ランサムウェアの感染や不正アクセス、従業員・退職者による情報の持ち出しといったセキュリティ事故が起きたとき、「フォレンジック調査が必要だ」と言われる場面が増えています。
しかし言葉は見聞きしても、具体的に何をどこまで調べる調査なのか、費用や期間はどれくらいかかるのかは、いざ当事者になると分かりにくいものです。
本記事では、フォレンジック調査とは何かという基本から、調査でわかること・調査の種類・手順の流れ・費用と期間の目安・証拠を壊さないための初動の注意・依頼先の選び方までを解説します。
いま事故が起きている、または起きた直後の場合は、証拠を壊さないことが最優先です。確認のために端末の電源を入切したり、ファイルを開いたりする前に、やってはいけない初動対応をご確認ください。
目次
一括ダウンロードする
フォレンジック調査とは
フォレンジック調査とは、パソコンやサーバー、スマートフォンなどの機器やログから証拠を保全・解析し、何が・いつ・どこまで起きたのかを突き止めたうえで、法的にも使える形で報告する調査です。
「デジタルフォレンジック」とほぼ同じ意味で使われ、デジタル機器に残された記録を対象にした証拠の保全・分析を指します。フォレンジック調査は、その考え方をインシデント対応の現場で実際に行う調査行為を表す言葉だと捉えると分かりやすいでしょう。公的機関も、証拠保全とあわせてこの調査を次のように説明しています。
訴訟対応等を見越して事実関係を裏付ける情報や証拠を保全し、必要に応じてフォレンジック調査（パソコンのハードディスク、メモリ内データ、サーバーやネットワーク機器のログ等の調査）を行います。
出典：中小企業のためのセキュリティインシデント対応の手引き｜独立行政法人情報処理推進機構（IPA）
このようにフォレンジック調査は、ハードディスクやメモリの中身、サーバーやネットワーク機器のログといったデジタルな記録を手がかりに、事実関係を裏付けるために行う調査だといえます。単に原因を知るだけでなく、後から訴訟や社内処分で使えるよう証拠を保全する点が、通常のトラブルシューティングとの大きな違いです。
フォレンジック調査でわかること
ここからは、フォレンジック調査で具体的に何がわかるのかを、サイバー攻撃と内部不正の両方のケースに当てはめながら見ていきます。
調査でわかる主な内容は、事故の原因、侵入や持ち出しの経路、被害がどこまで及んだかの範囲、個人情報など重要データが漏えいしたかどうか、そして再発防止につながる弱点です。これらを客観的な証拠とともに確定できるため、社内への説明や関係先への報告、必要なら法的措置の判断材料になります。
サイバー攻撃のケース
ランサムウェア感染や不正アクセスなど外部からの攻撃では、攻撃者がどこから侵入し、社内でどのように動き、どのデータにアクセス・持ち出したのかを解析します。感染した端末のメモリやディスク、ファイアウォールやサーバーのログをたどることで、侵入経路や被害範囲、情報が外部へ送信されたかどうかを突き止められます。
攻撃が止まったように見えても、別の端末に潜んでいたり、認証情報がすでに盗まれていたりすることがあります。被害の全体像を把握することで、復旧の範囲や再発防止策を的確に絞り込めます。
内部不正のケース
社員や退職者による情報の持ち出し、横領、ハラスメントなどが疑われるケースでは、対象者が使っていたパソコンやスマートフォン、メール・クラウドの操作履歴を調べます。顧客リストやソースコードの大量ダウンロード、個人用クラウドへの同期、不審なUSB接続、メール転送といった痕跡が、持ち出しの有無や範囲を示す手がかりになります。
内部不正の調査では、懲戒処分や訴訟を見据え、証拠が後から「改ざんされていない」と示せる形で保全されているかが重要になります。この点でも、適切な手順を踏むフォレンジック調査が役立ちます。
個人情報漏えい時の報告義務との関係
サイバー攻撃でも内部不正でも、個人データの漏えいや、そのおそれが絡む場合には、個人情報保護委員会への報告と本人への通知が法律で義務づけられています。2022年（令和4年）4月1日に全面施行された改正個人情報保護法（個情法）によって、それまで努力義務だったこれらが義務になりました。
出典・参考資料（1件）
- 出典：令和2年改正個人情報保護法について｜個人情報保護委員会（リンク）
