ひとことで言うと
監査ログ（Audit Log）とは、システム上で行われた管理操作や設定変更を時系列で記録したログです。「誰が・いつ・何を・どう変えたか」のWho/When/What/Howを記録する点でアクセスログと異なります。ファイルのアップロード、許可リストの追加・削除、リンクの有効化・無効化などが典型的な記録対象です。
アクセスログが「閲覧者が何を見たか」を記録するのに対し、監査ログは「管理者が何を操作したか」を記録します。たとえば「Aさんがドメイン許可リストにB社を追加した」「Cさんがリンクを削除した」といった操作履歴が残るため、権限の変更経緯を第三者が検証できます。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
HTML共有で関係する場面
複数のメンバーが同じプロジェクトのHTMLファイルを管理している場合、誰かが誤って許可リストを変更したり、公開リンクを意図せず削除したりしたときに監査ログが原因究明の手がかりになります。操作した人と時刻が記録されているため、「私は触っていない」という水掛け論を防げます。
企業のセキュリティポリシーやISO 27001などのコンプライアンス要件では、「誰がいつ何の設定を変えたかを証明できること」が求められます。AI生成サイトを社外向けに公開する際も、監査ログを残せるサービスを選ぶことで、情報管理の証跡として提出できる記録を用意できます。
よくある誤解
「監査ログ＝アクセスログ」と混同されることがあります。アクセスログは主に閲覧者側のHTTPリクエストを記録しますが、監査ログは管理者側の操作を記録します。両方を確認して初めて「誰が公開設定を変え、その後誰がアクセスしたか」のフルピクチャが見えます。
「監査ログがあれば操作を取り消せる」という誤解もあります。監査ログはあくまでも記録であり、操作の巻き戻しツールではありません。削除したファイルを復元したり、変更した設定を自動で元に戻したりする機能は別途バックアップや版管理の仕組みが必要です。
安全に使うための注意点
監査ログが意味を持つのは、改ざんされていないことが担保されている場合だけです。ログ自体を管理者が削除・編集できてしまうサービスでは証拠能力が低下します。コンプライアンス目的で使う場合は、ログが書き込み専用（append-only）で保存され、管理者でも過去のエントリを変更できない仕組みになっているか確認してください。
ログの保存期間がセキュリティポリシーの要件を満たしているかも確認が必要です。多くのサービスでデフォルト90日〜1年程度ですが、業種によっては3〜7年の保存が義務付けられる場合があります。不足する場合はログを定期的に外部ストレージへエクスポートするフローを設けましょう。
よくある質問
個人アカウントで使っているサービスでも監査ログは記録されますか？
個人プランでは監査ログ機能が省略されているサービスが多く、チームプランや企業向けプランでのみ提供されるケースが一般的です。コンプライアンス要件がある場合は、プラン選定の段階で監査ログの有無を確認してください。
監査ログを外部のSIEMツールに転送することはできますか？
Cloudflareベースのサービスであれば、Logpush機能でSplunkやDatadogなどのSIEMへログをリアルタイム転送できる場合があります。対応するサービスのドキュメントでLogpush・Webhookの有無を確認してください。
チームメンバーを削除したとき、その人の過去の操作記録は消えますか？
適切に設計されたサービスでは、アカウントを削除してもそのアカウントが過去に行った操作の監査ログは残ります。ログにはアカウントIDやメールアドレスが記録されるため、退職者の操作履歴も事後調査で追跡できます。