デジタルフォレンジック調査が社内不正調査で有効な5つの理由 | 初動の重要性を知る
デジタル・フォレンジック調査ラボ
社内不正が疑われたとき、企業は限られた情報の中で、早い判断を迫られます。
「本人に確認するべきか」「PCやメールを調べるべきか」「まだ確証がない段階で専門家に相談するべきか」。
こうした初動の判断は、その後の調査で確認できる事実の範囲にも影響します。
一方で、デジタルフォレンジックについては「削除されたデータを復元する技術」というイメージを持たれがちですが、社内不正調査で果たす役割はそれだけではありません。
では、実際の調査現場ではどのような初動が問題になりやすく、デジタルフォレンジック調査は何のために使われるのでしょうか。
まずは、社内不正調査を扱う継野代表に、実際の相談でよく見られるケースから聞きました。
「社内不正が疑われたときの初動」を継野代表に聞く
――「疑わしいPCを、対象者がいない間に開いて確認する」これのどこがまずいのでしょうか。
継野：
実際、当社へのご相談のうち7割以上が、すでに社内の誰かがそのPCを操作した後の状態で持ち込まれます。ご相談の内容として多いのは、情報持ち出しと横領です。当社が扱う社内不正調査でも、この2つで全体の7～8割程度を占めます。
こうした案件で、社内担当者が先に行っていることが多いのが、メールボックスの確認とファイルの閲覧です。
実際の調査で困るのは、PCが操作されたことで、調査に必要なログや痕跡が上書きされたり、新しい操作履歴が加わったりすることです。
ログ自体が残っていても、対象者がファイルを触った記録と、後から確認した担当者の閲覧履歴が重なれば、「対象者本人の行動なのか、確認担当者の操作なのか」を切り分けなければなりません。
こうした状況が起きる背景には、
「まず自分たちで調べて、証拠が見つからなければフォレンジック会社に相談すればいい」
と考えている会社が少なくないと、日々のご相談を受けていて感じます。
もちろん、社内で見つけたデータが証拠にならないという意味ではありません。ただ、後から争いになったときに、証拠として経緯を説明できる状態で残すには、最初から証拠保全を意識して扱う必要があります。
だから最初にやるべきなのは証拠探しではなく、「今ある状態を、それ以上変えないこと」です。
――ファイルはもう削除されています。それで何がわかるんですか。
継野：
ファイル本体が消えていても、周辺に痕跡が残っていることは珍しくありません。
以前扱った情報持ち出し案件では、対象の資料ファイルはすでに削除済みでした。しかし、
- USBデバイスの接続履歴
- ゴミ箱のメタデータ
- Windowsのイベントログ
- その他のアーティファクト
を時系列で突き合わせた結果、ファイル名を特定できただけでなく、
「最後に開かれてから」「削除されるまで」「その間にどのUSBが接続されていたか」
という一連の流れまで再構成できました。
実際、「対象者が不正の証拠を消してしまったかもしれない」というご相談はよくあります。
その時点で「もう調べても分からないだろう」と諦める必要はありません。ファイルそのものが残っていなくても、別の場所に残された痕跡から、削除前後にどのような操作が行われていたのかを確認できる場合があります。
一方で、フォレンジックなら何でも分かるわけではありません。
出来事から長い時間が経過していたり、残っているアーティファクトが少なかったりすれば、確認できる範囲は狭くなります。
だからこそ、「削除されているから調査できない」と決めつけず、どのような痕跡が残っているのかを早い段階で確認することが重要です。
――不正かどうかまだ確信がない段階で、相談していいものなんでしょうか。
継野：
むしろ、その様子見の期間にリスクが集中します。
判断基準にすべきなのは「不正が確定しているか」ではなく、「待っている間に、後から確認できる証拠が失われないか」です。
実際に「もう少し早く相談いただければ」と感じるのは、十分な証拠保全をする前に対象者へ問い詰めてしまったケースや、社内だけで対応を進め、訴訟の一審判決が出た後になってフォレンジック調査の相談をいただくようなケースです。
対象者へ先に確認すれば、調査をしていること自体が相手に伝わります。その後も対象者がPCやアカウントを利用できる状態であれば、その後の操作によってデータや記録の状態が変わる可能性があります。
また、訴訟が進んでから調査を始めても、時間の経過によってPCやログの状態が変わり、当時確認できたはずの情報が残っていないことがあります。
フォレンジックは、時間が経ってからでも何でも復元できる技術ではありません。
不正かどうかを決めるのは、その後でもできます。
まずは、「後から調べる必要が生じたときに、調べられる状態を残すこと」が大切です。
デジタルフォレンジック調査はなぜ社内不正調査に有効なのか？
デジタルフォレンジックが有効なのは、単に「削除されたファイルを復元できるから」ではありません。
ファイル、OS、USB、メール、クラウドなどに残された複数の記録を突き合わせながら、元データへの影響を抑えて、何が起きたのかを検証できることに大きな意味があります。
社内不正調査で特に有効な理由は、次の5つです。
- 削除された後でも、周辺の痕跡から調べられる
- 一つの記録だけで不正を決めつけずに済む
- いつから、どこまで調べるべきか判断できる
- 証拠を変えず、後から検証できる状態で残せる
- 調査結果を再発防止につなげられる
1．削除された後でも、周辺の痕跡から調べられる
問題となっているファイルがPC上から消えていても、調査できないとは限りません。
PCにはファイル本体とは別に、
- ファイルの利用履歴
- 削除に関する情報
- リンクファイル
- レジストリ
- 外部デバイスの利用履歴
- OSやアプリケーションのログ
など、さまざまなアーティファクト（OSやアプリケーションの利用によって生じる痕跡）が残る場合があります。
