【大企業の監査対策】kintoneに「閲覧ログ」を追加する方法

この記事でわかること

• kintone標準の監査ログで確認できる操作と閲覧履歴の範囲
• ISMS・プライバシーマーク・J-SOXで閲覧ログが確認対象となる場面
• kintoneでレコードの閲覧ログを取得・管理する方法
• アクセスログ出力プラグインの主な機能と活用事例
• 閲覧ログを監査に活用するための導入・運用ポイント

執筆者

M-SOLUTIONSメディア編集部

「この顧客情報のレコードを、誰が、いつ見たのか教えてください」

監査担当者からこうした質問を受けたとき、どのように確認すればよいでしょうか。kintoneには標準の監査ログ機能がありますが、レコードの詳細画面を誰が、いつ開いたかという閲覧履歴は、標準監査ログには記録されません。

顧客情報や人事情報などの重要データを、複数の部門や拠点で扱う場合、アクセス権の管理に加えて、実際の閲覧状況を確認する仕組みが必要になることがあります。この記事では、標準監査ログで確認できる範囲、閲覧ログが監査で確認対象になる場面、閲覧ログを取得・管理する方法をご紹介します。

kintone標準の監査ログ機能はレコードの閲覧を追えない

kintoneの標準監査ログでは、アプリの管理操作やレコードの削除、添付ファイルのダウンロードなどを確認できます。ログは、cybozu.com共通管理の「監査ログの閲覧とダウンロード」画面で確認します。

kintoneの監査ログ機能の画面

一方、レコードの詳細画面を開いて情報を閲覧した操作は、標準監査ログには残りません。アクセス権を細かく設定していても、権限を持つユーザーが、実際にどのレコードをいつ開いたかを確認するには、別の仕組みが必要です。

閲覧ログは監査に必要？

閲覧ログは、監査や審査で確認対象になることがあります。ただし、すべての企業に、全システム・全レコードの閲覧ログが一律に求められるわけではありません。必要な記録は、監査の目的や扱う情報のリスク、法令・契約上の要求、自社の管理ルールによって変わります。

ISMSの内部監査・認証審査

ISMS（ISO/IEC 27001）の附属書Aには「ログ取得」の管理策があり、ログの取得・保存・保護・分析を扱っています。ただし、すべての情報について閲覧ログを残すことが、一律に定められているわけではありません。リスク評価などを踏まえ、自社に必要な対策を決めます。

例えば、不正閲覧を追跡するために「重要情報の閲覧記録を取得し、確認する」と定めた場合には、その運用を示す資料として、閲覧ログや確認記録の提示を求められることが考えられます。大切なのは、必要な対策を選び、実際に運用していることです。

プライバシーマークの審査

プライバシーマークの審査機関であるJUASは、現地審査で確認する記録の一つとして「アクセスログ」を挙げています。ただし、この案内が、kintoneの全レコードの閲覧履歴を一律に求めているわけではありません。

顧客や従業員の個人情報をkintoneで扱う場合は、その取扱いに伴うリスクと必要な安全管理措置を整理します。閲覧記録を管理対象とする場合には、ログの取得だけでなく、定めた手順で確認できる状態を整えておくことが審査への備えになります。

J-SOXに関わるIT統制の評価・監査

J-SOXでは、財務報告への影響を踏まえて評価対象のシステムを決め、IT全般統制としてアクセス管理などを評価します。ただし、すべてのkintoneアプリや、全レコードの閲覧ログが一律に必要になるわけではありません。

kintoneを売上管理など財務報告に関わる業務で使っている場合は、対象業務と統制の内容を整理し、どの記録が必要かを、自社の内部統制担当者や監査人と事前に確認しておくことが大切です。

いずれの場合も、記録していなかった期間の閲覧履歴を、後からログとして取得することはできません。 必要と判断したログについては、対象のアプリ・操作、保存期間、確認方法をあらかじめ決めておきましょう。また、ログの不正な変更や削除を防ぐ対策も重要です。

閲覧ログを管理する方法は？

自社の管理ルールや監査対応で閲覧ログが必要な場合は、プラグインを使って標準監査ログでは取得できない記録を補う方法があります。その一つが、M-SOLの「アクセスログ出力プラグイン」です。

アクセスログ出力プラグイン

「アクセスログ出力プラグイン」は、kintone上のユーザー操作を記録する管理者向けプラグインです。設定したアプリでレコード一覧や詳細画面が表示された際のログを取得し、ログ保存用のkintoneアプリに蓄積できます。

蓄積したログは画面上で確認できるほか、CSV形式でダウンロードすることも可能です。必要な記録を監査・調査資料として整理したり、他のツールで分析したりする際に活用できます。

たとえば、特定の顧客情報が社内でどのように扱われていたかを調べる場面を考えてみましょう。該当レコードの詳細画面を開いたユーザーや日時が記録されていれば、関係者への確認や、他の操作履歴との照合を進める手掛かりになります。監査対応だけでなく、情報の取扱いに疑問が生じた際の調査にも役立ちます。

ただし、閲覧ログは画面が表示された記録です。内容を実際に読んだことや、不正な目的で閲覧したことまで、ログだけで証明できるわけではありません。

導入事例：京葉ガス

京葉ガス株式会社は、お客さま情報が適切に取り扱われているかを確認するため、kintoneの本番運用開始と同時にアクセスログ出力プラグインを導入しました。2022年12月に公開された導入事例では、約40のアプリで利用していることが紹介されています。

Smart at | kintoneプラグイン・連携サービス・システム開発・iPad無人受付システム

京葉ガス株式会社

アクセスログ出力プラグインの導入・運用のポイント

アクセスログ出力プラグインは、1契約で同一ドメイン内の複数アプリに利用でき、設定するアプリ数に上限はありません。まずは一つのアプリで必要なログを取得・確認できるかを確かめ、運用方法が固まってから対象を広げる進め方ができます。

レコード一覧・詳細画面の表示ログは、PC・モバイルの両方で取得できます。一方、印刷画面の表示など、一部の操作は対応範囲が異なります。普段使っている端末や画面で、必要な操作が記録されるかを確認しましょう。

監査で使う場合は、「記録を取れること」と「必要な記録を適切に保存・確認できること」の両方が重要です。 保存期間、確認する担当者と頻度、異常が見つかった際の対応を決めておきましょう。また、ログ保存アプリや出力したCSVについて、閲覧・変更・削除の権限を適切に管理し、ログを保護する必要があります。

なお、一覧画面に表示された各レコードの情報や、API・外部連携経由のアクセスまで追跡したい場合は、必要な記録が取得対象に含まれるかを事前に確認してください。

閲覧ログは、アプリの活用状況を知る手掛かりにもなります。例えば、業務マニュアルのアプリで記録される閲覧が少なければ、周知方法や画面への導線を見直すきっかけになります。監査への備えとあわせて、日々の業務改善にも活用できます。

まとめ

kintoneの閲覧ログが監査に必要かどうかは、自社で扱う情報やリスク、求められる統制によって異なります。まずは必要な記録を整理し、取得・保存・確認までを一連の運用として整えることが大切です。

M-SOLでは、アクセスログ出力プラグインの15日間の無料トライアルをご用意しています。

まずは対象アプリを一つ選び、レコードを開く操作からログの確認、CSV出力までを試してみてください。「自社に必要な記録が取得できるか」「担当者が無理なく確認・出力できるか」を、実際の利用環境で確かめられます。