正解：ア
各選択肢の解説
ア利用者が取得できるログインや操作の記録の種類と、その保存期間を確認する。
正解。SaaSではサーバの記録を自社で集められず、調べられるのは事業者が利用者に 提供する記録の範囲に限られます。種類と保存期間を導入前に確かめておきます。
イ疑いが生じたら事業者のサーバを借り受け、ディスクを自社で解析する手順を定める。
誤り。オンプレミスで行うディスクの解析をそのまま当てはめた誤解です。SaaSのサーバは 多くの利用者で共用しており、利用者がディスクを借り受けて解析することはできません。
ウ自社のファイアウォールの記録があれば足りるので、その保存期間だけを延ばす。
誤り。ファイアウォールには通信の有無が残るだけで、SaaSの中で誰が何を操作したかは 分かりません。社外から直接ログインされた場合は、自社の機器を通りもしません。
エ記録は事業者が期限なく保存しているので、必要になった時点で取り寄せる。
誤り。記録の保存期間は事業者や契約の内容ごとに決まっており、期限なく残るとは限りません。 気づいたときには調べたい期間の記録が消えていた、ということが起こりえます。
理解を深めるために
調べられるのは「渡してもらえる記録」の範囲だけ
オンプレミスのサーバなら、OSやアプリケーションの記録を自分で設定して残し、 いざとなればディスクを取り出して解析することもできます。SaaSでは、サーバも アプリケーションも事業者の管理下にあり、利用者が手にできるのは事業者が管理画面などで 提供するログインや操作の記録だけです。何が見られて、どれだけの期間さかのぼれるかは サービスと契約の内容で決まります。
なぜ導入前に確かめるのか
不正ログインの調査では、「いつ、どこから、どのIDでログインし、何を見たか」を さかのぼって確認します。事件が起きてから確かめると、次のような事態になりがちです。
- 必要な操作の記録が、契約している版では提供されていない
- 保存期間が短く、疑いに気づいた時点で該当する期間の記録が消えている
- 記録を書き出す手段がなく、自社の保管期間の規程を満たせない
足りない場合は、上位の契約を選ぶ、定期的に記録を書き出して自社で保管する、 といった手当てを導入時に決めておきます。
混同しやすい考え方との違い
| 考え方 | 適切か | 理由 |
|---|---|---|
| 提供される記録の種類と保存期間を確かめる | 適切 | 調べられる範囲は事業者が渡す記録で決まる |
| ディスクを借り受けて解析する | 不適切 | 共用の基盤で、利用者は媒体に触れられない |
| 自社のファイアウォールの記録で足りる | 不適切 | サービス内の操作は残らず、社外からの接続は通らない |
| 事業者が期限なく保存している | 不適切 | 保存期間はサービスと契約ごとに決まっている |
オンプレミスとクラウドの違いは、費用や導入の速さだけではありません。 「自分で集められる記録が減る」ことも、セキュリティの面から見た違いとして押さえておきます。