LASSIC Media らしくメディア

システムは動いている間、絶え間なくログを吐き出します。アプリの記録、アクセスの記録、操作の監査記録——いずれも障害の調査やセキュリティの点検に欠かせない情報です。ところが、ためる一方で放っておくと、ログはディスクを圧迫し、保管のコストがふくらみ、いざ調べたいときに目的の記録を探し出しにくくなります。逆に、勢いよく消しすぎると、後から必要になった記録が残っていない、という事態も起こります。

そこで欠かせないのが、ログを「どれだけ・いつまで保つか」を決めて回す、保存期間とローテーションの運用です。ただ、この運用は「ログ基盤の構築」や「ログ収集の仕組みづくり」としばしば同じ話にまとめられがちで、担う中身は別物です。本記事では、自社のシステムを預かる情報システム部門やインフラ担当者に向けて、保存期間・ローテーション運用とは何か、ログ基盤づくりとどう違うのか、そして進め方と外注の勘所を整理します。

保存期間・ローテーション運用とは——ログ基盤構築・収集との違い

ログの保存期間・ローテーション運用とは、集めて貯めたログについて、種類ごとにどれだけの期間残すかを定め、古くなった分を切り替え・圧縮・移送・削除していく手入れを、決めた方針で回し続ける運用を指します。ためる仕組みそのものではなく、ためたものをどう保ち、どう手放すかを扱う点が特徴です。似た文脈で語られる取り組みと並べると、役割の違いがはっきりします。

ログ基盤（Grafana Lokiなど）の構築は、ログを集めて貯め、検索できるようにする土台づくりです。またログ収集（Fluentd/Fluent Bitなど）の仕組みは、あちこちのログを集めて転送するパイプラインを整えるものです。これらが「ためる・運ぶ仕組み」を担うのに対し、保存期間・ローテーション運用は、貯まったログを「どれだけ・いつまで保つか」を決めて回す部分を受け持ちます。なお監査ログのように「誰が何をしたか」を残す記録は、とりわけ長く保つ判断が必要になりやすく、保存期間を考えるうえで外せない対象です。

ためる仕組みでも、運ぶ仕組みでもなく、貯めたログの残し方と手放し方を決めて回す——ここに違いがあります。自社が整えたいのが、貯める土台なのか、集める経路なのか、それとも保ち方の方針なのかを見極めておくと、取り組みの範囲を絞りやすくなります。

なぜ保存期間とローテーションを決めるのか

ログをためること自体は難しくありません。むずかしいのは、ためたあとの付き合い方です。方針を決めずに貯め続けると、いくつかの問題が重なって表れます。一つは、容量とコストです。ログは日々増え続けるため、放置すればディスクを圧迫し、保管のための費用もふくらんでいきます。もう一つは、探しにくさです。古い記録と新しい記録が同じ場所に積み上がると、いざ障害を調べるときに目的の一件を見つけにくくなります。

一方で、勢いよく消しすぎるのも考えものです。あとから「あのときのアクセス記録を確認したい」となっても、すでに消えていれば調査になりません。とりわけ、不正アクセスの調査や監査の求めに応じるための記録は、一定期間残しておく必要があります。どれくらい残すべきかは、業種や適用される法令、社内の規程によって変わるため、自社の事情に合わせて決めるのが基本です。だからこそ、種類ごとに保存期間を定め、ローテーションで無理なく回す仕組みが要るのです。ためすぎず、消しすぎず、必要な記録を必要な期間だけ保つ——その線引きを運用として続けることに意味があります。

保存期間・ローテーション運用でやること

この運用は、なんとなく古いログを消すだけでは、必要な記録まで失いかねません。おおまかには次のような工程を、方針として定めて回します。自社でどこまで決められているかと照らし合わせてみてください。

