インシデントから早く復旧しようとして、対象端末を初期化したり、不審なファイルを削除したりすると、原因や影響範囲を調べるための情報まで失うことがあります。
一方、証拠を残すために感染端末を接続したまま使い続ければ、被害が拡大するおそれがあります。
証拠保全では、被害拡大を抑えながら、後から何を取得し、どのように扱ったかを説明できる状態にすることが重要です。
読み終えるころには、事例の処置が証拠としての価値を下げていないかを判断でき、記録すべき経緯が抜けていないかを確認できるようになります。
先に結論：原本保護・同一性確認・取扱い記録
| 考え方 | 行うこと | 主な目的 |
|---|---|---|
| 原本を保護する | 状態を記録し、可能な場合は複製へ調査する | 元の状態への不用意な変更を抑える |
| 同一性を確認する | 取得時・複製後などのハッシュ値を比較する | データが変化していないことを確認する材料にする |
| 取扱いを記録する | 取得・移送・保管・受渡しを記録する | 誰がいつ扱ったかを追跡できるようにする |
これらは代替関係ではありません。ハッシュ値だけで、取得手順や保管・受渡しが適切だったことまで示せるわけではありません。
SGシラバスでの位置付け
SGシラバス Ver.4.1では、技術的セキュリティ対策の用語例として「デジタルフォレンジックス（証拠保全 ほか）」が明示されています。
また、科目Bの要求される技能8-5は「証拠の収集」であり、あらかじめ定めた手順に従って、証拠となり得る情報の特定、収集、取得、保持を実施できることが求められています。用語例は「証拠、デジタルフォレンジックス」です。
一方、「原本保護」「チェーン・オブ・カストディ」という語そのものはVer.4.1の用語例には明示されていません。 本記事では、証拠保全を理解するための実務的な補助概念として扱います。
1．デジタルフォレンジックスとは
デジタルフォレンジックスは、コンピュータやネットワークなどに残るデータを、完全性や取扱い経緯に配慮して収集・保全・調査・分析する技術・手続です。
対象には、例えば次があります。
- パソコンやサーバの記憶媒体
- メモリ上の揮発性情報
- OS・アプリケーション・認証のログ
- ネットワーク機器やクラウドサービスの記録
- 電子メールや添付ファイル
- ファイルのメタデータ
- アカウント、権限、設定情報
単にログを保存することやファイルを閲覧することだけではありません。取得方法、改変防止、取扱者、保管・受渡しなども証拠の信頼性に関係します。
2．原本を不用意に直接操作しない
記憶媒体やファイルを直接開いて調査すると、アクセス時刻などのメタデータやシステム状態が変化する場合があります。
可能な場合は、次のように扱います。
- 対象機器と発見時の状態を記録する
- 適切な方法で調査用の複製を取得する
- 原本と複製を区別する
- 原本を保護し、調査は複製へ行う
- 取得時の操作、担当者、使用した機器・ツールを記録する
NIST SP 800-86でも、非揮発性データの複製、原媒体の保護、書込み防止、取得データの完全性確認が扱われています。
原本へ一切触れないという意味ではない
稼働中の端末からメモリや通信状況を取得する場合など、対象システムへ影響する操作が避けられないことがあります。
その場合は、操作を必要最小限にし、
- なぜ操作が必要だったか
- 誰がいつ実施したか
- どの手順・機器・ツールを使ったか
- 何を行ったか
- 対象へどのような変化が生じ得るか
を記録します。
「絶対に触らない」と覚えるのではなく、変更を抑え、行った変更を説明できるようにすることが重要です。
3．ハッシュ値はデータの同一性確認に使う
証拠データを取得・複製するときは、適切な暗号学的ハッシュを計算して記録し、後で再計算した値と比較します。
NIST SP 800-86でも、媒体のイメージ取得前後などにメッセージダイジェストを計算・比較し、データの完全性を確認する方法が示されています。
ただし、ハッシュ値だけでは次のことは示せません。
- データが暗号化されているか
- 第三者が内容を読めるか
- 誰がそのデータを作成したか
- 取得前の内容が正しかったか
- 適切な手順で取得・保管されたか
署名者との結び付きや署名後の改変検知は、デジタル署名など別の仕組みで扱います。
