BtoB EC操作ログの監査対応｜取得項目と保管期間の設計

◆監修・編集責任者　小園 将隆　2026年8月26日

B2B EC-COLUMN

監視・保全・確認の3点—BtoB EC操作ログの監査対応

BtoB ECの操作ログとは、管理画面や購買画面で誰がいつ何を操作し、値をどう変更したかを検索・出力できる形で記録したものです。監査対応では、異常な操作の監視、改ざん・削除されない保全、管理者以外による確認の3点が問われます。保管期間は、少なくとも1年程度が公的な目安として示されています^*5。

監査で確かめられるのは「取得」ではなく「監視・保全・確認」

経済産業省のIT統制ガイダンスは、統制例として「一定の条件でアクセスログを検索し異常なアクセスがないかを監視する」ことを挙げています。監査手続の例としては、「通常時間以外のアクセスログ等による監視の実施を確かめる」ことを示しています^*2。

同資料は統制の例として「ログファイルの完全性、正確性、正当性を保証される（ログが改ざんされずに記録され、保管されている）」状態も挙げています。監査ではログの記録・保管の過程で改ざんや削除ができないかを確かめるとしています^*2。取得しただけのログは、この確認に耐えません。

保管期間は「少なくとも1年程度」を目安に考える

個人情報保護法サイバーセキュリティ連絡会は、不正アクセスは長期間に及ぶこともあると指摘しています。調査に必要となるログについては、少なくとも1年程度保管することが望ましいと示しています^*5。ただしこれは法定の保存年限ではなく、推奨として示された目安です。

同資料は、法令上許容される期間を超えた保管を推奨する趣旨ではない旨を注記しています。特に電気通信事業者は、通信の秘密との関係で通信履歴の取扱いに配慮が必要だとしています^*5。自社の商流にどの目安を当てはめるかは、最終的に監査人や顧問税理士への確認が欠かせません。

導入後には遡って設定できない、設計は要件定義で終える

操作ログの取得範囲や保存期間は、システムの仕様として導入時に決まります。稼働後に「この項目も記録してほしい」と気づいても、過去の操作を遡って記録することはできません。

したがって操作ログの設計は、要件定義やRFP（提案依頼書）の段階で確定させる必要があります。次章から、何を根拠に何を決めるかを順に整理します。

内部統制・電帳法・個人情報保護法・内部不正対策—操作ログを求める4つの要求元

「操作ログを取得する」という要求は、実は一つではありません。財務報告の内部統制、電子帳簿保存法、個人情報保護法の安全管理措置、内部不正対策という4つの制度・基準が、それぞれ異なる目的で異なる粒度のログを求めています。まずこの要求元を切り分けないと、取得項目も保管期間も決まりません。

財務報告の内部統制（金融商品取引法）—IT統制としてのアクセスログ監視

金融商品取引法は、上場企業等に財務報告に係る内部統制報告書の提出を義務づける法律です。この法律に基づく内部統制報告制度は、2023年4月7日の企業会計審議会の意見書により評価・監査の基準が改訂されました。改訂基準は、2024年4月1日以後開始する事業年度における評価・監査から適用されています^*1。

この改訂を受け、経済産業省は財務報告に係るIT統制ガイダンスを2024年12月25日に改訂しました^*2。IT業務処理統制のモニタリングとしてアクセスログの監視が位置づけられており、受発注システムのマスタ変更や承認処理へのアクセスが対象になります。

電子帳簿保存法—訂正・削除の事実と内容を確認できること

電子帳簿保存法施行規則第4条第1項第3号は、電子取引データの真実性を確保する措置の一つを定めています。その内容は「当該電磁的記録の記録事項について訂正又は削除した場合には、これらの事実及び内容を確認することができること」です^*4。

国税庁の電子帳簿保存法一問一答【電子取引関係】問39（令和7年6月版）は、この要件を満たすシステムの例を2つ挙げています。一つは記録事項の訂正・削除が物理的にできない仕様のシステム、もう一つは訂正・削除時に前の内容を記録・保存し事後に検索・閲覧・出力できるシステムです^*3。BtoB ECの受注・見積データの訂正削除履歴が、この要件と重なります。この要件を含む電子帳簿保存法への対応全体は、別記事で扱います。

個人情報保護法の安全管理措置—漏えい時の調査に耐えるログ

個人情報保護法は、個人データの漏えい・滅失・毀損を防ぐための安全管理措置を事業者に求める法律です。この措置が機能しているかどうかは、実際に不正アクセスが起きたときの調査で試されます。

