運用
ログの保存期間はどのくらい必要？ 目安と設計の考え方
ログを集めはじめると、次に必ず問われるのが「いつまで残すか」です。長いほど安心に思えますが、容量と管理の負担は保存期間に比例して増えます。本稿では、保存期間を決めるための拠りどころと目的別の目安を整理し、決めた期間を確実に守る設計までをまとめます。
一律の「法定保存期間」はあるのか
まず前提として、日本の一般的な企業のシステムログ（syslog・サーバログ）について、「何日保存せよ」と一律に定めた法令はありません。保存期間は基本的に、各組織が目的とリスクに照らして自分で決めるものです。
ただし、業種や扱う情報によっては、業法・契約・取引先の要求・認証制度（ISMS など）・社内の情報セキュリティ規程が保存期間を実質的に定めている場合があります。まず確認すべきは外部の相場ではなく、自社にすでに課されている要求です。
参考になる基準 — PCI DSS など
拠りどころが何もない場合に広く参照されるのが、クレジットカード業界のセキュリティ基準 PCI DSS です。監査ログについて少なくとも 1 年間保存し、直近 3 か月分は即時に参照できる状態にすることを求めており、カード情報を扱わない組織でも「1 年・直近 3 か月即時」という水準は一つの目安として引用されます。
また、セキュリティインシデントの調査では、侵入から発覚までに数か月を要する事例が珍しくないことが各種の調査報告で指摘されています。「発覚してから遡りたい期間」を保存期間の下限に置く、という考え方はここから来ています。
目的別の目安
| 主目的 | 目安 | 考え方 |
|---|---|---|
| 日常の障害調査 | 30〜90 日 | 「先月の障害と比べたい」に応えられる長さ。ネットワーク運用の実用線 |
| セキュリティ調査 | 6 か月〜1 年 | 発覚の遅れに備えて遡れる長さを確保する |
| 監査・証跡 | 1 年以上 | PCI DSS 水準。監査サイクル（年次）を跨いで残す |
すべてのログを最長に合わせる必要はありません。認証・操作系の証跡は長く、機器の状態通知は短く、とログの種類で期間を変えるのも合理的な設計です。
自社の期間を決める手順
- 一. 課されている要求を洗う —— 業法・契約・認証・社内規程。あればそれが下限になります
- 二. 目的から目安を選ぶ —— 上の表から、主目的に合う水準を仮置きします
- 三. 容量と突き合わせる —— ディスク容量の見積もりで試算し、無理があれば期間か対象を調整します
- 四. 文書に残す —— 決めた期間と理由を一枚でよいので書き残します。監査で問われるのは日数そのものより「根拠を持って決めているか」です
決めた期間を守る設計 — 自動削除
期間を決めたら、それを人手に頼らず守る仕組みにします。手動削除の運用は、忘れればディスクを圧迫し、消しすぎれば証跡を失う、どちらにも転べる危うさがあります。
syslog サーバ側の保持期間設定（自動削除）を使うのが確実です。Yagura（やぐら）では既定で 30 日の自動削除が有効になっており、日数も削除を実行する時間帯も設定で変更できます。監査要件で 1 年に延ばす、検証環境では 7 日に縮める —— 決めた期間をそのまま設定に写せば、あとは仕組みが守ってくれます。