監査ログとは｜必要な理由・取得すべきログの種類・保存期間・運用の手順

「ログは取っているはず」という状態は、多くの企業で「取っているつもりだった」に変わります。インシデントが起きて初めて、保持期間が切れていた、必要な種類のログが有効になっていなかった、誰も見ていなかったと分かるからです。本記事では、監査ログの定義から、なぜ必要なのか、何を取り、どれだけ保存し、どう運用するかまでを、Microsoft 365とGoogle Workspaceの公式仕様に基づいて整理します。

監査ログとは

監査ログ（audit log）は、システムやサービスの上で行われた行為を、後から検証できる形で時系列に記録したものです。1件の記録には、少なくとも次の要素が含まれます。

アクセスログや操作ログという言葉は「記録の種類」を指しますが、監査ログは「目的」から付けた呼び名です。認証の記録も、ファイル操作の記録も、管理者の設定変更の記録も、改ざんされない形で一定期間保存され、第三者の検証に耐える状態にあれば監査ログとして機能します。逆に、取得していても上書きで消えていたり、当事者が自由に編集できる場所にあったりすれば、監査ログとしての価値はありません。

この「検証に耐える」という性質から、監査ログには3つの条件が求められます。完全性（必要な事象が漏れなく記録されている）、真正性（記録が改ざんされていない）、可用性（必要なときに取り出せる）です。運用手順は、この3条件を満たすための作業だと言い換えられます。

なぜ監査ログが必要なのか

監査ログが必要な理由は、大きく4つに分けられます。

1. インシデント時に原因と影響範囲を特定するため

不正アクセスや情報漏えいが起きたとき、最初に問われるのは「いつから」「どのアカウントで」「何が持ち出されたか」です。監査ログがなければ、これらに答えられず、影響範囲を「全件」として扱わざるを得ません。通知対象が広がり、対応費用も信用の損失も大きくなります。NIST SP 800-61が示すインシデント対応の各段階は、いずれもログの存在を前提にしています。

2. 内部不正を抑止し、検知するため

退職予定者による顧客データの持ち出し、委託先による権限の逸脱、管理者による設定変更の隠蔽。これらは外部からの攻撃と違い、正規のアカウントで行われるため、ログがなければ痕跡が残りません。「記録されている」と周知されていること自体が抑止になり、記録を定期的に見ることで早期に検知できます。IPAの内部不正防止ガイドラインでも、ログの取得と監視は主要な対策観点の1つです。

3. 制度・法令・取引先の要求に証跡で答えるため

監査ログは、多くの制度や基準で明示的に求められています。

4. 運用を可視化するため

誰がどのシステムを使い、どの権限が実際に使われているかは、ログを見て初めて分かります。使われていないアカウントや権限の削除、ライセンスの最適化、アクセス権の棚卸しは、監査ログを起点にすると根拠を持って進められます。

取得すべき監査ログの種類

「全部取る」は現実的ではありません。リスクの高い領域から順に、次の8種類を押さえます。

2026年9月に公表されたデジタル庁GSSの不正アクセス事案では、VPN機器の脆弱性から侵入され、保守運用担当者のアカウントでサーバー上の大量のファイルにアクセスされたことが「検知」の起点でした。ネットワーク機器のログと特権アカウントの操作ログが取れていなければ、検知そのものが成立しません。Microsoft 365に特化したログの種類はMicrosoft 365ログ管理で詳しく整理しています。

保存期間の決め方

保存期間を決めるときは、まず各サービスの「標準の保持期間」を知る必要があります。何もしなければ、この期間を過ぎたログは消えます。

これらを踏まえた保存期間の目安は次のとおりです。

• 最低ライン：1年。インシデントの発覚は侵入から数か月後になることが珍しくなく、180日や6か月では侵入時点のログが残っていない事態が起きます
• 基準が明示されている場合はそれに従う。PCI DSSは12か月（直近3か月は即時参照可能）、SCS評価制度や取引先の要求に期間の指定があればその期間
• 上場準備・係争リスクがある場合は3〜7年。J-SOXの評価証跡や訴訟対応を見据えると、監査法人や法務の要求に合わせて長期化します

標準の保持期間で足りない場合は、期限が来る前にエクスポートして別の場所に保管します。Microsoft 365であればAzure MonitorからストレージアカウントまたはLog Analyticsへ、Google WorkspaceであればBigQueryへ送る構成が一般的です。ライセンスを上げても過去のログはさかのぼって延長されないので、保持期間の変更は早いほど効きます。

取得から運用までの6ステップ

ステップ1：目的と対象を決める

「何のために、どの事象を証明できる必要があるか」を先に決めます。取引先のチェックシートに答えるためなら設問の項目、J-SOX対応なら統制ごとの証跡、インシデント対応なら上の表の8領域が対象になります。目的が決まれば、取るログと保存期間が決まります。

ステップ2：取得を有効にする

Microsoft 365ではPurviewポータルの監査ソリューションで統合監査ログの状態を確認し、Entra IDの診断設定でサインインログと監査ログの送り先を設定します。Exchange Onlineのメールボックス監査は既定で有効ですが、対象の操作が要件を満たすか確認します。Google Workspaceは管理コンソールの「監査と調査」で各ログを確認し、必要ならBigQueryへのエクスポートを設定します。端末はEDRの導入と、Windowsの監査ポリシー（ログオン、オブジェクトアクセス、プロセス作成）の有効化です。