個人情報保護法サイバーセキュリティ連絡会の資料は、保管対象となり得るログの例を挙げています。アプリケーション関連のログの例には「ユーザーの操作ログ」が明記されている点が特徴です^*5。あわせて、SIEM（複数のログを集約して監視する仕組み）でログを一元管理することも有効だとしています^*5。個人データの取扱い設計全体は別記事に譲り、本稿ではログに関わる部分とモニタリング周知のみを扱います。

内部不正対策—ログと証跡は目的が違う

IPA（独立行政法人 情報処理推進機構）の「組織における内部不正防止ガイドライン」第5版は、ログと証跡を定義しています。「ログ」はシステム等で取られる作業ログ、「証跡」は監査や監視のためにポリシーを決めて収集されるものです^*6。同ガイドラインは、重要情報へのアクセス履歴及び利用者の操作履歴等のログ・証跡を記録し、定めた期間に安全に保存することが望ましいとしています^*6。

内部不正対策としてのログは、抑止と早期発見、事後の原因究明という役割を担います。財務報告や電帳法のように法令・基準で直接要求されるものではありませんが、他の3つの要求元と対象イベントが重なるため、実務上は一体で設計する対象になります。

4つの要求元は、目的も対象イベントも保全水準も異なります。「1年」「訂正削除の履歴」「改ざん防止」という個々の要件は、由来する制度が違うため単純に比較したり合算したりすることはできません。自社の操作ログ設計では、この表を出発点にどの要求元が自社に関係するかを洗い出す必要があります。

操作ログをこの4系統に沿って整理すると、次に決めるべきは「実際に何を取得するか」という項目の話になります。自社の受発注システムがどこまで対応できているかを無料相談で確かめる読者も少なくありません。

日時・利用者・変更前後の値—取得する項目をログの5W1Hで決める

操作ログは、誰にどの権限を与えるかという権限設計とは別の話です。権限設計が「誰が何をしてよいか」を決める仕組みであるのに対し、操作ログは「権限どおりに操作されたか」を後から検証する手段にあたります。権限設計そのものについては別記事で扱い、本稿では記録すべき項目に絞って整理します。

必須項目：日時、利用者ID、所属企業・部門、接続元IPアドレス、操作種別、対象データの識別子

操作ログの基本項目は、いつ・誰が・どこから・何を・どのデータに対して行ったかの5W1Hです。BtoB ECでは取引先企業ごとにアカウントが発行されるため、利用者IDに加えて所属企業・部門を記録項目に含める必要があります。

• 日時（操作が発生した年月日・時刻）
• 利用者ID・所属企業／部門
• 接続元IPアドレス
• 操作種別（参照・作成・更新・削除・出力など）
• 対象データの識別子（受注番号・顧客コード等）

変更系の操作は「変更前後の値」を残す

操作種別が更新・削除の場合は、操作の記録だけでは監査に使えません。変更前の値と変更後の値を対で残してはじめて、何がどう変わったかを後から説明できます。単価や与信枠のように金額に直結する項目では、この対の記録が特に重要になります。

失敗だけでなく成功した操作も記録する

IPAのガイドラインは、アクセス等が失敗したログだけではなく、成功したログも取得しておくことが望ましいとしています^*6。失敗と成功の両方を記録しておくことで、分析や後日の確認・証拠保全等に役立ちます。ログイン失敗の記録だけを集める設計では、実際に成立した不正な操作を追跡できません。

受注・単価変更・代理注文—BtoB EC固有の記録対象イベント

ここまでの必須項目は、一般的なWebシステムのアクセスログにも共通します。BtoB ECで差が出るのは、記録対象とすべきイベントの中身です。取引先ごとの商習慣が反映される操作を具体的に洗い出します。

取引に直結する操作：受注、注文取消、数量・納期変更、承認・差戻し

受注の作成・取消、数量や納期の変更、承認・差戻しは、取引の成立そのものに関わる操作です。承認ルートを経由する操作は、誰が承認し誰が差し戻したかまで記録しておく必要があります。承認ルートの設計自体は別記事で扱います。

金額に影響する操作：取引先別単価・掛率の変更、与信枠の変更、キャンペーン適用

BtoB ECでは取引先ごとに単価や掛率が異なることが一般的です。この単価マスタの変更や与信枠の変更は、金額に直接影響するため、変更前後の値とあわせて記録すべき優先度の高いイベントです。

データの持ち出しと権限：CSV／帳票の出力、マスタの一括更新、代理注文・なりすまし操作、権限付与

受注データのCSVや帳票の出力は、社外への情報持ち出しに直結するため記録対象に含めます。マスタの一括更新は影響範囲が広いため、誰がいつ何件更新したかを残す必要があります。

