情報漏えいや社員による不正、ランサムウェアなどのサイバー攻撃が疑われたとき、「何が起きたのか」「どこから侵入され、何が持ち出されたのか」を確かめるにはデジタルフォレンジックによる調査が必要になります。ところが、調べ方の具体的な手順を知らないまま社内の担当者が端末を操作してしまい、証拠が壊れて調査できなくなるケースは少なくありません。
本記事では、デジタルフォレンジックの調査が証拠保全から報告まで実際にどのような順番で進むのか、各工程で何をするのかを具体的に解説します。あわせて、調査が始まる前にやってはいけない初動、調査の種類の分け方、費用と期間の相場、自社で対応できる範囲と専門業者に依頼すべき範囲の線引きまで整理しました。
インシデントに直面して何から手を付ければよいか迷っている場合も、平時の備えとして流れを押さえておきたい場合も、落ち着いて次の一歩を判断するための材料としてご活用ください。
目次
一括ダウンロードする
デジタルフォレンジックとは
デジタルフォレンジックとは、パソコンやサーバー、スマートフォンといった電子機器やネットワークに残されたデータを収集・分析し、何が起きたのかを明らかにする一連の調査手法です。デジタル・フォレンジック研究会は、その内容を次のように定義しています。
インシデントレスポンスや法的紛争・訴訟に際し、電磁的記録の証拠保全及び調査・分析を行うとともに、電磁的記録の改ざん・毀損等についての分析・情報収集等を行う一連の科学的調査手法・技術を言います。
出典：デジタル・フォレンジックとは｜特定非営利活動法人デジタル・フォレンジック研究会
ここで鍵になるのが「証拠保全」という言葉です。単にデータを復元したり閲覧したりするだけでなく、集めたデータが途中で改ざんされていないことを証明できる形で保存・管理する点が、通常のデータ復旧との大きな違いになります。この厳格さがあるからこそ、調査結果を社内処分の根拠や訴訟の証拠として使える状態に保てます。
調査でわかること（調査の目的）
デジタルフォレンジックを実施する目的は、大きく4つに整理できます。1つ目はインシデントの原因究明で、いつ・どこから・どのように侵入や持ち出しが行われたかを特定します。2つ目は被害範囲の確定で、どの情報が影響を受けたかを見極め、公表や関係者への説明の土台にします。
3つ目は再発防止で、判明した侵入経路や手口をもとに対策を立てます。4つ目は法的証拠の確保です。社員の不正やサイバー攻撃をめぐって社内処分や訴訟に発展する場合に備え、改ざんされていないデータを客観的な事実として残します。どの目的が中心になるかは、起きたインシデントの性質によって変わります。
インシデント直後にやってはいけないこと（証拠を壊さない初動）
調査の手順を知る前に、まず押さえておきたいのが「やってはいけない初動」です。インシデントの発覚直後、原因を確かめようとして担当者が対象の端末を操作してしまうと、証拠となるデータが上書きされ、後から調査しても真相にたどり着けなくなることがあります。慌てて動く前に、何を避けるべきかを知っておくことが調査の成否を分けます。
電源が切れた端末を、むやみに起動しない
電源がオフの状態で見つかった端末は、原因を確かめたくても安易に起動しないのが原則です。起動するとファイルのタイムスタンプや内容が書き換わり、「いつ何が起きたか」を示す痕跡が失われるおそれがあります。証拠保全ガイドラインでも、次のように示されています。
原則として電源を ON にしてはならない。（やむを得ず電源を ON にする場合も）電源を ON にした時のリスク（ファイルのタイムスタンプや内容の変更などの影響）を受容して、証拠保全作業を実施する。
出典：証拠保全ガイドライン 第10版｜特定非営利活動法人デジタル・フォレンジック研究会
稼働中の端末は、電源断とネットワーク遮断を使い分ける
一方、電源が入ったまま稼働している端末は扱いが異なります。メインメモリ上のデータのように、電源を切ると消えてしまう情報（揮発性情報）があるため、「とにかく電源を切る」という対応が正解とは限りません。証拠保全ガイドラインは、状況に応じた判断を求めています。
