「誰がいつファイルをダウンロードしたか」を後から追えますか？ 退職者がデータを持ち出した疑いが浮上したとき、ログがなければ調査すらできません。
クラウドストレージを選ぶとき、容量や価格ばかり気にしてログ機能を後回しにしがちです。しかし、企業でファイルを扱うなら、監査ログとアクセス履歴は最初から設計に組み込むべき機能です。この記事では、ログが必要な理由、記録すべき項目、そして HStorage のログ機能を使った実践的な運用方法を説明します。
なぜ監査ログが必要なのか
IPA（情報処理推進機構）の調査では、企業の情報セキュリティインシデントの相当数が内部不正や設定ミスによるものです。外部攻撃よりも、身内の操作ミスや悪意ある行為の方が発覚しにくく、ログがなければ追跡できません。
よくある事例を挙げると：
- 退職を控えた社員が顧客リストを個人DropBoxに転送した
- 共有リンクの有効期限を設定し忘れ、1年後も誰でもアクセスできる状態だった
- 外部委託先に渡した共有フォルダのアクセス権を解除し忘れた
こうした事態が発覚した後でも、ログがあれば「誰が・いつ・何をしたか」を特定できます。ログがなければ被害の範囲すら把握できず、取引先や監督官庁への報告も困難になります。
ISO 27001 や SOC 2 Type II などのセキュリティ認証取得では、アクセスログの保持が審査項目に含まれます。ログ管理はビジネス継続の要件です。
クラウドストレージに記録すべき5つのログ項目
クラウドストレージサービスによって、記録するログの種類は異なります。選定時に確認すべき項目を整理しました。
1. ファイル操作ログ
- アップロード、ダウンロード、削除、リネーム
- コピー・移動先のパス
- ファイルサイズ（大量データの持ち出し検知に使える）
2. 共有・アクセス権限ログ
- 共有リンクの発行・変更・削除
- パスワードや有効期限の変更
- フォルダ権限の付与・剥奪
3. 認証ログ
- ログイン成功・失敗
- ログイン元 IP アドレスと地理情報
- 多要素認証（MFA）の使用状況
4. 管理者操作ログ
- ユーザーアカウントの作成・停止
- ストレージ容量の変更
- セキュリティ設定の変更
5. 外部アクセスログ
- 共有リンク経由のダウンロード（IPアドレス、タイムスタンプ）
- API 経由の操作
これらすべてを記録できるサービスを選べば、インシデント発生時の調査が格段に速くなります。
ログの保存期間をどう設計するか
ログは記録するだけでなく、どれだけの期間保存するかの設計も重要です。
| 目的 | 推奨保存期間 |
|---|---|
| 一般的なインシデント調査 | 1年 |
| 金融商品取引法対応 | 3年以上 |
| ISO 27001 / SOC 2 認証 | 1年以上（審査要件に従う） |
| 退職者の不正調査 | 退職前後1〜2年 |
クラウドサービスによっては保存期間を自由に設定できず、90日で自動削除されるものもあります。契約前に保存期間のオプションを確認してください。
長期保存には追加コストがかかります。ただしインシデント時の損害賠償や調査費用と比べれば、ログ保存コストは割安です。
HStorage のログ機能
HStorage では、管理画面からリアルタイムにアクセスログを確認できます。
主な機能：
- ファイル操作ログ：アップロード・ダウンロード・削除の全履歴
- 共有リンクのアクセス記録：誰が（IP アドレスベース）、いつ、何回アクセスしたか
- ユーザー別フィルター：特定メンバーの操作履歴だけを絞り込み検索
- CSV エクスポート：監査や社内報告用に一括ダウンロード
ログの活用シーンとして、たとえば「退職日前後の特定ユーザーの操作履歴を抽出し、異常なダウンロードがないかチェックする」といった運用がそのままできます。
実践：ログを活用した3つの運用フロー
フロー1：退職者の情報持ち出しチェック
退職予定者が確定したら、退職日の30日前から退職後30日までの操作ログを記録・保管するルールを設けます。退職当日のアカウント無効化と同時に、その日のダウンロード履歴を確認する手順を IT 管理者のチェックリストに組み込みましょう。
フロー2：共有リンクの定期棚卸し
月1回、期限切れ設定なしの共有リンクを一覧表示し、不要なものを削除します。アクセスログで「90日以上アクセスがないリンク」を抽出すると効率的です。放置された共有リンクは情報漏洩のリスクになります。
フロー3：大量ダウンロードのアラート設定
1ユーザーが1日に一定容量（例：5GB）以上ダウンロードした場合に管理者へ通知が届くよう設定します。このアラートがあれば、データ持ち出しの疑いを早期に察知できます。
クラウドストレージ選定時のログ機能チェックリスト
サービスを選ぶ前に確認すべき項目：
- ファイル操作ログ（アップロード・ダウンロード・削除）を記録するか
- 共有リンクの発行・アクセスログを記録するか
- ログの保存期間を選択できるか（最低1年）
- ユーザー別・期間別にフィルターできるか
- CSV などでエクスポートできるか
- 異常アクセスのアラート機能があるか
- ログデータの改ざん防止策はあるか（S3 Object Lock 等）
これらすべてに「はい」と答えられるサービスを選んでください。
まとめ
監査ログとアクセス履歴は、インシデントが起きてから「欲しかった」と気づくものです。後から追加できない過去のデータを取得するには、最初から記録しておくしかありません。
クラウドストレージを選ぶときは、容量と価格だけでなくログ機能を同じ重みで評価してください。HStorage は管理画面で即座に操作履歴を確認でき、CSV エクスポートにも対応しています。内部不正の抑止とインシデント調査の迅速化、どちらもログ機能なしには実現できません。
