個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第24問: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録５「情報セキュリティ関連規程（サンプル）」の「ログの管理」が定めるログの保全とレビューの内容

正解: 4. ログを保存する媒体やシステムにインターネット経由でアクセスする場合は、常に多要素認証を使用することとされている。

IPAの同ガイドライン付録５の情報セキュリティ関連規程（サンプル）は、技術的対策の「ログの管理」の「ログ保存のセキュリティ」で、ログファイルの保存状況をシステム管理者が定期的に確認し、ログを保存する媒体及びシステムにインターネット経由でアクセスする場合は常に多要素認証を使用するとしています（4が正しい）。レビューの頻度は、PC等の認証ログが月1回以上、ファイアウォールやプロキシサーバーなどその他のログがシステム管理者の判断に基づき適宜とされています（1）。適用範囲では、クラウドサービスもログ取得対象に含むとしています（2）。ログ分析手順書は、少なくとも年1回、又は重大なインシデント発生時に見直すとしています（3）。なお、ファイアウォール等のログの保存期間は3年間とされています。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: ログの管理・認証ログ・多要素認証・ログ分析手順書・クラウドサービス