対象物に電源を供給し続けることで明白な被害（破壊等）の拡大またはそのおそれが見られる場合、速やかに電源の供給を停止する必要がある。また、不要な通信のみを避けたい場合、電源の供給を継続したままネットワークから切り離す。
出典：証拠保全ガイドライン 第10版｜特定非営利活動法人デジタル・フォレンジック研究会
攻撃が進行して被害が広がりそうなときは速やかに電源を止める、不要な外部通信だけを断ちたいときは電源を入れたままネットワークケーブルを抜く、といった使い分けになります。判断に迷う場合は、自己判断で操作せず、後述する専門業者に連絡して指示を仰ぐのが安全です。
対象のファイルやデータを開かない・変更しない
疑わしいファイルやメールを確認のために開く行為も避けます。ファイルを開くとアクセス日時が更新され、「誰がいつ触れたか」の記録が変わってしまいます。証拠保全の考え方の根底には、元のデータ（原本）に手を加えないという原則があります。
情報の取得過程において、オリジナルのデータを極力変更しないこと、極力（原本への）書き込みを発生しないこと、不要なネットワーク通信が発生しないこと。
出典：証拠保全ガイドライン 第10版｜特定非営利活動法人デジタル・フォレンジック研究会
これらの初動を誤らないためには、平時から「インシデントを疑ったら対象機器に触れず、まず担当部署と調査先に連絡する」という手順を社内で共有しておくことが有効です。必要なログを日頃から保存し、初動の体制を決めておくことで、いざというときに証拠を壊さずに調査へ進めます。
出典・参考資料（1件）
デジタルフォレンジック調査の基本手順
ここからは、デジタルフォレンジックの調査が実際にどのような順番で進むのかを工程ごとに解説します。調査は「証拠保全→収集・復元→解析→報告」という流れが基本で、専門業者に依頼した場合も、事前のヒアリングを挟みつつおおむねこの順序で進みます。各工程で何を行い、何がわかるのかを押さえておくと、自社の関わり方もイメージしやすくなります。
ステップ1：証拠保全（複製の作成と同一性の証明）
最初に行うのが証拠保全です。調査はいきなり元の機器を解析するのではなく、対象のディスクをそっくりそのまま複製（クローン）し、その複製に対して調べていきます。複製するのは現在見えているファイルだけではありません。
現存するデータだけでなく、削除データ・隠しデータ・未使用領域を含めた、対象物全領域（ユーザがインターフェース等を介してアクセスできる領域）を複製する。
出典：証拠保全ガイドライン 第10版｜特定非営利活動法人デジタル・フォレンジック研究会
削除された領域まで丸ごと複製するからこそ、次の工程で消されたファイルの復元が可能になります。複製のときには、原本に書き込みが起きないよう専用の装置（書き込み防止装置）を使い、さらに複製が原本と完全に一致していることをハッシュ値で証明します。ハッシュ値とは、データ全体から計算される短い値で、1バイトでも中身が変われば異なる値になる性質を持ちます。
対象物（複製元）および複製先のハッシュ値を計算し、これらを照合して同一性を検証する。ハッシュ値を用いずに、バイナリコンペア等により同一性を担保してもよい。
出典：証拠保全ガイドライン 第10版｜特定非営利活動法人デジタル・フォレンジック研究会
原本と複製のハッシュ値が一致していれば、調査で使ったデータが改ざんされていないことを後から証明できます。この一手間が、調査結果の信頼性を支える土台になります。
ステップ2：データの収集・復元
保全した複製から、調査に必要なデータを取り出します。削除されたファイルやメール、ログなどは、ゴミ箱を空にした後でも未使用領域に痕跡が残っていることが多く、専用ツールで復元できる場合があります。どこまでを調査対象にするか（収集範囲）をこの段階で定め、以降の解析の見通しを立てます。
一方、稼働中の端末を扱う場合は、電源を切ると消えてしまうメモリ上のデータを先に取得してから、ディスクの複製に移るのが一般的な進め方です。揮発性の高い情報を優先して集めるこの順序は、米国国立標準技術研究所（NIST）が示す調査プロセスでも、多くの場合、揮発性データの収集を不揮発データより優先すべきと整理されています。
