SSO監査ログ、何をどれだけ保存すべきか
SSO・MFA・アカウント変更履歴の保存範囲を定め、個人情報保護と監査対応のバランスを取る実務上の考え方を紹介します。
セキュリティインシデントや顧客のセキュリティ審査が始まると、「誰が、いつ、どのアカウントで、何を変更したか」が問われます。SSOを導入していても、ログイン成功履歴しか残していなければ、アカウント侵害、権限の不正利用、退職者によるアクセスの流れを再現できません。
近年のセキュリティ規制やサイバー監査では、ログを集めるだけでなく、アクセス制御の根拠を説明できる追跡可能性が重視されています。一方、すべてのデータを無期限に蓄積することも適切ではありません。ログはインシデントのブラックボックスであると同時に、ユーザー情報が集まる保管庫でもあるからです。
まず保存目的を分ける
インシデント調査に必要な認証履歴
ログインの成功・失敗、MFAの登録・リセット・失敗、セッション終了、緊急用アカウントの使用は、アカウント侵害を判断する重要な記録です。時刻はUTCで一貫して保存し、閲覧画面ではユーザーのタイムゾーンで表示すると、複数地域の事象を比較しやすくなります。確認手順はSSOインシデント対応と監査ログで解説しています。
権限変更を説明する管理履歴
ユーザーの招待・無効化、グループ変更、アプリ割り当て、SCIM同期、OIDC・SAMLアプリ設定の変更では、実行者、対象、時刻、結果を残します。変更前後の値が必要でも、クライアントシークレット、SCIMトークン、TOTPシードなどの秘密情報は記録しません。
保存期間は一つの数字では決まらない
法令、認証基準、顧客契約、インシデント調査に必要な期間は組織ごとに異なります。「すべてのログを1年間」のように一律で決めず、次の三つを基準に方針を作りましょう。
• 適用される法令・認証・顧客契約が求める最低期間
• 脅威検知とインシデント調査に必要な現実的な検索範囲
• 個人情報の最小化、保存コスト、削除要求への影響
最近の記録はすぐ検索できる領域に置き、古い記録はアクセスを制限した保管領域へ移す方法もあります。期間満了時には自動削除し、法的保存が必要な事案だけを承認手続きによる例外として維持します。
ログ自体も保護対象にする
監査ログを変更・削除できる権限は一般管理者から分離し、閲覧やエクスポートも記録します。テナント間でデータが混ざらないように分離し、CSV・PDFには対象期間と範囲を明記しましょう。定期点検にはISMS-Pアカウント監査資料の準備とSaaSアクセス権の定期レビューも役立ちます。
AxiPassで認証から監査対応までつなぐ
AxiPassはSaaS企業向けマルチテナントIdPとして、OIDC・SAML SSO、SCIM、MFA、SWA、監査ログを統合します。顧客企業ごとにテナントを分離し、ログイン、アカウントのライフサイクル、アプリアクセス変更を一つの流れで追跡できます。保存方針は、自社に適用される法令と契約要件を確認したうえで決定してください。