ランサムウェアの感染や情報漏えいの疑いが社内で持ち上がったとき、「フォレンジック調査」という言葉は耳にしても、実際にどんな順番で何をするのかが思い浮かばず、どう動けばよいか迷う担当者は少なくありません。手順の見当がつかないまま社内で端末を操作してしまい、肝心の証拠が壊れて調査できなくなるケースも起きています。
本記事では、まず被害に気づいた直後に触ってはいけない初動を確認したうえで、フォレンジック調査が準備から報告まで実際にどのような順番で進むのかを5つのステップに分けて具体的に解説します。あわせて、自社でどこまでできるのか、外部攻撃と社内不正で調査がどう変わるか、費用・期間の目安と依頼先の選び方まで整理しました。
感染の最中で何から手を付ければよいか迷っている場合も、平時の備えとして流れを押さえておきたい場合も、落ち着いて次の一歩を判断するための材料として活用してください。
目次
一括ダウンロードする
今すぐ確認｜フォレンジック調査でやってはいけない初動
ここからは、インシデントに気づいた直後に証拠を壊さないために避けたい操作と、代わりにやるべきことを説明します。焦って端末を操作すると、後からの調査で原因や被害範囲を追えなくなることがあるため、手順の前にまずここを押さえてください。
調査の対象になるデータには、電源を切ると消えてしまう「揮発性」の高いものがあります。メモリ上で動いているプロセスや、通信中のネットワーク接続、一時的に展開された情報などがこれにあたります。
証拠収集の指針を示す技術文書（RFC 3227）は、証拠は揮発性の高いものから順に集めるべきだとし、その順序の先頭に、レジスタ・キャッシュに続いてメモリや実行中のプロセス、ネットワークの接続情報を挙げています。これらは電源を切ったり時間が経ったりするだけで失われます。
この性質があるため、良かれと思って行う操作がかえって証拠を壊してしまいます。やってはいけない初動は次のとおりです。
- 電源を切る・シャットダウンする：メモリ上の揮発性の情報（動作中のプロセス、ネットワーク接続など）が消え、収集する機会そのものが失われます。
- 再起動する・起動し直す：起動や終了のたびにシステムがデータを書き換えます。攻撃者が起動・終了時に動くスクリプトを仕込んで証拠を消す細工をしている場合もあります。
- 自己判断でネットワークケーブルを急に抜く：通信中の接続という揮発性の証拠を取り逃すおそれがあります。遮断が必要な場面もありますが、揮発情報の確保や専門家の指示を経てから行うのが安全です。
- 怪しいファイルを削除する・中身を開いて確認する：ファイルを削除しても、その領域は「空き」と見なされるだけで、使い続けるうちに上書きされて復元できなくなります。ファイルを開くだけでも最終アクセス日時などが変わり、痕跡が書き換わります。
証拠収集の指針を示す技術文書も、調査前の操作がいかに簡単に証拠を壊すかを次のように戒めています。
証拠はいとも簡単に、意図せず壊れてしまう。証拠の収集を終えるまでシャットダウンしてはならない。多くの証拠が失われるおそれがあり、攻撃者が証拠を破壊するために起動・終了スクリプトやサービスを改変している可能性もある。（原文：It’s all too easy to destroy evidence, however inadvertently. Don’t shutdown until you’ve completed evidence collection. Much evidence may be lost and the attacker may have altered the startup/shutdown scripts/services to destroy evidence.）
出典：RFC 3227 Guidelines for Evidence Collection and Archiving, §2.2｜IETF
では、まず何をすべきか
触らないことを基本にしつつ、次の初動を取ると、その後の調査がスムーズに進みます。
- 端末はできるだけそのままの状態で保ち、稼働中なら電源を入れたまま、停止しているなら無理に起動しないようにします。
- 気づいた時刻、見つけた異常、誰が何をしたかを時系列でメモに残します。後の調査でこの記録が手がかりになります。
- 被害の拡大を止める遮断や隔離が必要かは、揮発情報を確保する観点も踏まえ、社内の対応体制や外部の専門家と相談して決めます。