ステップ3：解析・分析
集めたデータを突き合わせ、事実を組み立てる工程です。ファイルのアクセス履歴、メールの送受信記録、Webサイトの閲覧履歴、USB機器の接続履歴、ソフトウェアの実行ログなどを時系列に並べ、「いつ・誰が・何をしたか」を再構成します。この時系列の再構成はタイムライン分析と呼ばれ、点在する記録をつなげて一連の行動を浮かび上がらせます。
内部不正の調査であれば、退職予定者が顧客データを大量にダウンロードしていないか、個人のクラウドストレージへ同期していないかといった持ち出しの痕跡を追います。サイバー攻撃であれば、侵入経路やマルウェアの挙動、外部との不審な通信を特定します。何を重点的に解析するかは、調査の目的によって変わります。
ステップ4：報告
解析で判明した事実を、報告書にまとめます。報告書は、技術に詳しくない経営層や法務担当者が読んでも理解できるよう、客観的な事実を中心に記載するのが基本です。社内処分や訴訟で使う場合は、ステップ1で証明した同一性（改ざんされていないこと）とあわせて、証拠としての裏付けを示します。
ただし、適正な手順で保全・調査したデータであっても、それが裁判で必ず証拠として採用されるわけではない点には注意が必要です。証拠保全ガイドライン自身も、手順どおり取得した電磁的記録が「裁判等において証拠として必ず採用されることを保証するものではない」と明記しています。手順を踏むことは証拠として認められやすい状態を保つための前提であり、最終的な判断は個別の事案に委ねられます。
デジタルフォレンジックの種類・手法
デジタルフォレンジックは、何を調べるか（調査対象）と、どう進めるか（進め方・機器の状態）という2つの軸で整理すると、自社のケースがどの調査に当たるかを判断しやすくなります。下表は主な種類をこの2軸で整理したものです。自社の状況に近い行から読むと、どの調査が当てはまるか見当がつきます。
| 種類 | コンピュータフォレンジック | モバイルフォレンジック | ネットワークフォレンジック | クラウドフォレンジック | メモリフォレンジック | データベースフォレンジック | ファストフォレンジック | ディープフォレンジック | ライブフォレンジック | デッドボックスフォレンジック |
|---|---|---|---|---|---|---|---|---|---|---|
| 分類の軸 | 調査対象 | 調査対象 | 調査対象 | 調査対象 | 調査対象 | 調査対象 | 進め方 | 進め方 | 機器の状態 | 機器の状態 |
| 内容・特徴 | PC・サーバーのディスク内のファイルや操作ログ | スマートフォン・タブレットの通話・メッセージ・アプリ履歴 | ネットワーク上を流れる通信の記録・パケット | クラウド上のデータ・アクセス履歴 | 稼働中の端末のメモリ上のデータ | データベースの操作・変更履歴 | 重要な痕跡を短時間で絞り込み | 時間をかけて網羅的に深掘り | 稼働中の端末から揮発性情報を取得 | 電源を切った端末のディスクを複製して調査 |
| 主に使われる場面 | 内部不正・情報の持ち出し | 内部不正・私的利用の調査 | サイバー攻撃・不正アクセス | クラウドからの情報漏えい | マルウェア感染・不正アクセス | データの改ざん・不正操作 | 緊急の初動・被害範囲の把握 | 訴訟を見据えた徹底調査 | 電源が入ったままの端末 | 電源を切って確保した端末 |
調査対象による分類
1つ目の軸は、どの機器やデータを調べるかです。パソコンやサーバーのディスクを調べるコンピュータフォレンジック、スマートフォンやタブレットを対象とするモバイルフォレンジック、通信の記録を分析するネットワークフォレンジックが代表的です。
これに加え、クラウド上のデータを扱うクラウドフォレンジック、電源を切ると消えるメモリ上のデータを対象とするメモリフォレンジック、データベースの操作履歴を調べるデータベースフォレンジックがあります。
