何年もの追跡可能性を持つ監査ログをどのように設計しますか？

Question

IT Interview Practice · Accepted Answer

**追記専用かつ不変**にし、各エントリを**ハッシュ**で前のエントリに連鎖させて改ざんを検知可能にし、**時間でパーティション分割**して古いデータを安価に廃棄し、封印されたパーティションを保持ポリシー付きで**WORMオブジェクトストレージ**（write-once）にアーカイブします。ライブレコードへの `UPDATE`/`DELETE` は決して許しません。

```text
service ──emit event──▶ append-only writer
                             │  hash = H(prev_hash || payload)
                             ▼
                     audit_2026_07 (hot partition)  ◀── query by actor/time
                             │ month sealed
                             ▼
                     WORM object store (S3 Object Lock)  ── retention: 7y
                             │
                     periodic anchor: publish latest hash externally
```

## 追記専用と改ざん証跡

監査ログの価値のすべては、**後で信頼できる**ことにあります。したがってスキーマは変更を禁じねばなりません。アプリには `INSERT` のみを付与し、`UPDATE`/`DELETE` は付与せず、コードだけでなくDBロールレベルで強制します。その上に**ハッシュチェーン**を構築します。各行は `hash = SHA256(prev_hash || this_row)` を保存します。任意の履歴行を変えると以降のハッシュがすべて壊れるので、DBアクセスを持つ者による改ざんでも*検知可能*です。定期的に最新ハッシュを自分の管理外（公証人、公開台帳、署名付きメール）に**アンカー**し、チェーン全体を書き換える管理者でもアンカーされた値に一致させられないようにします。

## 時間パーティショニングと保持

複数年のログは際限なく成長するので、**時間でパーティション分割**します（例：月次レンジパーティション）。利点：クエリがパーティションで絞り込め、古いデータの廃棄はメタデータの `DETACH`/`DROP PARTITION` です。テーブルを肥大させる巨大な `DELETE` ではなく即時です。封印されたパーティションは**WORMストレージ**へ移します。S3 Object Lockの*コンプライアンスモード*は保持日まで物理的に削除を防ぎ、SOX/HIPAAのような規制を満たします。直近の月はPostgresにホットで保ち高速にクエリします。それより古いものはすべてオブジェクトストレージにコールドで、オンデマンドにクエリします。

## 面接での観点

探るのは、あなたが「監査ログ」が単なる「タイムスタンプ付きテーブル」ではなく**不変性と証明可能性**を意味すると理解しているかです。良い：追記専用テーブル。優れた：**DBロールで強制された**追記専用、外部アンカー付きハッシュチェーン、保持のための時間パーティショニング、コンプライアンスのためのWORM。よくある罠：監査行を同じ可変なアプリテーブルに保存すること（バグや悪意あるDBAが密かに履歴を書き換えられる）。監査人はそれを拒否します。

## トレードオフと障害モード

- **ハッシュチェーンは書き込みを直列化する** — 各エントリが前のハッシュを必要とするので、素朴な設計はボトルネックになります。エントリをバッチ化するか、シャードごとに連鎖して定期的にクロスリンクします。
- **ストレージは永遠に成長する。** パーティショニング + 安価なオブジェクトストレージへの階層化がなければ、コストとクエリレイテンシが爆発します。
- **WORMコンプライアンスモードは不可逆** — 誤った保持設定はデータをロック（または失効を許容）し、取り消せません。まずガバナンスモードでテストします。
- **クロックスキュー / 順序外れイベント**は時間ベースの推論を破損させます。イベント時刻と取り込み時刻の両方を記録し、順序付けにクライアントのクロックを決して信頼しません。

追記専用と改ざん証跡

時間パーティショニングと保持

面接での観点

トレードオフと障害モード

関連する質問