- フォレンジック調査を依頼する可能性があるなら、早い段階で調査会社に連絡し、取るべき初動の指示を仰ぎます。
ネットワークケーブルの切断は、被害を封じ込める正当な手段の一つとしても使われます。だからこそ、絶対に抜くな・必ず抜けといった一律の判断ではなく、揮発性の証拠を取り逃さない配慮と封じ込めの必要性を天秤にかけて決めることが大切です。
出典・参考資料（2件）
フォレンジック調査のやり方｜準備から報告までの5ステップ
ここからは、フォレンジック調査が実際にどのような順番で進むのかを、準備から報告まで5つのステップに沿って解説します。工程の標準的な枠組みは、インシデント対応にフォレンジックを組み込むための指針を示した米国国立標準技術研究所（NIST）の文書（SP 800-86）が、収集・検査・分析・報告の4段階として整理しています。
このセクションでは、フォレンジックプロセスの基本的な段階を説明する。収集（collection）、検査（examination）、分析（analysis）、報告（reporting）である。（原文：This section describes the basic phases of the forensic process: collection, examination, analysis, and reporting.）
出典：NIST SP 800-86 Guide to Integrating Forensic Techniques into Incident Response, §3｜NIST
本記事では、この4段階を実務の流れに合わせ、前段の「準備・計画」を加え、収集の工程を「証拠保全」と「証拠収集」に分けた5ステップとして具体的に見ていきます。NIST自身も、各段階をどこまで細かく分けるかは手順によって変わり、同じ基本原則を反映した別のモデルも存在すると述べており、この5ステップもその一つです。
ステップ1：準備・計画
何が起きたのか、どの端末やシステムが関係しているのか、調査で何を明らかにしたいのか（原因か、被害範囲か、持ち出しの有無か）を整理します。対象機器の台数や調査の範囲を見極め、誰がどの順で動くかを決める段階です。ここで方針が曖昧なまま進めると、必要なデータを取り逃したり、無駄な調査に費用がかさんだりします。
ステップ2：証拠保全（原本を触らず複製を取る）
対象のディスクやデータについて、原本の状態を変えないまま複製（コピー）を作成し、以降の調査はその複製に対して行います。原本と複製が同一であることを検証し、原本はそのまま保管します。実務では、原本に書き込みが起きないようにする仕組み（書込防止）を用いて複製を取ります。この「原本を触らず、複製で調べる」という考え方は、通常のデータ復旧と決定的に違う点です。
証拠保全で確保すべきデータには順番があります。前述のとおり、メモリや通信中の接続といった揮発性の高い情報が最初に失われるため、稼働中の端末ではこうした情報を先に取得し、その後にディスクなど揮発性の低いものへ進みます。
ステップ3：証拠収集・復元
複製したデータから、調査に必要な情報を取り出します。削除されたファイルの復元、アクセスや操作の履歴（ログ）の抽出、通信記録の収集などを行います。削除されたデータも、領域が上書きされる前であれば復元できる場合があるため、初動で端末を使い続けないことがここで効いてきます。膨大なデータの中から、調査の目的に関係する部分を絞り込んでいく工程です。
ステップ4：解析・分析
収集したデータを突き合わせ、何がいつ起きたのかを時系列で組み立てます。侵入の経路、影響を受けた範囲、持ち出されたデータの有無などを、事実にもとづいて明らかにしていきます。NISTは、分析の段階で、後から説明・立証できる方法や技術を用いて有用な情報を導き出すべきだとしています。推測ではなく、残されたデータから筋道立てて結論を導くのがこの工程です。
ステップ5：報告・対応
調査でわかった事実を報告書にまとめます。いつ・どこから・どのように侵入や持ち出しが行われ、どこまで影響が及んだのかを、根拠とともに記します。報告書は、社内での処分の判断、監督官庁や取引先への説明、訴訟など法的対応の根拠として使われます。用途によって求められる厳密さが変わるため、どこまで証拠能力を重視するかを依頼時に共有しておくと、目的に合った報告が得られます。
出典・参考資料（2件）
そもそもフォレンジック調査とは何か
