ログに残さないものは、秘密と個人の2軸で決まる

既存のクイズは「パスワードやトークンはログに出さず、必要なら成否やユーザーIDなど非機密の情報だけ記録する」を正解にしています。正しい判断ですが、それは1つの軸です。OWASP の Logging Cheat Sheet は、Data to exclude の節で次のように始めます。

The following should usually not be recorded directly in the logs, but instead should be removed, masked, sanitized, hashed, or encrypted:

続く12項目から、秘密と個人に関するものを抜き出すと次のとおりです(順序は原文どおり)。

- Session identification values (consider replacing with a hashed value if needed to track session specific events)
- Access tokens
- Sensitive personal data and some forms of personally identifiable information (PII) e.g. health, government identifiers, vulnerable people
- Authentication passwords
- Database connection strings
- Encryption keys and other primary secrets

個人に関するデータは、秘密と同じ一覧に別の行として入っています。 秘密をすべて伏せても、この行は片づきません。

では、メールアドレスも除外リストに入っているのでしょうか。OWASP の同じ節は、最初の一覧のあとに2つ目の一覧を置きます。

Sometimes the following data can also exist, and while useful for subsequent investigation, it may also need to be treated in some special manner before the event is recorded:

その最後の行が Non sensitive personal data (e.g. personal names, telephone numbers, email addresses) です。OWASP は個人データを、除外の一覧(健康・公的な識別子など)と、特別な扱いが要るかもしれない一覧(氏名・電話・メール)の2段で扱っています。 「OWASP はメールをログから除けと言う」は原文より強い言い方です。

同じ節はこう続けます。

Consider using personal data de-identification techniques such as deletion, scrambling or pseudonymization of direct and indirect identifiers where the individual's identity is not required, or the risk is considered too great.

本人の特定が要らない場面では識別子を消す・かき混ぜる・仮名化(pseudonymisation)する、という勧めです。最初の一覧の処置にも hashed が並んでいます。ハッシュにすれば個人の軸が片づくのか、は別に問うべきことです。

日本の法令にも、この軸に触れる条文があります。個人情報保護法(e-Gov、2026-07-17 施行版)第23条です。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

対象は「個人データ」です。第16条第1項は「個人情報データベース等」を、個人情報を含む情報の集合物で「特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの」等と定めます。アプリのログがこれに当たるかを、本回は判断しません。 エンジニアに言えるのは、個人の軸の値がログにあるなら、この問いが立つ、までです。

節の冒頭の一文も、同じ向きです。

Never log data unless it is legally sanctioned. For example, intercepting some communications, monitoring employees, and collecting some data without consent may all be illegal.

結びは may all be illegal(違法となり得る)で、断定していません。