証拠保全・調査実務

デジタルフォレンジックの証拠保全・調査実務とは？

デジタルフォレンジックでは、データを見つけることだけでなく、調査に必要な証拠を失わず、後から取得方法や解析経緯を説明できる状態で残すことが重要です。

社内不正、情報持ち出し、データ削除、横領、顧客情報の流出などが疑われた場合、対象PCやアカウントを不用意に操作すると、アクセス日時、ログ、削除データ、同期状態などが変化する可能性があります。

そのため、最初に「何を調べるか」だけでなく、「何を先に保全するか」「現在の状態をどう残すか」「誰がどのように取得・管理したか」を整理します。

社内不正調査でデジタルフォレンジックが有効な理由と初動対応を見る

社内不正が疑われたときは証拠探しより先に保全を考える

社内不正の疑いが見つかると、対象者のPCを開いてメールやファイルを確認したくなることがあります。

しかし、その操作自体によって新しいアクセス記録が残ったり、ログや削除領域が変化したりすると、問題発生時の操作と調査担当者が後から行った操作を区別する必要が生じます。

本人への事情聴取を先に行った場合も、その後にファイルやメールが削除されたり、アカウントや共有設定が変更されたりする可能性があります。

したがって、被害が継続していない案件では、本人確認より先に必要なデジタル証拠の保全を検討します。

一方、不正アクセスや情報流出が現在も継続している場合は、被害停止を優先する必要があります。その場合も、遮断・設定変更・アカウント停止を行った日時と内容を記録しておきます。

退職者PCはすべて保全すればよいわけではない

退職者から返却されたPCを、すべて一律にフォレンジック保全する必要があるとは限りません。

重要なのは、退職時の状況と将来調査が必要になる可能性に応じて対応を分けることです。

例えば、通常の退職で具体的な問題が確認されていない場合と、退職直前の大量ファイルアクセス、情報持ち出し、データ削除、顧客引き抜きなど具体的な兆候がある場合では、必要な対応は異なります。

後者の場合は、PCを初期化・再配布する前に、端末、利用者、対象期間、アカウント、暗号化状態、ログの保存期限などを確認します。

退職者PCを初期化してよいか判断する方法はこちら

普通のファイルコピーと証拠保全は目的が違う

必要なファイルをUSBメモリや別フォルダへコピーするだけでも、内容を保存することはできます。

しかし、デジタルフォレンジックの証拠保全では、ファイル内容だけでなく、取得元、取得日時、取得方法、元媒体との関係などを説明できることが重要になります。

また、普通のコピーでは取得できないファイルシステム情報、削除領域、システム領域、OSやアプリケーションが生成したアーティファクトが調査対象になる場合があります。

そのため、調査目的に応じて、必要ファイルだけを取得する論理取得、媒体全体を取得するディスクイメージなどを使い分けます。

原本・保全用データ・解析用データを分ける

証拠保全を行う案件では、取得元となった原本媒体と、取得した保全用データ、実際の解析に使用するコピーを区別して管理することがあります。

原本を直接繰り返し解析すると、操作によって状態が変化する可能性があるためです。

保全後は、必要に応じて解析用コピーを作成し、そのコピーを使用してファイル検索、タイムライン解析、削除データ確認、アーティファクト解析などを行います。

案件ごとに必要な管理方法は異なりますが、「どのデータを元に解析したのか」を後から追える状態にしておくことが重要です。

ディスクイメージとは？

ディスクイメージは、ストレージ媒体の内容を一定の方式で取得し、解析に利用できる形で保存したデータです。

一般的なファイルコピーとは異なり、取得方式によってはファイルシステム情報や未割り当て領域などを含めて解析対象にできます。

ただし、すべての案件で必ず媒体全体のイメージ取得が必要というわけではありません。

調べたい対象が限定されている場合、クラウドログや特定データの取得が中心の場合などは、別の取得方法が適することもあります。

調査目的、対象媒体、データ量、暗号化、時間、費用などを踏まえて取得方法を選択します。

ハッシュ値は何のために使う？

デジタルフォレンジックでは、取得したデータの同一性を確認するためにSHA-256などのハッシュ値を使用することがあります。

同じデータから同じ方式で計算したハッシュ値を比較することで、比較対象のバイト列が一致しているかを確認できます。

ただし、ハッシュ値が一致することだけで、そのファイル内容が事実として正しいこと、誰が作成したこと、法律上の証拠能力が保証されることまで意味するわけではありません。

ハッシュ値は、取得元、取得方法、作業記録などと組み合わせて使用します。

ディスクイメージ・ハッシュ値・原本管理について詳しく見る

Write Blockerは何のために使う？

ストレージ媒体からデータを取得するときは、取得元への書き込みを抑えるためにWrite Blockerを使用する場合があります。

これは、調査担当者側のPCやOSによる意図しない書き込みを防ぎ、元媒体の状態への影響を抑えるためです。

ただし、対象が起動中のPC、暗号化された端末、クラウドサービス、スマートフォンなどの場合は、単純にWrite Blockerを接続して取得する方法だけでは対応できません。

