責任追跡性とは？せきにんついせきせい
責任追跡性とは、システム上の操作を、誰がいつ行ったかとして後から一意に特定できる特性で、個人単位のアカウント付与と操作ログの取得によって成り立つ。監査では単なるセキュリティ要素ではなく、証拠が個人まで辿れるかどうかの前提条件であり、ここが崩れていると他の統制がどれだけ整っていても運用の有効性は結論づけられない。
最終更新：2026-10-06
システム監査技術者を最短で暗記・合格する →背景
情報セキュリティの要素は当初、機密性・完全性・可用性の三つで語られた。しかし内部の不正や誤操作は、権限を持つ者が正規の手順で行うため、この三つを満たしていても防げない。事後に誰の行為かを確定できること自体が抑止として働く、という発想から拡張要素として加えられた。監査でこの特性が効くのは、指摘の書き方を左右するからである。個人を特定できなければ指摘は「誰かが行った」で止まり、改善勧告の宛先が定まらない。
具体例
特権IDを共有していた運用現場にCyberArkやMicrosoft Entra IDの特権アクセス管理を入れると、貸出の申請、利用した時間、実行したコマンドが利用者ごとに自動記録される。監査人は被監査部門が手で書いた作業実施台帳ではなく、この自動記録を自ら出力し、申請の無い時間帯の操作が残っていないかを突合する。
試験での引っ掛け
共有アカウントを使い回すと操作者を特定できず、責任追跡性が失われる点が頻出。ログを取得していることと追跡できることは別で、個人IDに紐づかないログは件数がいくら多くても証拠にならない。真正性（名乗ったとおりの本人であること）や否認防止（後から否定できないこと）と対で問われるので、違いを押さえる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。