データ保持（Data retention）とは

データ保持（Data retention）とは、サービス提供者や事業者が、利用に伴って発生するログや記録（例：アクセス記録、通信に関する記録、操作履歴など）を一定期間保存する考え方・運用のことです。保存しておくことで、障害対応、問題調査、セキュリティ監視、品質改善などの目的に備えます。

重要なのは、データ保持は「何でも無期限に残す」ことではなく、通常は目的・範囲・期間を定めて運用される点です。ただし、どの種類のデータを、どれだけの期間、どんな条件で保持するかは事業者ごとに異なります。その差が、オンライン上のリスク感度にも影響します。

オンラインセキュリティでなぜ重要か

データが保存されるほど、攻撃や事故が起きた際に“持ち出せる情報”の量が増える可能性があります。結果として、漏えい時の被害（影響範囲、再現性、二次被害の広がり）が大きくなりやすくなります。

また、保持された記録は、本人や端末の挙動を結びつける材料になり得ます。たとえ内容が単純なログであっても、日時・利用状況・接続の痕跡などが重なれば、追跡やプロファイリングの助けになることがあります。つまりデータ保持は、情報漏えいだけでなく「追跡されやすさ」にも関係します。

さらに、保持データは調査・監視に使われますが、悪用リスクもゼロではありません。内部の取り扱い（アクセス制御、閲覧権限、監査）や、保存・削除の手順が適切でない場合、セキュリティ上の弱点になり得ます。

簡単なモデル：保持の目的×範囲×期間でリスクが変わる

データ保持のリスクは、主に次の3要素で変わります。

  • 目的：何のために残すのか（障害対応、セキュリティ監視、法令対応など）
  • 範囲：どの種類のデータまで保存するか（必要最小限かどうか）
  • 期間：いつまで保存するか（短いほど一般にリスクは抑えやすい）