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
前項に規定する場合には、個人情報取扱事業者（同項ただし書の規定による通知をした者を除く。）は、本人に対し、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を通知しなければならない。
出典：個人情報の保護に関する法律 第26条｜e-Gov法令検索
報告が必要になる事態は、同法の施行規則で次の4類型と定められています。
出典：個人情報の保護に関する法律施行規則 第7条｜e-Gov法令検索
- 一 要配慮個人情報が含まれる個人データ（…）の漏えい、滅失若しくは毀損（…「漏えい等」…）が発生し、又は発生したおそれがある事態
- 二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
- 三 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（…）の漏えい等が発生し、又は発生したおそれがある事態
- 四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
不正アクセスやランサムウェア、内部関係者による持ち出しは、三号の「不正の目的をもって行われたおそれがある行為」による漏えい等に当てはまることが多く、報告の対象になり得ます。報告は、まず速やかに行う速報と、詳しい内容をまとめる確報の二段階です。速報は「速やかに」行うこととされ、個人情報保護委員会は発覚からおおむね3〜5日以内を目安として示しています。
出典・参考資料（1件）
- 出典：漏えい等の対応とお役立ち資料｜個人情報保護委員会（リンク）
前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
出典：個人情報の保護に関する法律施行規則 第8条｜e-Gov法令検索
確報は、事態を知った日から30日以内（不正の目的による漏えい等＝三号の類型は60日以内）に行う必要があります。ここで注意したいのは、法律が義務づけているのは「報告・通知」であって、フォレンジック調査そのものではない点です。
ただし、報告・通知の対象に当たるかの判断や、報告事項である原因・漏えいした本人の数・二次被害のおそれの有無を正しく確定するには、何がどこまで起きたのかの事実解明が欠かせません。フォレンジック調査が必要になるのは、まさにこの事実解明のためです。
フォレンジック調査の種類と調べる内容
フォレンジック調査は、調べる対象によっていくつかの種類に分かれます。ここでは代表的な4つを、何を・何のために・どんな場面で使うかとあわせて整理します。
コンピュータフォレンジック
パソコンやサーバーのハードディスク、メモリに残されたデータを調べる種類です。削除・暗号化されたファイル、操作履歴、マルウェアの痕跡などを解析し、端末上で何が行われたかを突き止めます。内部不正での持ち出し調査や、感染端末の被害確認など、端末が調査の中心になる場面で使われます。
ネットワークフォレンジック
ネットワークを流れる通信やログを対象に、どこから侵入され、どこへデータが送られたかといった通信の動きを調べます。ファイアウォールやプロキシのログ、通信パケットを分析することで、侵入経路や情報の外部流出、社内での不審な横移動を把握できます。外部からの攻撃や、潜伏している脅威の洗い出しに向いています。
モバイルフォレンジック
スマートフォンやタブレットを対象にした調査です。通話・メッセージの履歴、アプリの利用状況、位置情報、削除されたデータなどを解析します。業務用スマートフォンからの情報持ち出しや、ハラスメント・労務問題などで端末上のやり取りが争点になる場面で用いられます。
ファストフォレンジック
完全なディスク全体の複製・解析には時間がかかるため、まず被害把握に必要な範囲のログや痕跡を優先して収集・分析する進め方です。被害の拡大が続いている状況で、原因や影響範囲の初期判断を急ぐときに選ばれます。全体の精密調査の前段として、初動のスピードを重視する場面に適しています。
フォレンジック調査の手順・流れ
続いて、フォレンジック調査を依頼したら実際にどう進むのかを見ていきます。依頼先や事案によって区切り方は異なりますが、一般的には次の流れで進みます。