対象機器や取得方法に合わせて保全方法を判断します。

Chain of Custodyでは証拠の取扱経緯を記録する

デジタル証拠では、「何が保存されているか」だけでなく、「誰が、いつ、どこから取得し、その後誰が管理・解析したか」を説明できることも重要です。

このような証拠の取得・保管・移動・受渡しなどの記録は、Chain of Custodyとして整理されることがあります。

記録する項目の例には、次のようなものがあります。

• 対象機器・媒体の識別情報
• 利用者・回収元
• 回収・取得日時
• 取得担当者
• 取得方法
• 作成したイメージやファイル
• ハッシュ値
• 保管場所
• 受渡し日時・担当者
• 解析用コピーとの関係

必要な形式や記録範囲は案件によって異なります。重要なのは、証拠がどのように取得・管理されたのかを後から説明できることです。

BitLockerなど暗号化されたPCの初動に注意する

Windows PCではBitLockerなどの暗号化が有効になっている場合があります。

暗号化されたPCを不用意にシャットダウンすると、その後の取得に回復キーや認証情報が必要になる場合があります。

一方、起動したまま端末を放置することにも、情報流出や遠隔操作など別のリスクがあります。

そのため、「証拠保全では必ず電源を切る」「必ず電源を入れたままにする」と一律に判断するのではなく、暗号化状態、ログオン状態、ネットワーク接続、被害の継続状況などを確認して判断します。

PCだけでなくメール・クラウド・サーバーのログも早めに保全する

社内不正調査では、対象PCだけを保全すれば十分とは限りません。

Microsoft 365、Google Workspace、ファイルサーバー、VPN、Firewall、メールなどには、それぞれ異なるログ保存期間があります。

PCを保管していても、調査開始までにクラウドやサーバー側の古いログが削除・上書きされると、当時の操作を確認できなくなる場合があります。

そのため初動では、どのシステムに証拠が存在する可能性があるかを整理し、保存期限が短い記録から優先して保全することがあります。

クラウドフォレンジックはこちら

サーバー・ネットワークフォレンジックはこちら

証拠保全後に複数のデータを時系列で解析する

保全は調査の目的ではなく、後から事実関係を確認できる状態を作るための準備です。

保全したPC、メール、クラウド、USB、サーバーログなどを解析し、関連する出来事を同じ時間軸へ整理します。

例えば、重要ファイルへのアクセス、ZIP作成、USB接続、クラウドアクセス、メール送信などが近い時間帯に発生していた場合、それぞれの記録が何を示しているかを分けて確認します。

時刻が近いという理由だけで因果関係を断定せず、対象ファイル、端末、アカウントなどの一致も確認します。

調査実務では「事実」と「推定」を分ける

デジタルフォレンジック調査では、発見した痕跡から何を言えるのかを明確にする必要があります。

例えば、USB接続履歴が確認された場合に言えるのは、その端末で対象USBが利用された可能性を示す記録があるということです。

それだけで、機密ファイルがUSBへコピーされたことや、本人が不正目的で情報を持ち出したことまで確定するとは限りません。

確認できた事実、複数の証拠から考えられる評価、確認できなかった事項を分けて整理します。

調査前に避けたい主な操作

• 対象PCを通常業務へ再配布する
• 初期化・OS再インストールを行う
• クリーンアップツールを実行する
• 対象PCへ復旧・解析ソフトを不用意にインストールする
• 大量のファイルを手作業で開く
• 削除データを元のドライブへ復元する
• 必要なデータを保全する前にアカウントを削除する
• 取得前の状態を記録せず設定を変更する

ただし、現在も被害が継続している場合は、証拠保全だけを優先して対応を遅らせるのではなく、被害停止とのバランスを判断します。

自社確認と専門的な証拠保全を使い分ける

対象期間や資料が明確で、メール、帳簿、監査ログなどを通常の管理機能から確認できる案件では、社内担当者が必要資料を保存しながら事実整理できる場合があります。

一方、削除データ、ファイル操作履歴、USB持ち出し、複数端末、暗号化PC、証拠としての取得経緯が重要になる案件では、フォレンジック保全を検討します。

重要なのは、すべての案件を高度なフォレンジック調査にすることではなく、将来必要になる証拠を失わない範囲で、案件に合った保全方法を選ぶことです。

証拠保全は「後から検証できる状態」を残すために行う

デジタルフォレンジックの証拠保全は、単にデータをコピーして保存することではありません。

対象データと取得元の関係、取得方法、取得日時、ハッシュ値、保管・解析の経緯などを記録し、後から第三者が調査過程を確認できる状態を残すことが重要です。

不正が確定してから保全を始めるのではなく、「後から調べる必要が生じたときに、まだ調べられる状態が残っているか」という視点で初動を判断します。