ログ管理とは、機器やシステムに残る操作と通信の記録を集め、決めた期間保管し、必要なときに確認できる状態に保つことです。全部を残そうとせず、事故のときに答えたい問いから種類と期間を決めると、中小企業でも続けられます。
今日やることは、社外とつながる機器、ログインを管理する仕組み、重要なサーバーを書き出し、「今、何日分のログが残っているか」を確かめることです。自社で分からなければ、保守会社に聞いて表を埋めてください。空欄が、最初に直す場所です。
ログを残す目的は何か？
事故の調査では、残っているログがそのまま答えの限界になります。IPAのランサムウェア被害から学ぶ教訓集（2026年9月）は、侵害範囲の把握、侵入経路の特定、安全なデータの確保のいずれも、残存するログの調査から始まると書いています。
答えたい問いは、次の4つにまとめられます。
- いつ入られたのか
- どこから入られたのか
- どの機器とアカウントが使われたのか
- 何を見られ、何を持ち出された可能性があるのか
「いつ」は復旧にも直結します。同じ教訓集は、侵入開始より前のバックアップなら安全だと判断できるので、安全な復元時点を判断できるようログを保存しておくよう求めています。バックアップがあっても、どの時点まで戻せばいいのかを決める材料がログです。
ログが足りないと、問いが残ったままになります。JPCERT/CCのログの活用と分析方法の資料（2015年）は、必要なログが無い、十分な期間のログが無いために全容の解明に至らなかった例を挙げています。
何を残すのか？種類は問いから選ぶ
ログの種類を先に並べると、全部必要に見えてしまいます。問いごとに、どの記録が答えになるかを当てはめます。
| 答えたい問い |
見るログ |
主な置き場所 |
| どこから入られたか |
VPN、ファイアウォールの通信と接続の記録 |
ネットワーク機器 |
| 誰のIDで入ったか |
ログインの成功と失敗、権限の変更 |
Active Directory、クラウドの管理画面 |
| 中で何をしたか |
サーバーのイベントログ、EDRの記録、操作ログ |
サーバー、端末、管理製品 |
| 何に触れたか |
ファイルサーバーのアクセス記録 |
ファイルサーバー、NAS |
優先するのは上の2行です。入口のログは、社内のデータが暗号化されたときの手がかりになるのに、取得の対象から漏れていることがあります。国土交通省の名古屋港の事案の中間取りまとめは、システム内部のアクセスログは保存されていたものの、VPN機器のログは取得対象になっていなかったと整理しています。サーバー内のデータは暗号化されてログの解析が困難になり、感染経路は断定できませんでした。同じ資料は、入口であるVPN機器のログは経路の特定に役立つので、可能な限り取得しておくべきだとしています。
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版も、通信ログと認証ログの取得と保管を挙げ、改ざんを防いだうえで定期的に確認するよう求めています。JPCERT/CCの侵入型ランサムウェア攻撃を受けたら読むFAQでは、侵入経路の例としてSSL-VPN製品の確認が挙げられています。
一見関係のなさそうな記録が役に立つこともあります。先の教訓集には、攻撃者の活動の痕跡を見つけられたものとして、PCの資産管理ソフトの操作ログを挙げた組織がいくつかあったと書かれています。すでに使っている製品に、どんな記録があるかも確かめてください。社員や委託先の操作を残したいなら、内部不正対策・操作ログ監視の製品比較で記録の範囲を比べられます。
保存期間はどう決めるのか？
保存期間に、全企業共通の答えはありません。私たちが確かめた公的資料で、中小企業向けに一律の日数を定めたものは見つかりませんでした。業法や取引先との契約に定めがある場合は、そちらに従います。
IPAのガイドライン第4.0版は、ログが1週間、3か月、1年といった一定期間で自動的に削除される設定が一般的だと説明し、管理の方針を組織で定めるよう書いています。つまり、何も決めなければ、製品の初期設定が保存期間になります。今日確かめるのは、この初期設定です。
判断の材料は3つです。
