トレーサビリティ11分
自動化ワークフローで活用できる監査ログの設計方法
有用なイベントを記録し、各判断を説明し、不要なデータ収集なしに調査するための6段階の方法です。
有用な監査ログは、データの山でも専門家だけのファイルでもありません。権限のある人が、何が、なぜ、どの権限で行われ、どの結果になったかを迅速に理解できる必要があります。
ログが答えるべき質問から始める
技術項目より先に用途を定めます。インシデント、異議申立て、エラー、定期レビューで必要な証拠は同じではありません。
- 何が起きたか
- 誰が判断・承認したか
- どの結果を確認するか
共通スキーマと相関IDを使う
すべてのイベントを同じ構造で記録します。プロセスIDにより、曖昧な自由記述に頼らず複数ツールの手順を結び付けられます。
- 一貫したUTC時刻
- 標準化したイベント種別
- 共有プロセスID
過剰収集せず有用な文脈を記録する
判断の説明に必要な参照、規則、バージョンを残します。明確な目的のない秘密情報、全内容、個人データは避けます。
- 情報源と規則の版
- コピーではなく参照
- 機密データのマスキング
承認、修正、例外を見えるようにする
ワークフローの提案、人の承認、変更内容、拒否または停止を区別して記録します。
- 最初の提案
- 承認者と変更
- 拒否、例外、理由
完全性、アクセス、保存期間を守る
気付かず改変でき、誰でも閲覧でき、永久保存されるログは価値を失います。責任者を定め、規則を文書化します。
- 制御された書き込みと改変検知
- 役割に応じた閲覧
- 明確な保存と削除
実際の調査でログを試す
正常なケース、エラー、機密性の高い操作を選びます。設計に関与していない人に時系列を再現してもらい、不足する証拠を確認します。
- 再現可能な時系列
- 使える検索と出力
- イベントの定期レビュー
NOVAMIND
すべてを保存するためでなく、理解し判断するために記録する
優れた監査ログは、信頼できる事実を利用可能な形式で結びます。調査時間を短縮し、責任を明確にし、推測ではなく証拠に基づく改善を可能にします。
一般的な方法の枠組みです。イベント、アクセス、保存期間、証拠は、法務、セキュリティ、コンプライアンス上の義務に合わせる必要があります。