LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

ログをどれだけ貯めるかという問いは、費用の問いでもあります。米国の連邦機関に課されていた30か月という数字が、2026年5月に置き換えられました。

行政管理予算局（OMB）は2026年5月22日、覚書M-26-14「進化するサイバー脅威に対抗するための、効果的かつ効率的な機関のログ記録とネットワーク可視性の確保」を発出し、M-21-31を即時に廃止しました*1。

設計と運用の立場から確かめたい点は4つあります。何が廃止の理由か、保存期間はどう変わったのか、何を集めるのか、いつまでにどの水準へ届くのか。原文から順に見ていきます。

廃止の理由は「貯めても使えなかった」こと

まず、覚書の書き出しを確認します*1。

脅威の側の変化から始まります*1。脅威の主体は、重要なシステムに対する攻撃を加速するために、自動化と人工知能をますます用いるようになっているとし、これらの高められた能力は、脅威の主体がシステムへの無権限のアクセスを速やかに得て、そのシステムから他のシステムへ移動し、その不正なアクセスを相当の期間にわたり検知されないまま維持することを助けうると述べます*1。

そのうえで、2021年のM-21-31を振り返ります*1。当該覚書の実施は、各機関にわたる基礎的な能力を改善したと評価しつつ、しかしながら、明確な有用性のない膨大な量のログデータの保持といった一部の要件は、大半の機関にとって運用上実行可能でもなく、費用対効果も高くないことが判明したとしました*1。

結論はこれらの非効率と、進化するサイバー脅威の環境に対処するため、この覚書は、リスクに基づき優先順位を付けたログ記録の手法を採用するよう機関に指示するです*1。即時に、OMB覚書M-21-31は廃止されると明記されました*1。

対象の範囲も定められています*1。この覚書の要件は44 U.S.C. § 3552(b)(6)に定義される国家安全保障システムと44 U.S.C. § 3553(e)に記される国防総省または情報コミュニティのシステムには適用されません*1。逆に言えば、それ以外の連邦の機関のシステムは広く対象です*1。

優先すべき目的が、2つに整理された

覚書は、ログ活動の組み立てと資源配分について、2つの目的を優先するよう求めます*1。

1つ目が継続的なイベント監視（CEM）です*1。機関がネットワークの活動をリアルタイムに監視し、異常な活動をすみやかに示し、その活動に時宜を得た形で対応することを可能にする、ログ、ログ管理およびログの基盤と定義され、これらのログは、通常、セキュリティオペレーションセンター（SOC）によって取り込まれ、監視されるとされます*1。

2つ目が脅威の探索、調査、対応および鑑識（THIRF）です*1。既知のまたは疑われる侵害の後に、脅威の主体の活動を緩和し、是正し、そこから復旧することを目的として、ネットワークの活動を調査し鑑識的な分析を行うことを可能にする、ログ、ログ管理およびログの基盤とされました*1。

THIRFには、能力の要件が付いています*1。THIRFを可能にするため、機関は、十分なホットおよびコールドの保管に加えて、攻撃の型を対応づけるために複数の源からログデータを取り出し集約する能力を維持しなければならないという書き方です*1。

対象システムも広く取られました*1。各機関は、当該機関が所有もしくは運用する、または第三者が当該機関のために所有もしくは運用するすべての情報システムについて、これらの目的を追求しなければならないとされ、そうした情報システムの一部を構成し、またはそれ自体がそうした情報システムであるモノのインターネット（IoT）機器や運用技術（OT）を含むと明記されています*1。

委託先が運用するシステムも含まれる、という点が受託する側には効いてきます*1。セキュリティ監視の運用を引き受けている場合、この2つの目的をどちらまで担うのかが、契約の粒度になります。

「検索可能」と「取り出し可能」は別の意味

保存の要件は、附属Bの第1項に置かれました*1。

保持されたログは、継続的なイベント監視（CEM）を支えるため、作成後最低6か月にわたり能動的に検索可能でなければならない。また、脅威の探索、調査、対応および鑑識（THIRF）を支えるため、作成後1年にわたり取り出し可能でなければならない*1。

2つの語は脚注で定義されています*1。この文脈における「検索可能」とは、当該データがサイバー防御のために即座に使用できることを意味する。検知と分析は、データの準備に関する追加の手順を要することなく、当該データに適用できる*1。一方「取り出し可能」とは、当該データが、準備のための1つ以上の中間的な手順を経た後に、サイバー防御の活動のために使用できることを意味するとされ、例として長期の保管からデータを分析の道具へ再生すること、アーカイブから実時間の分析基盤へ移すこと、コールドの保管にあるデータをより速い階層で参照できるよう解凍することが挙げられました*1。

覚書は釘も刺しています*1。サイバーセキュリティの目的でこれらの最低の保存要件を満たすことは、機関に固有のまたは政府全体の記録管理のスケジュールにより定められるものなど、他の適用ある要件を遵守する義務を機関から免れさせるものではない*1。短くなったのはサイバー防御のための最低線であって、記録管理の年限は別に走る、という整理です*1。

