【SharePoint】監査ログでファイル操作を確認する時の基本

SharePointでファイルのアップロードや削除、ダウンロードなどの操作履歴を確認したい場面は多いものです。しかし、どこから調べればよいか分からず、管理者に問い合わせる前に諦めてしまう方も少なくありません。監査ログを正しく活用すれば、操作の日時やユーザー、アクションの種類を特定でき、情報漏洩の兆候や誤操作の追跡に役立ちます。この記事では、SharePointの監査ログでファイル操作を確認するための基本的な流れと注意点を解説します。

監査ログとは何か、なぜ必要なのか

SharePointの監査ログは、サイトやファイルに対して行われた操作を記録した証跡です。例えば、誰がいつファイルをアップロードしたか、削除したか、またはダウンロードしたかといった情報が含まれます。このログを確認することで、意図しない情報漏洩や不正アクセスを早期に発見できます。また、社内のコンプライアンス要件を満たすためにも監査ログの活用は欠かせません。

監査ログを確認するための前提条件

必要な管理者権限とライセンス

監査ログを検索するには、Azure ADで「監査ログ」の読み取り権限が必要です。具体的には、グローバル管理者、監査管理者、またはコンプライアンス管理者の役割が割り当てられている必要があります。また、組織にはExchange OnlineやSharePoint Onlineを含むMicrosoft 365のサブスクリプションが必須です。ユーザーごとに適切なライセンスが付与されていることも確認してください。

監査ログの有効化設定

既定では、SharePointの監査は有効になっていますが、特定の操作が記録されないことがあります。管理者はMicrosoft 365 Purviewコンプライアンスポータルで監査ログの検索を有効にする必要があります。また、SharePoint管理センターのサイトコレクション設定でも、個別のサイトに対して監査設定を構成できます。ファイル操作の種類によっては追加設定が必要な場合もあるため、事前に確認しましょう。

監査ログの検索手順(Microsoft 365 Purview)

1. ブラウザで Microsoft 365 Purviewコンプライアンスポータル に管理者アカウントでサインインします。
2. 左側のナビゲーションから「監査」を選択します。初回は検索条件を設定する画面が表示されます。
3. 「検索」タブで、監査する日付範囲を指定します。過去90日以内の期間を指定してください。
4. 「アクティビティ」のドロップダウンから、確認したい操作を選びます。ファイル操作の場合、「ファイルまたはページの表示」「ファイルのダウンロード」「ファイルのアップロード」などが該当します。
5. 「ユーザー」欄に、対象のユーザーを入力します。組織全体で検索する場合は空白のままにします。
6. 「ファイル、フォルダー、サイト」の欄に、対象のURLやファイル名を入力すると絞り込みが容易です。
7. 「検索」ボタンをクリックすると、条件に一致する監査ログが一覧表示されます。

検索結果は既定で1ページあたり100件表示されます。さらに詳細を確認したい場合は、個々のレコードをクリックして「詳細情報」を開いてください。操作日時、ユーザー、クライアントIPアドレス、ユーザーエージェントなどが表示されます。

監査ログに記録されるファイル操作の種類

その他にも、「ファイルの移動またはコピー」「ファイルの共有リンクの作成」「ファイルの権限変更」なども記録されます。必要に応じてアクティビティを組み合わせて検索してください。

監査ログでよくある失敗パターンと対処法

検索結果が何も表示されない

監査ログの検索結果がゼロ件になる場合、まずは設定を確認します。監査ログ機能が有効になっていない可能性があります。管理者がPurviewポータルで「監査ログの検索」を開始していないと、ログが記録されません。また、検索日付範囲が古すぎる(90日以上前)場合も結果が出ません。さらに、対象の操作が監査の対象外であるケースもあります。例えば、閲覧操作の一部は記録されないことがあるため、アクティビティの選択を見直してください。

想定する操作が記録されていない

特定のファイル操作がログに残っていない場合、以下の原因が考えられます。ユーザーが操作を行った時刻とログのタイムスタンプに誤差があるかもしれません。SharePoint Onlineでは、操作からログが検索可能になるまでに最大24時間の遅延が発生することがあります。また、操作がサードパーティアプリや自動化フロー(Power Automateなど)によって行われた場合、ユーザー情報が「システムアカウント」となることがあります。その場合は、アクティビティの種類を「AzureActiveDirectory」や「Exchange」などにも広げて検索してみてください。

管理者へ確認すべきポイント

監査ログをスムーズに利用するために、事前に管理者に以下の点を確認しておきましょう。

• 監査ログの保持期間がどれくらいか(既定は90日、拡張可能な場合もあります)。
• 監査ログの検索権限が自分に付与されているか。
• SharePoint管理センターでサイトごとの監査設定が有効になっているか。
• 監査ログのエクスポート(CSVダウンロード)が許可されているか。

よくある質問(Q&A)

Q1: 一般ユーザーでも監査ログを確認できますか?
一般ユーザーには監査ログの検索権限はありません。必要な場合はIT管理者に依頼するか、自分に適切な管理者役割を割り当ててもらってください。

Q2: 監査ログはどのくらいの期間保存されますか?
既定では90日間です。組織によってはライセンス追加で1年まで延長可能です。過去のログが必要な場合は早めにエクスポートしておくことをおすすめします。

Q3: 監査ログをCSVでダウンロードする方法は?
検索結果画面で「エクスポート」をクリックし、「すべての結果をダウンロード」を選択するとCSVファイルが生成されます。大量のデータの場合はファイル分割されることもあります。

Q4: モバイル端末からSharePointにアクセスした操作も記録されますか?
はい、記録されます。クライアントIPアドレスやユーザーエージェントから端末の種類を確認できます。

まとめ

SharePointの監査ログは、ファイル操作の証跡を確認するための強力なツールです。この記事で紹介した手順を参考に、まずは管理者と協力して権限と設定を整えてください。検索時は日付範囲やアクティビティの種類を適切に絞り込むことがポイントです。また、ログがすぐに反映されない場合もあるため、時間差を考慮して検索する必要があります。監査ログを日常的に活用することで、セキュリティインシデントの早期発見や内部統制の強化に役立ててください。