- 証拠保全：対象機器のディスクやメモリ、ログを、元の状態を変えないまま複製・保全します。後の解析や、法的な証拠の土台になる最初の工程です。
- データの復元：削除されたり暗号化されたりしたファイル・ログを、可能な範囲で復元します。証拠隠滅が疑われる内部不正などで行う場合があります。
- 解析・分析：保全したデータを解析し、いつ・どこから・何が起きたのか、被害範囲や情報漏えいの有無を突き止めます。
- 報告：調査結果を、原因・被害範囲・再発防止策とともに報告書にまとめます。適切な手順で保全されていれば、訴訟や社内処分の証拠としても使えます。
この中で土台になるのが最初の証拠保全です。どの程度まで保全すれば法的な紛争・訴訟で使えるデータになるのかについて、業界団体は次のように方針を示しています。
特に、我が国における電磁的証拠保全の一般的な手続きがどうあるべきか、どの程度まで行えばデータが「法的紛争・訴訟に際し利用可能な（Forensically sound な）電磁的証拠」となり得るか、という運用現場の懸念や悩みに対し、コンセンサスの形成の一助になることを意図して作成された。
出典：証拠保全ガイドライン 第10版｜特定非営利活動法人デジタル・フォレンジック研究会
証拠が「法的に使える形」で残っていなければ、どれだけ詳しく解析しても後の処分や訴訟で役立ちません。だからこそ、この最初の保全工程と、事故直後の初動の扱いが、調査全体の成否を大きく左右します。
一括ダウンロードする
フォレンジック調査の費用と期間の目安
ここからは、気になる費用と期間の目安を、出所のある数字で確認します。費用は調査の規模・対象台数・内容によって大きく変わるため、まずは幅で捉えるのが現実的です。業界団体のレポートでは、規模別に次のような目安が示されています。
| 調査の規模・内容 | 費用の目安 |
|---|---|
| PC・サーバー数台程度（初動対応＋フォレンジック調査を合わせて） | 約300〜400万円 |
| マルウェア感染が拡大するなど大規模な被害 | 数千万円〜 |
この点から、PCとサーバー数台程度の調査であれば、初動対応およびフォレンジック調査を合わせ、概ね300～400万円程度の金額が必要となります。
しかし、マルウェア感染の範囲が拡大した場合など、大規模な被害を受けたときは、フォレンジック調査の対象となる端末数が増加し、ネットワーク内の挙動等の調査も必要になるため、その費用は数千万円～に及ぶ場合もあります。
出典：インシデント損害額調査レポート 2021年版｜特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）
同レポートでは、事業者ごとの単価の例も示されています。パソコン1台あたりおおむね100〜220万円程度、サーバー1台あたり150〜200万円程度、初動対応に別途20〜150万円程度といった幅があり、1時間あたり6万円で実稼働時間に応じて計算する事業者もあります。対象台数や調査の深さで総額が変わります。
これらは事業者ごとに示された単価の幅で、実際の請求は調査範囲や台数に応じたまとめ方で決まります。先に挙げた「数台で300〜400万円」は初動対応まで含めた総額の目安であり、単価をそのまま台数分だけ足した金額と一致するとは限りません。
出典・参考資料（1件）
- 出典：インシデント損害額調査レポート 2021年版｜特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）（リンク）
期間については、同レポートが「場合によっては数週間以上の期間を要することもあります」と述べています。出所のある数字はこの「数週間以上」までで、実務上はこれに規模や内容を加味して数週間〜1か月程度を一つの目安と見ることが多いものの、確定した費用・期間は依頼先の個別見積もりに委ねられます。
ここで紹介した金額は2021年版のデータであり、現在の相場とは差が生じている可能性がある点にご留意ください。
例えば、フォレンジック調査は、PC、サーバー内のログを専門家が長時間をかけて調査することになるため、場合によっては数週間以上の期間を要することもあります。
