ログを「取っている」で止まっていないか― Security Days Fall 2026 Osakaで聞いた「見えない・戻せるか・使っているかー

１．はじめに

　こんにちは。ICT採用でありながら非IT部門を渡り歩いている公務員のsoloです。

　「バックアップ、ちゃんと取ってますよ」
　「ログですか？　はい、サーバの設定で残る仕様になってます」
　「生成AI？　うちは禁止してますよ」

　この3つの台詞には共通点があります。「やっている」と答えた瞬間に、思考が止まっていることです。

　先日、年次有給休暇を使って「Security Days Fall Osaka 2026」に参加してきました。前回参加したときの記録はこちらに書いたとおりです。

　今回は、会場で走り書きした自分のノートを見ながら、記事を書いています。分野も立場も違う複数の講演者が、口をそろえて同じことを言っていました。キーワードにすると、「見えない」「戻せるか」「使っているか」の3つです。

２．サイバー攻撃の本質は「見えない・気づかない・わからない」

　ある講演の冒頭で、「サイバー攻撃が激化している」という最近よく聞く話について、少し踏み込んだ整理がありました。ノートにはこう書いてあります。

　「AIで攻撃が高度化した」と聞くと身構えます。けれど実態は、昔からある攻撃が報道で目立って見えているだけ、というケースも多い。そういう指摘でした。騒ぎ方に踊らされず、中身を冷静に見る必要があります。

　そのうえで強調されていたのが、「サイバー攻撃の本質は、見えない・気づかない・わからない」という一言です。

　ノートには、ある病院の事例も書き留めてあります。半年前にADサーバで障害が起きていたのに、実は侵入されていて、アンチウイルスが検知した頃にはログがすでに消えていた、という話でした。

　侵入に気づけない。気づいても、もう証拠が残っていない。公立病院を抱える自治体にとっても、他人事ではありません。

　別のベンダー講演の配布資料にも、まったく同じ構図が出てきました。生成AIの業務利用（いわゆる「シャドーAI」）についての整理です。要旨は、AIを使うこと自体が問題なのではない、というものでした。問題は、組織から「見えない」「止められない」「記録が残らない」ことです。対策もこれに対応して、「見える化する／止める／記録する」の3ステップで整理されていました。

　攻撃者の侵入であれ、職員の生成AI利用であれ、根っこの問題は同じ「見えない」なんだと気づかされます。冒頭の「禁止してますよ」は、裏を返せば「使われていても見えていない」かもしれません。禁止で終わらせず、組織として把握できる状態にする。これが結局、最初の防御線になるのだと思います。

３．バックアップは「取る」だけでなく「戻せるか」で評価する

　二つ目のテーマは、バックアップとBCP（事業継続計画）です。

　ある講演のメモには、医療機関への注意喚起として「当たり前のこと」という一言のあとに、こう並んでいました。

　特別なことは何もありません。全部、誰でも知っている「当たり前」の項目です。でも、この当たり前を全部きちんとやり続けられている組織が、どれだけあるでしょうか。

　標的型メール対策について、ノートにはこう書いてあります。「ゼロにはできない」。そして、「引っかかった・わかった、その後の対応をどうするかが必要」。これは刺さりました。訓練で全員が引っかからないようにする、というゴール設定自体が、そもそも無理筋なんです。大事なのは、引っかかったあと、どう気づいて、どう報告して、どう止めるか。

　そして、バックアップについてのノートの一文が、今回一番印象に残っています。

　取っているかどうかではなく、戻せるかどうか。 さらに言えば、「戻せる手順書があるか」でもなく、「実際にそれをやりきる実行力があるか」まで問われていました。

　例えるなら、避難経路のマニュアルだけ作って、一度も階段を下りたことがない状態です。紙の上では完璧でも、本番で体が動くかは誰にもわかりません。

　しかも厄介なことに、地震の避難訓練を毎年きちんとやっている組織ほど、「訓練はやっている」で安心しがちです。でも、サイバー攻撃からの復旧で必要なのは、建物から出る訓練ではなく、壊れたデータを元に戻す訓練です。避難訓練の実績は、復旧訓練の代わりになりません。

