時計を合わせなければならない

　要件10.4では，ログに含まれる時刻が正確であることを求めている。要件10.2，要件10.3の要件を満たしていたとしても，単一のログからすべてを判断できない場合が，多々ある。その場合は，ほかのログと照らし合わせながら時系列的にたどって調査することになるが，その際にログの時刻がずれてしまっていると，矛盾が生じて調査の弊害となる。そのため，ログに記録される時刻には正確性が求められる。

　一般的に，正確な時刻同期を行う場合は，NTP（ネットワーク・タイム・プロトコル）による仕組みを利用する。具体的には，外部のNTPサーバーから正確な時刻を入手することになるが，時刻の正確さの指標として「stratum」という単位を参考にする。「stratum」の値が小さいほど（0に近いほど），原子時計やGPSなどの時刻の発生器に近い精度の高いNTPサーバーとなる。外部のNTPサーバーを参照する組織内用のNTPサーバーを配置し，収集対象のサーバーと機器類が，そのサーバーを参照する構成が望ましい（図3）。NTPに関する攻撃や脆弱性は，公開されているのでセキュリティ面にも配慮しなければならない。

図3●NTPサーバーの構築例

アクセス・ログの保護

　要件10.5では，ネットワーク環境すべてのログの保護全般に関することを求めている。正当なユーザーによるログの閲覧のみを許可して，不当なユーザーからの改ざんを防ぐ仕組みを実装することである。正当なユーザーに対するアクセス制限を行うためには，ログ・ファイルのパーミッションによる制限設定やネットワーク・アクセスの制限などの対策が考えられる。不当なユーザーからのアクセス対策としては，万が一改ざんされてしまった場合を想定したことも含めて検討したほうがよい。例えば，変更できない媒体へのバックアップや改ざん検知と管理者へ通知の仕組みを構築する対策などが考えられる。ただし，PCI DSSに準拠するシステムの規模によってファイアウオールのログなどは膨大な量になるため，改ざん防止対策を効果的に実装することは極めて難しい。専門家と協議の上で検討することを推奨する（図4）。

図4●ログ保護の対策例

アクセス・ログのレビュー

　要件10.6では，すべてのログ・レビューを毎日必ず実施しなければならないことが求められている。通常の情報システム部門では，ログをサーバーに集約して蓄積しておき，障害が発生したときに限り，原因調査を行なう運用が一般的である。

　一方，PCI DSSでは正常，異常に関係無く，最低1日に1回はログのレビューを実施する点が違う。実運用のイメージとしては「あらかじめ登録された異常パターンにマッチしたときにアラートをあげる監視の動き」と「1日の集計レポートをレビューする動き」の二つを組み合わせた形式になると思われる。検知，集計，分析機能を備えたログ管理ソリューションを導入することが望ましい。