ログ管理
システムやネットワークで起きた出来事の記録（ログ）を、作り、送り、保管し、分析し、廃棄するまでの一連の管理です（英語では log management）。CISSP の試験アウトラインでは、ログ管理（Log management）は
CISSPドメイン7 セキュリティ運用の 7.2（ログの取得と監視の活動）の項目で、
CISSPドメイン6 セキュリティの評価と試験でも 6.2 のログの確認（Log reviews）として扱います。ログは、
検知や、誰が何をしたかを後から追える
責任追跡性の土台です。
定義
NIST SP 800-92（コンピュータのセキュリティのログ管理の手引き、2006年9月）は、ログを「組織のシステムとネットワークの中で起きた出来事の記録」とし、ログは記録の項目（エントリ）からなり、各項目は特定の出来事についての情報を持つとしています。セキュリティに関係するログは、セキュリティのソフトウェア（ウイルス対策、
ファイアウォール、侵入の検知と防止の仕組み）、サーバや端末やネットワーク機器の OS、アプリケーションなどが作ります。ログ管理は、「コンピュータのセキュリティのログのデータを、生成し、送り、保管し、分析し、廃棄する過程」です。
改訂版の草案 SP 800-92 Rev. 1（初期公開草案、2023年10月）は、ログを、物理と仮想の基盤、ネットワーク、サービス、クラウドの環境を含む組織のコンピュータの資産で起きる出来事の記録とし、ログ管理を「ログのデータを、生成し、送り、保管し、アクセスし、廃棄する過程」としています。旧版の「分析」が「アクセス」に置き換わっています。草案は、組織がログ管理の改善を計画するための手順集（プレイブック）としてまとめられています。
何に使うか
SP 800-92 は、ログの用途として次を挙げています。
- セキュリティのインシデント、方針の違反、不正な行為、運用の問題を見つける
- 監査とフォレンジクス（証拠の調査）、組織の中の調査、平常の状態（ベースライン）の把握、運用の傾向と長い期間の問題の把握
- 法令や規則に従うために、決まったログを保管し分析する
難しさ
SP 800-92 は、多くの組織でのログ管理の根本の問題を、限られた資源と、絶え間なく生まれるログのデータとのつり合いを取ることだとしています。ほかにも次を挙げています。
- ログの発生元が多い
- 発生元ごとに、内容・形式・時刻の付け方がそろっていない
- ログの量が大きく増えている
- ログそのものの機密性・完全性・可用性を守る必要がある
- 管理者が、ログを定期的に、効果的に分析するようにする必要がある
違い・誤解しやすい点
- 「ログは取っておけば役に立つ」：SP 800-92 は、管理者が定期的にログを分析することを、ログ管理の課題の一つに挙げています。取るだけで見なければ、検知にも監査にも使えません（この最後の文は筆者の整理）
- 「時刻は機器に任せればよい」：SP 800-92 は、機器の時計が不正確だとログの時刻も不正確になり、複数の機器のログを突き合わせる分析が難しくなるとしています。そのうえで、NTP（時刻を合わせる仕組み）のサーバなどで、各機器の時計を共通の時刻源に同期させるよう勧めています
- 「ログは守らなくてよい」：SP 800-92 は、インシデントの最中に、そのシステムのログは攻撃者に書き換えられたり壊されたりしうる一方、ログを集めて保管する基盤のログには、攻撃者は通常アクセスできないとしています。ログを別の場所に集める理由の一つです。NIST SP 800-53 Rev. 5（セキュリティとプライバシーの管理策の一覧。どれを求めるかは組織がシステムの重要度に応じて選ぶ）の AU-9 は、ログとログの道具を、許可のないアクセス・変更・削除から守るよう求めています
何をするか
SP 800-92 は、組織がログ管理の方針と手順を定めるよう勧めています。ログの要件と目標を決め、必須の要件と推奨を、生成・送信・保管・分析・廃棄のそれぞれについて方針にし、経営層がそれを支えるとしています。証拠として使うことがありうるログは、元のログを残すことも方針で扱うとしています。
SP 800-53 Rev. 5 の管理策は、主に次を挙げています（要約）。
| 管理策 |
内容 |
| AU-6（監査の記録の確認・分析・報告） |
決めた頻度で、システムの監査の記録を確認・分析し、不適切または普通でない活動の兆候と、その影響を調べる。見つけたことを決めた担当に報告する。リスクが変わったら、確認の度合いを変える |
| AU-8（時刻） |
システムの内部の時計で時刻を付け、協定世界時（UTC）か、UTC との差が分かる形で記録する |
| SC-45（時刻の同期） |
システムの中とシステムの間で、時計を同期させる |
| AU-9（監査の情報の保護） |
監査の情報とログの道具を、許可のないアクセス・変更・削除から守り、それを見つけたら決めた担当に知らせる |
| AU-11（監査の記録の保管） |
インシデントを後から調べるため、また法令や組織の保管の要件を満たすため、決めた期間、監査の記録を保管する |
日本で働くなら
2026年10月時点の内容に基づきます。
| 考え方 |
日本で対応するもの |
| ログの分析で不正を見つける |
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」の「10（別添）講ずべき安全管理措置の内容」：個人情報取扱事業者は、情報システムを使って個人データを取り扱う場合、技術的安全管理措置として、(3) 個人データを取り扱う情報システムを外部からの不正アクセスや不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。その手法の例に、「ログ等の定期的な分析により、不正アクセス等を検知する」がある |
| 取扱いを後から検証できるようにする |
同じ別添の組織的安全管理措置の (2) 個人データの取扱いに係る規律に従った運用の手法の例に、システムログその他の個人データの取扱いに係る記録の整備などを通じて、個人データの取扱いの検証を可能とすることがある |
措置そのものは講じなければなりませんが、その手法について、同じガイドラインは、リスクに応じて必要かつ適切な内容とすべきもので、例示の全てを講じなければならないわけではないとしています。
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:18
