コンピュータ犯罪防止法(仏暦2560年)に基づくログ保存の完全ガイド — ログ管理とICT Spec
タイのコンピュータ犯罪防止法(仏暦2560年)に基づくログ保存の対象事業者、保存義務、罰則、ICT Spec対応まで完全ガイドで解説します。
コンピュータ犯罪防止法(仏暦2560年)に基づくログ保存
ログ保存とは何か? なぜ法律で義務付けられているのか
ログ保存(ログ管理)とは、コンピュータの通信記録(トラフィックデータ)を体系的に記録・保存することを指します。これはタイのコンピュータ関連犯罪の防止に関する法律 仏暦2550年(2007年)(仏暦2560年〔2017年〕の第2次改正法で改正。通称:พ.ร.บ. คอมฯ、以下「コンピュータ犯罪防止法」)により、適用される定義と関連規則に該当するサービス提供者に課される法的義務です。
違反した場合は最高50万バーツ(฿500,000)の罰金が科される可能性があります。
誰がログを保存する義務を負うのか
法律上の「サービス提供者」の定義は、想像以上に幅広い組織を対象としており、ログの保存義務を負う種類は、デジタル経済社会省の2021年告示の第5条で定められています。例:
- インターネットサービスプロバイダ(ISP) — TRUE、AIS、3BBなどの通信事業者
- 組織向けネットワーク — 告示の付属書Aは官公庁・企業・教育機関を例に挙げていますが、従業員だけにインターネットを提供する組織が必ず対象になるかどうかは明記されていません。判断に迷う場合は法務の専門家にご確認ください
- Wi-Fiを提供するホテル・飲食店・カフェ — 告示の付属書Aに例示されていますが、インターネットが付随サービスにとどまる飲食店などには、付属書Bに別の選択肢があります(後述のFAQ参照)
- ホスティング事業者 — Webサーバー、メールサーバー、インターネットデータセンター
- インターネットカフェ・オンラインゲーム店
💡 要点: 各組織は、まず自社が適用される「サービス提供者」の区分と関連要件に該当するかを確認する必要があります。
具体的に何を記録する必要があるのか
コンピュータトラフィックデータは、第3条で「通信の発生源、起点、終点、経路、時刻、日付、量、継続時間、サービスの種類、その他通信に関連する情報」と定義されています。サービス提供者の種類ごとに実際に保存すべき項目は、告示の付属書Bに列挙されています。よくある例は次のとおりです。
- 利用者情報 — ユーザーID、IPアドレス
- 利用時間 — 接続の開始・終了日時
- 送信元・送信先 — 通信の発信元と宛先
- サービスの種類 — 利用されたサービスの種別
主なログの取得元
| ログの取得元 | 記録されるデータの例 |
|---|
| ファイアウォール | 送信元/送信先IP、ポート、プロトコル、動作(許可/拒否) |
| Active Directory | ログイン/ログオフ、ログイン失敗、グループポリシー変更 |
| Microsoft 365 | メール操作、ファイルアクセス、管理者操作 |
| ネットワーク機器 | スイッチ/ルーターのトラフィック、DHCPログ、DNSクエリ |
| クラウドサービス | AWS CloudTrail、Azure Activity Log、GCP監査ログ |
| エンドポイントセキュリティ | アンチウイルスのイベント、EDRアラート、USB利用履歴 |
ログの保存期間はどれくらい必要か
コンピュータ犯罪防止法が定める保存期間は次のとおりです。
- 最低90日間 — 対象となるサービス提供者は、適用される法律および関連する告示に基づき、少なくとも90日間保存する必要があります
- 延長の上限は2年 — 権限を持つ担当官(พนักงานเจ้าหน้าที่)が、特定のサービス提供者に対し特別に90日を超える保存を命じた場合に限ります。すべての事業者に2年の保存が求められるわけではありません
⚠️ 補足: 多くの組織は、安全マージンと事後調査への対応のため、365日間の保存を選択しています。
ICT Specとはどのような規格か
ICT Specは、タイのIT業界が関連する2つの文書をまとめて呼ぶ通称です。1つ目は、タイの国立電子コンピュータ技術センター(NECTEC)が策定したมศอ. 4003.1-2560規格で、コンピュータ通信データ保存システムの一般要件を定めています。3タイプの分類を定めているのはもう1つの文書、MDESの価格・仕様基準で、処理能力(EPS = 1秒あたりのイベント数)に応じて3タイプに分かれます。違いはICT Specとは？で解説しています。
| タイプ | EPS | 想定される導入先 | zcrLog ICT Applianceの価格 |
|---|
| タイプ1 | 1,000 EPS | 中小企業、小規模オフィス | ฿50,000(一括） |
| タイプ2 | 7,000 EPS | 中堅企業 | ฿400,000(一括） |
| タイプ3 | 20,000 EPS | 大企業、官公庁 | ฿850,000(一括） |
上記は各タイプのEPS仕様に合わせて構成された zcrLog ICT Appliance（ICT1/ICT2/ICT3）の価格です（VAT込み）。買い切り型で月額費用は発生しません（2年目以降の保守費用は別途）。
価格・仕様基準が求める最低要件
- ログ収集 — ネットワーク機器からのSyslog収集。タイプ1・2・3でそれぞれ3台・10台・15台以上の機器からイベントを収集
- Integrity(完全性) — MD5またはSHA-1、あるいはそれ以上のアルゴリズムによるハッシュ整合性
- バックアップ — 外部保存媒体へのバックアップ
- 保存と認証 — コンピュータ犯罪法のログ保存義務を満たし、มศอ. 4003.1-2560など認定されたログセキュリティ基準の証明を保有すること
- 管理 — HTTPS、コマンドラインインターフェース、SSHでの管理
保存データの暗号化、RBAC、検索速度はこの最低要件には含まれず、ベンダーが上乗せする機能です。
🚀 コンピュータ犯罪防止法への対応、準備はできていますか?
