ケアレスミスから天変地異まで儘（まま）ならないのが人生やビジネス。とはいうものの、あきらめてばかりはいられない。間違いや不正を追跡・確認できるのが「証跡管理（しょうせきかんり）」らしい。何やら事件現場の足跡を追う探偵のよう・・・。また「証跡（しょうせき）」は企業活動のフェアさも証明するという。渋いテーマだけど、事業継続のポイントと言われれば、よーく理解しないといけないみたい。セキュリティ担当・美咲、今日もしっかり探求します！
部長から「証跡管理」を理解するように言われたんだけど、そもそも「証跡」って何なの？
一言で言うと、ビジネス活動の記録かな。
これは、システムのログといった電子的な記録もあれば、会社の創立時代から残っている管理簿のような、紙の記録も含まれるんだ。
会社の経営にかかわる重要なものなの？
企画部長や情報システムの部長が、重役会議で説明するからって、ハリキッてプレゼンの準備をしていたのだけど（笑）。
いわゆる日本版SOX法やその中のIT全般統制に関する会議じゃないのかな。
それらは、財務報告に関係するシステムのIT基盤において、正しく運用管理ができていることの確認や証明、検出された不具合に対する是正措置がとれる仕組みを求めているからね。これなんか法的に、証跡管理が要求されていると言えるかもね。
法律なども関係してくるのね。
うん。それと、会社がビジネスを健全に続けていくには、問題が生じないよう防御し、抑制することや、問題が起きたら理由や原因を特定し、解決に向かうことが欠かせないよね。
その際、すべての関連情報を記録して管理することは、将来のためにも重要でしょう。この最後の部分とか、まさに証跡管理だと思うよ。
法的に必要な部分があるし、企業の事業継続という点からも証跡管理が求められているというわけね。
日本版SOX法や新・会社法が制定されてからは、特にシビアになっているね。
でも、企業のビジネス活動なんてとっても幅広く多岐にわたるでしょう。それをすべて把握したり、記録するなんて神様じゃないんだからムリじゃない（笑）。
いい点を突いているね（笑）。
美咲が言うように、すべての活動の履歴を残すなんて不可能だし、また収集しても意味のない記録が含まれるのも確か。だから、目的を絞って記録を残すことが必要になる。それが、証跡管理なんだよ。
どんな目的に絞るの？
不正や誤りがあると企業やビジネス活動に重大な影響を及ぼす。だから、それらにかかわる一連のアクションや変化について履歴を残す、ということがまず基本だね。
それが証跡管理の基本ポイントなのね。私、普通の人間だから、具体例もあげてほしいな・・・（笑）。
そうだね（笑）。
たとえば、G社の売上データが勝手に書き換えられたら、いろいろなところに支障が出るでしょう？
会社の業績が正しいものでなくなってしまうし、取引先にも影響が及ぶかも・・・。
だから、売上データが正確であることを確実にするプロセス、というものが求められるわけだよ。
正確であることを確実にするプロセス！ それって、いったいナニ？
わかんないよー（笑）。
ゴメン（笑）。
すごく簡単な例をあげると、売上データが営業担当者から会社に対して報告されるとき、上司（つまり承認権限を持っている人）がその売上データをOKって承認するよね。その承認手続きと売上データのすべてを、証跡として残すんだ。
誰が・いつ・どこから・どの売上データに・承認をしたのか、あるいは不承認としたのか、といった5W1Hのようなものを考えて記録するとか？
うん。わかりやすい（笑）。いい把握の仕方だね。
同様に、修正したときも誰が・いつ・・・などとともに、どのような変更を加えて、それらを誰が承認したのか、といった追加修正の一連のアクションを証跡として残すんだ。
そうか！ なんかヒラメいたかも！
そういう詳しい証跡がきちんと管理されていれば、後で売上データの間違いや不審な点を発見したときに、詳細や経緯が見えるし、“怪しい”動きや何かもつかめるかも。それが証跡管理なの？
ピンポン！ で、その考え方でいけば、企業のビジネス活動の要所要所で証跡が必要になる、ということもわかってくるでしょう。
たとえば、G社の売上管理システムだったら、どうなるかな？
うーん。売上データへのアクションだけでなく、売上データベースへのアクセスとか、アクセス権とか、データベースシステムそのものの構成、あるいは設定・変更のログなど、さまざまなものが必要になってくるわね。
そう。企業の活動について誰が・いつ・どこから・何を・どうした・その結果・・・といったことを監視（モニタリング）して、ログを出力・収集しておくんだ。
そうすればログの異常や何かが起きたときに、脅威にさらされている可能性があるという「不正検知」の緊急警告を出せるし、後から追跡したり、検索・分析することができる。
証跡管理って、企業の情報セキュリティ上、必須ということがよくわかったわ。
それに、法律や会社のルールに適合した企業活動が行なわれているか、これを検証する手がかりとしても使えるし、会社や事業を安全に継続させるためにも不可欠ということね。
飲み込みがすっごくいいね（笑）。
最近、スマートな美咲も目指しているの（笑）。
G社も企画部長が言っていたように、スマートな証跡管理を実現しなくっちゃね。さっそく、うちの会社がどのような証跡管理をやっているのか、探索してみるわ！
お問い合わせ
情報セキュリティに関するお問い合わせ
情報セキュリティに関する ご質問、ご相談、資料請求
