LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

サーバーのログは残っているはずなのに、誰も中身を見ていない。不正なアクセスを疑って調べようとしたら、必要な期間のログがもう消えていた——。情報システムの担当者が少ない会社では、こうした食い違いが起こりがちです。ログ管理とは、機器やシステムが記録する操作や通信の履歴を集めて保存し、点検し、不要になったら消すまでの一連の作業を指します。

外注を使えば、ログの保存や点検を毎日続ける手間を減らせます。ただし万能ではなく、何のためにどのログを残すか、どれだけの期間を保存するかは、頼む側が決めておかないと外部の担当者も動けません。本記事では、情報システムの担当者に向けて、ログ管理の流れ、外注の形の違い、外注するときに決める5つのこと、保存期間の考え方、そして外部に頼むときに確認したい点を整理します。

ログ管理とは

米国の国立標準技術研究所（NIST）のログ管理の手引きは、ログ管理を、ログを生成し、転送し、保存し、分析し、廃棄するまでの一連の作業と定義しています。^*1 国内では、政府機関向けの統一基準が、ログを不正侵入やその予兆を見つける材料であり、問題が起きた後に原因を調べる材料でもあると位置づけています。^*2 流れを分けると、次の5つの段階になります。

• 生成：サーバー・ネットワーク機器・業務システムが、ログインや操作、通信の記録を書き出す
• 転送：機器ごとに散らばったログを、まとめて保存する場所（ログ収集サーバー）へ送る
• 保存：決めた期間、消えたり書き換えられたりしないように保管する
• 分析：定期的に点検し、不審なログインや通信がないかを確かめる
• 廃棄：保存期間を過ぎたログを、決まりに沿って消す

外注の話になると、ログを集める製品の選び方に目が向きがちです。けれども製品は、この流れのうち転送・保存・分析を助ける道具です。製品ごとの仕組みはELK Stackの解説やGraylogの使い方入門で扱っています。本記事では、流れ全体のうちどこを外部に頼み、どこを自社で決めるかに絞ります。

自社運用と外注の違い

ログ管理の外注には、自社で運用する場合と比べて、大きく3つの形があります。IPA（情報処理推進機構）の中小企業向けガイドラインも、ログの内容を十分に理解するには専門的な知識が必要だとして、管理を助けるツールや、ログの分析・通知・レポートを続けて提供するセキュリティ監視サービスを紹介しています。^*4

どの形を選んでも、何のためにログを残すかを決めるのと、異常が見つかったときに最終的に判断するのは自社です。夜間も含めた常時の監視を考えているなら、SOCによるセキュリティ監視運用の外注もあわせて読むと違いがつかめます。

外注するときに決める5つのこと

政府機関向けの統一基準は、ログを取る目的を決めたうえで、対象の機器、取る項目、保存期間、取り扱い方を定め、取ったログを定期的に点検・分析することを求めています。^*2 民間企業がこの基準に従う義務はありませんが、外注の前に決めておく項目の目安になります。整理すると次の5つです。

• 1. 目的と対象：何を見つけたいのか（不正なログイン、社内からの持ち出しなど）と、どの機器・システムのログを集めるか
• 2. 保存期間と置き場所：何年分を残すか。すぐ調べられる場所に、どれだけの期間を置くか
• 3. 点検の頻度と報告の形：毎日・毎週・毎月のどの間隔で見るか。報告書に何を載せるか
• 4. 書き換えを防ぐ管理：ログを消したり書き換えたりできる人を、誰に限るか
• 5. 異常時の連絡：不審なログを見つけたとき、誰に、どの手段で、どこまで知らせるか

つまずきやすいのは1つ目です。目的を決めないまま「全部集めてほしい」と頼むと、量ばかり増えて点検が追いつかなくなります。政府機関向けのガイドラインも、目的は情報システムの特性や想定される脅威に応じて設定し、そのうえで集めるログや保存期間を検討するとしています。^*3

4つ目については、ログを集めるサーバーの管理者を、ほかのサーバーの管理者と別の人にする方法が例に挙がっています。^*3 機器の時刻をそろえておくことも、複数の機器のログを突き合わせる前提になります。

