全社の監査ログ/ Company-wide Audit

窓口は 8 つです。すべてシステム管理者に限定し、2 段の保護を掛けています。1 段目でログインを確かめ、2 段目で全社の管理権限を確かめます。権限が無い相手には 404 を返し、そういう窓口があること自体を伏せます。

調査で使う操作は「期間を決めて、対象を絞って、新しい順に辿る」の 3 つに集約されます。上段が業務としての流れ、下段がそれをどう実現しているかです。

一覧を引くと、そのリクエストごとに必ず 1 行が記録に増えます。目的は、システム管理者が取引先のデータを必要以上に見ていないかを、あとから検知できるようにすることです。

記録する中身は、絞り込みの要約と「新規の検索か、続きの読み込みか」の手掛かりだけです。返した行の中身は入れません（同じ内容を二重に持つことになり、量も増えるため）。

記録に条件を付けない

ここは実装の途中で 2 回考え直した箇所です。当初は「無駄な行を増やさない」ために、記録する条件を置いていました。しかし条件の材料が続きの位置を示す印である以上、その印は監査される本人が握っている値です。つまり条件は原理的に操作できます。実際に 2 通りとも外側から破れました。

対処として、条件そのものを撤廃しました。「印の検証を厳しくする」「印に署名を付ける」という方向は採っていません。厳しくした条件の外側には必ずまた「返るのに残らない」経路ができるうえ、壊れた印を先頭に戻す挙動はほかの画面と共通で、この 1 か所だけ違う挙動にしたくなかったためです。

行が増えることは、過剰なアクセスの検知という目的にとっては情報が増えることです。ページ送りも 1 行として積まれるので、「何ページ目まで辿ったか」まで読めます。記録に入れている「新規か続きか」の手掛かりは、あくまで読む側の目安で、判定には使いません（本人が操作できる値だからです）。

一覧の前に「いつ、どのくらい、どんな操作があったか」を掴むための窓口です。期間の指定は必須で、上限があります。

• まとまりの単位は自動で決まります。期間が 24 時間以内なら時間単位、それより長ければ日単位です。
• 区切りは日本時間です。世界標準時で区切ると、日本の 9 時前の操作が前日に入ってしまい、業務の「日」と合いません。
• 返すのは、まとまりごとの件数と、その期間に多かった操作の上位です。
• 絞り込みの条件は一覧と同じものが使えます（期間・Box・操作者・行為者の種類・操作種別）。

集計・子テーブルの一覧・依頼の一覧については、個別の閲覧記録を付けていません。これらはどれも一覧を引く前後に必ず通る窓口で、一覧の記録に含まれると判断したためです。

画面で辿るのではなく、まとめて手元に落として調べたい場面のための窓口です。期間の長さと件数の見込みで、その場で流すかバッチへ渡すかを内部で決めます。要求する側はどちらになるかを指定しません。

CSV は 19 列。データベースに作らせる

列は次の 19 です。並びは古い順（画面の新しい順とは逆）にしています。時系列で読み下すほうが調査に向くためです。

CSV の組み立てはデータベース側に作らせています。文字のくくり方、値が空のときの表し方、時刻の書式は、どれも自前で書くと取りこぼしが出る種類の処理です。データベースの取り出し機能に任せて、その出力をそのまま応答へ流しています。

• 時刻は世界標準時。文字コードの目印（BOM）は付けず、圧縮したファイルとして返します。この CSV は「機械で読み直す監査の成果物」という位置づけで、表計算で開く用途は Box 側の CSV が担います。
• 自由項目は JSON の文字列としてそのまま 1 マスに入ります。改行が含まれることがありますが、くくり方が正しいので表計算でも崩れません。
• 対象の名前（ファイル名など）は、種類ごとの条件つきの結合 3 本で取っています。1 行ごとに問い合わせる書き方にすると 100 万行で破綻します。

バッチへ渡す側の全体を、時系列で追います。要点は 3 つです。取り合いを防ぐ（同じ依頼が二重に走らない）、途中の状態を外に見せない（書き終わるまでファイルが現れない）、失敗を黙って終わらせない（台帳に残し、重大なアラートを上げる）。

失敗したときに何が起きるか

• 台帳を失敗にしてから、例外をそのまま投げ直します。バッチが異常終了するので、重大なアラートが上がります。
• 要求した人への失敗のメールは送りません。画面の一覧に失敗として出るうえ、管理者にはアラートが届くため、そこに 1 通足す価値が薄いという判断です。
• 起動そのものに失敗したときは、台帳の欄に定型文だけを書きます。生の例外文をそのまま入れると、クラウドのプロジェクト識別子や権限の名前が混じり、その欄は要求した人の画面にそのまま出るためです。詳しい情報は実行時のログにだけ残します。
• 長時間「実行中」のまま止まっている依頼は、月次の点検が失敗へ倒します。処理が強制終了した場合、再試行しても取り合い防止の判定に引っかかって何もせず終わるため、そのままだと永久に「実行中」で残ります。

生のデータを引ける窓口なので、権限だけでは足りません。次の 4 つを重ねています。

退避分の取得には回数の制限を掛けていません。掛けると通常の取り出しと枠を共有してしまい、片方が枯れるためです。こちらはシステム管理者に限定されており、発行がすべて記録される点で担保しています。

この章で説明した窓口は 8 つとも実装済みで、本番で稼働しています。一方で、これを操作する画面はまだありません。

現状の確認と取り出しは、認証付きの直接の呼び出しで行っています。画面の側で使う部品（期間の選択・操作種別の絞り込み・操作者の絞り込み）は、Box のアクティビティで先に作り込んであり、そのうち操作種別の絞り込みはそのまま流用できる形になっています。残る 2 つは Box に依存した作りなので、全社向けにするには手を入れる必要があります。