担当者に代わって別の担当者や管理者が注文操作を代行する代理注文（なりすまし操作）は、権限どおりの操作かを検証する対象として特に重要です。代理注文の権限設計そのものは別記事で扱い、本稿では記録対象イベントの一つとして位置づけます。

1年程度を目安に検討する—保管期間と保全の設計

取得項目とイベントが決まったら、次はどのくらい残すか、どう壊れない形で残すかを決める段階に入ります。

保管期間はリスクとコストのバランスで決める

IPAのガイドラインは、ログ・証跡の保存期間はリスクとコストのバランスによって決定するとしています^*6。個人情報保護法サイバーセキュリティ連絡会が示す「少なくとも1年程度」は、検討の出発点になる目安です。税務・内部統制それぞれの要求と突き合わせたうえで、自社の期間を確定させる必要があります^*5。

受注データ本体をいつまで残すかという法定年限の論点は、操作ログの保管期間とは別の設計テーマです。受注データ本体の年限は別記事で扱います。

改ざん・不正な消去を防ぐ

経済産業省のIT統制ガイダンスは、ログの記録や保管に際して改ざんや削除ができないかを確かめることを監査手続の例として挙げています^*2。IPAのガイドラインも、記録したログ・証跡は改ざんまたは不正な消去ができないよう、暗号化等の必要な対策を講じるとしています^*6。

書き込み後に変更できない保存先を使う、保存先を業務システムと分離する、といった設計上の工夫が保全水準を左右します。個々の対策の網羅的な一覧は別記事のセキュリティ対策全体像に譲ります。

ログ管理サーバやSIEMでの一元管理と、古いログの外部保管

個人情報保護法サイバーセキュリティ連絡会は、ログ管理サーバやSIEMを導入してログを一元管理することも有効だとしています^*5。あわせて、保管期間・用途に応じて古いログを外部記憶媒体やクラウドストレージ等に保管することも有効な手段として挙げています^*5。すべてのログを常時すぐ使える状態に置く必要はなく、鮮度に応じて置き場所を分けるという発想です。

管理者以外が確認する—監査・インシデント時に使えるログの運用

ログを取得・保全していても、確認する体制がなければ監査対応にはなりません。誰がいつどう確認するかという運用設計が、最後の要件になります。

定期的な確認を誰が行うか

IPAのガイドラインは、情報システムの設定変更や運用に関する作業をログに記録し、定期的にその作業のログの内容をシステム管理者の上司または総括責任者が確認するとしています^*6。システム管理者が一人しかいない場合には、操作履歴等をシステム管理者以外の者が確認するといった代替手段が挙げられています^*6。管理者の操作を管理者自身がチェックする構成では、統制として成立しません。

検索・出力の要件

監査や調査では、対象期間や利用者を条件に指定してログを検索し、時系列で提出できることが求められます。取得しているだけで検索性がないログは、監査の場で「探せない」という形で機能しません。

調査を外部に依頼する場合に問われること

個人情報保護法サイバーセキュリティ連絡会は、フォレンジック調査の報告書で前提となったログの詳細を明らかにすることが重要だとしています。具体的には、調査対象・範囲、範囲の設定根拠、ログの範囲です^*5。外部の調査会社に依頼する段階になって初めて、自社のログの範囲や粒度が問われる形です。

周知と保護—従業員・取引先の操作を記録する際の配慮

操作ログは従業員や取引先担当者の行動を記録するものでもあります。監査対応を優先するあまり、周知を欠いた運用にしないための配慮が必要です。

モニタリングの目的をあらかじめ周知する

IPAのガイドラインは、ログ・証跡の保存している事実を従業員に通知することが望まれるとしています^*6。通知は、内部不正の発生を抑止する上で効果的な方法と考えられるためです。就業規則等でモニタリングの目的をあらかじめ周知しておくことが、運用上の前提になります。取引先の担当者に対しても、利用規約等での周知が同様に望まれます。

記録している事実を伝えることは抑止として働く

ログを取得している事実を隠す運用よりも、あらかじめ伝えておく運用のほうが、不正の抑止という点では効果的とされています^*6。監視されているという意識づけと、無実の従業員を証明する材料の両方に、記録している事実の周知が役立ちます。

取得したログ自体も保護対象の情報として扱う

操作ログには利用者ID・IPアドレス・操作内容といった個人に関わる情報が含まれます。ログの確認権限を持つ担当者を限定し、暗号化等の対策を施すなど、ログ自体を保護対象の情報として扱う設計が求められます^*6。