フォレンジック調査（デジタルフォレンジック）とは、パソコンやサーバー、スマートフォンなどの電子機器やネットワークに残されたデータを収集・分析し、何が起きたのかを明らかにする一連の調査手法です。
単にデータを復元したり閲覧したりするのではなく、集めたデータが途中で改ざんされていないことを証明できる形で保全する点に特徴があります。この厳格さがあるからこそ、調査結果を社内処分の根拠や訴訟の証拠として使える状態に保てます。
調査の目的は、起きたインシデントによって変わります。サイバー攻撃であれば侵入経路と被害範囲の特定、社員による不正であれば情報を持ち出した事実の立証が中心になります。いずれの場合も、再発防止の手がかりを得ることや、法的な対応に備えて客観的な証拠を残すことが、調査の狙いになります。
フォレンジック調査は自社でできる？自力が危険な理由
フォレンジック調査は、どこまでを自社で担い、どこからを専門家に任せるべきなのでしょうか。結論から言うと、自社が担うのは「証拠を壊さない初動」までで、保全・解析そのものは専門的な手順と体制を要するため、調査会社に依頼するのが基本的な進め方になります。
理由は、調査結果を証拠として使えるかどうかが、取得から保管・移転までの一連の手続きに左右されるためです。証拠を誰が・いつ・どのように取得し、保管し、受け渡したかを記録する「チェーンオブカストディ（証拠の管理の連続性）」が整っていないと、改ざんや不適切な取り扱いを疑われ、証拠としての価値が問われます。NISTは、この考え方を次のように説明しています。
証拠の不適切な取り扱いや改ざんの疑いを避けるため、明確に定義されたチェーンオブカストディに従うべきである。これは、証拠を物理的に管理した者全員の記録を残し、いつ何を行ったかを文書化し、使用していないときは安全な場所に保管し、証拠の複製を作成して解析・分析は複製のみを用いて行い、原本と複製の完全性を検証することを含む。（原文：In such situations, a clearly defined chain of custody should be followed to avoid allegations of mishandling or tampering of evidence. This involves keeping a log of every person who had physical custody of the evidence, documenting the actions that they performed on the evidence and at what time, storing the evidence in a secure location when it is not being used, making a copy of the evidence and performing examination and analysis using only the copied evidence, and verifying the integrity of the original and copied evidence.）
出典：NIST SP 800-86 Guide to Integrating Forensic Techniques into Incident Response, §3.1.2｜NIST
自社で調査を試みると、正しい保全の手順を踏めずに原本を書き換えてしまったり、取得の記録が残らなかったりして、せっかく調べても証拠として使えなくなるおそれがあります。
また、揮発性の高いデータや削除データの扱いには専門的な知識が要り、誤った操作で復元不能になる危険もあります。証拠の識別・収集・取得・保全の国際的な指針（ISO/IEC 27037）も整備されており、こうした手順を正しく踏むには専門の体制が必要になります。
一方で、本当に自社にできることがないわけではありません。異常に気づいた時点の記録を残す、端末をむやみに操作しない、調査会社に早く連絡する、といった初動は自社の役割です。ここを適切に担えるかどうかが、その後の調査の成否を大きく左右します。
出典・参考資料（3件）
- 出典：NIST SP 800-86 Guide to Integrating Forensic Techniques into Incident Response（§3.1.2 Chain of Custody）｜NIST
