ログ未保存の罠！警察庁データで判明した初動調査防衛術

「社内ネットワークが不正アクセスを受け、警察や専門調査会社に相談したところ『ルーターやサーバーのログが数日分しか残っておらず、どこまで情報が盗まれたか特定できない』と言われ、調査期間と費用が倍以上に膨らんでしまった」

先日、年商3億円規模の機械卸売業を経営される社長様からこのような切実なご相談をいただきました。機器のログ保存期間を初期設定（数日〜数週間）のまま放置していたため、攻撃者の侵入経路や情報流出の有無を証明できず、取引先への全面謝罪と全台初期化を余儀なくされた典型的な被害事例です。

「事件が起きてから専門家に調べてもらえばいい」という考えは現場で極めて危険です。サイバー攻撃者は侵入後、平均して数カ月間も社内に潜伏し、自らの足跡（ログ）を上書き・消去して逃走します。自社の無実や被害の局所化を客観的に証明する唯一の証拠が「ログ」であり、初期設定を正しく見直していなければ初動対応は完全に破綻します。

📊 【公的統計エビデンスと被害額の内訳】

警察庁公表の「サイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア等の不正侵入事案において「ログが十分に保存されておらず、侵入経路や漏洩範囲の特定が困難または不可能であった」割合が約6割に達しています。さらに個人情報保護委員会への報告義務においても、ログ不在は「全件流出の恐れあり」としての公表・個別通知を余儀なくされる要因となります。
損保大手の事故調査実績データによると、ログ消失に伴うインシデント対応費用は平均2,500万〜4,200万円規模に達します。その内訳は「専門調査機関による手作業の復元・長期フォレンジック費用（900万〜1,600万円）」「全顧客・取引先への一斉通知・コールセンター開設費用（700万〜1,300万円）」「全システム・全端末の全面強制再構築費用（900万〜1,300万円）」となっており、証跡がないことによる損失は甚大です。

1. なぜ無駄金を払わされてしまうのか / 被害の実態

多くの企業が「適切なログ管理を行うには、数百万円規模のSIEM（統合ログ管理基盤）や月額数十万円のSOC（監視センター）を契約しなければならない」とITベンダーに提案され、高コストゆえに導入を諦め、結果としてログの初期設定放置に陥っています。

ここに大きな落とし穴が存在します。中小企業にとって必要なのは、数秒単位のリアルタイム自動相関分析ではなく、「万が一の際に、過去半年〜1年間の通信記録とサインイン履歴が消えずに残っていること」です。

高額な外部監視サービスを契約する前に、既存のファイアウォール、ルーター、Windowsのイベントログ、クラウド（Google WorkspaceやMicrosoft 365）の監査ログ保存期間を「標準の最長設定」へ変更し、定期的に別領域へエクスポートするだけで、調査に必要な証拠はゼロ円で確実に保全できます。

2. 費用対効果チェックシート：標準対策比較表

3. 明日から社内でゼロ円でできる基本防衛のステップ

万が一の際の調査不能を防ぐために、高額なログサーバーを購入する必要はありません。明日から社内で即座に設定できるゼロ円の防御ステップは以下の3点です。

1. クラウド管理コンソールの監査ログ保存期間を「最大化」： Google WorkspaceやMicrosoft 365の管理画面を開き、監査ログ・サインインログの保存設定が有効になっていることを点検してください。標準設定で可能な限り長期（最低90日〜180日以上）保持する設定をオンにし、必要に応じて月1回CSVでダウンロード保管してください。
2. Windows「イベントログ」の最大サイズ引き上げ： Windowsの「イベントビューアー」を開き、セキュリティログの最大サイズをデフォルトの20MB程度から「最低1GB以上」へ引き上げてください（設定変更は「イベントを上書きしない」または十分な容量確保）。これにより、ログが数日で押し出されて消える事態をゼロ円で防げます。
3. 紙1枚の「インシデント緊急初動フロー」の作成・共有： 何かあった際に「LANケーブルを抜く（Wi-Fiを切る）」「電源は切らずそのままにする（メモリ上の証拠保全）」「社内責任者と保守先へ即連絡する」という3箇条をA4用紙1枚にまとめ、各部署の壁に貼ってください。現場の誤った初動（慌ててPCを再起動して証拠を消す等）を完全に防ぎます。

4. 最後のセーフティネットとしての見極め方

どれほどログを長期保管していても、攻撃者が特権アカウントを奪取して意図的にログファイルを消去・改ざんする高度な隠蔽工作や、専門調査機関による解析作業そのものにかかる高額な人件費をゼロにすることはできません。

公的機関の指針通り、基本ログを保全した上で、実際にインシデントが発生した際には、フォレンジック解析や法務対応、取引先への賠償など数千万円規模の突発費用が発生します。

手元の運転資金だけで想定外の専門調査費用や営業停止損害を支え切れるのか、経営計画の中でリスク許容量を客観的に想定しておくことが重要です。

5. まとめ

ログ管理の本質は、「毎日常に画面を監視し続けること」ではなく、「万一の事態が起きた時に、自社の潔白と被害の範囲を警察や取引先に証明できる証拠を残しておくこと」にあります。

「何も起きていないから」とログ設定を初期状態のまま放置することは、防犯カメラを設置しているのにSDカードを入れずに回しているのと同じです。まずは高価なシステムを契約する前に、明日から社内のクラウド設定やWindowsのログ保存容量を見直してください。既存の機能をゼロ円で正しく構成することが、有事の際に会社を泥沼の調査費用から救い出す最強の防壁となります。