まとめ：操作ログ設計の6ステップ

本稿では、BtoB EC操作ログの監査対応を、要求元・取得項目・保管期間・運用という観点から整理しました。要点を3つに集約すると次のとおりです。第一に、操作ログを求める主体は内部統制・電子帳簿保存法・個人情報保護法・内部不正対策の4系統に分かれ、それぞれ目的と保全水準が異なる点です。第二に、必須項目に加えて受注・単価変更・代理注文などBtoB EC固有のイベントを具体的に洗い出す必要があります。第三に、保管期間はリスクとコストのバランスで決め、管理者以外が定期的に確認する体制まで含めて設計してはじめて監査対応と言えます。

1. 要求元を洗い出す（内部統制・電帳法・個人情報保護法・内部不正対策のどれが自社に関係するか）
2. 記録対象イベントを決める（受注、単価・与信枠の変更、承認、代理注文、CSV出力など）
3. 取得項目を定義する（日時・利用者ID・接続元IP・操作種別・対象データ識別子・変更前後の値）
4. 保管期間と保存先を決める（少なくとも1年程度を目安に、税務・内部統制の要求と突き合わせる）
5. 改ざん防止と確認体制を設計する（管理者以外による定期確認、暗号化等の保護措置）
6. 要件定義書・RFPに記載する（システム選定・パッケージの標準機能で満たせるかを確認する）

操作ログの取得範囲や保存期間の変更可否は、パッケージやSaaSの標準機能に強く依存する点に注意が必要です。どのイベントが記録されるか、変更前後の値が残るか、保持期間を変更できるかは製品ごとに異なります。管理者がログを消せてしまわないかも含め、導入後に「取れていなかった」と気づいても遡れません^*6。選定・要件定義の段階で確認しておくべき事項です。

自社の商流に合わせて記録対象イベントを洗い出し、パッケージの標準機能で足りるかを見極める作業は、自社だけで詰めきるのが難しい場合もあります。リプレイス案件では、旧システムのログをどこまで移行し、どこから旧環境に残すかも論点になります。

---

ご不明な点はお問い合わせフォームからもご連絡いただけます。

よくある質問

操作ログは何年保管すればよいですか。

法定の保存年限として一律に定められた期間はありません。個人情報保護法サイバーセキュリティ連絡会は、調査に必要となるログについて少なくとも1年程度保管することが望ましいと示しています^*5。これを出発点に、内部統制や電子帳簿保存法など自社に関わる要求元の期間と突き合わせて決めることになります。

パッケージ製品の標準機能で監査対応は足りますか。確認すべき点は何ですか。

標準機能の「操作ログ」がどこまで対応するかは製品ごとに異なるため、機能名だけでは判断できません。記録対象イベントの範囲、変更前後の値を残せるか、保持期間を変更できるか、ログを管理者が削除できてしまわないかの4点を要件定義の段階で確認することが必要です。

操作ログとアクセスログは何が違いますか。

IPAのガイドラインは、システム等で取られる作業記録を「ログ」、監査や監視のためにポリシーを決めて収集する記録を「証跡」と整理しています^*6。操作ログはログイン・ログアウトだけでなく、受注や単価変更といった業務操作の内容まで含む点で、接続の記録に留まるアクセスログより対象が広くなります。

システム管理者の操作もログに残す必要がありますか。

必要です。IPAのガイドラインは、情報システムの設定変更や運用に関する作業をログに記録し、定期的にその内容をシステム管理者の上司または総括責任者が確認するとしています^*6。管理者の操作を管理者自身がチェックする体制では、統制として成立しません。

取引先の担当者の操作を記録してよいですか。事前の同意は必要ですか。

業務システムの操作記録として取得すること自体は一般的な運用ですが、モニタリングの目的をあらかじめ周知しておくことが望ましいとされています^*6。取引先向けには利用規約等での周知、従業員向けには就業規則等での周知が実務上の対応にあたります。個別の適法性の判断は自社の法務・顧問弁護士に確認してください。

1. *1　出典：企業会計審議会（金融庁）「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（令和5年4月7日）
2. *2　出典：経済産業省「システム管理基準 追補版（財務報告に係るIT統制ガイダンス）」（令和6年12月25日改訂）
3. *3　出典：国税庁「電子帳簿保存法一問一答【電子取引関係】問39」（令和7年6月版）
4. *4　出典：e-Gov法令検索「電子計算機を使用して作成する国税関係帳簿書類の保存方法等の特例に関する法律施行規則」第4条第1項第3号イ（現行法令）
5. *5　出典：個人情報保護法サイバーセキュリティ連絡会（個人情報保護委員会）「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」（令和8年1月16日）
6. *6　出典：IPA（独立行政法人 情報処理推進機構）「組織における内部不正防止ガイドライン 第5版」（2022年4月6日改訂）