- 出典：RFC 3227 Guidelines for Evidence Collection and Archiving（§4.1 Chain of Custody）｜IETF
- 参考資料：ISO/IEC 27037:2012 Guidelines for identification, collection, acquisition and preservation of digital evidence｜ISO
外部攻撃（原因調査）と社内不正（証拠調査）で調査はどう変わるか
フォレンジック調査が必要になる場面は、大きく「外部からのサイバー攻撃」と「社内の人による不正」の2つに分かれ、同じ調査手法でも力点が変わります。インシデントの性質によって調査の目的や進め方は変わるため、自社のケースがどちらに近いかを押さえておくと、依頼時の相談がスムーズになります。
| 調査の方向性 | 外部攻撃の原因調査 | 社内不正の証拠調査 |
|---|---|---|
| 主な目的 | 侵入経路と被害範囲の特定・再発防止 | 情報の持ち出しや不正行為の事実の立証 |
| 調べる主な対象 | サーバー・ネットワーク機器のログ、マルウェアの痕跡、通信記録 | 本人の端末、メール・クラウドの操作履歴、外部媒体への書き出し記録 |
| 典型的なきっかけ | ランサムウェア感染、不正アクセス、情報漏えいの疑い | 退職者による情報持ち出し、横領、ハラスメントの疑い |
| 報告の主な使い道 | 監督官庁・取引先への説明、公表、再発防止策の立案 | 社内処分の判断、訴訟・法的対応の証拠 |
外部攻撃の調査では、どこから侵入され、どの範囲に被害が及んだのかを突き止め、対外的な説明や再発防止につなげます。社内不正の調査では、特定の人物が情報を持ち出した事実を、後の処分や訴訟に耐える形で立証することが中心になります。調べる対象のデータや、報告書に求められる証拠能力の重みも、この2つで変わってきます。どちらのケースなのかを依頼先に伝えると、必要な調査範囲の見積もりが正確になります。
フォレンジック調査の費用・期間の目安
専門業者に依頼する場合、費用と期間はどのくらいかかるのでしょうか。フォレンジック調査の費用は、対象機器の台数やデータ量、調査の深さ、緊急度、報告書の用途によって大きく変わるため、一律の相場を示すのは難しいのが実情です。会社ごとに料金体系も異なります。
金額の目安は、調査の範囲によって段階が分かれます。退職者のパソコン1台のように対象を絞った調査なら、数十万円程度から依頼できます。
ある調査会社が公開している料金例では、退職者のパソコン1台を対象にした持ち出し調査一式（保全・データ処理・1か月のデータ確認環境・プロジェクト管理まで）で合計300,000円（税別）とされています。これとは別に、弁護士費用やデータの確認（レビュー）費用がかかると説明されています。
対象やデータ量が多く、原因究明まで踏み込む一般的な調査になると、1台あたりの単価は上がります。調査会社が公開している参考価格では、パソコン1台あたり100万円から、サーバーでは300万円程度（サーバー調査の参考価格は税別表示）という水準が示されています。退職者パソコンの例より高いのは、調べる範囲とデータ量が広がるためです。
出典・参考資料（2件）
さらに、対象の台数が多い大規模なインシデントでは、こうした1台あたりの単価が積み上がり、総額が数百万円から数千万円規模になることもあります。まずは自社の調べたい対象の範囲を把握したうえで、見積もりを取るのが現実的です。
何によって費用が変わるのかを押さえておくと、見積もりを比較するときに役立ちます。費用を左右する主な要因は次のとおりです。
- 対象の台数・データ量：調べる端末やサーバーが多く、データ量が大きいほど、保全・処理の作業量が増えます。
- 調査の深さ：重要な痕跡だけを素早く絞り込む調査か、網羅的に深掘りする調査かで、作業量と費用が変わります。
- 緊急度：短納期での優先対応を求めると、費用が上乗せされることがあります。
- 報告書の用途：社内確認用か、訴訟や外部提出を見据えて証拠能力を重視する報告書かで、求められる厳密さと費用が変わります。
期間についても、規模と深さによって幅があります。調査会社の公開情報では、緊急の初動調査なら速報が数日から1週間程度で出る場合があり、網羅的な深掘り調査では最終的な報告書まで1か月程度かかることもあります。見積もりを取るときは、金額だけで判断せず、調査の範囲・報告内容・追加料金の条件まで確認して比べることが大切です。