zcrLogの詳細をご覧いただくか、料金プランから貴社に合ったプランをご確認ください — 月額฿4,000から利用可能です。
法律に準拠したログ保存の進め方
方法1: オンプレミス機器(アプライアンス)の導入
メリット: 完全な自社管理が可能で、データが社内に留まる
デメリット: 自社での運用保守が必要、初期費用が高い、専任のIT担当者が必要
方法2: クラウド/SaaSサービスの利用
メリット: 導入が速い、運用保守が不要、初期費用を抑えられる
デメリット: データがクラウド上に保存される
方法3: 専用VM(官公庁におすすめ)
メリット: リソースが明確に分離されており、厳格なコンプライアンス要件に適している
zcrLog — コンピュータ犯罪防止法の要件に対応したログ管理システム
zcrLogは、タイの組織向けに設計されたコンプライアンス対応ログ保管プラットフォームです。法律が求める要件に、以下の機能で対応しています。
- ✅ ICT Spec対応 — タイプ1、2、3のアプライアンスに加え、仮想アプライアンスにも対応
- ✅ 保存期間を最長2年まで設定可能 — 第26条の最低保存期間は90日で、それを超える分は組織の選択か、担当官が個別に命じた期間です
- ✅ ハッシュによる完全性検証 — MD5、SHA-1、SHA-256
- ✅ AES-128暗号化 — 保存データを暗号化
- ✅ 脅威分析 — インシデントの相関、MITRE ATT&CKマッピング、検知ルール
- ✅ マルチソース対応 — ファイアウォール、AD、Entra ID、Microsoft 365、AWS CloudTrail、Google Cloud監査ログ、EDR
料金プラン
| プラン | 料金 | 想定される導入先 |
|---|
| クラウドSaaS | 月額฿4,000から | 一般企業 |
| 専用VM | 月額฿8,000から | 官公庁 |
| オンプレミスアプライアンス | 買い切り | 完全な自社管理を求める組織 |
🔗 料金の詳細を見る → | zcrLogの詳細を見る →
コンピュータ犯罪防止法に基づくログ保存に関するよくある質問
コンピュータ犯罪防止法では、ログを何日間保存する必要がありますか?
最低90日間です。権限を持つ担当官が特別に延長を命じた場合は、最長2年間になります。多くの組織は、事後調査に備えて1年間(365日間)の保存を選択しています。
無料Wi-Fiを提供するカフェやホテルも、ログを保存する必要がありますか?
対象になり得ます。利用者が有料か無料かは問われず(第3条)、告示の付属書Aは客室・貸室・ホテル・飲食店のインターネット提供者をアクセスサービス提供者の例に挙げています。ただし付属書Bの第3項は、飲食店や、インターネットが付随サービスにとどまる事業者について、①防犯カメラの設置と、利用者を特定できる利用状況の記録、②顧客の利用に関する書類の日次記録(後から確認できるもの)、③利用者を特定できるその他の方法、のいずれか1つを行うこととしています。この選択肢にホテルが含まれるかどうか、また他の義務に代わるものかどうかは告示に明記されていませんので、法務の専門家にご確認ください。
従業員が数名だけの小規模企業(SME)でも、ログを保存する必要がありますか?
法律にも告示にも、組織の規模による基準は定められていません。従業員にだけ社内のインターネット環境を利用させている会社が「サービス提供者」に当たるかどうかは、告示でも明確に示されていません。まずその点を法務の専門家に確認し、そのうえでログ保存の義務の内容を判断してください。
ログ保存を怠った場合、どのような罰則がありますか?
最高50万バーツ(฿500,000)の罰金が科されます。
ICT Spec準拠の機器を購入しなければなりませんか? それとも他のシステムでも構いませんか?
法律は特定のメーカーや製品を指定していません。ただし、ICT Specは参照基準であり、官公庁がログ保存システムを調達する際によく使われています。
まとめ: コンピュータ犯罪防止法 ログ保存チェックリスト
以下のすべてが法律上の義務というわけではありません。第26条と告示が定めるのは最低保存期間とログの改ざん防止などで、ICT Specは調達上の基準であり、SHA-256のようなアルゴリズムは告示では指定されていません。
この記事の最終更新: 2026年3月
ログ保存についてご相談がありますか? 専門チームに問い合わせる →
自社の環境についてのご相談は、こちらへどうぞ。
関連記事
関連する比較と運用の詳細は、次の記事をご覧ください。
関連製品
導入範囲とパートナーに確認すべき前提条件は、zcrLogで確認できます
参考文献