どの対象を調べるかは、インシデントの内容によって決まります。退職者による持ち出しが疑われるなら本人が使っていたパソコンやスマートフォン、外部からの攻撃が疑われるならサーバーや通信記録、というように、痕跡が残っていそうな場所を選んで調査します。
進め方・機器の状態による分類
2つ目の軸は、調査の進め方や対象機器の状態です。重要な痕跡を短時間で絞り込んで調べるファストフォレンジックと、時間をかけて網羅的に深掘りするディープフォレンジックは、調査の深さと速さのトレードオフで使い分けます。緊急で被害範囲をつかみたい初動ではファスト、裁判を見据えて徹底的に調べる場面ではディープ、という具合です。
また、機器の状態に着目した分け方もあります。電源が入ったまま稼働中の端末からメモリ上のデータなどを取得するライブフォレンジックと、電源を切った状態でディスクを複製して調べるデッドボックスフォレンジックです。先に触れた揮発性情報を取得する必要がある場合はライブ、電源オフの端末をそのまま保全する場合はデッドボックスが選ばれます。実際の調査では、これらを組み合わせて進めることもあります。
インシデント別の当てはめ
自社の状況に引きつけると、調査の種類は次のように当てはめられます。退職者や従業員による情報の持ち出しが疑われる内部不正では、本人のパソコン・スマートフォンを対象にしたコンピュータ／モバイルフォレンジックが中心になり、操作履歴やファイルの移動を追います。
ランサムウェアや不正アクセスといったサイバー攻撃では、侵入経路や内部での広がりを把握するためにネットワークフォレンジックやメモリフォレンジックが役立ちます。情報漏えいの有無を確かめたい場合は、外部への不審な通信やデータ送信の記録が調査の手がかりになります。どの手口にどの調査が対応するかを意識すると、専門業者へ相談する際にも状況を伝えやすくなります。
一括ダウンロードする
デジタルフォレンジックの費用・期間の相場
専門業者に調査を依頼する場合、費用と期間がどの程度かかるかは気になるところです。ただし、デジタルフォレンジック調査の費用は、対象機器の台数やデータ量、調査の深さ、緊急度、報告書の用途などによって大きく変動するため、一律の相場を示すのは難しいのが実情です。会社ごとに料金体系も異なります。
おおよその目安としては、対象が少ない単発の調査で数十万円程度から、対象の台数が多く深い調査になると数百万円以上に及ぶこともあります。たとえば、ある調査会社が公開している料金例では、パソコン1台を対象とした調査一式（保全・データ処理・報告まで）で合計300,000円（税別・調査期間は約1か月）とされています。これとは別に、弁護士費用やデータの確認（レビュー）費用がかかると説明されています。
これはあくまで一例で、金額は会社や調査内容によって幅があります。桁感をつかんだうえで、何によって費用が変わるのかを押さえておくと、見積もりを比較するときに役立ちます。
費用を左右する主な要因は次のとおりです。
- 対象機器の台数・データ容量：調べるパソコンやサーバーの台数が増えるほど、またディスク容量が大きいほど、複製・解析の手間が増えます。
- 調査の深さ：重要な痕跡を絞り込むファストな調査か、網羅的に深掘りするディープな調査かで、作業量と費用が変わります。
- 緊急度：短納期での対応を求めると、優先対応の費用が上乗せされることがあります。
- 報告書の用途：社内確認用か、訴訟や外部提出を見据えた証拠能力を重視する報告書かで、求められる厳密さと費用が異なります。
期間についても、調査の規模と深さによって幅があります。緊急の初動調査であれば数日から1週間程度で速報が出る場合もあれば、網羅的な深掘り調査では数週間以上かかることもあります。見積もりを取るときは、金額だけで判断せず、調査の範囲・報告内容・追加料金の条件まで確認して比較することが大切です。
対象機器ごとの料金イメージをもう少し具体的に知りたい場合は、PC・スマホ・サーバー別の相場と、金額を左右する要因を掘り下げた以下の記事が参考になります。
専門業者への依頼を判断する
ここまで調査の手順や種類を見てきましたが、実際にインシデントが起きたとき、どこまでを自社で対応し、どこから専門業者に任せるべきかは判断に迷うところです。ここでは、自社対応と外部依頼の線引きと、依頼先を選ぶ際に確認したいポイントを整理します。
