NIS2の初期執行が監査証跡について示すこと

コンプライアンス要件の多くは、チェックボックスを埋める作業として始まります。誰かがログ記録が有効であることを確認してチェックを入れ、チームは次の仕事に移ります。しかし、NIS2はそれを変えつつあります。規制当局は今、統制の証拠を求めています。何が起きたかを再構築できるのか、その記録を信頼してよいのかを問うのです。誰がいつ何をしたかを示せないなら、その統制は存在しないも同然だからです。

規制当局が求めるのは証拠です

罰金の額は特定しづらいのが実情です。オンラインで出回っている数字は情報源によって異なり、EUは罰金の中央登録簿をまだ作成していません。それでも、最近の執行の傾向からはより多くのことが読み取れます。

ドイツのBSIは数十件の正式な通知を出しました。フランスのANSSIは、エネルギーと運輸分野の問題を是正する命令を出し、制裁よりも改善を優先しています。オランダでは、重要なデジタルインフラ企業を対象にした調査で、3分の1以上がインシデント報告手順に不備があり、半数以上が経営陣承認のセキュリティポリシーを保管していないことが判明しました。

これらの指摘はすべて、証拠の欠如に行き着きます。

実際の要件はどこにあるのか

報道の多くは、10の包括的なセキュリティ対策を列挙するNIS2の第21条で止まっています。しかし、この条文は意図的に一般的な書き方になっています。必要な詳細は、2024年11月から施行されている欧州委員会実施規則（EU）2024/2690にあります。この規則は、10の対策を150以上の具体的な統制に落とし込んでいます。監査証跡の土台となる統制であるログ記録と監視は、附属書のセクション3.2で扱われています。

この規則は、クラウドおよびデータセンター事業者、DNS事業者、マネージドサービス事業者、オンラインマーケットプレイスなど、定められた企業群に直接適用されます。このリストに含まれない企業は形式上は拘束されませんが、規制当局が基準として用いる可能性が最も高い物差しであることに変わりはありません。（NIS2が自社に適用されるかどうかの判断基準は、NIS2コンプライアンスの概要で解説しています。）

規則には「適切な場合」や「実行可能な範囲で」といった表現がよく出てくるため、裁量の余地があるように聞こえます。しかし落とし穴があります。ある要件が自社に当てはまらないと判断したなら、その理由を文書化しなければなりません。特定のシステムでログ記録を見送ること自体は、根拠を文書化していれば問題ありません。そうでなければ、指摘事項になります。

証拠は、誰かが確認する前に消えてしまうことが多い

ドメインコントローラー上のWindowsセキュリティログは、設計上、自動的に上書きされます。ログがサイズ上限に達すると、最も古いイベントから新しいイベントに置き換えられます。おそらく何年も前に誰かがディスク容量を節約するために設定したこの上限は、証拠のことを考慮していません。負荷の高いサーバーでは、ログが数分で入れ替わることもあります。

しかし、ログ記録が有効で新しい記録が入り続けているため、誰も消失に気づきません。規制当局に4か月前の出来事を尋ねられたとき、「ログ記録は有効でした」と答えても役に立ちません。

すぐにできることが2つあります。

• ドメインコントローラーと重要サーバーがログを現在どのくらいの期間保持しているかを確認してください。ポリシー文書よりも、実際の設定のほうが重要です。
• 要求される証拠保持期間のうち、監査プラットフォームが直接検索できる範囲がどこまでかを調べてください。最近のデータは通常すばやく検索できますが、古いデータは復元が必要になる可能性のあるアーカイブにあります。その取り出しを今のうちにテストしてください。NIS2第23条は、早期警告に24時間を与えています。6か月前の活動を掘り出すのに何日もかかると知るには、最悪のタイミングです。

管理者が編集できるログは証拠ではない

NIS2は、ログを不正なアクセスや変更から保護することを求めています。

調査する相手は誰になるか考えてみてください。たいていは管理者権限を持つアカウントです。監査データがそのアカウントの管理下にあるシステム上にあれば、最初に取る行動の1つがログの消去かもしれません。しかもWindowsは、ログが消去されたことを記録しますが、その記録は消去されたばかりのログそのものに書き込まれます。履歴が消されたことはわかっても、そこに何があったかはわかりません。