出典：インシデント損害額調査レポート 2021年版｜特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）
調べる対象がパソコン1台なのか、サーバーを含む複数台なのかによって金額は大きく変わります。機器の種類ごとの料金の違いや、何で金額が決まるのかをもう少し細かく確かめたい場合は、以下の記事で対象機器別の費用相場を整理しています。
フォレンジック調査でやってはいけない初動対応
事故に気づいた直後の操作しだいで、せっかくの証拠が失われ、調査が難しくなることがあります。自分で確かめようとする前に、次の点を避けてください。
- 電源が切れている端末を、確認のために電源を入れない。起動時に記録が上書きされ、証拠が失われることがあります
- 電源が入っている端末は、不用意にファイルやアイコンに触れない。再起動やシャットダウンも控え、電源を落とすかどうかは専門家の指揮のもとで判断します
- ディスクの初期化やOSの再インストールをしない
- 証拠になりうるファイルやログを開いたり、コピー・移動・削除・変更したりしない
- 被害の拡大を止める必要があるときは、LANケーブルを抜く・Wi-Fiをオフにするなどでネットワークから隔離する。ただし電源を切るなどの不用意な操作で記録を消さないようにします
基本は、自分で操作して確かめようとせず、現状を保ったまま専門の事業者に引き継ぐことです。電源の扱いには注意が必要で、業界団体のガイドラインは端末の状態ごとに次のように示しています。
出典：証拠保全ガイドライン 第10版｜特定非営利活動法人デジタル・フォレンジック研究会
- （電源が切れている端末について）原則として電源を ON にしてはならない。
- （電源が入っている端末について）やむを得ない場合を除き、ファイルやアイコン、その他の不審な画面の動き等に極力触れてはならない。
公的機関も、被害拡大を防ぐための隔離・遮断は行いつつ、記録を消さないよう注意するよう求めています。
初動対応として、対象となる情報が外部からアクセスできる状態にある場合や、被害が広がる可能性がある場合は、ネットワークの遮断、情報や対象機器の隔離、システムやサービスの停止を行います。ただし、対象機器の電源を切る等、不用意な操作でシステム上に残された記録を消さないようにします。
出典：中小企業のためのセキュリティインシデント対応の手引き｜独立行政法人情報処理推進機構（IPA）
電源を一律に切る・切らないで判断するのではなく、端末の状態や揮発性情報の扱いを踏まえ、専門家に相談しながら決めるのが安全です。迷ったら操作を止め、できるだけ早く専門の事業者に連絡しましょう。
フォレンジック調査の依頼先の選び方
最後に、どこに頼めばよいかを考えます。まず「そもそも外部に頼むべきか」を確認し、そのうえで選定の観点を押さえると、自社の状況に合う依頼先を絞り込みやすくなります。
自社対応ではなく専門会社に依頼すべきか
フォレンジック調査には、証拠を壊さずに保全する技術と、法的に使える報告書を作る専門性が求められます。社内で独自に調べると、操作によって証拠が変わり、かえって証拠能力を失うおそれがあります。
専門会社に依頼すれば、客観的な第三者による証拠保全・解析が受けられ、担当者が復旧作業と調査を兼務することによる二次被害のリスクも抑えられます。調査結果を社内や関係先に説明する際にも、第三者の報告書があるほうが説得力を持ちます。
何を基準に選べばよいか
依頼先を比べるときは、次の観点を自社の状況に当てはめて確認します。被害が広がっている局面では対応スピードが重く、訴訟や処分を見据えるなら報告書の証拠能力が決め手になります。
- 対応スピード：連絡から着手までの早さ。被害拡大中は初動の速さが被害額を左右します
- 実績・技術力：自社のケース（サイバー攻撃か内部不正か）に近い調査経験があるか
- 法的証拠になる報告書の発行可否：訴訟・懲戒処分で使える形式の報告書を出せるか
- セキュリティ体制：調査で預けるデータを安全に扱える管理体制があるか
- 費用の明確さ：見積もりの根拠（台数・工数・分析手法）が示されるか
- データ復旧への対応：暗号化・削除されたデータの復元まで対応できるか
複数の依頼先を同じ基準で見比べると、価格だけでは分からない違いが見えてきます。資料を取り寄せて対応範囲や進め方を確認してから、問い合わせに進むとよいでしょう。
