不正ログインがあったか調べたい。会社で残すログと確認担当の決め方

「身に覚えのないログイン通知が来た」「社員のパソコンが動いている形跡がある」といった不安が生じた際、真っ先に必要となるのが、過去の操作記録である「ログ」です。ログがなければ、不正アクセスがあったのか、あるいは単なる操作ミスなのかを客観的に判断することができません。まずは、自社で利用しているクラウドサービスやシステムにおいて、「いつ、誰が、どのような操作を行ったか」が記録されているかを確認してください。次に、その記録がいつまで残っているか、そして異常を見つけたときに誰がその記録を読み解くのかという「運用ルール」を決めることが、被害を最小限に抑えるための第一歩となります。

不正ログインの調査に役立つログの種類とは？

誰がいつ入ったかを特定するログイン履歴

不正ログインの有無を判断するために最も重要なのは、システムへの出入りを記録した「ログイン履歴」です。これには、ログインに成功した記録だけでなく、パスワードを何度も間違えた「ログイン失敗」の記録も含まれます。例えば、深夜の時間帯に海外のIPアドレス（インターネット上の住所のようなもの）からログインが試みられている記録があれば、それは攻撃の兆候かもしれません。担当者は、利用しているサービスの設定画面などで「ログイン履歴」や「アクセスログ」という項目を探し、そこから「日時」「利用者名」「接続元の場所」が確認できるかをチェックしてください。これらが不明確だと、犯人の特定や被害範囲の特定が困難になります。

何を変えたのかを突き止める操作ログ

ログインが許された後に、具体的にどのような操作が行われたかを知るためには「操作ログ」が必要です。例えば、重要な顧客データのダウンロードが行われたのか、あるいは管理者の権限が勝手に変更されたのかといった記録です。これらは「誰が」「どのファイルに対して」「どのようなアクション（閲覧、編集、削除など）をしたか」をセットで記録している必要があります。もし、操作ログが残っていない場合、不正アクセスがあったとしても「何が盗まれたのか」「何が書き換えられたのか」を証明することができず、事後の対応や顧客への説明が非常に難しくなります。重要なデータに触れる権限を持つアカウントの操作については、特に重点的に記録を残す設定になっているかを確認しましょう。

システムの状態を示す認証と権限変更のログ

攻撃者は侵入後、さらに深く入り込むために、自分たちの権限を強める「権限変更」を行うことがあります。例えば、一般社員のアカウントに対して、管理者と同等の権限を付与するような操作です。このような「権限の昇格」や、新しいユーザーアカウントが作成された記録は、セキュリティ上の極めて重要なサインです。また、セキュリティ設定自体が変更されていないかも確認対象となります。担当者は、システムの設定変更履歴が残っているか、またその変更を行った人物が正当な手続きを踏んでいるかを照らし合わせられる状態にあるかを、IT担当者やサービス提供元へ確認しておくことが推奨されます。

ログをいつまで、どのように保管すべきか？

調査に必要な期間を見極める保存期間の目安

ログを保存する期間は、単に「長く残せば良い」というものではありません。不正アクセスは、侵入してから実際に被害が出るまでに数週間から数ヶ月の潜伏期間があることも珍しくありません。そのため、直近数日分だけのログでは、侵入のきっかけとなった過去の動きを追えないリスクがあります。例えば、不正アクセスに気づくまでに時間が経っている場合もあるため、直近のログだけでは原因究明が困難になるリスクがあります。ログの保存期間は、自社の業務要件や、万が一の調査にどの程度の過去まで遡る必要があるかに基づいて決定してください。なお、ログの量が増えると保存コスト（保管にかかる費用）が増加する場合があるため、情報の重要度や調査の必要性とコストのバランスを考慮して、保持期間を検討することが重要です。

記録の改ざんを防ぐための保管方法と保護

ログは、攻撃者が自分の足跡を消すために、不正に削除したり書き換えたりしようとする対象でもあります。そのため、ログを保存する場所は、日常的な業務で使う環境とは切り離されているか、あるいは「一度書き込んだら修正できない」仕組みになっていることが望ましいです。例えば、ログを別の専用のストレージ（保管場所）に自動転送する仕組みや、書き込み権限を厳格に制限する管理方法があります。担当者がログを確認する際は、「このログ自体が操作されていないか」という視点も持つことが大切です。ログの整合性を守ることは、調査結果の信頼性を担保することに直結します。

