情報セキュリティマネジメント試験情報＆徹底解説

組織における内部不正防止ガイドラインは、組織の内部不正を防止する体制づくりを推進するためのガイドラインで、10の視点から見た33項目の対策が示されています。

このガイドライン(第5版)において、アクセスログの取扱いに関する管理策は「情報システムにおけるログ・証跡の記録と保存」のページに記述されていて、以下の8つが対策のポイントとして挙げられています。

1. ログは、重要情報へのアクセス履歴や、利用者の操作履歴（Webのアクセスログやメールの送受信履歴他）等を取得する。
2. 証跡は、設定したポリシーに応じて、上記のログ以外の日時、利用者、操作端末、操作内容、送受信の内容等の情報を取得する。
3. ログは定期的に確認する。
4. ログ・証跡を収集するにあたり、利用者の人権・プライバシーを保護するため、「従業員モニタリングの目的等の就業規則での周知」に基づいて必要な措置を行うことが望ましい。
5. ログ・証跡の保存を行っている事実を従業員に通知することは、内部不正の発生を抑止する上で効果的な方法と考えられるため、一般的には、通知することが望ましい。
6. ログ・証跡の保存期間は、リスクとコストのバランスによって決定する。保存期間は、内部不正の抑止の観点から内部者に知らせないことが望ましい。
7. ログ・証跡の確認には、改ざん及び削除防止並びに特定のシステム管理者からのみアクセス可能等の措置が取られていることが望ましい。
8. クラウド等の外部サービス利用時の情報漏えい等の責任分界の観点からは、クラウド等の外部サービスにログインした際の認証・操作等のログ・証跡による証拠保全が重要である。

選択肢の記述をガイドラインの対策に照らし合わせて、適切か否かを判断していきます。

• ログの保存期間は、リスクとコストのバランスによって決定するため不適切です。
• ログの確認には、特定のシステム管理者からのみアクセス可能等の措置がとられていることが望ましいので不適切です。
• ログ保存期間は、内部不正の抑止の観点から内部者に知らせないことが望ましいので不適切です。
• 正しい。ログは定期的に確認し、異常な行動が見られた利用者に対しては事象確認または監視強化等の対策を行うことが望まれます。