出典・参考資料（2件）
一括ダウンロードする
ここで示したのは、費用の全体像をつかむための目安です。パソコン・スマートフォン・サーバーなど対象ごとに料金がどう変わるか、金額を左右する要因や総額・期間の相場までを、調査会社の公開料金や公的機関の調査にもとづいて出所つきで整理した記事があります。社内で予算化したり相見積もりを見比べたりする段階では、こちらが具体的な材料になります。
フォレンジック調査業者の選び方と相談のタイミング
ここからは、依頼先を選ぶときに確認したい観点と、相談のタイミングについて整理します。調査会社ごとに得意分野や対応体制が異なるため、次の点を手がかりに自社の状況に合う依頼先を見極めるとよいでしょう。
自社のケースに対応できる調査範囲か
外部攻撃の原因調査に強い会社と、社内不正の証拠調査を得意とする会社では、調べる対象や知見が異なります。自社のインシデントが攻撃によるものか、人による持ち出しかを踏まえ、そのケースに対応できるかを確かめておくと安心です。対象がパソコンなのか、サーバーやクラウド、スマートフォンなのかも、対応可否にかかわります。
緊急時の受付体制と初動のスピードはどうか
インシデントは時間との勝負になることが多く、受付の体制が成否を分けます。24時間365日の緊急受付があるか、連絡から現場対応までどのくらいで動けるかを確かめておくことが重要です。被害が広がっている最中であれば、初動の指示をその場でもらえるかどうかも大切です。
報告書が目的の用途に耐える証拠能力を備えているか
報告書を社内確認だけに使うのか、訴訟や監督官庁への説明に使うのかで、求められる厳密さが変わります。証拠の取得から保管までの管理を適切に記録し、第三者に説明できる形で報告してもらえるかを確かめておきましょう。訴訟を見据える場合は、法的対応の実績があるかも判断材料になります。
相談のタイミングは、早いほど有利です。被害が起きてから依頼先を探し始めると、初動が遅れて証拠が失われることがあります。平時のうちに相談先の候補を把握し、社内で「異常に気づいたら何を触らず、どこへ連絡するか」を決めておくと、いざというときに落ち着いて動けます。
ここで挙げた観点を押さえたら、実際の調査会社を同じ観点で見比べると、自社に合う相談先を絞り込みやすくなります。次の記事では、デジタルフォレンジックの調査会社10社を、対応範囲・実績・対応スピード・報告書の証拠としての使い方・費用という観点で横並びに比較しています。料金を「要問い合わせ」とする会社が多いなか、公開されている料金は実額で整理しました。
自社で手に負えない侵害を専門に調べるサービス
ここからは、インシデントの痕跡を調べるときに依頼先となるサービスを紹介します。保全・解析は専門性が高いため、自社は証拠を守る初動までを担い、調査そのものは専門のサービスに任せるのが現実的です。以下は、調査の入口となる端末の侵害診断サービスと、代表的な受託調査会社をまとめた比較表です。より多くの調査会社を網羅的に見比べたい場合は、前掲の比較記事もあわせてご覧ください。
| サービス名 | CoWorker 端末侵害診断サービス | デジタルデータフォレンジック（DDF） | FRONTEO 企業不正・不祥事調査 | サイバー119（ラック） | サイバーディフェンス研究所 | GMOサイバーセキュリティ byイエラエ | フォレンジックサービス（ソリトンシステムズ） |
|---|---|---|---|---|---|---|---|
| 対応が得意な領域 | 社内不正（退職者の持ち出し）・マルウェア感染の事後調査 ※端末（PC）のログ解析が中心 | 外部攻撃・社内不正の両方 （退職者の不正調査の窓口あり） | 社内不正・不祥事調査に強み （横領・情報持ち出し・不正調査） | 外部攻撃の原因調査に強み （ランサムウェア・不正アクセス等） | 外部攻撃の原因調査に強み （標的型攻撃・マルウェア解析） | 外部攻撃・社内不正の両方 （内部不正調査の専用メニューあり） | 外部攻撃の原因調査が中心 （標的型攻撃による不正侵入など） |
| 緊急受付・初動 | 常設の緊急受付は明記なし （スポット／定期の診断型） | 24時間365日受付 （最速15分でWeb打合せ設定と公表） | サイバー事案はWebフォーム24時間365日受付 （電話は平日・時間外の窓口あり） | 24時間365日・予約不要で受付 （フリーダイヤル） | 発生直後の電話・メール相談を受付 （24時間対応の明記なし） | 24時間365日受付 （緊急窓口） | 緊急時に備えた基本契約の事前締結が可能 （24時間対応の記載なし） |