具体的にどの会社に頼むかを、費用・対応できる機器やインシデントの範囲・報告書の証拠能力といった観点で見比べたい場合は、以下の記事で主要なデジタルフォレンジック調査会社を比較しています。
一括ダウンロードする
自社の端末・ネットワークの侵害の痕跡を調べるサービス
ここからは、事故が起きた後に端末やネットワークの侵害の痕跡を調べられるサービスを紹介します。本格的なインシデント調査を請け負う調査会社の比較は上の比較記事をご覧ください。ここで取り上げるのは、侵害の痕跡がないかを絞り込んで調べる依頼型の診断サービスです。
すでに侵害・持ち出しが起きていないかを事後に確かめたい場合にも、再発防止に向けて自社の弱点を洗い出したい場合にも選択肢になります。調査範囲を絞るぶん、前の章で見たフルの事故調査の相場より費用を抑えやすいのが特徴です。
| サービス名 | CoWorker 端末侵害診断サービス | セキュア・レントゲン |
|---|---|---|
| 提供会社 | CoWorker株式会社 | 株式会社クワッドマイナージャパン |
| 調査対象 | 端末（PC）のログ | ネットワークの通信（フルパケット） |
| 診断タイプ | 端末フォレンジック診断 （AI＋専門家の事後解析） | ネットワークリスク診断 （NDR・フルパケットキャプチャ） |
| 主な検出対象 | マルウェア感染 認証情報の漏えい USB・クラウド経由の持ち出し | 侵入・潜伏した脅威 不審な通信・侵入経路 内部の異常な通信 |
| 対応OS・環境 | Windows・Mac （最大100台まで） | IT・OT両環境のネットワーク |
| 成果物・報告 | リスク優先度付きレポート＋報告会 （電子証拠保全に対応） | 検出脅威・対策提案レポート（5構成）＋報告会 |
| 診断期間 | 速報1週間以内 最終レポート1か月以内 | 最短1か月 |
| 料金目安 | 1台あたり定価500,000円（税別） トライアル価格200,000円・複数台は割引 | 要問い合わせ （分析手法・トラフィック量・台数で変動） |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. CoWorker 端末侵害診断サービス（CoWorker株式会社）
退職者のPC返却時や、マルウェア感染の疑いが出たときに、その端末で実際に何が起きていたかを事後に調べられるのが、CoWorker株式会社の「CoWorker 端末侵害診断サービス」です。対象端末から専用ツールでログを収集し、自社開発のAI「Blue Agent」とセキュリティ専門家が解析する、スポット／定期実施型の端末フォレンジック診断です。
診断メニューは、顧客リストやソースコードの持ち出しを調べる退職者PC診断、マルウェアや認証情報漏えいを定期的に点検する社内端末 定期健康診断、生成AIの利用ログを調べるAI活用環境診断の3つに分かれます。
マルウェア感染・認証情報の漏えい・USBやクラウド経由のデータ持ち出しといった痕跡を検出し、退職者トラブルや内部不正に備えた電子証拠保全にも対応します。訴訟での利用まで想定する場合は、求められる証拠保全の水準を資料や問い合わせで確認しておくと安心です。
Windows・Macに対応し、最大100台までの一括診断が可能です。速報レポートは1週間以内、最終レポートと報告会は1か月以内に提供されます。料金は1台あたりの定価が500,000円（税別）、導入事例としての掲載を条件とするトライアル価格が200,000円（税別）で、複数台ではボリュームディスカウントが設けられています（2026年10月時点の公式情報）。
2. セキュア・レントゲン（株式会社クワッドマイナージャパン）
株式会社クワッドマイナージャパンが提供するセキュア・レントゲンは、ネットワークを流れる通信を100%フルパケットキャプチャで記録し、専門アナリストが分析するネットワークリスク診断サービスです。NDR（ネットワーク検知・対応）製品「Network Blackbox」の技術を使い、外部からの脅威だけでなく、すでに内部に侵入・潜伏している脅威や不審な通信、侵入経路までを洗い出します。