この二層の設計は、費用の議論とそのまま重なります。ログの保存とローテーションの運用で扱うホットとコールドの切り分けを、期間ではなく「解凍にどれだけかかるか」で設計し直す話になります。

集約、時刻、そして最低限のログ11項目

附属Bには、保存期間以外の最低要件も並びます*1。

集約については、柔軟な書き方になりました*1。ログの保管は分散していてもよい。ただし、CEMとTHIRFの目的を達成するため、ログは機関の最上位のSOCから容易に利用できなければならないとされます*1。手段の例として全社的なSIEMまたは同等のソフトウェアでの収集、中央の場所への転送、分散したログにわたる適切なアクセス権限の設定、集中的な保管と連合的なアクセスを組み合わせる混成の手法が挙げられました*1。

時刻の要件も明記されています*1。ログは、一貫して正確なタイムスタンプを含まなければならないとされ、正確さを確保するため、ネットワークの時刻は、機関内で指定された追跡可能な時刻源に対して、ネットワーク時刻プロトコル（NTP）または同等の仕組みにより同期されなければならないと書かれます*1。実行可能な場合には、米国海軍天文台またはNISTに追跡可能な権威ある時刻源を用いることが推奨されるとも述べています*1。

網羅性の確認方法も示されました*1。機関は、継続的な診断と緩和（CDM）、ハードウェア資産管理（HWAM）、ソフトウェア資産管理（SWAM）のデータといった道具と資源を用いて、ログの範囲が、IoT機器や運用技術を含む機関の情報システム内のすべての情報技術を包含しているかどうかを判定すべきである*1。

そして、最低限収集するログが11項目で列挙されます*1。アプリケーションおよびシステム上で操作を行うために用いられた識別情報の判定、プロトコル・ポート・セッションの属性を含む、送信元と宛先のネットワークアドレス情報の判定、アクセス・変更・破壊された対象物、資源、データの事象の特定、権限の水準の変更に影響する行為の特定、IT・OT・IoTの基盤への変更（端点の追加・削除・変更）の特定、セキュリティの道具（侵入検知システム、端点保護基盤、セキュリティゲートウェイなど）が特定した不審な活動の監視、既知の侵害の指標の監視・検知・探索、異常なシステムまたは利用者の活動の監視・検知・探索、インシデントの間に影響を受けたデータの量と種類の判定、初期のアクセスおよびラテラルムーブメントに関連するものを含む、攻撃の経路の判定、そして上記すべてについての適切な自動化された警告の生成です*1。

侵害時のログ提供も定められました*1。1つ以上の連邦のネットワークの既知のまたは疑われる侵害の場合、機関は、適用ある法に整合する限りにおいて、要請に応じてCISAおよび連邦捜査局（FBI）へログその他の関連するデータを提供しなければならないとされ、実行可能な限り広い範囲で、CISAまたはFBIが要請する期限内にログへのアクセスを提供しなければならないとされています*1。

成熟度は5段階、期限はLRAの公表から数える

進捗の測り方も置き換わりました*1。

覚書は改訂された成熟度モデル（附属C）を定め、システムの棚卸しの可視性、ログ管理の計画、ログの収集、データの保持という機能における、習熟と洗練の水準に対応する一連の性能の指標を示すとします*1。機関は、各成熟度の水準で稼働していると判定されたシステムの割合という形で、進捗を測定し報告するという書き方です*1。

期限の数え方が変わった点も見落とせません*1。日付ではなく、CISAが公表するログの参照アーキテクチャ（LRA）が起点です*1。CISAはOMBおよびCISO評議会と連携し、覚書の日付から90日以内にLRAを公表し、LRAの更新を公表した場合は5営業日以内に機関へ通知します*1。公表先はcisa.gov/Loggingとされました*1。

機関の側の期限は、LRAの公表から数えます*1。90日以内に機関ログ計画の初版、120日以内に成熟度モデルの全要素で最低レベル1、180日以内に最低レベル2、320日以内に最低レベル3です*1。LRAが更新された後は、30暦日以内に計画を更新し、60暦日以内に全要素で最低「中級」、120暦日以内に最低「上級」へ戻すことが継続的な行動として書かれています*1。

受託する側は、二層と時刻から設計し直す

ここまでを、設計の言葉に置き換えます*1。

第一に、階層の設計基準が「期間」から「取り出しに何手かかるか」へ移ります*1。検索可能とは前処理なしに検知と分析を当てられる状態、取り出し可能とは中間の手順を経て使える状態と定義されました*1。コールドから戻すのに何時間かかるかが、そのまま要件の適否になります*1。ログの保存階層と費用の設計は、この2つの語で組み直せます。

第二に、資産台帳の割合が数値目標になります*1。棚卸しの可視性はレベル1で70％、レベル2で80％、レベル3で90％です*1。ログの網羅性ではなく、まず資産をどれだけ把握しているかが問われます*1。

第三に、時刻同期が明文の要件です*1。追跡可能な時刻源への同期が書かれた以上、機器ごとの時刻ずれは要件の不適合として扱われます*1。分散したログを1つの時系列に並べる作業の前提でもあります*1。