自社で対応できる範囲と専門業者に依頼すべき範囲
自社の担当者がまず行うべきは、調査そのものではなく、証拠を壊さないための初動です。インシデントを疑ったら対象機器にこれ以上触れず、電源やネットワークの扱いに注意しながら現状を保ち、関係部署と相談できる体制をつくるところまでが社内の役割になります。この段階で無理に原因を調べようと端末を操作すると、かえって証拠を損ない、後の調査を難しくします。
機器を操作せずにできる準備もあります。いつ・何に気づいたかを時系列でメモに残す、調査対象になりそうな端末やアカウントを一覧にする、誰にどの順で連絡するかを整理しておく、といった作業は、後から専門業者へ引き継ぐときに調査を早めます。
実際の保全・復元・解析は、専用の装置やツール、法的証拠能力を意識した手順の知識が必要になるため、専門業者に依頼するのが基本です。これらの知識がないまま社内だけで調査を進めると、かえって証拠を損なうおそれがあります。自社でできるのは「証拠を守って、正しい相手に早くつなぐ」ことまで、と割り切るほうが結果的に調査の精度を高められます。
依頼先の選び方チェックリスト
専門業者に依頼すると決めたら、どこに頼むかを見極めます。デジタルフォレンジックの調査は結果が社内処分や訴訟に影響するため、以下の観点で依頼先を確認しておくと安心です。
- 調査実績：自社と似た規模・業種、同じ種類のインシデント（内部不正・サイバー攻撃など）の調査実績があるか。
- 証拠能力への対応：訴訟や社内処分を見据え、改ざんされていないことを証明できる形で証拠を保全・報告できるか。
- 情報管理体制：調査では機密情報を預けることになるため、プライバシーマークやISMS（ISO/IEC 27001）などの認証や、情報管理の体制が整っているか。
- 対応の速さ：被害の拡大を抑えるため、相談から着手までのスピードや緊急対応の可否。
- 報告書のわかりやすさ：経営層や法務担当者が判断に使えるよう、技術的な内容を平易にまとめた報告・報告会があるか。
これらの観点を満たす依頼先には、フォレンジック調査を専門に手がける調査会社と、端末やネットワークの侵害を自社に代わって事後に調べる診断サービスの2通りがあります。
調査会社そのものを費用・対応範囲・証拠能力といった観点で比較して選びたい場合は、主要な調査会社を整理した以下の記事をご覧ください。
自社で調べきれない侵害を調べるサービス
自社だけでは侵害の有無や経路を調べきれないとき、端末やネットワークのフォレンジック診断を提供するサービスを利用する選択肢があります。ここでは、調べる対象の違いから、端末のログを事後に解析するサービスと、ネットワークの通信を分析するサービスを取り上げます。いずれも「すでに侵害や持ち出しが起きていないか」を外部の目で確かめる用途に適しています。
以下はご紹介するサービスの比較表です。
| サービス名 | セキュア・レントゲン | CoWorker 端末侵害診断サービス |
|---|---|---|
| 提供会社 | 株式会社クワッドマイナージャパン | CoWorker株式会社 |
| 調査対象 | ネットワークを流れる通信 （IT／OT（制御技術）環境。端末内・クラウドは対象外） | PC端末から収集したログ （Windows・Mac、最大100台まで） |
| 診断タイプ | ネットワークリスク診断 （NDR・フルパケットキャプチャ） | 端末フォレンジック診断 （AI「Blue Agent」＋専門家解析） |
| 調査方式・接続 | 機器をミラーリング接続し 通信を全数取得して分析 | 専用ツールでログを収集し ZIP送信（遠隔診断） |
| 証拠保全・証拠能力対応 | ハッシュ値・ファイル再構築を 伴う裏付け分析 | 訴訟対応を見据えた 電子証拠保全に対応 |
| 主な成果物 | 検出脅威・対策提案レポート（5構成） ＋報告会（診断は最短1カ月） | 速報レポート（1週間以内）＋ 最終レポート・報告会（1か月以内） |
| 提供形態 | スポット型（単発診断） | スポット／定期（年1〜2回）／ 随時（AI活用環境診断） |
