公共部門の監査証跡に本当に求められる耐性

監督機関から求められた際、多くの機関はアクセスログを提出できます。しかし、より難しい問い――管理者権限を持つ者が、そのログを提出前に密かに編集できた可能性があるか――に答えられる機関はごくわずかです。理論上でも「はい」となる場合、そのログは証拠とは言えません。正当な認証情報を持つ者が、誰が市民記録にアクセスしたかについて、好きなように書き換えられる文書に過ぎないからです。

本記事では、公共機関において監査ログが証拠として信頼できる条件と、多くの機関のログ管理がその基準を静かに満たせていない実態について解説します。

要約

監査ログが監督機関や内部調査担当者にとって有用かどうかは、その完全性への信頼にかかっています。そして、その信頼はポリシーだけでは担保できません。基盤となるログストレージに管理者権限で技術的に編集できてしまう場合、たとえポリシーで禁止されていても、それは「不可能」であることとは異なります。ITやコンプライアンスの責任者にとって、実質的な基準はアーキテクチャです。すなわち、システム管理者を含め、誰かが実際に記録を改ざんできるかどうかです。

主なポイント

1. 管理者が編集や削除できるログは、どれだけ詳細でも証拠にはなりません。
2. 基盤となるログストレージへのアクセスは、ポリシーだけでなくアーキテクチャ上も制限されていなければなりません。
3. 職務分離はアクセス制限と同じくらい重要です。 市民記録にアクセスする役割と、そのアクセス記録を確認する役割は、同じであってはなりません。
4. 完全性と即時性も信頼性の一部であり、切り離せません。
5. 監督機関は、ログの内容だけでなく、どのように保護されているかも重視する傾向が強まっています。

「詳細なログがある」は機関にとって誤った出発点

監査ログについての議論は、カバレッジ（網羅性）に集中しがちです。カバレッジは重要ですが、最初に問うべき本質的な問いにはなっていません。

完全性のない詳細は、単なるよくできた物語

誰が市民記録にアクセスしたかを詳細に記録したログも、その後に誰にも改ざんされていない保証がなければ信頼できません。

本当に重要な問い：誰がこれを変更できたか

最初に問うべきは、ログに何が記録されているかではなく、書き込まれた後に誰が技術的にそれを変更できるかです。

ログの完全性を「運用」ではなく「設計」で担保するには

「管理者はログを編集してはならない」というポリシーは、管理者がそれを守ることに依存しています。アーキテクチャによる制御は、そもそも技術的に編集できないようにします。

基盤となるログストレージへの常時アクセスを排除

この制御の最も強力な形は、機関自身のIT管理者もプラットフォームベンダーも、ログが保存されているOSやデータベースに通常はアクセスできない状態です。

例外は「抜け道」ではなく、本当に例外でなければならない

防御可能な例外と抜け道の違いは、そのアクセスが一時的であり、二重承認が必要で、かつその操作自体も完全にログに記録されるかどうかです。

職務分離という独立したセーフガード

市民記録にアクセスできる役割と、そのアクセス記録を確認・監査する役割が同一の場合、その役割には本質的な利益相反が生じます。

実行者と監査者は分けるべき

真の職務分離とは、コンプライアンス、監査、ポリシーの機能を運用管理とは異なる役割に割り当てることです。

監督機関から求められる前に基準を構築する

実務的なテストは、「誰が技術的に機関の監査ログを改ざんできるか」、そして「実行する役割と監査する役割が本当に分離されているか」を率直に問うことです。

データコントロールプレーンがアーキテクチャに証拠性を組み込む方法

Kiteworksのデータコントロールプレーンは、強化されたアーキテクチャ上で稼働し、Kiteworksも機関自身のIT管理者も、基盤となるOSやデータベース（監査ログストレージを含む）に通常アクセスできません。サポートアクセスは一時的かつ二重承認制で、その操作自体も完全にログに記録されます。専用のコンプライアンスおよび監査者ロールが運用管理と監査機能を分離し、すべてのチャネルでの全アクションを、改ざん不可能かつスロットリングなしの監査ログとして即時かつ完全に記録し、SIEMツールへ直接連携します。

自組織の監査ログが「管理者が編集できたかもしれない」という問いに耐えられるか検証したい機関は、カスタムデモを予約できます。