- 発見までの時間：NISTのインシデント対応ガイド（SP 800-61 Rev.1、IPAの2009年の翻訳）は、事件が数日、数週間、数か月後まで発見されない可能性があるとして、少なくとも数週間、できれば数か月の保管を求めています。古い資料ですが、考え方は今も使えます。アサヒグループホールディングスの2026年2月の発表では、障害の約10日前に侵入されていたと説明されています。この日数は1社の例で、目安にはなりません
- バックアップの世代：ログが残っている期間より古いバックアップは、安全かどうかの判断材料が足りなくなります。ログとバックアップの期間をそろえて考えます
- 費用と容量：機器ごとに1日の容量を実測し、期間を掛ければ必要な容量が出ます。推測で契約せず、1週間分を測ってから決めます
私たちが出発点として考えるのは、次の形です。公的な基準ではなく、話を始めるための置き台です。
保存期間の置き台（公的基準ではありません）
- 入口と認証のログ：1年
- 重要なサーバーと操作のログ：3か月〜1年
- すぐ検索できる状態：直近3か月、それより古いものは取り出せれば可
容量や費用で無理なら、まず入口と認証のログの期間を確保し、残りは短くします。短く決めた場合は、その理由と、そのぶん調べられなくなることを記録に残します。
たとえば、部品メーカーならどう決めるか
たとえば、取引先の図面をファイルサーバーに置き、VPNで外注先や自宅からつなぐ部品メーカーの場合です。事故のとき取引先から聞かれるのは「うちの図面は持ち出されたのか」です。
この問いに答えるには、VPNの接続記録、ファイルサーバーへのログイン、図面フォルダへのアクセス記録が要ります。図面フォルダの記録は、機器によっては初期設定のままでは残らないので、対象のフォルダに絞って設定できるか保守会社に確かめます。全フォルダを対象にしないので、容量は抑えられます。
生産設備の制御機器のログは、この段階では別に扱います。止められない機器の設定変更は、設備メーカーと相談して進めてください。
どこに保管し、どう確かめるのか？
ログは、取った機器の中だけに置きません。警察庁の令和7年のサイバー脅威情勢の報告は、攻撃者がログや使ったツールの痕跡を消して攻撃を終える流れを説明しています。名古屋港の事例のように、暗号化で読めなくなることもあります。
手軽な順に、次のような形があります。
- 機器の転送機能で、別のログサーバーやNASへ送る
- クラウドの保管先へ送り、削除できる人を限る
- 統合ログ管理ツールで集めて、検索できるようにする
保管先の管理者IDは、普段使うIDと分けます。同じIDなら、侵入されたときにログごと消される恐れが残るからです。
保存できているつもりで止まっていることもあります。半年に一度、ログの保管先で一番古い日付を確かめ、決めた期間と合っているかを記録してください。事故の場面を想定して、特定の日のVPNの接続記録を実際に取り出してみると、手順の穴も見つかります。実際の確認場所はパソコンのログの確認方法にまとめました。
ツールはいつ要るのか？
ログを1か所に集める統合ログ管理ツールと、集めた記録をつなげて分析するSIEMは、保管と確認の手間を減らす道具です。ただ、残すログと期間が決まっていないまま入れても、何を見ればいいのかは決まりません。
検討する目安は、機器ごとに見て回るのが負担になった、複数の機器を横断して時系列で追いたい、といった困りごとが出たときです。保管が目的なら統合ログ管理ツールの製品比較、分析と検知まで求めるならSIEMの製品比較から見てください。SIEMは見る人がいないと警告が埋もれるので、運用を誰が担うかも一緒に決めます。
取引先からセキュリティ対策の確認を求められている会社は、SCS評価制度も見ておくと話が早くなります。IPAのFAQによると、★3と★4の登録申請は2027年3月の受付開始予定です。ログの要件は、同じページから案内されている要求事項・評価基準の解説書で確かめてください。
監視や運用を含めた社内の回し方は、監視・運用・社内体制のカテゴリで扱っています。事故が起きると調査の費用も発生し、ログが足りるかどうかで調べ方が変わります。金額の感覚はフォレンジック調査の費用の記事で確かめられます。