保存期間の考え方

保存期間は、外注の見積もりにもっとも響く項目です。IPAのガイドラインは、サーバーのログは1週間・3か月・1年といった一定の期間で自動的に消えるよう設定されているのが一般的だと説明しています。^*4 初期設定のままでは、攻撃に気づいたときには手がかりが消えている、ということが起こり得ます。

• 政府機関向けのガイドラインは、標的型攻撃を初期の段階からたどる観点で、ログを1年間以上保存することが望ましいとしています^*3
• 長く残すほど費用がかかるため、直近の分はすぐ調べられるディスクに、それ以前の分は長期保存に向いた媒体に分けて置く方法も示されています^*3
• すぐ調べられる場所に置く期間は、過去にさかのぼって調べる期間や頻度と、かけられる費用から決めます^*3

1年という期間は政府機関向けの目安で、業界の規則や取引先との契約で、より長い期間を求められることもあります。自社に当てはまる決まりを先に確かめ、そのうえで外注先に期間を伝えるのが順番です。古いログを順に消していく仕組み（ローテーション）の運用は、ログの保存期間とローテーション運用の記事で詳しく扱っています。

外部に頼むときに確認しておきたい点

政府機関向けの統一基準は、業務を委託するときに、委託先が行う情報セキュリティ対策の履行状況を定期的に確認することや、委託の終了時に情報が返却・廃棄・抹消されたことを確かめることを求めています。^*2 ログ管理の外注でも同じ考え方で、契約の前に次の点を確かめておきます。

• 報告の中身：定期の報告で、点検した期間、気になったログ、それをどう判断したかが分かるか
• 置き場所と見られる人：ログを委託先の環境に置くのか、自社の環境に置くのか。自社の担当者がいつでも元のログを見られるか
• 異常時の動き：不審なログを見つけてから連絡するまでの流れと、調査が必要になったときにどこまで協力してもらえるか
• 契約終了時の扱い：預けたログを返してもらう形式と、委託先に残ったログを消したことの確かめ方
• 製品と引き継ぎ：どの製品でログを集めるか。設定や手順の文書を受け取れるか

見落としやすいのは契約終了時の扱いです。外注先を変えるときにログを引き取れないと、保存期間を決めた意味がなくなります。製品の仕組みの違いはGrafana Lokiでのログ基盤の構築などの記事で確かめられます。

まとめ：ログ管理の外注で確かめておきたい3つの点

ログ管理を外注するうえで、確かめておきたい点は3つに整理できます。第一に、何を見つけるためにどのログを集めるかを、頼む前に自社で決めること。第二に、保存期間と置き場所を、さかのぼって調べる期間と費用から決めること。第三に、報告の中身と異常時の連絡、契約終了時のログの引き取り方を、契約の前に確かめることです。この3点を踏まえておけば、「外注していたのに、いざ調べたいときにログが残っていなかった」という事態を避けやすくなります。範囲の決め方や仕組みづくりに迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：米国国立標準技術研究所（NIST）「SP 800-92 Guide to Computer Security Log Management」（https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-92.pdf）。出典：ログ管理の定義（ログの生成・転送・保存・分析・廃棄の一連の作業）を参照（2026年10月確認）
2. *2　参考：内閣官房 国家サイバー統括室（旧NISC）「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」（https://www.cyber.go.jp/pdf/policy/general/kijyunr7.pdf）。出典：7.1.4「ログの取得・管理」（ログの位置づけ、目的・対象・保存期間・取扱方法の決定、定期的な点検又は分析）と4.1.1「業務委託」（履行状況の定期的な確認、秘密保持契約、終了時の返却・廃棄・抹消の確認）を参照（2026年10月確認）
3. *3　参考：内閣官房 国家サイバー統括室「政府機関等の対策基準策定のためのガイドライン（令和7年度版）第3部～付録」（https://www.cyber.go.jp/pdf/policy/general/guider8_6_02.pdf）。出典：7.1.4の解説（ログを取得する目的の設定、1年間以上の保存、オンラインと長期保存媒体の使い分け、ログ収集サーバーの管理者の分離）を参照（2026年10月確認）
4. *4　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf）。出典：ログ管理の説明（一定期間での自動削除の設定、管理方針と専門知識の必要性）と、セキュリティ監視サービスの説明を参照（2026年10月確認）

Tweet