誰に何を許可するのか の文脈で扱います。 アステリア案件での正式な作成・使用時期（月）は正本に記載がないため、未確定としています。
最後の問い
この一覧をもとに作られた記録で、「このデータを、いつ、誰が変えたのか」という問いに答えられますか？