スイッチのミラーポートに接続するミラーリング方式のため、万が一障害が発生してもネットワーク本体に影響しません。IT環境だけでなくOT（制御技術）環境のネットワークにも対応し、緊急度の高いリスクを見つけた場合は速報が担当者へ連絡されます。診断結果は、現状分析・検出した脅威・対策提案をまとめた5構成のレポートと報告会として提供されます。
診断期間は最短1か月で、機器を設置して通信を記録した後に専門エンジニアが分析する流れです。料金は分析手法（オンライン／持ち帰り／設置場所での分析）やトラフィック量、設置台数によって変わるため、具体額は要問い合わせとなっています（2026年10月時点の公式情報）。
すでに脆弱性診断やペネトレーションテスト（疑似的に攻撃して弱点を検査する手法）を実施済みの企業が、入り口を突破された後の内部リスクを客観的に確かめたいときにも向いています。
侵害がすでに起きていないかを事後に確かめる使われ方について、提供元である株式会社クワッドマイナージャパンの白垣氏は、独自インタビューで次のように語っています。
実際に「今すでに社内にランサムウェアが存在している可能性がないか、それを見てほしい」という緊急のチェックとしてご依頼いただいたこともあります。そのときは幸い問題ありませんでしたが、もし侵入されていたら、重大な被害につながりかねないリスクが見つかりました。既存の防御を過信せず、一度客観的に診断したいというニーズが確実に増えていると感じます。
フォレンジック調査で原因や弱点が見えてきたら、次の課題は「同じ被害を繰り返さないこと」です。攻撃を受けた後に調べるフォレンジック調査に対して、攻撃を受ける前に自社システムの弱点を洗い出しておくのが脆弱性診断です。以下の記事では、脆弱性診断サービスの診断方法や費用相場、選び方を解説しています。再発防止として事前の備えを検討される方は、あわせてご覧ください。
まとめ
フォレンジック調査は、端末やログから証拠を保全・解析し、何が・いつ・どこまで起きたのかを法的にも使える形で明らかにする調査です。サイバー攻撃でも内部不正でも、原因・侵入や持ち出しの経路・被害範囲・情報漏えいの有無を突き止め、報告や再発防止、必要なら訴訟・処分の判断材料になります。
費用はPC・サーバー数台で約300〜400万円、大規模な被害では数千万円以上が目安で、期間は数週間以上かかることもあります。確定した費用・期間は依頼先しだいです。事故に気づいたら電源の操作や初期化、ファイルの変更を避け、現状を保ったまま専門の事業者に引き継ぐことが、証拠を守るうえで何より重要になります。
一括ダウンロードする
よくある質問（FAQ）
Q. フォレンジック調査とは何ですか？
A. フォレンジック調査とは、パソコンやサーバー、スマートフォンなどの機器やログから証拠を保全・解析し、何が・いつ・どこまで起きたのかを、法的にも使える形で突き止める調査です。「デジタルフォレンジック」とほぼ同じ意味で使われ、単に原因を知るだけでなく、後の訴訟や社内処分でも使えるよう証拠を保全する点が、通常のトラブル対応との違いです。
Q. フォレンジック調査は、通常のシステム復旧やIT調査と何が違うのですか？
A. フォレンジック調査が通常のIT調査と最も違うのは、調べた結果を「後から改ざんされていない証拠」として残せるよう、決められた手順で証拠を保全しながら解析する点です。復旧を優先する通常対応では、ログやデータが上書きされて証拠能力を失うことがあります。訴訟や懲戒処分を見据える場面では、この保全の有無が後々の分かれ目になります。
出典・参考資料（1件）
- 出典：証拠保全ガイドライン 第10版｜特定非営利活動法人デジタル・フォレンジック研究会（リンク）
Q. フォレンジック調査の費用はどれくらいかかりますか？
A. フォレンジック調査の費用は、PC・サーバー数台程度なら初動対応と合わせて約300〜400万円、マルウェア感染が広がった大規模な被害では数千万円以上が目安です（JNSAのレポートによる）。対象台数・データ量・調査の深さで総額が変わり、確定した金額は依頼先の個別見積もりによります。
詳しい内訳は本文「費用と期間の目安」で解説しています。この金額は2021年版のデータのため、現在の相場とは差が生じている可能性があります。
出典・参考資料（1件）
- 出典：インシデント損害額調査レポート 2021年版｜特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）（リンク）
