「誰が・いつ・どの社内システムに接続したか」。この記録（ログ）がないと、不正アクセスや退職者IDの悪用に気づけず、万一のときも「何が起きたか」を追えません。アクセス制御で入口を絞っても、記録して確認するしくみがなければ、片手落ちになります。
とはいえ、中小企業が大がかりなログ分析基盤を構える必要はありません。この記事では、まず残すべきログと、その見方・運用の基本を、専門用語ぬきで整理します。
この記事でわかること
- なぜリモートアクセスのログが必要なのか
- 中小企業が見るべきログ
- ログ運用の基本（確認・保全）
なぜログが必要なのか
1. 異常に気づく
ふだんと違う接続（深夜や海外からの接続、ログイン失敗の連続など）に気づく手がかりになります。ログを見ていなければ、異常は見過ごされます。
2. 退職者・委託先の不審な接続を見つける
止め忘れたアカウントが使われていないか、委託先が想定外の範囲に接続していないかを確認できます。権限管理とセットで効きます（→ 権限管理の記事）。
3. 起きたときに「事実」を追える
万一インシデントが起きたとき、いつ・どこから・何にアクセスされたかを確認するにはログが不可欠です。JPCERT/CCも、インシデント対応では事実確認や証跡の保全が重要だとしています。個人データの漏えい等では、事実関係の確認が、報告・本人通知の判断にもつながります。医療情報を扱う場合のログの考え方は医療機関のリモートアクセス対策でも解説しています。
最低限残したいログ項目
すべてを完璧に取る必要はありません。まずは次がたどれる状態を目指します。
| ログ項目 | 見る理由 |
|---|---|
| 利用者ID | 誰が接続したかを確認する |
| 接続日時 | 勤務時間外・休日の接続に気づく |
| 接続元IP・場所の目安（場所は推定情報として扱う） | 普段と違う場所からの接続に気づく |
| 接続先 | どのサーバー・NAS・業務PCへ接続したか確認する |
| 認証結果 | 成功・失敗・失敗回数を見る |
| 端末名・端末の識別情報 | 想定外の端末からの接続を確認する |
| 管理者操作 | 権限変更・利用者追加・設定変更を追う |
「誰が・どこへ」を後からたどれることが、いちばんの目的です。
異常の見つけ方
ログは「見るパターン」を決めておくと、異常に気づきやすくなります。
| 見るパターン | 疑うこと |
|---|---|
| 深夜・休日の接続 | 退職者ID・委託先IDの悪用、認証情報の流出 |
| ログイン失敗の連続 | 総当たり・パスワード試行 |
| 普段と違う接続元 | ID／パスワードの流出、私物端末の利用 |
| 使わないはずの接続先 | 権限設定のミス、横移動の兆候 |
| 管理者設定の変更 | 不正操作・設定ミス・内部不正 |
ログ運用の基本
ログは「取っているだけ」では意味がありません。次を決めておきます。
- 誰が・いつ確認するかを決める（週次・月次など。気づいた人任せにしない）
- 保存期間：一律の正解はありません。問い合わせや事故調査で後追いできる期間を決め、短期間で自動削除されないようにします（重要システムは数か月以上さかのぼれる設計を検討）
- 時刻を合わせる：端末やサーバーの時刻がずれていると、複数のログを突き合わせられません。NTPなどで時刻を合わせておきます
- 保全：ログを管理者操作で簡単に消せない場所へ保存することも検討します
- ログ自体の保護：接続ログは従業者の行動履歴になり得ます。利用目的・閲覧者・保存期間を社内ルールにし、閲覧できる人を限定します
異常を見つけたときの動きは、ランサムウェア対策の記事の初動や、サイバー攻撃に気づいた直後の初動も参考にしてください。なお、共用IDのままでは「誰の接続か」を追えず、ログの効果が半減します（→ VPNアカウントの共有・共用IDはなぜ危ない？）。
ログ活用チェック
次を点検してみてください。
- いつ・誰が・どこへ接続したかを後から確認できる
- ログインの成功・失敗を確認できる
- 利用者の追加・削除・権限変更の変更履歴が残る
- ログを誰が・いつ確認するかを決めている
- 深夜・海外・大量失敗など異常の見分け方を共有している
- ログがすぐ消えず、十分な期間を残せる
- 端末・サーバーの時刻を合わせている（NTP等）
- ログを閲覧できる人を限定している
確認のタイミングの目安
「いつ見るか」を決めておくと、気づいた人任せになりません。
| タイミング | 主に見ること |
|---|---|
| 週次〜月次（定例） | ログイン失敗の連続、見覚えのない接続元・接続先、使われていないID |
| 退職・委託終了の直後 | 停止したはずのIDで、終了後に接続が発生していないか |
| 不審を感じたとき | 該当する利用者・期間を集中的に確認する |
インシデントを疑ったとき、ログを見る順番
不審な接続や端末紛失に気づいたら、次の順で確認すると、影響範囲を絞りやすくなります。
- いつ・どのIDで・どこから接続されたか
- 認証の成功／失敗の履歴（総当たりの形跡はないか）
- 接続先：どの社内リソース（サーバー・NAS・業務PC）まで到達したか
- 管理操作：権限変更・利用者追加・設定変更が行われていないか
- 影響範囲を見極め、必要に応じて接続停止・パスワード変更・相談へ進む
具体的な初動はサイバー攻撃に気づいた直後の初動、被害を広げない設計はランサムウェア対策の記事も参考にしてください。
まとめ：押さえるべき3点
- ログは、異常への気づき・退職者の悪用発見・起きた後の事実確認のために要る
- まずは接続ログ・認証の成功失敗・管理操作の履歴を後からたどれる状態に
- 「取るだけ」でなく、確認の担当・異常の見分け方・保全まで決める
なお、ForceLink も、リモートアクセスの接続状況を確認できる製品の一例です。ただし、SIEM（複数のログを集めて分析する仕組み）のような高度な相関分析や自動検知を提供するものではなく、ログを見て判断する運用ルールは別途必要です（現時点で多要素認証（MFA）には未対応）。アクセス制御・権限管理に、ログの確認を組み合わせることで、運用の目が届きやすくなります。設計の考え方はセキュリティのページ、進め方は料金ページとFAQで確認してください。