システム管理基準（平成30年）によれば、ITシステムの運用・利用におけるログ管理に関する記述のうち、適切なものはどれか。

選択肢

• ア取得したログは、不正なアクセスから保護し、内容が改ざんされないように保管する。
• イ通常の運用範囲を超えたアクセスや違反行為に関するログを除外し、運用の作業ログ、利用部門の活動ログを記録し、保管する。
• ウ特権的アクセスのログは、あまり重要ではないので、分析対象から除外する。
• エ保管したログは、情報セキュリティインシデントが発生した場合にだけ分析し、分析結果に応じて必要な対策を講じる。

正解と解説

正解：ア 取得したログは、不正なアクセスから保護し、内容が改ざんされないように保管する。

ログは不正やトラブルの事実を証明する根拠となるため、記録すること以上に、記録した内容が後から書き換えられていないことが重要になる。そのため、アクセス権を限定し改ざんを防ぐ形で保管する必要がある。特権的アクセスのログはむしろ重点的に分析すべきで、分析も事故発生時だけでなく定期的に行う。

選択肢ごとの解説

• ア正解。改ざんや不正アクセスから守った状態で保管することが求められる。
• イ違反行為に関するログこそ記録・保管の対象であり、除外するのは不適切。
• ウ特権的アクセスは影響が大きく、優先的に分析すべき対象である。
• エ事故発生時だけでなく、定期的に分析して兆候を早期に捉える必要がある。

同じ分野の他の問題

• システム監査基準（令和5年）に従い、監査目的に基づいて、ガバナンス、マネジメント、コントロールの視点から検証・評価を行う…2025年度 秋期 午前 問60
• 情報システムに対する統制をITに係る全般統制とITに係る業務処理統制に分けたとき、ITに係る業務処理統制に該当するものは…2024年度 春期 午前 問60
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”における“ITへの対応”に関する記述のうち、適…2023年度 秋期 午前 問60
• 金融庁"財務報告に係る内部統制の評価及び監査の基準（令和元年）"における、内部統制に関係を有する者の役割と責任の記述のう…2023年度 春期 午前 問60
• 識別コード及びパスワードによるアクセスコントロール機能を情報システムに組み込むことによって，コントロールが可能なリスクは…2017年度 春期 午前 問60