Q. フォレンジック調査の期間はどれくらいかかりますか？
A. フォレンジック調査の期間は、規模や内容によるものの、数週間から1か月程度が一つの目安です。専門家がログやディスクを時間をかけて解析するため、被害が大きいほど長くなり、JNSAのレポートも「数週間以上の期間を要することもある」としています。急ぐ場合は、被害把握に必要な範囲を優先するファストフォレンジックで、原因や影響範囲の初期判断を早める方法もあります。
出典・参考資料（1件）
- 出典：インシデント損害額調査レポート 2021年版｜特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）（リンク）
Q. フォレンジック調査は自社（社内）だけで対応できますか？
A. フォレンジック調査は、証拠を壊さず保全する技術と、法的に使える報告書を作る専門性が必要なため、社内だけで行うのはおすすめできません。社内で独自に操作すると証拠が変わり、かえって証拠能力を失うおそれがあります。第三者である専門会社に依頼すれば、客観的な証拠保全・解析が受けられ、担当者が復旧と調査を兼務することによる二次被害のリスクも抑えられます。
調査結果を社内や関係先へ説明する際の説得力も高まります。
Q. フォレンジック調査の報告書は、懲戒処分や裁判で証拠として使えますか？
A. フォレンジック調査の報告書は、適切な手順で証拠が保全されていれば、訴訟や社内の懲戒処分の証拠として使えます。逆に保全の手順が不十分だと、どれだけ詳しく解析しても、後の処分や訴訟で役立たないことがあります。業界団体も、どの程度まで行えばデータが「法的紛争・訴訟に利用可能な証拠」となり得るかの指針を示しています。
出典・参考資料（1件）
- 出典：証拠保全ガイドライン 第10版｜特定非営利活動法人デジタル・フォレンジック研究会（リンク）
Q. 会社が社員や退職者のPC・スマートフォンを調べても法的に問題ありませんか？
A. 社員の端末調査は、会社が貸与した端末を対象とし、就業規則などで業務利用の範囲やモニタリングの可能性をあらかじめ定めている場合は、一般に調査しやすいとされています。一方、私物端末や私的なやり取りを調べるには本人の同意が前提になるなど、配慮が必要です。判断に迷うケースでは、着手前に弁護士など専門家へ相談することをおすすめします。
Q. 退職者が返却したPCでも、情報の持ち出しを調べられますか？
A. 退職者が返却したPCでも、端末やアカウントが残り、ログが上書きされていなければ、顧客リストやソースコードなどの持ち出しの有無を事後に調べられます。USB接続や個人用クラウドへの同期、メール転送といった痕跡が手がかりになります。ただし時間が経つほどログが消えていく可能性があるため、持ち出しの疑いがあれば、端末を現状のまま確保しておくことが重要です。
Q. 初期化・削除されたデータでもフォレンジック調査で復元できますか？
A. 初期化・削除されたデータも、上書きが進んでいなければ、フォレンジック調査で可能な範囲で復元できる場合があります。調査の工程には、削除・暗号化されたファイルやログを復元する作業が含まれ、証拠隠滅が疑われる内部不正などで行われます。ただし完全な初期化後や長期間の使用後は復元が難しくなるため、早い段階で保全することが有効です。
Q. フォレンジック調査をすれば、不正や情報持ち出しの証拠は必ず見つかりますか？
A. フォレンジック調査でも、証拠が必ず見つかるとは限りません。ログの保存期間が過ぎていたり、証拠が上書き・消去されていたりすると、痕跡が残っていない場合があります。それでも、複数の痕跡を突き合わせることで持ち出しや不正の有無を高い確度で推定できるケースは多く、早く保全するほど発見できる可能性は高まります。
Q. クラウドサービスやSlack・Teamsのログもフォレンジック調査の対象になりますか？
A. クラウドサービスやSlack・Teamsのログも、管理者権限で監査ログやアクセス履歴を取得できれば、フォレンジック調査の対象にできます。ただしクラウドは、端末のように丸ごと複製することが難しく、取得できるログの種類や保存期間に左右されます。平時からログの保存設定を確認しておくと、いざというときに調べられる範囲が広がります。
