3月からJiraとConfluenceの監査ログのユーザー作成のアクティビティ保管期間が30日のみに...なにかいい対策方法はないですか？

2024年02月13日
3月からJiraとConfluenceの監査ログのユーザー作成のアクティビティ保管期間が30日のみに...なにかいい対策方法はないですか？

Author

堀田（リックソフト　マーケティング部） hotta

堀田（リックソフト　マーケティング部）</mt:Var>

りっくま

最近知ったクマけど、2024年3月1日から、クラウド版のJira(ジラ)とConfluence(コンフルエンス)のユーザーアクティビティの監査ログ（*Enterpriseプラン）は180日から30日とずいぶん短くなっちゃうクマね。

りっくまの会社では、監査ログの保管期間は5年と決められているクマ。

アトラシアンクラウドでも標準機能の監査ログのCSVでのエクスポート機能があるクマけど、本文であるdata部分がJSON形式だからこのままだと読みづらいと思ってるっクマね～～。。あの作業を30日おきに、まあ間をとって4週間おきにやるとしても、なかなか辛いクマよ....なんかいい方法ないっクマね？

＜監査ログの"ユーザー作成のアクティビティ"とは＞

Enterprise プランは Premium の機能に加えて、監査ログから Jira/Confluence での実際のアクティビティ（作成・編集・表示・削除）のログを確認できます。

<おさらい>監査ログとは？なぜ保持する必要がある？

そもそもなぜ監査ログを保持する必要があるのでしょうか。

企業・組織体の情報システムを運用するにあたり、情報セキュリティ（情報資産の完全性・可用性・機密性）に関するさまざまなリスクが潜んでいます。企業はそれに対応しているということを証明しておくと、顧客からの信頼度向上・説明責任を果たすことができます。

情報セキュリティマネジメントシステム(ISMS: Information Security Management System）を活用すると、第三者機関による審査を経てISMS認証を取することで、情報セキュリティを適切に管理できていることの客観的な証ができます。りっくまさんの会社も、リックソフトも、ISMSも取得していますね。

そのISMSが定めている具体的な管理策において、ログの取得、保護、レビューが求められています。

■ISMS取得してないならログの取得は不要？

では、ISMSを取得していないからと言ってログの取得・保管は不要なのか、というとそういうわけではありません。

トラブル発生時は、原因特定等のために監査証跡（システムの事象発生から最終結果にいたるまでの一連の流れを、時系列に沿った形で追跡できる記録）を確認します。その時にやっぱり必要になるのが、監査ログというわけです。トラブル時のあらゆるステークホルダーへの説明責任のために、監査ログの保管は必要になります。

どのツールやシステムのログをどの程度保管するかは企業によって企業にとって異なります。社内の監査において、JiraやConfluenceに関しては、誰かが不正にユーザーのアクセス権を変えて、本来閲覧制限をしている情報が見えていないか・公開範囲が適切かどうか・Confluence上にある機密情報を流出させていないかなども確認しています。