防衛に耐えうる監査証跡の構築

請負業者は、評価者から求められた際にアクセスログを提出することは通常可能です。しかし、より難しい質問には答えられないことが多いのです。それは「管理者権限を持つ者が、そのログを提出する前に密かに編集できた可能性はないか」という問いです。理論上でも「はい」と答えざるを得ない場合、そのログは証拠とはなりません。適切な資格を持つ者が、誰が管理対象ファイルにアクセスしたかについて、好きなように記述できてしまう文書に過ぎないからです。

本記事では、防衛請負業者にとって監査証跡が証拠として信頼できるものとなる条件と、多くの請負業者のログ管理がその基準を静かに満たせていない実態について解説します。

エグゼクティブサマリー

CMMC評価者や社内調査担当者にとって監査証跡が有用かどうかは、その完全性への信頼に完全に依存しており、その信頼はポリシーだけに基づくものではありません。基盤となるログストレージへの管理者アクセスが技術的に編集を可能にしている場合、ポリシーで禁止されていても、それが実際に不可能であることとは異なります。プログラムのセキュリティ責任者にとって、実践的な基準はアーキテクチャにあります。つまり、システム管理者を含むいかなる個人も記録を実際に改ざんできるかどうかが重要です。

主なポイント

1. 管理者が編集や削除できるログは、どれほど詳細でも証拠とはなりません。
2. 基盤となるログストレージへのアクセスは、ポリシーだけでなくアーキテクチャ上も制限されていなければなりません。
3. 職務分離はアクセス制限と同じくらい重要です。 CUIにアクセスする人と、そのアクセス記録を確認する人は同じ役割であってはなりません。
4. 完全性と即時性は信頼性の一部であり、切り離せるものではありません。
5. 評価者はログの内容だけでなく、どのように保護されているかも重視する傾向が強まっています。

「詳細なログがある」では不十分な理由

監査ログについての多くの議論はカバレッジ（網羅性）に集中しがちです。カバレッジは重要ですが、最初に問うべき本質的な問いには答えていません。

完全性のない詳細は、単なるよくできた物語に過ぎない

管理対象ファイルへのアクセス者についてどれほど詳細な記録があっても、事後に誰も改ざんしていないという保証がなければ、そのログは信頼できません。

本当に問うべきは「誰がこれを変えられたか」

最初に問うべきは、ログに何が記録されているかではなく、書き込まれた後に誰が技術的にそれを変更できるか、という点です。

ログの完全性を「手続き」ではなく「アーキテクチャ」で担保するには

管理者はログを編集してはならないというポリシーは、管理者がそれを守ることに依存しています。アーキテクチャによる制御は、そもそも技術的にそれができないようにします。

基盤となるログストレージへの恒常的なアクセスを排除

この制御の最も強力な形は、請負業者自身のIT管理者もプラットフォームベンダーも、ログが保存されているOSやデータベースに通常アクセスできない状態です。

例外は「例外」であり、裏口であってはならない

防御可能な例外と裏口を分けるのは、そのアクセスが一時的であり、二重承認が必要であり、そのアクセス自体も完全に記録されているかどうかです。

職務分離という独立したセーフガード

CUIにアクセスできる役割と、そのアクセス記録を確認できる役割が同じであれば、そこには本質的な利益相反が生じます。

実行者と監査者は分けるべき

真の職務分離とは、コンプライアンス、監査、ポリシーの機能を運用管理とは別の役割に割り当てることです。

評価者に求められる前に基準を構築する

実践的なテストは、「誰が技術的に請負業者の監査ログを改ざんできるか」、そして「実行する役割と監査する役割が本当に分離されているか」を率直に問い直すことです。

データコントロールプレーンがアーキテクチャに証拠性を組み込む仕組み

Kiteworks Data Control Planeは強化されたアーキテクチャ上で稼働し、Kiteworks自身も請負業者のIT管理者も、基盤となるOSやデータベース（監査ログストレージを含む）に通常アクセスできません。サポートアクセスは一時的かつ二重承認が必要で、そのアクセス自体も完全に記録されます。専任のコンプライアンス担当者と監査担当者の役割が運用管理と監査機能を分離し、すべてのチャネルでのあらゆる操作が、改ざん不可能かつスロットリングのない監査ログとして即時・完全に記録され、SIEMツールに直接連携されます。

自社の監査証跡が「管理者が編集できたかもしれない」という問いに耐えられるか検証したい請負業者は、カスタムデモを予約できます。