社内ファイルのアクセスログ監視は必須ですか？ISMSが求める基準を教えてください。
社内でおのおのが使用しているファイルへのアクセスログの取得、監視、チェックは必須でしょうか。
会社規模がそれほど大きくなく、そこまでの対応は不要と思っていたのですが、「アクセスログは必須でしょう。」といった声を聞き不安に駆られております。
また社内にその分野に詳しいものがおらず、いざ必要となってもどのようにすべきかわかりません。
結論から申し上げますと、ISMSにおいて「全てのログを完璧に監視すること」が必須というわけではありません。
大切なのは、貴社のリスク（守るべき情報の重要度）に応じた「身の丈に合った対策」を講じることです。
1. 規格が求めているのは「監視」ではなく「証跡の確保」
最新のISMS規格（JIS Q 27001:2023 / ISO 27001:2022）の「8.15 ログの取得」では、イベントの記録を収集し、証跡を保護することが求められています。しかし、これは必ずしも専用の監視ツールを導入せよという意味ではありません。
- リスクに基づく判断：
全てのファイルではなく、「特に重要な顧客情報」や「機密性の高い設計図」など、漏洩した際の影響が大きい資産に絞ってログを取得・チェックする運用も認められます。 - 「いつ・誰が」の特定：
万が一事故が起きた際に、原因を追及できる「証跡」が残っているかどうかが審査のポイントとなります。
2. 専用ツールを使わない「現実的な代替案」
ITの専門知識がなくても取り組める、物理的・組織的な対策を組み合わせることで、リスクを低減する方法があります。
- OS標準機能の活用：
Windows 11等の標準機能（監査ポリシーの設定）でも、特定のファイルへのアクセスを記録することが可能です。専門的なソフトを買わなくても、OSの設定変更で対応できる範囲があります。 - 物理的な抑止（監視カメラ）：
サーバーやPCの操作画面が映る位置にカメラを設置することで、不正操作に対する強い心理的抑止力となります。これは技術的な知識が不要で、かつ強力な対策です。 - 相互監視とルールの周知：
「作業は必ず自席で行う」「2名体制でチェックする」といった運用ルールを定め、「不正アクセスは記録され、厳正に対処する」旨を社内に掲示・教育することも有効な組織的対策となります。
3. 「何から始めればよいか」へのアドバイス
リソースが限られている場合、まずは以下のステップで進めることをお勧めします。
- 重要資産の特定：
会社にとって「これだけは絶対に守らなければならないファイル」を決めます。 - アクセスの制限：
ログを取る前に、まずは「必要な人しかアクセスできない」ようにアクセス権限を絞り込みます。これが最大の防御になります。 - 抜き打ちチェック：
毎日全てのログを見るのは現実的ではありません。「月に一度、ランダムに数日分のログを確認する」という運用から始めるだけでも、ISMSとしての有効性は高まります。
まとめ
まずは、全てのログを完璧に追うのではなく、「重要なものに絞って、できる範囲から記録を残す」という姿勢で構築を進めてみてください。審査員に対しても、その「リスク判断の根拠」を説明できれば十分に通用します。
