何を測れるか、どれだけ残すか

ここまでの4つの決定で、組織の形、誰が何を使えるか、カスタマイズの自由度、費用の上限が決まりました。最後の決定は、それらが実際にどう動いているかを確かめる仕組みです。可視性は新しい何かを許可する決定ではなく、他の4つを記録し、測るための決定です。

監査ログとCompliance APIは別物

「記録を残す」というとひとまとめに考えがちですが、Claude Enterpriseには性格の異なる2つの記録の仕組みがあります。混同すると、審査の場で答えを誤ることになります。

つまり、「誰が何をしたかの足跡」がほしいなら監査ログ、「実際にどんなやり取りをしたか」までさかのぼって確認したいならCompliance APIという役割分担です。Compliance APIはClaude Codeのクラウドセッションや、Amazon BedrockやGoogle Vertex AI経由のセッションは対象外になっているなど、細かい適用範囲があるため、自組織の利用形態が対象に含まれるかは、有効化の前に確認しておく必要があります。

データ保持期間

データ保持期間は、既定では無期限です。つまり、自分で削除しない限りデータは残り続けます。Primary OwnerまたはOwnerは、これをカスタムの期間に変更できますが、最短は30日で、1か月は30日として計算されます(3か月なら90日)。保持期間を過ぎたデータは、復元不可能な形で削除されていきます。

保持期間を短くする決定は、レッスン1で触れた「後戻りが重い設定」の1つでした。長くする分には問題になりにくいものの、短くしてからやっぱり長く残したかったと気づいても、すでに消えたデータは戻りません。保持期間は、必要になってから決めるのではなく、必要になる前に一度決めておくべき設定です。

可視性を先に決めておく理由

ここまでの4つの決定は、順番を多少入れ替えても、あとから調整できる余地があります。しかし可視性だけは事情が違います。監査ログもCompliance APIも、有効化した時点から先の記録しか残せません。有効化する前の期間については、あとからどれだけ調べても記録が存在しないのです。

だからこそ、アクセスを広く許可する前に、可視性の設定を済ませておくことに意味があります。先にアクセスを広げてしまい、あとから「何が起きていたか確認したい」となっても、有効化前の期間は白紙のままです。

たとえば一般企業であれば、全社展開の前に監査ログとCompliance APIの要否を確認し、必要な範囲で有効化してから展開を始めるという順番が安全です。病院であれば、個人情報を多く扱う部署にClaudeへのアクセスを許可する前に、Compliance APIを有効化しておくかどうかを、情報システム部門と院内の個人情報管理の担当者で先に決めておく、という進め方が考えられます。

やってみよう

演習1：自組織に必要な記録を選ぶ

自分の組織で、監査ログとCompliance APIのそれぞれが必要かどうかを考えてみてください。「誰が何をしたか」だけで十分な部署と、「実際のやり取りの中身」まで確認できる必要がある部署を分けて考えます。

演習2：保持期間の既定値を決める

自分の組織のデータ保持期間を、既定の無期限のままにするか、カスタムの期間に短縮するかを考えてみてください。短縮する場合、何か月にするかと、その根拠(監査上の要件か、単なる整理のためか)も書き出します。

今日のまとめ

3行で振り返ります。

• 監査ログは「誰が何をしたか」のメタデータ、Compliance APIは会話の中身まで含む記録で、対象プランも対象範囲も異なる
• データ保持期間の既定は無期限で、カスタム設定の最短は30日。短縮すると過ぎた期間のデータは復元不可能に削除される
• 可視性の設定は有効化した時点からしか記録が残らないため、アクセスを広げる前に済ませておくべき決定

次のレッスンでは、ここまでの5つの決定を1つの計画にまとめ、関係者ごとにどう説明するかを扱います。