Pマーク対応の監査証跡を、自動で残す — アクセスログから月次のセキュリティレポートをサーバレスで自動生成
ざっくり言うと
- セキュリティの点検・記録は、大事と分かっていても"手間で続かない"のが本音
- 毎日のアクセス記録から、点検レポートをAIと自動でつくる仕組みに
- 毎月のレポート作成という"続かない手作業"をなくし、自動でたまる仕組みに
この事例のポイント: "手間で続かない"を、自動化で解決
セキュリティの点検・記録は、大事と分かっていても手間で後回しになりやすいもの。Pマーク認証を運用されるお客様（印刷会社様）のサイトで、毎日のアクセス記録から月次の監査レポートを自動生成する仕組みをつくり、レポート作成の手作業をなくしました。毎月1日に自動で生成され、あとは中身を確認するだけです。
(CloudFront＋WAF)
(サーバレス／自動運用)
(毎月1日に自動生成・最終確認は人)
01課題: 「記録し続ける」が、いちばん続かない
プライバシーマーク（Pマーク）や情報セキュリティの運用では、「誰が・いつ・どこにアクセスしたか」を継続的に記録・点検し、証跡として残すことが求められます。今回ご支援したのは、Pマーク認証を運用されるお客様（印刷会社様）のサイトです。
ところが、この「毎月の記録・点検」こそ手作業では続きません。担当者が忙しい月は飛び、いざ審査や点検のときに「記録がない」と慌てる。中小企業のセキュリティ運用で最もよくある抜け漏れです。
02アプローチ: 記録を「人が書く」から「自動でたまる」へ
お客様のサイト運用で採ったのは、アクセスログを自動で集計し、月次レポートを自動で生成するサーバレスの仕組みです。サーバを常時動かさないので、運用コストもほぼかかりません。
仕組みの流れ
- サイトへのアクセス記録（CloudFront）と、不正アクセス遮断の記録（WAF）を保管庫（S3）に自動で蓄積
- 毎月1日の朝、スケジューラ（EventBridge）が集計処理を起動
- 集計エンジン（Athena）がログを月次で集計し、プログラム（Lambda）がレポート（HTML）を自動生成
- 生成したレポートを保管庫に保存。点検・審査の証跡としてそのまま使える
技術スタック
| 集計処理 | AWS Lambda（Python）＋ Amazon Athena（SQL） |
|---|---|
| 自動実行 | Amazon EventBridge Scheduler（毎月1日に起動） |
| ログ源 | CloudFront アクセスログ ＋ AWS WAF ログ（S3 保管） |
| 構成 | サーバレス（常時稼働サーバなし＝低コストで自動運用） |
| 設計・実装 | AIアシスタント（Claude Code）と設計・実装（集計SQL・Lambda・スケジューラの構築を人手最小で） |
03実装と運用 (経営者向けに翻訳)
| 運用の手間 | 毎月1日に自動実行。レポート作成の手作業はゼロ（最終確認は人が実施） |
|---|---|
| コスト | サーバレスのため、使った分だけの少額（常時稼働サーバなし） |
| 証跡 | 月次レポートが自動で蓄積され、Pマークの点検・審査にそのまま提示できる |
ポイントは 「人の意志に頼らず、放っておいても記録がたまる」こと。従来は担当者が毎月まとまった時間をかけて手で作成・整理していた記録ですが、その"続かない手間"を仕組み側に移しました。点検の抜け漏れという属人化の典型も防げます。
04結果
05学び: 中小企業経営者へのメッセージ
この仕事を通じて実感したのは、セキュリティは「続く記録」が9割だということです。立派な規程より、毎月の記録が確実に残ることのほうが、いざというとき効きます。審査で問われるのは「やっているか」だけでなく「記録があるか」。証跡が自動でたまる土台をつくれるかどうかが、Pマーク・監査対応の負担を分けます。
もうひとつはサーバレスという選択肢です。常時動かすサーバを持たず「必要なときだけ動く」構成なら、月々の費用を抑えながら自動化できます。中小企業の規模にこそ向いたやり方だと考えています。