ログ管理は量より、事実を再構成できる調査可能性

AIの利用範囲を確認しようとすると、次は「誰が、どのデータを、どこへ渡したのか」が問われます。対策の有無だけでは、説明が足りなくなり始めました。

IPAの「情報セキュリティ10大脅威 2026」では、AIの利用をめぐるサイバーリスクが組織向けで初めて3位に入りました。ランサム攻撃が11年連続で1位にあるなか、調査の起点となる記録の重要性は一段と増しています。

しかし、ログを多く残すほど安全に見える一方で、異常時に事実関係を再構成する初動判断は遅くなり得ます。必要な記録がない問題と、記録が多すぎて必要な事実にたどり着けない問題は、同じログ管理の中にあります。

本記事では、ログを増やすほど初動が遅くなる逆説を、現場・管理・経営の責任から掘り下げ、全量保存を前提にしない調査可能性の設計を考えます。

ログを増やすほど初動は遅くなる

保存されていないログは調べられません。しかし、記録を増やすことと、異常時に事実関係を早く再構成できることは同じではありません。問われるのは保管量ではなく、誰の操作がどのデータにいつ及んだかを結び直せる設計です。

侵入経路の絞り込み

ランサムウェアの被害が判明した朝、現場担当者は端末、認証、ネットワークの記録を見比べ、最初の侵入と影響範囲を絞り込みます。IPA「情報セキュリティ10大脅威 2026」では、ランサム攻撃が2016年から11年連続で1位でした。ただし順位は危険度の計測値ではなく、約250人の選考会が2025年の事例の社会的影響を判断した結果です。警察庁は2024年中の被害報告を222件としており、初動で調査対象が広がる現実は重く受け止める必要があります。

「侵入経路は複数になることが多く、初動でその特定に時間を費やすことが多いと報じられている。」

JPCERT/CC「侵入型ランサムウェア攻撃発生時に残るWindowsイベントログの調査」が示すのは、ログ量が遅延の直接原因だということではありません。複数の候補を時系列で相関する必要がある、という現場条件です。編集部としては、各ログを増やす前に、利用者、資産識別子、操作、時刻を横断検索できるかを確認することが、初動の実効性を測る問いになると考えます。

説明可能性の設計

業務担当者がAIに情報を入力し、その結果を別のSaaSや端末で利用する場面では、調査対象は出力だけにとどまりません。IPA「情報セキュリティ10大脅威 2026」でAI利用をめぐるサイバーリスクが組織向けで初選出・3位となった背景には、理解不足による情報漏えいや、生成結果の無検証利用があります。誰が何を入力し、どの処理とデータ経路を通り、どう利用したかを後から説明できる必要があります。

AI事業者ガイドラインは、ログの記録・保存とデータ処理プロセスの文書化に加え、取得目的、保存期間、保護、時刻同期、開示範囲、確認手順を検討対象に挙げます。管理側には容量やアクセス権、委託先との責任分界も残ります。したがってAIの記録は全量保存の競争ではなく、調査時に解釈できる監査証跡として設計する課題です。

「どこまでログを残せばよいか分からない」「3か月でログが消えてしまい、原因究明ができない」

これはIPA「ASM診断及び事例集作成業務 実施報告書」に記録された現場の声です。経営側は、保管量ではなく、重大事象で誰・何・どのデータへの影響を何時間で説明できたかを確かめる必要があります。

欠損を避ける選別

「初動を遅らせるならログを絞ればよい」という考え方には、強い反論があります。欠損したログは、侵害の有無、影響範囲、証拠保全を判断不能にし得ます。IPA「サイバーセキュリティ経営ガイドライン Ver3.0 実践のためのプラクティス集」も、アクセス失敗ログがなければ悪意ある振る舞いを検知しにくく、被侵害システムと同じ場所での保管には消去のリスクがあると示します。この反論は正しく、保存を減らすこと自体を結論にはできません。

確認すべきなのは、AI、SaaS、端末、認証基盤ごとに、重要な経路の記録が欠けていないか、その記録を共通の時刻と識別子でつなげられるか、そして担当者が確認手順を持つかです。次に問うべきは、その設計を平時の運用と経営判断にどう組み込むかです。

同じログを四つの責任が見る

AI利用が広がるほど、ログは検知の材料だけでは済みません。異常時に何が起きたかを再構成し、誰に説明するかまで含めて、同じ一行を四つの責任が見ています。

検知漏れと統制の接点

深夜のアラートを確認する現場担当は、まず見落としを恐れます。IPA「情報システム等の脆弱性情報の取扱いに関する研究会2025年度報告書」は、CSIRT要員が10人未満の組織を中心に、ログやアラートによる監視・検知が十分にカバーされていないと整理します。445件を対象としたIIJ「情シスのホンネとリアルがわかるセキュリティ実態調査 2025」でも、ログの監視・分析体制は不足する対策の上位でした。