| 費用の目安 | 1台500,000円（税別） ※トライアル200,000円/台（税別） | 要問い合わせ （相談・見積りは無料） | 500,000円〜 （公式表記。税区分の明記なし） | 要問い合わせ （初回相談は無料） | 要問い合わせ （被害拡大防止・証拠保全の助言は無料） | 要問い合わせ （予算に合わせて提案） | PC調査2,000,000円〜/台 サーバ調査3,000,000円〜/台（税別） |
| 公的な登録・認定 | 認定・登録の明示なし （法的証拠を見据えた保全に対応） | 情報セキュリティサービス基準 登録 ISO27001・プライバシーマーク | PFI（カード情報漏えい調査機関）認定 | 認定・登録の明示なし | 情報セキュリティサービス基準 登録 ISMS（ISO/IEC 27001）認証 | 情報セキュリティサービス基準 登録 PFI認定 | 会社としてISO27001・プライバシーマーク （本サービス単体の認定記載なし） |
| 詳細情報 | 公式資料を見る | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
CoWorker 端末侵害診断サービス（CoWorker株式会社）
従業員のパソコンに残るログを解析し、ランサムウェア感染や情報漏えい、内部不正の痕跡がないかを調べる端末のフォレンジック診断サービスです。CoWorker株式会社が、独自のAIと専門のアナリストを組み合わせて端末を事後解析する点に特徴があり、外部攻撃の被害確認と、退職者による持ち出しなど社内不正の両方に用いられます。
本格的な受託調査を依頼する前の一次切り分けや、平時の備えとして定期的に端末をチェックしておきたい場面に向いています。「調査が必要なほどの侵害が本当にあったのか」を見極める、調査の入口として活用できる選択肢です。被害が起きてから依頼先を探すと初動が遅れるため、平時のうちに相談先として把握しておくと安心です。
実際にどのような場面で端末のフォレンジック診断が依頼されているのかについて、同サービスを提供するCoWorker株式会社の一ノ瀬氏は次のように話しています。
多いのは、退職された方のPCから情報の持ち出しがなかったかを確かめたいという、内部不正の調査のご相談です。最近では、Webサービスで広く使われているソフトウェアに深刻な脆弱性が公表されたことをきっかけに、「自社のサーバーや端末がすでに侵害されていないか、まずは手早く確かめたい」というご相談も増えています。調査の結果「重大な問題はなかった」と分かること自体が安心につながる、というお声をいただくこともあります。
まとめ
フォレンジック調査は、準備・計画、証拠保全、証拠収集、解析・分析、報告の5ステップで進みます。調査を成功させる鍵は、調査が始まる前の初動にあります。電源を切る・再起動する・怪しいファイルを削除するといった操作は、復元できない形で証拠を壊してしまうため、端末はできるだけそのままにして、記録を残し、早めに専門家へ連絡することが大切です。
費用は台数・データ量・調査の深さ・緊急度・報告書の用途で変わるため、見積もりは範囲と内容まで比べることが欠かせません。保全・解析の実務は専門性が高く、証拠能力を保つには正しい手順と体制が要ります。自社は証拠を守る初動までを担い、調査は端末の侵害診断サービスや受託の調査会社に依頼するのが、現実的な進め方になります。
一括ダウンロードする
よくある質問（FAQ）
Q. フォレンジック調査とは何ですか？
A. フォレンジック調査（デジタルフォレンジック）とは、電子機器やネットワークに残されたデータを収集・分析し、何が起きたのかを明らかにする調査手法です。通常のデータ復旧と違い、集めたデータが改ざんされていないことを証明できる形で保全するため、調査結果を社内処分や訴訟の証拠として使えます。
Q. フォレンジック調査とデータ復旧は何が違うのですか？
A. フォレンジック調査とデータ復旧の違いは、データ復旧が「消えたデータを読める状態に戻す」ことを目的とするのに対し、フォレンジック調査は原本を一切変更せず複製を取り、その複製を調べて「データが改ざんされていないこと」を証明できる形で保全する点にあります。