ステップ3：集約し、改ざんされない場所に保管する

ログは本番システムとは別の場所に、本番の管理者が編集できない権限で保管します。保管先へは追記のみを許可し、削除や変更の権限を分離します。全システムの時刻をNTPで同期しておかないと、複数のログを突き合わせたときに前後関係が崩れます。集約先は、ストレージへの保存から始め、横断検索が必要になった段階でSIEMを検討します。Microsoft Sentinelの無料枠は、Microsoft 365の統合監査ログの取り込みが対象で、小規模から始められます。

ステップ4：見るべき事象を絞って監視する

すべてを監視しようとすると、アラートが多すぎて誰も見なくなります。最初は次の程度に絞ります。

• 管理者ロールの付与、多要素認証や条件付きアクセスの変更、監査設定の変更
• 外部への自動転送ルールの作成、他人のメールボックスへのアクセス
• 短時間での大量ダウンロード、外部への共有リンクの作成
• 海外や通常と異なる場所からのサインイン成功
• VPN・ファイアウォールへの管理アクセス

ステップ5：定期的にレビューする

月次で管理者操作とサインインの異常を確認し、四半期でアクセス権の棚卸しと突き合わせます。レビューの記録（誰が、いつ、何を確認し、何を判断したか）自体が、J-SOXやISMSの証跡になります。レビュー担当者は、ログの対象となる管理者本人ではない人にします。

ステップ6：インシデント時の手順を用意し、試す

「あのアカウントが侵害されたかもしれない」と言われたときに、誰がどのログをどう検索し、何を報告するかを手順にしておきます。年に1回、実際のログで検索してみると、取れていない種類のログや、保持期間の不足が手順の段階で見つかります。

よくある失敗

よくある質問

監査ログとアクセスログ、操作ログは何が違いますか。

アクセスログはシステムへの接続や認証の記録、操作ログはユーザーが行った操作の記録で、いずれも記録の種類を指す言葉です。監査ログは目的から付けた呼び名で、「誰が・いつ・何に・何をしたか」を後から第三者が検証できる形で保存した記録の総称です。アクセスログや操作ログのうち、改ざんされない形で一定期間保存し、検証に使えるものが監査ログになります。

監査ログはどのくらいの期間保存すべきですか。

法令で一律に定められた期間はありません。実務では1年以上を基準にし、PCI DSSのように12か月（直近3か月は即時参照可能）と明示する基準や、上場準備・係争リスクを考慮して3〜7年とする例があります。Microsoft 365の監査（Standard）は180日、Entra IDのサインインログはP1／P2で30日、Google Workspaceの主要ログは6か月が標準の保持期間なので、それ以上必要な場合はエクスポートして別の場所に保管します。

Microsoft 365の監査ログは何もしなくても取得されていますか。

統合監査ログは多くのテナントで既定で有効になっていますが、有効化の状態と保持期間はMicrosoft Purviewポータルの監査ソリューションで必ず確認してください。監査（Standard）の既定の保持期間は2023年10月17日以降に生成されたログで180日です。1年以上保持するには、監査対象のユーザーにMicrosoft 365 E5相当のライセンスが必要で、10年保持にはさらにアドオンが要ります。

ログを取っているだけで、誰も見ていません。問題ですか。

問題です。監査ログの価値は「後から検証できること」なので、保存されていれば最低限の目的は果たしますが、異常を検知する仕組みがなければインシデントの発見が遅れます。月次の定期レビューと、管理者権限の付与や大量ダウンロードなど限られた事象に絞ったアラートを設定することで、少ない工数で「見ている状態」を作れます。

SIEMを導入しないと監査ログの運用はできませんか。

できます。まずは各サービスの標準機能で取得と保持期間を確認し、必要な分だけエクスポートして保管する運用で十分です。複数のサービスのログを横断して検索したい、アラートを自動化したいという段階になってからSIEMを検討します。Microsoft 365環境であれば、Microsoft Sentinelは統合監査ログの取り込みが無料枠の対象で、小規模から始められます。

まとめ

• 監査ログは「誰が・いつ・何に・何をしたか」を第三者が検証できる形で残した記録で、完全性・真正性・可用性の3条件を満たして初めて機能します。
• 必要な理由は、インシデント時の原因と影響範囲の特定、内部不正の抑止と検知、制度・法令・取引先要求への証跡、運用の可視化の4つです。
• 取得は、ID・認証、管理者操作、メール、ファイル、端末、ネットワーク、業務システム、特権IDの8領域を優先します。
• 保存期間は1年以上を基準にし、Microsoft 365の監査（Standard）180日、Entra ID 30日、Google Workspace 6か月という標準の保持期間で足りない分はエクスポートして保管します。
• 運用は、目的の決定、取得の有効化、分離した場所への保管、絞り込んだ監視、定期レビュー、インシデント手順の6ステップで、レビューの記録自体が証跡になります。

監査ログの取得状況の点検と保持設定の見直し、月次レビューの代行については、当社でも支援しています。「取っているはず」を「取れている」に変えるところからご相談ください。