cm/controlmapping
日本語
English中文Españolالعربية日本語हिन्दीDeutschFrançaisPortuguês한국어ItalianoBahasa IndonesiaРусский
出典
分析 · PCI DSS · CIS v8.1 · ISO 27001 · HIPAA · CMMC

ログ取得と保持要件の比較

主要なフレームワークはいずれも監査ログを要求しています。しかし、保持期間を示しているものはごくわずかです。ここでは、期間を定めているフレームワーク、定めていないフレームワーク、そしてそのすべてを満たす期間の選び方を解説します。

別 · · 1 分で読めます

本記事では、執筆時点でControlMappingがマッピングしていた11個のフレームワークを扱います。その後、DORA, CPS 234, Cyber Essentialsが2026-10-27に追加されました。それらのページおよびカバレッジマトリクスにも含まれています。

長い紙テープのリソグラフ風印刷。等間隔の印が並び、一端できれいに積み重なっている
ログは蓄積し続けます。問題は、そのスタックをどれだけの期間保持するかです。

監査ログの取得はほぼ普遍的な要件です。当サイトが対応付けている11のフレームワークのうち10がこれを要求しています（GDPRが例外ですが、そこでも侵害調査にはログが欠かせません）。要件が異なるのは二点です。何を記録するかと、どれだけの期間保持するかです。後者は数値を示すフレームワークが少ないため、チームが最も行き詰まりやすい点です。

誰が何を要求しているか

フレームワークログ記録と監査リンク
NIST CSF 2.0PR.PS-04DE.AE-03トピックの定義
ISO 27001A.8.15A.8.17対応表
CIS v8.1CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12対応表
SOC 2CC7.2編集
PCI DSS10.2.110.3.210.5.110.6.1対応表
CMMCAU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7対応表
800-53AU-2AU-3AU-11AU-12対応表
HIPAA§164.312(b)対応表
GDPR—当サイトのデータにはマッピングがありません
NIS23.2対応表
Essential EightISM-1815ISM-1660ISM-1509ISM-1683ISM-1623編集

各リンクの詳細と根拠： ログ記録と監査 のフレームワーク横断 →

記録すべき内容

最も詳細なフレームワークはイベントを列挙しています。PCI DSSは、ログに次の内容を含めることを求めています。カード会員データへの個々のユーザーのアクセス、すべての管理操作、ログ自体へのアクセス、無効なアクセス試行、認証資格情報の変更、ロギングの開始と停止、システムレベルのオブジェクトの作成と削除（10.2.1.1～10.2.1.7）。さらに各エントリには、ユーザー、種別、時刻、結果、発生元を含めることが求められています（10.2.2）。CIS Controlsは、詳細なDNS、URL、コマンドラインのログを追加しています（8.5～8.8）。SP 800-53とCMMCは、記録するイベントを組織側で定義することを求めています（AU-2、AU.L2-3.3.1）。ISO 27001（A.8.15）とSOC 2（CC7.2）は、リスクに見合ったログ取得を求めています。

ログの保持期間

フレームワーク保持期間
PCI DSS最低12か月。直近3か月分は即時利用可能にすること（10.5.1）
CIS Controls最低90日（8.10）
SP 800-53組織が定める期間（AU-11）
CMMC Level 2監視、分析、調査、報告に必要な期間（AU.L2-3.3.1）
ISO 27001, SOC 2規定なし。リスクアセスメントと法的義務により決定
HIPAAログについての規定なし（6年ルールは文書類が対象）
サーバールームの棚に並んだバックアップ用テープカートリッジの写真。1本だけがわずかに手前に引き出されている
保持は、コンプライアンスの判断であると同時に、ストレージの判断でもあります。

保持期間の選び方

PCI DSSが環境の一部にでも適用される場合、12か月（直近3か月は即時利用可能）が明らかな基準であり、CISの最低要件も十分に満たします。それ以外の組織にとっても妥当な初期値です。数か月後に発覚するインシデントの調査にも十分な期間であり（実際に多くのインシデントはそうです）、保存コストも現実的な長さです。業界の法令や契約に応じて調整し、判断内容とその理由を記録してください。ISOとSOC 2の監査人が確認するのはこの点です。

保持期間だけでなく保持対象も決める

保持期間は、調査に重要なログに適用されます。実務的な階層化の例は次のとおりです。

  • セキュリティ関連ログ（認証、特権操作、ファイアウォールおよびEDRのイベント、機微データへのアクセス）: 保持期間の全期間を確保し、改ざんから保護する
  • 運用ログ（アプリケーションのデバッグ出力、性能指標）: より短い保持期間とし、エンジニアリング上の必要性に応じて設定する
  • 個人データを含むログ: セキュリティに必要な期間とし、必要以上に長く保持しない。これにより、GDPRの保存制限の原則を満たします

この階層をログポリシーに明記し、保持の判断を可視化して説明可能な状態にしてください。

主なポイント

  • 11のフレームワークのうち10が監査ログを要求しています。
  • 保持期間を定めているのはPCI DSSとCISのみです。
  • 12か月（うち3か月は即時利用可能）が安全な初期値です。
  • ログの改ざんを防止し、セキュリティイベントをレビューしてください。PCI DSSは日次レビューを要求しています。

保持以外の要件

  • ログの改ざん防止（PCI 10.3.2、CMMC AU.L2-3.3.8）: 一度書き込んだら変更できないストレージ、またはアクセスを制限した集中ログ基盤を使用します。
  • 時刻同期（PCI 10.6.1、CIS 8.4、CMMC AU.L2-3.3.7）: これがないと、システム間でのイベント相関が成立しません。
  • レビュー: PCIはセキュリティイベントの日次レビューを要求しています（10.4.1）。その他の多くも定期的なレビューを求めており、通常は自動化されています。

Logging & Audit トピックページでは、すべての要件とその出典を一覧できます。関連するSIEM / SOCトピックでは分析を扱っています。ギャップ分析では、任意の2つのフレームワークを詳細に比較できます。

よくある質問

PCI DSSではログを何か月保存する必要がありますか？

直近3か月分を分析に即時利用できる状態で、監査ログの履歴を少なくとも12か月分保持すること（10.5.1）。

HIPAAではログの保持期間が定められていますか？

いいえ。セキュリティ規則は監査管理策（§164.312(b)）を求めていますが、ログの保持期間は定めていません。6年間の保持要件は、ポリシーなど必要な文書類に適用されるもので、監査ログには適用されません。

データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。 対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · 緩やかに関連 CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。

関連記事

分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。分析 · 2026-10-27Cyber Essentials と Essential Eight の比較：2つの国家ベースラインを対比英国の Cyber Essentials とオーストラリアの Essential Eight はどちらも一般的な攻撃を対象としていますが、カバーする領域は異なります。何が重なり、何が重ならないのか、そしてその理由を解説します。分析 · 2026-10-27DORA対NIS2：NIS2プログラムで既にカバーされている範囲DORAとNIS2はセキュリティ要件の大半を共有していますが、DORAは情報登録簿、契約条件、脅威ベースのテストを追加しています。条文ごとに、何を引き継げるかを示します。