「監視や検知が十分にカバーされていない」と調査で報じられている。

一方、情報システム・セキュリティ管理側にとって同じログは、アクセス制御が実際に機能したかを点検する統制の証跡です。現場が必要とする「見逃さないための情報」と、管理側が必要とする「権限統制を説明する情報」を、同じ保存設計で満たせるとは限りません。編集部としては、取得量を増やす前に、事故類型ごとに誰が最初に確認し、どの記録で判断を引き継ぐかを確かめる必要があると考えます。

復旧説明と委託先の境界

障害や侵害の発生後、経営・経営企画が求めるのは復旧の完了だけではありません。IPA「中小企業のためのセキュリティインシデント対応の手引き」は、第二報以降と最終報で関係者へ対応状況や再発防止策を報告し、調査情報を5W1Hで整理することを示しています。経営者が認識すべき3原則と担当幹部へ指示すべき重要10項目を示す経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」も、説明可能な復旧を技術部門だけの課題にはしません。

「復旧は、原因と対応経過を5W1Hで説明できることと切り離せない」と手引きは示している。

ただし、監視基盤を外部委託していれば、ログの保有者と説明主体は分かれます。IPA「指示9：委託先等を含めたサプライチェーン全体の状況把握及び対策」は、委託先を含む状況把握と契約上の役割・責任範囲の明確化を求めます。委託先が取得した記録を、委託元がいつ受け取り、誰へ説明できるかが、復旧時の責任分界になります。

選択的な証跡設計

監査・法務から見れば、ログは改ざんに耐える証跡である一方、個人情報を含み得る管理対象でもあります。経済産業省「AI事業者ガイドライン（第1.01版）」は、AIの入出力等を記録・保存し、事故原因究明、再発防止、損害賠償責任の立証などを踏まえて記録方法、頻度、保存期間を検討するよう示します。反対に、経済産業省「AI事業者ガイドライン案に対する意見及び考え方」には、長期保存がプライバシー上の懸念を生むとの意見もあります。

全量を長期間残せば事故調査に有利、という反論には重みがあります。しかし、目的外利用や漏えい時の影響も広げ得ます。委託先が運用していても委託元の監督責任が問われ得ることは、個人情報保護委員会「通則編」と同FAQ Q1-56が示す通りです。次に問うべきは、保存期間、対象イベント、閲覧権限、提出期限を、どの事故で誰に説明するための証跡として定めるかです。

226件が変えるログ要件の起点

ログを多く残せば安全になるわけではありません。しかし、復旧後に侵入経路と影響データを説明できなければ、停止を終えた後の判断は長引きます。226件は被害の大小を競う数字ではなく、何を根拠に事実関係を確定するかを問う起点です。

復旧初日の証跡

現場担当者が暗号化された端末の復旧を急ぐ場面では、機器の更新や初期化が先に進み、調査に必要な証跡まで失いかねません。警察庁「令和7年の犯罪情勢」によると、2025年通年に警察庁へ報告された企業・団体等のランサムウェア被害は226件です。これは国内の全被害や被害率ではなく、報告された事案の件数です。それでも、各事案で復旧後に侵入経路と影響範囲を確定する必要が生じる点は変わりません。

「証跡が残っておらず、侵入経路に関する詳細な調査ができなかった。」

必要なのは検知件数を増やすログではなく、時刻・主体・対象・操作・経路を結び直せる証跡です。現場は封じ込め手順に「何を保全してから復旧するか」を置き、管理側は資産台帳と照合できる状態を確認する必要があります。

説明不能なAI経路

業務担当者が個人アカウントでAIを使い、社外持出しを禁じたデータを入力した場合、管理側は利用自体を把握できないことがあります。IPA「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けで初選出の3位となり、ランサム攻撃による被害は11年連続で1位でした。この順位は被害件数順ではなく、社会的影響が大きかった候補を約250人の研究者・企業実務担当者などが審議・投票したものです。

編集部は、この初選出をAIだけの防御要件とは読みません。IPA「10大脅威 2026 解説書」が示すシャドーAIのリスクは、入力、参照、出力、外部連携というデータ経路を組織が説明できない問題でもあります。経営は利用促進と統制の両立を求め、現場は手間の少ない業務導線を求めます。その間を埋める確認質問は、「誰が、どのデータを、どの経路で外部へ渡したかを後から示せるか」です。