だから、「どのくらいの期間保管するか」は最初の問いとして間違っています。管理者が編集できる7年分のアーカイブは、管理者が触れない6か月分のアーカイブよりも弱いのです。信頼できる記録には、3つのことが必要です。

1. 監視対象の環境の外にあるシステムが、データを収集して保存する。
2. それらのシステムを運用する人が、保存された履歴を変更できない。
3. 監査ストアが、自身に加えられたあらゆる変更を記録する。

企業が最も失敗しやすいのは2つ目です。監査データを収集するアカウントは、設定がいちばん簡単だったという理由で、ドメイン管理者であることがよくあります。その結果、管理者ログインを乗っ取った攻撃者は証拠にも手が届きます。監査データベースとアーカイブへの書き込み権限を誰が持っているかを、今日確認してください。

3つ目は最も見落としやすい要件です。プラットフォームは、監査ログがいつ消去されたか、監査設定がいつ変更されたか、誰がストアを閲覧したかを教えてくれなければなりません。それができなければ、あなたの証拠を裏づける証拠はありません。

規制当局より先に実施すべき6つのテスト

2時間を確保し、ストップウォッチを用意して、実際の環境で次の各項目の証拠を提示できるか試してください。

1. 特権アカウントが侵害される。 そのアカウントが全システムで行ったすべての操作を、順番に確認できますか。
2. 誰かが持つべきでない権限を得る。 ネストされたグループを経由していても、誰がいつ付与したかを特定できますか。
3. 重要な設定が変更される。 変更前の状態と現在の状態を示せますか。
4. 不審なアカウントが現れる。 誰が作成し、その後何をしたかを特定できますか。
5. インシデントが複数のシステムにまたがる。 第23条の24時間以内の早期警告を支えられる速さで、明確なタイムラインを作成できますか。
6. 先週の火曜日に誰かがセキュリティログを消去した。 それに気づけますか。また、どうやって気づいたかを示せますか。

自己採点し、テストした期間を記録してください。チームは先週分なら合格しても、前四半期分では不合格になることがよくあります。この演習が示すのは、まさにその差です。そして「はい、ただし3日と5チームが必要でした」は不合格です。24時間の時計は、何人必要だったかなど気にしてくれません。

Netwrix Auditorの位置づけ

6つのテストはすべて、1つの能力に行き着きます。誰が何をいつ変更したか、変更前はどうだったかという信頼できる履歴を、監視対象の環境がこっそり書き換えられない場所に保管することです。

Netwrix Auditorは、Active Directory、Entra ID、Microsoft 365、ファイルサーバー、SQL Serverなどから、変更・アクセス・管理者の操作を独自の監査ストアに収集します。履歴は、ドメインコントローラーがログをどれだけ長く保持するかに左右されなくなります。

6つのテストにぴったり対応するNIS2レポートパックもあります。たとえば、Administrative Group Membership Changesはテスト1を、Account Permissions Reportsはテスト2をカバーします。Audit Log ClearingとLocal Audit Policy Changesはテスト6をカバーし、Access to Archive Dataは証拠そのものを誰が閲覧したかを示します。NIS2要件マッピングガイドは、各要件からレポートまでの対応関係を規制当局に示すのに役立ちます。

監査ツールだけでNIS2に準拠できるわけではありません。第21条は監視よりはるかに広い範囲を対象としていますが、その対策はいずれ最終的に証明されなければならず、証明は監査証拠から生まれます。証拠がなければ、機能している統制と存在しない統制は、規制当局の目には同じに見えます。

まとめ

初期の執行は、欧州の規制当局がどこへ向かっているかを示すシグナルです。コンプライアンスの重心は、ポリシーに何が書かれているかから、何を示せるかへと移りつつあります。

ですから、6つのテストを実行し、4か月前の日付を対象にしてください。不合格の項目があれば、規制当局が同じ是正をより高くつくものにする前に、今週の最優先事項として修正してください。