記録と監査/ Audit Trail

松葉は、利用者の操作をすべて記録します 稼働中。誰が・いつ・何に対して・どこから行ったかが 1 操作 1 行で残り、社内・社外の区別なく、アカウントを持たない共有リンクの受取人やファイルの提出者の操作も同じ台帳（audit_logs）に入ります。

行為者と接続元も一緒に残る

各行には、その操作を行った立場が 6 種類で付きます。利用者（Box のメンバーとしての操作）／システム管理者（管理コンソールからの操作）／社内の閲覧者（社内に公開された Box を、メンバーでない社内の方が開いた場合）／共有リンクの受取人／ファイルの提出者／システム（自動処理による操作）です。アカウントを持たない相手の操作まで追えるのも、管理者の操作を後から選り分けられるのも、この区別があるためです。あわせて、接続元の IP アドレスと利用した端末・ブラウザの情報を記録します。取引先の方の操作でも同じように残ります。

記録は書き足すことしかできません。後から書き換える・消すという操作は、アプリの画面に無いだけでなく、データベース側の決まりとして拒否されます。システム管理者の権限でも同じです。監査の記録は「都合の悪い行を消せない」ことで初めて価値を持つためです。

無効化から 5 年が経ったアカウントを完全に消すときは、その方が行った操作の記録が 2 年の保存期間を過ぎ、月次の退避でデータベースの外へ移し終えているかを先に確かめます。まだ残っていれば消去は行いません。退避した記録はそのままの形で保管されるため、人の情報を消しても事実の記録は残ります。なお、消去そのものは対象を毎月洗い出したうえで管理者が承認して実行し、承認の画面は 実装予定 · Step 4b です。

監査ログは管理者だけのものではありません。Box の中で起きたことは、その Box のメンバー全員が「アクティビティ」タブで見られます 稼働中。「誰がこのファイルを消したのか」を管理者に問い合わせずに済ませるためで、表示のみ（編集も削除もできません）です。

見るのはメンバー、持ち出すのはオーナー

画面で見られる範囲と、ファイルとして書き出せる範囲は意図的にそろえていません。画面の履歴は、その Box の中で起きたことを共有するためのもので、メンバーが自分の作業の前後関係を把握できることに価値があります。一方、書き出したファイルは Box の外へ持ち出せてしまい、誰がいつ何を見たかという情報が Box の外で流通します。そのため書き出しはオーナーに限り、アクセス履歴の閲覧も同じ理由でオーナー限定にしています。

Box の履歴の書き出しは、期間が 31 日以内ならその場でダウンロードできます。それより長い期間を指定した場合は自動処理へ回り、できあがった時点でメールが届きます。

全社を横断して記録を調べる画面は 実装予定 · Step 4b です。ただし書き出しのしくみそのものは、すでに動いています。配管は通っていて、そこをひねる蛇口がまだ付いていない状態、と捉えるのが正確です。

システム管理者は、全社のファイルにも記録にも手が届く立場です。その権限を持つ人の行動が記録から抜けていると、台帳そのものが信用できなくなります。松葉では管理者の操作も、利用者とまったく同じ台帳に残ります 稼働中。閲覧そのものを記録する仕組みは、監査ログを読み出す窓口に組み込んであります。監査ログ画面 実装予定 · Step 4b が使えるようになると、閲覧の記録も日常的に積み上がっていきます。

記録は書き足すことしかできないため、管理者が自分の行を消して痕跡を絶つことはできません。組み合わせると、「誰かが記録を調べた」ことも「調べた人が何をしたか」も、後から第三者が辿れる状態になります。監査を求められたときに示すべきものが、そのまま残る形です。