保存範囲の優先順位

不正アクセス後、管理・法務・個人情報保護の担当者は、影響のおそれを早く判断しながら、後続調査で対象データと再発防止を詰めます。JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」は、復旧前に想定される侵入経路への対処が必要であり、侵害範囲を絞り込んだ上でログを調査・解析するとしています。バックアップの復元だけでは、再侵入を防ぐ判断まで完了しません。

「ログを増やしても侵入は防げず、脆弱性対策、認証強化、分離、バックアップを優先すべきだ」という反論は妥当です。通信履歴には通信の秘密や個人情報保護上の制約もあります。だからこそ個人情報保護委員会などの「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」が挙げるFW・VPN・認証・DB・クラウドなどを、製品名ではなく観測点として選ぶべきです。全ログの無期限保存ではなく、復旧判断と影響データの確定に必要な範囲を、保存期間とアクセス統制とともに定めることが要件になります。

次に問うべきは、選んだ観測点を資産台帳と構成図にどう結び、異常時に誰がどの順で確認するかです。

全量保存は本当に唯一の安全策か

AI利用では、操作した事実だけでなく、人・権限・扱ったデータ・外部への送信経路を後から説明できることが問われます。全量・長期保存の価値を認めたうえで、初動判断を速める証跡の条件を考えます。

現場の初動捜索

侵害の疑いを受けた担当者は、まず認証、特権操作、管理操作、通信、重要データへのアクセスを突き合わせ、入口と影響範囲を探ります。未知の攻撃では、どの記録が後で必要になるかを事前に決め切れません。削除済みのログは回収できない以上、「費用が許す限り全てを長く残すべきだ」という反論には強い合理性があります。重要領域の全量取得は、初動で仮説を早く捨てすぎないための安全策です。 国家サイバー統括室の重要インフラ指針に関する資料も、ログ機能を持たない制御系では通信ログを集める代替を示しています。AI利用についても、誰がどの権限で何を外部経路に扱ったかを結べるか、担当者は確認する必要があります。

「時刻がずれているとログ同士を突き合わせられず、原因究明が難しくなると説明されている。」

管理側の証跡設計

管理側は、収集量を増やせば調査可能性も高まる、と単純には置けません。サーバ、端末、VPN機器で時刻や識別子、形式がそろわなければ、全量でも一つの事実関係に結び直せないためです。厚生労働省の現場向け教材は、ローカル保存だけでは暗号化や破壊でログも失われ、初期設定の容量不足では古い記録が上書きされると注意を促します。国家サイバー統括室の政府調達セキュリティ要件策定マニュアルも、保存内容・期間を利用頻度、侵害時影響、費用対効果とともに定め、アーカイブを含むアクセス制御を求めています。編集部としては、保存年数だけを決める方針には留保が必要だと考えます。集中保管、改ざん・削除防止、最小権限、横断検索までがそろって初めて、保存された記録が証拠になります。

「初期設定のままでは、容量不足で古いログから上書き・削除されがちだと現場向け教材は指摘する。」

経営が問う再構成時間

経営や経営企画が有事に必要とするのは、保存容量の報告ではなく、侵入経路、影響範囲、持ち出しの可能性、実施済み対応を説明できる状態です。英国政府の調査では、事業者の62%が内部記録を残す一方、正式なインシデント対応計画を持つ事業者は25%にとどまりました。英国政府「Cyber Security Breaches Survey 2025/2026」が示すのは、記録があっても説明と判断の手順が整っているとは限らないことです。したがってKPIは保存量ではなく、想定事故で何時間以内に事実関係を再構成できるかに置くべきです。全量取得を削るのではなく、重要領域は長期かつ改ざん耐性付きで確保し、保存期間と検索性能を演習で検証することが次の論点になります。

自社の運用に合う選択肢を見比べる際は、ログ管理を比較するための比較表もご活用ください。

初動を速くする因果関係の取り出しやすさ

ログを多く残すことは、安全を捨てる話ではありません。けれど異常時に必要なのは、記録の量ではなく、誰の操作がどの経路を通り、どのデータへ影響したかを短時間で結べることです。記録が散在し、時刻や識別子がつながらなければ、全量保存は調査の出発点を増やすだけになります。

ログ管理の本当の論点は、保存の完全性ではなく、説明責任を果たすまでの時間です。次の検討会では、各部門にこう尋ねてください。「この事故が起きた場合、何時間以内に侵入経路と影響データを説明でき、その根拠となるログはどこで結び付くか」。答えられない箇所こそ、次に設計すべき対象です。

デジタル化の窓口 編集部