　バックアップに求める要件としては、次の3つが挙げられていました。

　あわせて、「3つの複製・2種類の媒体・1つは遠隔地・1つは改ざん不可」という設計方針（いわゆる3-2-1-1ルール）も紹介されていました。本番と同じネットワーク上に置いたバックアップは、気づかないうちに一緒に暗号化されます。

　別のセッションのノートにも、「体制」「パッチ」「システムデザイン」と並んで、「BCP→バックアップから戻せるようにする」という一言がありました。分野の違う複数のセッションが、同じ結論に行き着いていたのが印象的です。

４．ログは「保存する」ではなく「使う」もの

　三つ目は、ログの話です。

　あるセッションでは、攻撃の痕跡が残っているはずのログが十分に残っておらず、ログがゼロだったり消えていたり、定期監視もできていない、という現場のあるあるが紹介されていました。

　攻撃を受けた組織の多くで、本来なら残っているはずの痕跡が、実際には十分に残っていない、という趣旨の話です。「ログを取る設定にはしています」で止まっている。保存し続けられているか、定期的に見ているかまでは、手が回っていないということです。

　ログは、取った時点では何の役にも立ちません。 使って、初めて意味を持ちます。これは、日記を毎日几帳面につけているのに、一度も読み返したことがない人のようなものです。何かトラブルが起きて読み返そうとしても、本人すら中身を把握していないのでは、意味がありません。

　ある配布資料には、次のような自己診断項目が並んでいました。

　これらに、胸を張って「はい」と言える項目が、いくつあるか。私自身、考えると冷や汗が出ます。

　SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）でも、ログを収集・分析して攻撃の兆候に気づくこと、事後に原因を調べられることが、上位の★4の要件に含まれています。自治体自身は対象外でも、委託先ベンダーを選ぶときの物差しとしては、そのまま使えます。

　別の講演のメモには、NISTのサイバーセキュリティフレームワーク（CSF）に触れて、「復旧←これができない」と書き込んであります。CSFは2024年の2.0で、識別・防御・検知・対応・復旧の5機能に「統治（ガバナンス）」が加わり、6機能になりました。多くの組織は、識別や防御には力を入れています。けれど、検知して、対応して、元に戻すところが手薄になっている。そして、それらを組織として回し続ける「統治」が、今回聞いた話すべての土台にあるように感じました。

　前章のバックアップと、この章のログは、結局「気づいて、戻す」という同じ課題に行き着きます。これが今回の大きな発見でした。

５．自治体の現場に引き寄せて考える

　ここまでの話を、自治体の文脈に置き直してみます。

　自治体は、いわゆる三層分離（マイナンバー利用事務系・LGWAN接続系・インターネット接続系の分離）で、長く「境界」で守ってきました。この仕組みは大きな成果を上げてきましたが、裏返すと「境界の内側にいるから大丈夫」という感覚を生みやすい構造でもあります。冒頭の病院事例のように、内側に入られてから半年気づけなければ、境界は意味を持ちません。

　加えて、基幹業務システムの標準化とガバメントクラウドへの移行で、システムの「持ち主」と「運用者」の線引きも変わりつつあります。バックアップはどこにあり、誰の責任で戻すのか。ログは誰が保管し、誰が見るのか。契約書や仕様書の上で「ベンダーがやってくれるはず」になっている部分ほど、一度具体的に確かめておく価値があります。

　総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」にも、バックアップやログの取得・管理は当然のように書かれています。問題は、書いてあるかではなく、回っているかです。

　仕組みを入れても、見る人がいなければ動かない。専門人材が限られる自治体ほど、内部に埋もれている技術者や外部の力を借りる前提で設計すべきだと思います。

６．まとめ：地味な「当たり前」のリストを、もう一度見直す

　派手な新技術よりも、「見えない・気づかない・わからない」を前提にした地道な備えの方が、結局効く。分野も立場も違う講演者たちの結論は、そこに集約されていました。

　そして、「ソフト・パスワード・OS・メール・セキュリティ情報・バックアップ」という当たり前すぎる基本項目を、自分の組織に当てはめて見直す。地味で、誰でも知っていて、だからこそ後回しにされがちな項目です。複数の講演が、結局その地味な基本に戻ってきていた。これが今回の一番の収穫でした。

　今日からできることを、少しずつでも。まずは、あなたの組織のバックアップを一度「戻してみる」訓練から始めてみませんか。

　最後までお読みいただき、ありがとうございました。