そのため、フォレンジックでは「削除ファイルを復元できるか」だけではなく、その周辺にどのような痕跡が残っているかを確認します。
削除後にデータが上書きされていれば復元できない場合もありますが、ファイル本体がないというだけで調査を諦める必要はありません。
2．一つの記録だけで不正を決めつけずに済む
たとえば、退職直前のPCからUSBデバイスの接続履歴が見つかったとします。
それだけで、
「USBで機密情報を持ち出した」
とは断定できません。
USBの接続記録から確認できるのは、基本的にはその端末で外部デバイスが利用された痕跡があることです。
そこで同じ時間帯について、
- 対象ファイルの利用履歴
- 大量のファイルアクセス
- ZIP等の作成・削除
- メール送信
- クラウドストレージの利用
- ログオン等の記録
などを突き合わせます。
本人へのヒアリングを行っている場合は、その説明と記録が一致するかも確認します。
たとえば本人が「USBには業務上必要な1ファイルしか保存していない」と説明していても、その直前に別の機密フォルダへの大量アクセスが確認されれば、追加調査を検討する材料になります。
反対に、本人の説明と客観的な記録が整合していれば、不正の疑いを狭められる場合もあります。
重要なのは、「記録から確認できた事実」と「そこから推測したこと」を分けることです。
USB接続、ファイル利用、削除が近い時間帯に発生していても、「そのUSBへファイルをコピーした」「本人が不正な目的で操作した」とまでは断定できない場合があります。
フォレンジックは、不正を見つけるだけでなく、不正とは断定できないものを不正と決めつけないためにも使われます。
3．いつから、どこまで調べるべきか判断できる
退職3日前に大量のファイルアクセスが見つかったからといって、その3日間だけ調査すればよいとは限りません。
確認すべきなのは、
「その操作が単発だったのか、それ以前から続いていたのか」
です。
たとえば、
- 退職を申し出る前から同じ操作がなかったか
- 数週間前にも機密フォルダへアクセスしていないか
- メールやクラウドなど別の経路を使っていないか
まで確認する必要がある場合があります。
IPAが営業秘密の漏えいを認識した企業を対象に行った2020年調査では、漏えいルートを回答した113社のうち、最も多かったのが「中途退職者（役員・正規社員）による漏えい」36.3％でした。
また、米国CERT Insider Threat Centerの過去事例分析では、知的財産を窃取した内部者の約70％が、退職を表明してから30日以内に持ち出しを行っていたという傾向も報告されています。
これは米国の過去事例であり、日本企業の発生率を示すものではありません。また、退職する社員だから疑うという意味でもありません。
PC、メール、ファイルサーバー、クラウド、認証ログなどを時系列で確認することで、調査範囲を広げるべきか、逆に絞れるのかを判断できます。
4．証拠を変えず、後から検証できる状態で残せる
社内担当者が対象PCを開き、怪しいメールを見つけてスクリーンショットを保存したとします。
スクリーンショット自体が無意味なわけではありません。
しかし、後から、
- そのメールは本当にそのPCにあったのか
- いつ取得されたのか
- 元データは残っているのか
- 途中で変更されていないか
まで確認する必要が生じる場合があります。
そのためフォレンジックでは、可能な限り元データへの変更を抑え、必要なデータを取得・複製して解析します。
取得したデータには必要に応じてハッシュ値を記録し、取得後にデータが変化していないかを検証できるようにします。
さらに、
- どの端末・アカウントから取得したか
- いつ、誰が取得したか
- どの方法で取得したか
- 取得後、誰が管理・受け渡ししたか
といった経緯も記録します。
こうした証拠の取得・管理・受け渡しの記録は、Chain of Custodyと呼ばれます。
デジタルデータは変更が容易だからこそ、中身だけでなく「どこから取得し、どのように扱ったか」まで説明できる状態で残すことが重要です。
特に、退職、PC返却・初期化、アカウント削除、ログの保存期限などが迫っている場合は、不正が確定するまで待っている間に調査可能な情報が失われることがあります。
判断基準は、「不正の可能性が何％あるか」ではなく、「待っている間に何が失われるか」です。
5．調査結果を再発防止につなげられる
調査の目的は、「誰が何をしたか」を確認することだけではありません。
不正が確認された場合には、なぜその行為ができる状態だったのかまで確認することで、具体的な再発防止につなげられます。
たとえばUSBによる情報持ち出しが確認されたとしても、
「今後はUSBを全面禁止する」
だけが対策とは限りません。
調べてみると、
- 退職予定者が不要な共有フォルダへアクセスできた
- 大量アクセスを検知できていなかった
- クラウドへのアップロードを確認できるログがなかった
- 必要なログの保存期間が短かった
ことが本当の問題かもしれません。
その場合は、
- 退職・異動時のアクセス権見直し
- 不自然な大量アクセスの検知
- 外部媒体の利用管理
- クラウドやメールの監査ログ整備
- ログ保存期間の見直し
など、確認された原因に応じた対策が必要です。
フォレンジック調査は、「誰が悪かったか」を確認して終わるのではなく、「なぜできたのか」を明らかにして、同じことを繰り返さないためにも行います。
まとめ｜社内不正では「証拠を探す」前に「証拠を失わない」
社内不正が疑われたとき、対象PCをすぐに操作すると、調査に必要な記録の状態を変えてしまう可能性があります。
一方で、ファイルそのものが削除されていても、USB、OS、メール、クラウドなど周辺の痕跡から確認できることがあります。一つの記録だけで判断せず、複数の情報を突き合わせることも重要です。
「何があったのか」を調べられる状態を残してから、「何があったのか」を調べる。
社内不正調査では、証拠を探すことより先に、証拠を失わないことを考える必要があります。