第四に、ログそのものの保護が段階で示されました*1。レベル2で保存時の暗号化、レベル3で転送時と保存時の暗号化に加えて真正性のためのハッシュ化です*1。ログを守る仕組みが、成熟度の一部として測られます*1。

そして、これは連邦機関に向けた覚書であって、日本の事業者に直接の義務を課すものではありません*1。ただし委託先が機関のために運用するシステムも対象に含まれる以上、要求は契約を通じて降りてきます*1。同じOMBのソフトウェア自己証明の廃止と同様に、一律の基準が消える代わりに、機関ごとの計画に沿った説明が求められる形です*1。

まとめ：M-26-14で押さえる3つの視点

米国の行政管理予算局（OMB）は2026年5月22日、覚書M-26-14「進化するサイバー脅威に対抗するための、効果的かつ効率的な機関のログ記録とネットワーク可視性の確保」を発出し、M-21-31を即時に廃止しました。押さえたい視点は三つあります。第一に、廃止の理由と新しい枠組み。覚書は、明確な有用性のない膨大な量のログデータの保持といった一部の要件が、大半の機関にとって運用上実行可能でも費用対効果も高くないことが判明したとし、リスクに基づき優先順位を付けたログ記録の手法を指示しました。優先すべき目的は、リアルタイムの監視と対応を可能にする継続的なイベント監視（CEM）と、侵害後の調査と鑑識を可能にする脅威の探索・調査・対応・鑑識（THIRF）の2つです。対象は機関または第三者が機関のために所有・運用するすべての情報システムで、IoT機器や運用技術も含みます。国家安全保障システムと国防総省・情報コミュニティのシステムは対象外です。第二に、保存要件の書き換え。M-21-31が附属Cのログ種別ごとにアクティブ保管12か月とコールド保管18か月を求めていたのに対し、附属Bは、作成後最低6か月にわたり能動的に検索可能であること、作成後1年にわたり取り出し可能であることを求めます。検索可能は前処理なしに即座にサイバー防御へ使えること、取り出し可能は1つ以上の中間手順を経て使えることと定義されました。記録管理スケジュール上の義務は別に残ります。あわせて、分散保管を認めつつ最上位SOCから容易に利用できること、NTP等による時刻同期、CDM・HWAM・SWAMによる網羅性の確認、最低限収集する11項目の活動、侵害時のCISAとFBIへのログ提供が定められました。第三に、成熟度と期限。附属Cは、棚卸しの可視性、収集の範囲、収集の運用、データの保持、ログの管理という要素について5段階の成熟度を置き、システムの割合で測ります。期限は日付ではなく、CISAが覚書から90日以内に公表するログ参照アーキテクチャ（LRA）を起点とし、その公表から90日で計画の初版、120日でレベル1、180日でレベル2、320日でレベル3です。

よくある質問

出典

1. *1　参考：米国行政管理予算局（OMB）覚書 M-26-14「Ensuring Effective and Efficient Agency Logging and Network Visibility to Defend Against Evolving Cyber Threats」（2026年5月22日）（https://www.whitehouse.gov/wp-content/uploads/2026/05/M-26-14-Ensuring-Effective-and-Efficient-Agency-Logging-and-Network-Visibility-to-Defend-Against-Evolving-Cyber-Threats.pdf）。本文の一次情報として。発出日と発出者、脅威の側の変化に関する記述、M-21-31の評価と即時の廃止、適用除外（国家安全保障システム、国防総省・情報コミュニティのシステム）、CEMとTHIRFの定義とホット／コールドの保管および集約の能力、対象システム（第三者が機関のために運用するもの、IoT・OTを含む）、LRAの公表（90日以内・cisa.gov/Logging・更新時5営業日以内の通知）、機関ログ計画、成熟度モデルによる測定と報告、侵害時のCISA・FBIへのログ提供、機関の期限（LRA公表から90日・120日・180日・320日、更新後の30日・60日・120日）、附属A（LRAが扱う論点）、附属B（検索可能6か月・取り出し可能1年とその定義、分散保管と最上位SOCからの利用、時刻同期、CDM／HWAM／SWAM、最低限収集する11項目）、附属C（5要素×5段階の成熟度モデルの数値）を確認した。確認日は2026年9月9日。（2026年9月確認）
2. *2　参考：米国行政管理予算局（OMB）覚書 M-21-31「Improving the Federal Government’s Investigative and Remediation Capabilities Related to Cybersecurity Incidents」（2021年8月27日）（https://bidenwhitehouse.archives.gov/wp-content/uploads/2021/08/M-21-31-Improving-the-Federal-Governments-Investigative-and-Remediation-Capabilities-Related-to-Cybersecurity-Incidents.pdf）。廃止された旧要件の一次情報として。イベントログの階梯（EL0からEL3）とその定義、達成の期限（1年でEL1、18か月でEL2、2年でEL3）、および附属Cの技術的詳細においてログ種別ごとに「12か月アクティブ保管」「18か月コールドデータ保管」が指定されていたことを確認した。確認日は2026年9月9日。（2026年9月確認）

Tweet