ログの出力と閲覧権限の管理ルール

ログには、個人のメールアドレスや操作内容といった機密情報が含まれることがあります。そのため、誰でも自由にログを閲覧したり、ファイルとしてダウンロードしたりできる状態は避けるべきです。ログの閲覧権限は、調査の責任を持つ特定の担当者や、セキュリティ管理者に限定して割り当ててください。また、ログを調査のために外部へ持ち出す際の手順も決めておく必要があります。例えば、持ち出しの際の承認フローを明確にしたり、持ち出し用ファイルの暗号化を検討したりするなど、情報の漏えいリスクを低減するための社内ルールを策定してください。ただし、これらの対策だけで情報の安全が完全に保証されるわけではないため、持ち出し経路や管理体制を含めた総合的な運用が求められます。情報の守り方と、調査のしやすさのバランスを考えることが、実務における重要な判断基準となります。

異常を見つけたときに動く体制の作り方

ログの確認担当者と連絡ルートの明確化

ログを保存していても、誰もそれを確認していなければ意味がありません。異常なログインや操作を検知した際、「誰がログを読み解くのか」と「誰に報告するのか」という体制をあらかじめ決めておく必要があります。例えば、システム管理者が一次的な確認を行い、重大な疑いがある場合は経営層や外部の専門家へ報告するという流れです。この際、連絡先リストには、社内の担当者だけでなく、利用しているサービスのサポート窓口や、契約しているセキュリティベンダーの緊急連絡先も記載しておきましょう。いざという時に「誰に電話すればいいかわからない」という事態を防ぐことが、初動対応の成否を分けます。

異常検知時の具体的なアクションプラン

ログに異常が見つかった際、パニックにならずに動けるよう、あらかじめ「次に何をすべきか」の簡易的な手順書（アクションプラン）を作成しておきましょう。例えば、「不正なログインが確認されたら、まず該当アカウントを一時停止する」「被害の可能性がある端末をネットワークから切り離す」といった具体的な行動です。ただし、不用意な操作が原因究明を妨げることもあるため、どこまでの判断を現場で行い、どこからを専門家に相談するかという境界線を引いておくことが重要です。担当者は、この手順書が現在のシステムの構成（クラウド利用か、自社サーバーかなど）に即しているかを定期的に見直してください。

調査結果を記録に残し、再発防止へつなげる

ログを調査して「何が起きたか」が判明した後は、その調査過程と結果を必ず文書として残してください。いつ、どのログを見て、どのような異常を確認し、どのような判断を下したのかという記録は、その後の復旧作業や、万が一の際の法的・社会的な説明責任を果たすための貴重な証拠となります。また、この記録をもとに「なぜ防げなかったのか」「ログの保存期間は足りていたか」といった振り返りを行い、設定の見直しやルールの更新を行うことが、会社の防御力を高めることにつながります。調査を「終わったこと」にせず、次への改善プロセスとして組み込むことが重要です。

ログ運用を導入・見直す際の判断基準

自社の業務に合わせたログ項目の選定基準

すべてのログを網羅的に残そうとすると、管理コストが膨大になり、本当に必要な情報が埋もれてしまう可能性があります。そのため、「自社にとって最も守るべき資産は何か」を基準に、記録すべき項目を絞り込みます。例えば、顧客情報を扱う部署であれば「顧客データへのアクセスログ」を最優先し、社内のコミュニケーションツールであれば「ログイン履歴」を優先するといった具合です。担当者は、IT部門やシステムベンダーに対し、「この操作が起きたとき、後から原因を追えるだけの情報は残っていますか？」と具体的に問いかけ、自社の業務実態に即した項目が選ばれているかを確認してください。

外部サービスへの委託範囲と責任の境界線

現在、多くの企業がクラウドサービスを利用していますが、ログの保存についても「サービス提供側」と「自社」のどちらが責任を持つのかを理解しておく必要があります。例えば、多くのクラウドサービスでは、ログイン履歴は提供されますが、詳細な操作ログの長期保存は有料オプションであったり、自社で別途設定が必要だったりする場合があります。「サービス側がログを取っているはずだ」と思い込まず、契約書や管理画面を確認し、自社でどこまで設定・管理すべき範囲なのかを明確にしてください。この境界線を把握しておくことが、トラブル発生時の「責任の押し付け合い」を防ぐことにつながります。

専門家へ相談すべきタイミングと準備すべき資料

ログの解析や、高度なサイバー攻撃への対応は、社内の知識だけでは限界がある場合が多いです。例えば、「ログに不審な動きはあるが、それが攻撃なのかどうかの判断がつかない」「ログの形式が複雑で読み解けない」といった状況に陥ったら、速やかにセキュリティの専門家へ相談してください。その際、あらかじめ「いつから」「どのシステムで」「どのような異常が」起きたのかを整理し、可能な限り関連するログのサンプルを準備しておくと、スムーズな相談が可能になります。自社だけで抱え込まず、専門家の知見を借りる判断を適切に行うことが、被害の拡大を防ぐための賢明な選択です。まずは、現在のログ保存状況が自社の不安を解消できるものになっているか、社内の状況を整理することから始めてみてください。