Velros運用に証跡と確認記録が必要な理由

記録は監視のためではなく、たどり直すためにあります

何が悪かったのかと問うて答えがなければ、同じことがまた起きます。いつ入ってきて、誰が何を見て、どの基準で処理したのかが残っていれば、一度の事故が次の基準になります。

保存期間は、国によってまったく違います

日本の個人情報保護法は安全管理措置としてログの取得を求めますが、保存期間を数字で定めてはいません。定めているのは他国です。EUのGDPR第32条も期間を置かず、中国のサイバーセキュリティ法は六か月以上と定めます。米国で語られる一年は、法律ではなくPCI-DSSという業界標準の要件です。自社に適用される規則を、聞きかじった規則の代わりに読む必要があります。

個人情報保護法 · 個人情報保護委員会 安全管理措置ガイドライン。比較: GDPR第32条、中国サイバーセキュリティ法第21条、PCI-DSS v4.0 要件10（法律ではなく業界標準）

記録に残すべき六つ

いつ入っていつ処理されたか。AIが下書きを作ったのか、誰が承認したのか。何を見て何を実行したのか。どの社内基準と例外を当てたのか。実行されたのか、保留されたのか、断られたのか。そしてスタッフが何をどう直し、なぜ直したのか。最後の一つがなければ、記録は監査資料のまま基準には育ちません。

記録を消すこと自体が、承認の対象です

監査の根拠を損ないうる作業は自動では行いません。記録の削除と修正、機微情報への到達は、人の確認のあとにだけ許します。記録を書く側が記録を消せるなら、その記録は証拠ではありません。

うまくいった処理も残さなければ、次に使えません

事故だけを記録すれば、事故からしか学べません。スタッフが手を入れずに通した下書き、顧客がすぐに納得した返信も残してこそ、何が通じるのかがわかります。基準は失敗の向こう側だけで育つものではありません。

保存期間は決めるものであって、残るものではありません

無期限の保存は安全ではなく危険です。何をどれだけ置き、いつ消し、契約が終われば何を返して何を破棄するのかを、始めるときに書いておきます。