I 比較・代替
監視とログの違い｜証拠としての強さと限界
「ログを取っているから監視は不要」という声を聞きます。しかし、システムのログと従業員の操作記録は、見える範囲がまったく違います。
ログで分かること
| 記録 | 分かること | 分からないこと |
|---|---|---|
| サーバーのアクセスログ | 接続元、アクセス先、日時 | その人が何をしていたか |
| 認証ログ | ログインの成功・失敗 | ログイン後の操作の内容 |
| メールのログ | 送受信の事実、宛先 | 添付の中身、本文の意図 |
ログは「何が起きたか」を残しますが、「誰が何をしたか」までは分かりません。
監視で補えること
端末側の記録は、操作の主体と内容を結びつけます。画面、ファイル操作、印刷、外部媒体。サーバーのログと突き合わせると、記録の意味が具体化します。ログだけでは説明できなかった事象を、端末の記録で補える場面は多くあります。
保存期間の違い
ログの保存期間は、機器や設定によって数か月に限られることがあります。退職者の調査に必要な期間を満たせない場合があります。端末側の記録は、保存の設計次第で長く残せます。両者の期間を把握し、調査に必要な期間を確保します。
保存期間の考え方は監視 ログ 保存期間をご覧ください。
よくある質問
Q. ログと監視の記録は、どちらが証拠として強いですか。
A. サーバーのログは改ざんが難しく、信頼性が高い傾向があります。端末の記録は操作の内容まで分かります。両方を突き合わせるのが最も確実です。
Q. ログだけで内部不正は見つかりますか。
A. 見つかる場合もありますが、正規の権限を使った操作は判別しにくいです。端末側の記録と組み合わせてください。
確認チェックリスト
- サーバーのログの保存期間を、把握している
- 端末側の記録の保存期間と、調査に必要な期間を比べている
- 両者を突き合わせる際の、時刻のずれを確認している
- ログの改ざん防止の仕組みがあるか確認している
- 調査の手順に、ログと端末記録の照合を入れている
- 記録の保全を行う担当者を、決めている
まとめ
システムのログは接続と事実を、監視の記録は操作の主体と内容を残します。保存期間の違いを把握し、両者を突き合わせることで、調査の精度が上がります。照合の作業は、平時に行うと手順が身につきます。事案が起きてから初めて試すと、時間がかかります。記録の突き合わせは、担当者を決めて行います。手順を文書にしておくと、交代しても同じ結果になります。
iMonitor でできること
本記事の内容を踏まえて、機能と導入条件を確認したい方は次のページをご覧ください。