2026年10月8日にNIST SP 800-92、SP 800-184、SP 800-61 Rev.3を再確認した。ログの生成・収集・保管・アクセス・廃棄、重要資源の特定と優先、復旧計画・シナリオテスト・教訓による改善、CSF 2.0へ組み込まれたインシデント対応を確認した。ログ・権限・復旧・交通ルールごとに受け入れ条件と証拠を置く4単位はFirst byteの翻訳であり、ログ量、復旧計画、NIST資料だけで侵入・障害・誤設定を防ぐ保証ではない。
技術者がいきなり製品や設定を選ぶと、経営層の「守るもの」「止める条件」「復旧の責任」が実装に残りません。この記事では、ログ・権限・復旧・交通ルールを、判断の単位として揃える方法を整理します。
研究を読み直した日と範囲
2026年10月7日に、NIST SP 800-92、SP 800-184、SP 800-61 Rev. 3を再確認しました。SP 800-92は組織全体のログ管理を高水準で説明し、SP 800-184は資源の特定・優先、復旧計画、テスト、改善を扱います。SP 800-61 Rev. 3は、インシデント対応をCSF 2.0のリスク管理へ組み込むための2025年の最終版です。
30秒で要点
- ログは「全部取る」ではなく、事故時に必要な判断と照合できる項目から決める
- 権限は機能一覧ではなく、誰が承認・実行・復旧できるかの条件として切る
- 復旧は手順書だけでなく、優先する資源、復旧条件、テスト、記録、改善まで含む
- 交通ルールは入口ごとに、どのレイヤーで何を止めるか、例外と解除条件を置く
- ツールは決め事を満たす証拠で選び、導入後の検証と未達も同じ表へ戻す
表が収まらない場合は、横にスクロールできます
| 判断の単位 | 最初に決めること | 残す証拠 |
|---|---|---|
| ログ | 何を、誰が、いつ行ったか | 取得項目、時刻、保管、読む担当 |
| 権限 | 誰が承認・実行・復旧できるか | 役割、二人目、変更履歴、例外 |
| 復旧 | 何を先に戻し、何を確認するか | 優先資源、条件、テスト結果、改善 |
| 交通ルール | どこで制限し、どう解除するか | 入口、レート、例外、解除判断 |
単位1：ログ——読む判断まで設計する
NIST SP 800-92は、ログ管理を生成、収集、保管、アクセス、廃棄まで含む組織的な実践として扱います。実装前に、事故のとき誰がどの判断を再現する必要があるかを決めます。重要手続き、認証失敗、権限変更、復旧、短時間の大量アクセスは候補になります。
「全部残す」は、費用とノイズで読む人がいなくなる危険があります。逆に、保管だけして読む担当がいなければ、検知の成果とは言えません。項目ごとに、目的、担当、保管期間、改ざんから守る方法、見直し日を一行で置きます。
単位2：権限——承認と実行を分ける
権限は管理者ロールの数ではなく、重要な行為を誰が成立させられるかで切ります。復旧、メール変更、権限付与、公開停止を例に、申請者、承認者、実行者、監査者を分けます。二人目の承認が必要なら、画面上で一人目だけでは完了しないこと、例外の期限、代替担当を確認します。
ツールの機能名をそのまま採用条件にせず、「この機能はどの行為のどの条件を満たすか」を書きます。権限変更の履歴を残せない製品なら、他の補助策を含めて未達として記録します。
単位3：復旧——戻せることをテストする
SP 800-184は、重要な組織資源を特定・優先し、現実的な復旧シナリオを作り、テストと教訓で計画を改善する考え方を示します。バックアップがあるだけでは復旧可能とは言えません。何を先に戻すか、誰が開始を承認するか、戻した後に何を照合するかを決めます。
復旧テストには、成功条件と失敗時の切替を置きます。復旧時間、データの整合、権限の再設定、利用者への連絡を同じ記録で確認し、未達を次の実装単位へ戻します。
単位4：交通ルール——入口と解除条件を揃える
大量アクセスや繰り返し失敗を制限するときは、アプリケーション、API、インフラのどのレイヤーで何を観測するかを決めます。ログイン試行回数、フォーム送信、APIキー、同一IP、利用者単位など、入口ごとに対象を置きます。
制限は強ければよいとは限りません。正当な利用者を止めたときの解除担当、例外の期限、解除後に記録する項目を決めます。設定値は環境に依存するため、一般的な数値を正解としてコピーしません。
ツール選定を受け入れ条件へ変える
製品比較表を作る前に、4単位ごとの受け入れ条件を置きます。
- ログ：重要操作が必要な粒度で取得でき、担当が検索・保管・削除を説明できるか
- 権限：承認と実行を分け、変更履歴と例外期限を残せるか
- 復旧：優先資源をテスト環境で戻し、結果と未達を記録できるか
- 交通ルール：入口ごとに制限・解除・誤検知対応を確認できるか
NISTの資料は、特定製品や実装順を指定しません。採用後の検証で条件を満たせなければ、導入済みという事実ではなく未達として経営判断へ戻します。
研究の範囲を外さない
SP 800-92は2006年の高水準ガイドで、SP 800-92 Rev. 1は2023年の初期公開草案です。ここで扱うログ項目や4単位は、自社の責任と証拠を揃える運用案であり、NISTの正式な4分類ではありません。SP 800-184も復旧の考え方を示すもので、特定の復旧時間や製品を保証しません。
判断の土台として押さえておくこと
- ログは読む判断から逆算する：取得・保管・担当・照合の目的を置く。
- 権限は行為の成立条件で切る：申請、承認、実行、監査、例外を分ける。
- 復旧はテストと改善まで含める：優先資源、成功条件、未達を次の単位へ戻す。
- 交通ルールは解除まで設計する：入口、レイヤー、誤検知、解除担当を残す。