まず、ログを種類ごとに分類します。アプリの動作記録、アクセスの記録、操作の監査記録、セキュリティ関連の記録では、求められる残し方が違うためです。次に、それぞれについて保存期間を決めます。ここは法令や社内規程、調査でさかのぼりたい範囲をふまえて設定する工程です。そのうえで、ローテーションを設定します。ファイルが一定のサイズや日数に達したら切り替え、古い分を圧縮して、際限なくふくらまないようにします。さらに、当面参照しない古いログは、安価な保管先へ移して手元を軽くするのも有効です。そして、保存期間を過ぎたものは、決めた手順で削除します。最後に、容量やコスト、法令や要件の変化に合わせて、期間や方針を定期的に見直します。この一連の流れを図にすると次のとおりです。

つまずきやすい難所

保存期間・ローテーション運用を組むうえで、あらかじめ想定しておきたい難所がいくつかあります。着手前に押さえておくと、あとで困りにくくなります。

一つ目は、保存要件の把握です。どのログをどれだけ残すべきかは、業種や適用される法令、契約や社内規程によって変わります。技術だけで決められない部分があり、関係する部門と目線を合わせる必要があります。二つ目は、容量とコストの兼ね合いです。長く残すほど後から困りにくい一方、保管の費用はかさみます。よく参照する新しいログは取り出しやすい場所に、めったに見ない古いログは安価な保管先に、と置き場所を分ける工夫が要ります。三つ目は、消しすぎと改ざんへの備えです。監査に関わる記録は、誤って消したり、後から書き換えられたりしないよう、扱いを分けて守る配慮が欠かせません。四つ目は、種類ごとのばらつきです。すべてを一律の期間にすると、足りない記録と余る記録が同時に生まれます。だからこそ、分類したうえで種類ごとに方針を決めることが現実的なのです。

どれくらいの期間・粒度で保つか

保存期間はログの種類によって考え方が異なります。下の表は一つの目安であり、実際の期間は適用される法令や社内規程に沿って決める点にご注意ください。

粒度も大切です。すべてを細かく残すと量が膨らむため、詳しく残す対象と、要点だけにする対象を分けると、容量と調査のしやすさのバランスを取りやすくなります。まずは種類ごとの方針を一度決め、運用しながら実態に合わせて調整していくとよいでしょう。

外注時に確認しておきたい点

保存期間・ローテーション運用を外部に委託する場合は、次の点を事前にすり合わせておくと、認識のずれを防ぎやすくなります。まず、対象とするログの種類と、現在どこにどれだけ貯まっているかという実態です。散らばり具合や量によって、最初に手を付けるところが変わります。次に、保存期間の考え方です。適用される法令や社内規程は自社側で押さえたうえで、それを運用へ落とし込む部分を任せる、という分担が現実的です。

さらに、古いログの保管先や削除の手順、監査に関わる記録の守り方、そして容量やコストの報告のしかたも、あらかじめ決めておきたいところです。保存期間・ローテーション運用は続いていく取り組みなので、いずれ自社で回せるように方針書や手順を残してもらえるかどうかは、後々の助けになります。方針づくりまでを頼むのか、日々の運用や見直しまで含めて依頼するのかを明確にしておくと、任せたあとのつまずきを抑えやすくなります。

まとめ：保存期間・ローテーション運用で押さえる3つの視点

ログの保存期間・ローテーション運用は、ログを貯める基盤づくりや集める収集の仕組みとは役割の異なる、「貯めたログをどれだけ・いつまで保つかを決めて回す」運用です。検討するうえで押さえたい視点は3つに整理できます。第一に、ログ基盤の構築・収集の仕組み・保存期間の運用を切り分け、自社が整えたいのがどれなのかを見極めること。第二に、ためすぎと消しすぎのどちらも避けるため、種類ごとに保存期間を定めてローテーションで回すこと。第三に、保存期間は法令や社内規程で決まる面が大きいと踏まえ、関係部門と目線を合わせ、監査に関わる記録は消さない・書き換えない扱いで守ることです。この3点を踏まえておけば、「容量がふくらむ一方なのに、いざというとき必要な記録が残っていない」という事態を避けやすくなります。自社だけで方針を固めきるのが難しいと感じたら、実態の棚卸しや方針づくりから外部の手を借りるのも一つの選択肢です。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　出典：情報処理推進機構（IPA）「情報セキュリティ」（https://www.ipa.go.jp/security/）

Tweet