| 費用の目安 | 要問い合わせ （分析手法・トラフィック量・台数で変動） | 初期費用20万円＋診断50万円/台〜 （税別・目安。台数で変動） |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. セキュア・レントゲン（株式会社クワッドマイナージャパン）
セキュア・レントゲンは、ネットワーク上を流れる通信を手がかりに、侵入や潜伏している脅威を洗い出すネットワークリスク診断サービスです。NDR（ネットワーク検知・対応）製品「Network Blackbox」のフルパケットキャプチャ技術を使い、実際に流れている通信を全数取得して専門のアナリストが分析します。
Webアプリケーションの脆弱性スキャンのように弱点を事前に探すのではなく、今まさにネットワーク内部に潜むリスクを事後に可視化する点が特徴です。
通信の宛先だけでなく中身まで確認できるため、一見安全に見える通信に隠れた不審な挙動や、やり取りされたファイルの再構築、ハッシュ値による裏付けを伴った分析が可能です。導入時に企業側で必要な作業はミラーリングの設定が中心で、ミラーリング方式のため万が一障害が起きてもネットワーク本体に影響しません。
診断は機器を設置して通信を取得し、分析・報告まで最短1カ月で進む流れです。成果物は、総合サマリから検出した脅威の詳細、シナリオベースのリスク分析までをまとめたレポートと報告会で、技術的な内容を経営層にも伝わる形で報告します。
こうしたネットワークの事後診断が実際にどのような場面で依頼されているのか、提供元の株式会社クワッドマイナージャパンは次のように説明しています。
実際に「今すでに社内にランサムウェアが存在している可能性がないか、それを見てほしい」という緊急のチェックとしてご依頼いただいたこともあります。（中略）既存の防御を過信せず、一度客観的に診断したいというニーズが確実に増えていると感じます。
2. CoWorker 端末侵害診断サービス（CoWorker株式会社）
CoWorker 端末侵害診断サービスは、対象のパソコンからログを収集し、自社開発のAI「Blue Agent」とセキュリティ専門家が事後に解析する端末フォレンジック診断です。常駐型のソフトで侵入をリアルタイムに防ぐ製品ではなく、退職時やインシデントの疑いがあるとき、あるいは年1〜2回の定期的な棚卸しといったタイミングを区切って「すでに侵害や持ち出しが起きていないか」を調べる位置づけになります。
検知の対象は、マルウェアや不正プログラムの痕跡、認証情報の漏えいリスク、個人クラウドへのデータ同期、不審なUSB・ネットワーク接続、退職直前の大量ダウンロードやメール転送などです。ChatGPTなどの生成AIツールの利用ログも調査対象に含みます。
利用時の作業は専用ツールを実行してログを送るだけで、Windows・Macに対応し、最大100台までの一括診断が可能です。退職者の情報持ち出しなどをめぐる訴訟対応を見据えた電子証拠保全にも対応し、速報レポートは1週間以内、最終レポートと報告会は1か月以内に提供されます。
ここで取り上げた診断は、すでに起きた侵害や持ち出しを事後に調べるためのものです。調査で判明した侵入経路をふまえて再発を防ぎたい、平時から弱点を洗い出しておきたいという場合は、脆弱性・セキュリティ診断サービス全体の比較もあわせて検討すると、自社に合う備え方を選びやすくなります。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
デジタルフォレンジックは、「証拠保全→収集・復元→解析→報告」という手順で、電子機器やネットワークに残されたデータから何が起きたかを明らかにする調査です。最も大切なのは、インシデントを疑った直後に端末を安易に操作せず、証拠を壊さないことです。電源の扱いやファイル操作を誤ると、後の調査が難しくなります。
調査の種類は、何を調べるか（対象別）と、どう進めるか（進め方・機器の状態別）の2軸で整理でき、自社のインシデントに当てはめて考えると見通しが立ちます。