単にファイルを取り戻すだけなら復元ツールでも可能ですが、取得や保管の手続きが適切でないと、後から証拠として使えなくなります。社内処分や訴訟を見据えるなら、復旧ではなく保全の手続きを踏むフォレンジック調査が必要になります。
Q. フォレンジック調査では、パソコン以外にスマートフォンやクラウドも調べられますか？
A. フォレンジック調査は、パソコンやサーバーに加えて、スマートフォンやクラウド上のデータも対象にできます。ただし対象によって取得の方法が変わります。パソコンのように物理的にディスクを複製しにくいスマートフォンやクラウドでは、端末からのデータ吸い出しや、クラウド事業者側の操作ログ・アクセス記録を使って調べることになります。
自社の調べたい対象がパソコンなのか、スマートフォンやクラウドなのかによって対応できる会社が変わるため、依頼時に対象機器を具体的に伝えると見積もりが正確になります。
Q. フォレンジック調査の結果は、裁判や社内処分の証拠として認められますか？
A. フォレンジック調査の結果は、取得から保管までの手続きが適切であれば証拠として使えますが、手順を誤ると証拠としての価値が問われます。鍵になるのは、証拠を誰が・いつ・どのように取得し、保管し、受け渡したかを記録する「チェーンオブカストディ（証拠の管理の連続性）」です。
これが整っていないと、改ざんや不適切な取り扱いを疑われます。だからこそ、原本を書き換えない保全や取得記録を正しく残せる専門の調査会社に、証拠能力を重視する旨を伝えて依頼することが大切です。
出典・参考資料（1件）
Q. 削除してしまったデータも、フォレンジック調査で復元できますか？
A. 削除したデータも、その領域が上書きされる前であればフォレンジック調査で復元できる場合があります。ファイルを削除しても、その領域は「空き」と見なされるだけで、すぐにデータが消えるわけではありません。ただし端末を使い続けると新しいデータが上書きされ、復元できなくなります。異常に気づいたら端末をむやみに操作せず、早めに相談することが復元の成否を分けます。
Q. フォレンジック調査の依頼中も、業務でその端末やシステムを使い続けられますか？
A. フォレンジック調査は原本の複製を取って調べるため、多くの場合は業務への影響を抑えられますが、証拠保全のために端末を一時的に止めたり隔離したりする必要がある場面もあります。
とくに揮発性の高い情報（メモリ上のプロセスや通信中の接続）を確保する段階や、被害の拡大を止める封じ込めが必要な局面では、一時停止を求められることがあります。業務を止められる範囲や代替手段は、依頼先と事前に相談して決めると現場の混乱を防げます。
Q. フォレンジック調査の費用は1台あたりどのくらいかかりますか？
A. フォレンジック調査の費用は、パソコンやサーバー1台あたり数十万〜300万円程度が一つの目安で、対象が少ない単発の調査なら数十万円程度から依頼できます。たとえば、ある調査会社の公開料金では、退職者のパソコン1台を対象にした持ち出し調査一式（保全・データ処理・1か月のデータ確認環境・プロジェクト管理まで）で合計300,000円（税別）とされています。
対象の台数が多い大規模なインシデントでは単価が積み上がり、総額が数百万円から数千万円規模になることもあります。費用は台数・データ量・調査の深さ・緊急度・報告書の用途で変わるため、見積もりは範囲と内容まで比べることが大切です。
Q. 有事に備えて、平時のうちにやっておくべきことはありますか？
A. 平時のうちに、フォレンジック調査の相談先候補を把握し、「異常に気づいたら何を触らず、どこへ連絡するか」という社内の初動ルールを決めておくことが有効です。被害が起きてから依頼先を探し始めると、初動が遅れて証拠が失われることがあります。
あわせて、調査の手がかりになるログを日頃から取得・保存しておくと、いざというときに原因や被害範囲を追いやすくなります。端末のログから侵害の痕跡を定期的にチェックしておく診断を、調査の入口として活用しておくのも備えの一つです。
セキュリティ診断・フォレンジック調査の資料を一括チェック
MCB FinTechカタログでは、端末やネットワークの侵害を調べるフォレンジック診断をはじめ、脆弱性・セキュリティ診断サービスの最新資料を無料で一括請求できます。調査対象・診断方式・費用の考え方を見比べて、自社に合う依頼先を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