Q. 電源を切ると消えてしまうメモリ上の情報も調べられますか？
A. 電源を切ると失われるメモリ上の情報（揮発性情報）も、端末の電源が入っている状態で適切に保全すれば調査できます。メモリには、動作中のマルウェアや通信の状態、暗号化のカギなど、ディスクには残らない手がかりが含まれることがあります。だからこそ、事故に気づいても、確認のために安易に電源を切らないことが重要です。
Q. フォレンジック調査の成果物として何が得られますか？
A. フォレンジック調査の成果物は、事故の原因・侵入や持ち出しの経路・被害範囲・情報漏えいの有無・再発防止策をまとめた報告書です。適切な手順で保全されていれば、この報告書は社内説明や関係先への報告、訴訟・懲戒処分の判断材料としても使えます。依頼前に、どのような報告書が出るか（証拠能力のある形式か）を確認しておくとよいでしょう。
Q. 個人情報が漏えいした場合、フォレンジック調査は法律で義務づけられていますか？
A. 個人情報の漏えい時に法律で義務づけられているのは個人情報保護委員会への報告と本人への通知であり、フォレンジック調査そのものは義務ではありません。ただし、報告の対象に当たるかの判断や、原因・漏えいした本人の数・二次被害のおそれといった報告事項を正しく確定するには、事実解明が欠かせず、そのためにフォレンジック調査が必要になります。
報告は、速報（おおむね発覚から3〜5日以内が目安）と確報（原則30日以内、不正目的による漏えい等は60日以内）の二段階です。
Q. フォレンジック調査はどのタイミングで依頼すればよいですか？
A. フォレンジック調査は、事故や不正の疑いに気づいたら、できるだけ早く依頼するのが原則です。時間が経つほどログが上書きされ、証拠が失われていくためです。被害が拡大している局面では初動の速さが被害額を左右するので、自分で操作して確かめようとせず、現状を保ったまま、早めに専門の事業者へ連絡しましょう。
Q. 証拠保全だけを先に依頼することはできますか？
A. 証拠保全だけを先に行うことは、多くの依頼先で可能です。証拠保全は調査全体の土台となる最初の工程で、ここさえ適切に行っておけば、本格的な解析まで進めるかどうかを後から落ち着いて判断できます。「調査まで必要か迷うが、証拠は失いたくない」という段階でも、まず保全だけ相談する選択肢があります。対応の可否は依頼先に確認してください。
Q. フォレンジック調査はどんなケースで依頼すべきですか？
A. フォレンジック調査は、ランサムウェア感染や不正アクセスなどのサイバー攻撃と、社員・退職者による情報持ち出しや横領・ハラスメントなどの内部不正の、どちらのケースでも依頼が検討されます。共通するのは「何が・どこまで起きたのかを客観的な証拠とともに確定し、報告・処分・訴訟の判断材料にしたい」場面です。原因や被害範囲を事実として示す必要があるときが、依頼を考える目安になります。
Q. 社内に知られずに、秘密裏にフォレンジック調査を進められますか？
A. 内部不正が疑われるケースでは、対象者に気づかれないよう、証拠保全や解析を目立たない形で進めることが一般的です。調査を察知されると証拠を隠滅されるおそれがあるため、専門会社は保全の進め方やタイミングも含めて相談に乗ってくれます。社内の誰にいつ共有するかも、調査設計の一部として依頼先と決めていくとよいでしょう。
Q. フォレンジック調査を依頼する前に、自分で状況を確認してもよいですか？
A. フォレンジック調査の前は、自分で操作して確かめようとせず、現状を保ったまま専門の事業者に引き継ぐのが安全です。電源の入切や初期化、ファイルを開く・コピー・削除するといった操作で、証拠が上書きされて失われることがあります。被害の拡大を止める必要があるときは、電源を切らずにLANケーブルを抜く・Wi-Fiをオフにするなどでネットワークから隔離し、早めに専門家へ相談してください。
フォレンジック調査に使えるサービスの資料を一括チェック
MCB FinTechカタログでは、端末やネットワークの侵害の痕跡を調べる診断サービスや脆弱性診断サービスの最新資料を無料で一括請求できます。対応範囲や診断の進め方、料金の考え方をまとめて見比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