費用は台数・データ量・調査の深さ・緊急度・報告書の用途で変わるため、見積もりは範囲と内容まで比較することが欠かせません。実際の保全・解析は専門性が高いため、自社は証拠を守る初動までを担い、調査は専門業者や端末・ネットワークのフォレンジック診断サービスに依頼するのが基本的な進め方になります。
一括ダウンロードする
よくある質問（FAQ）
Q. デジタルフォレンジックとデータ復旧は何が違うのですか？
A. デジタルフォレンジックとデータ復旧の最も大きな違いは、データが改ざんされていないことを証明できる形で保全し、法的な証拠として通用させることを目的とする点です。データ復旧が失われたデータを元に戻すこと自体を目的とするのに対し、デジタルフォレンジックは原本に手を加えない厳格な手順で複製・解析し、裁判や社内処分でも証拠として認められやすい状態に保ちます。
Q. 社員の不正調査とサイバー攻撃の調査で、デジタルフォレンジックの手法は違いますか？
A. デジタルフォレンジックは、社員の不正調査とサイバー攻撃の調査で重点を置く手法が異なります。内部不正の調査では、パソコンの操作履歴やメール、USB機器の接続履歴といった個人の行動の痕跡を追うのが中心です。
一方、サイバー攻撃の調査では、外部からの侵入経路やマルウェアの挙動、不審な通信の特定が中心になり、ネットワークフォレンジックやメモリフォレンジックが活躍します。目的が異なるため、調べる対象も使う調査の種類も変わります。
Q. デジタルフォレンジックではどんなデータが法的な証拠になりますか？
A. デジタルフォレンジックでは、適切な手順で保全・収集され、改ざんされていないことを示せるデジタルデータ全般が証拠になり得ます。具体的には、ファイルのアクセスログ、メールの送受信記録、Webサイトの閲覧履歴、USB機器の接続履歴などで、「いつ・誰が作成・変更したか」を示す客観的な事実として扱われます。
ただし、適正な手順を踏んだデータであっても裁判で必ず証拠として採用されるとは限らず、最終的な判断は個別の事案に委ねられる点には注意が必要です。
Q. デジタルフォレンジックの費用はどれくらいかかりますか？
A. デジタルフォレンジックの費用は、対象機器の台数やデータ量、調査の深さ、緊急度、報告書の用途によって大きく変わり、一律の相場を示すのは難しいのが実情です。目安としては、対象が少ない単発の調査で数十万円程度から、大規模なインシデントでは数百万円以上になることもあります。
会社ごとに料金体系も異なるため、金額だけで判断せず、調査範囲・報告内容・追加料金の条件まで含めて見積もりを比較することをおすすめします。
Q. デジタルフォレンジックは自社（自分）で対応できますか？
A. デジタルフォレンジックの保全・解析を自社だけで行うのは現実的ではなく、自社の役割は証拠を壊さない初動にとどめ、調査は専門業者に依頼するのが基本です。
自社でできるのは、対象機器に触れずに証拠を保全し、早めに専門業者へつなぐところまでと考えておくと、調査の精度を落とさずに済みます。保全や解析そのものには専用の装置と証拠能力を保つ手順の知識が欠かせないためです。
Q. インシデントに備えて、デジタルフォレンジックのために平時にやっておくべきことはありますか？
A. デジタルフォレンジックを見据えた平時の備えとして有効なのは、必要なログを日頃から保存しておくことと、インシデントを疑ったら機器に触れずに連絡する初動の体制を社内で決めておくことです。調査は残されたログや痕跡を手がかりに進むため、ログが保存されていなければ後から行動を追跡できません。あわせて、誰に・どの順で連絡するかを事前に共有しておくと、いざというときに証拠を壊さず調査へ進めます。
セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、端末やネットワークの侵害を調べるフォレンジック診断をはじめ、脆弱性・セキュリティ診断サービスの最新資料を無料で一括請求できます。調査対象・診断方式・費用の考え方を見比べて、自社に合う依頼先を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