ハッシュ値は重要な完全性確認の材料ですが、取扱い記録の代わりにはなりません。
4．取得・保管・受渡しの経緯を記録する
証拠の取扱い経緯を継続して記録する考え方は、実務ではチェーン・オブ・カストディと呼ばれることがあります。
例えば次を記録します。
- 対象機器・媒体の識別情報
- 発見・取得の日時と場所
- 発見者、取得者、取扱者
- 取得方法と使用した機器・ツール
- 取得データとハッシュ値
- 原本と複製の区別
- 保管場所・保管方法
- 移送日時、移送者、受領者
- 利用日時、利用者、目的
NIST SP 800-86も、証拠を扱った人と行った操作を記録するchain of custodyを扱っています。
なお、チェーン・オブ・カストディはSG Ver.4.1の明示用語ではありません。本記事では、技能8-5の証拠収集を理解するための補助概念です。
5．被害拡大防止と証拠保全を両立する
感染が疑われる端末を使い続ければ、情報流出、暗号化、他端末への感染、ログの上書きなどが続く可能性があります。
反対に、復旧を急いで直ちに初期化・再インストールすると、重要な情報を失う場合があります。
初動では、組織の手順と担当者の指示に従い、
- 利用者の不要な操作を止める
- 被害拡大を抑える
- 発見時の状態と実施済み操作を記録する
- 必要な情報を収集・保持する
- 保全と調査を踏まえて復旧へ進む
という両立を考えます。
具体的な初動連絡は「初動対応とエスカレーション」の記事で、封じ込め・復旧は「封じ込めから復旧まで」の記事で扱います。
6．電源を切るかどうかは一律に決めない
端末を停止・再起動すると、ネットワーク接続、ログインセッション、メモリ内容、実行中プロセスなどの揮発性情報が失われる場合があります。
NIST SP 800-86も、揮発性データは電源断や時間経過などによって失われるため、価値・揮発性・取得に必要な作業量を考えて収集順序を判断する考え方を示しています。
一方、稼働を続けることで被害が拡大する場合もあります。
したがって、
- 不審な端末は必ず直ちに電源を切る
- 証拠のために必ず稼働を続ける
という一律の判断を避けます。
7．複数ログを調べるときは時刻をそろえる
端末、認証システム、ネットワーク機器などのログを突き合わせる場合、時刻の整合が重要です。
- 共通の時刻源へ同期する
- タイムゾーンを確認する
- 日時の表記をそろえる
- 時刻補正を行った場合は補正方法を記録する
NIST SP 800-92も、可能な場合はNTPなどを利用してログソースの時計を共通の時刻源へ同期することを推奨しています。
ログ取得・保管・監視そのものは「ログ管理と監視」の記事が中心です。本記事では、複数の記録を時系列で調査するための前提として扱います。
8．科目Bでの使われ方
- 保全前に削除・初期化・再インストールしていないか
- 可能な場面で原本を直接調査していないか
- 被害拡大防止も考慮しているか
- ハッシュ値の役割を本人確認などへ広げていないか
- 取得・保管・受渡しの記録があるか
- 電源断を状況にかかわらず断定していないか
- 複数ログの時刻を比較できる状態か
判断の中心は、後から取得時の状態と、その後の取扱いを説明できるかです。
担当者としては、証拠になり得る機器やデータを見つけたら、自分で開いたり移動したりせず、状態を変えないまま担当部署へ連絡します。電源やネットワークの扱いは組織の手順と専門組織の指示に従い、独断で切りません。やむを得ず操作した場合は、いつ誰が何をしたかを記録して引き継ぎます。
よくある取り違え
| 誤った考え方 | 正しい整理 |
|---|---|
| ログを保存すれば証拠保全は完了 | 取得・完全性・取扱い経緯も考える |
| 原本を直接開いて調査する | 可能なら複製を利用する |
| 復旧を優先して直ちに初期化する | 必要な情報を保全してから復旧する |
| ハッシュ値で作成者を確認できる | データの完全性確認の材料として使う |
| ハッシュ値が一致すれば取扱い記録は不要 | 取得・保管・受渡しも記録する |
| 証拠のため感染端末を使い続ける | 被害拡大防止と保全を両立する |
| 必ず直ちに電源断する | 揮発性情報と被害拡大を考慮する |
まとめ
- SG Ver.4.1にはデジタルフォレンジックスと証拠保全が明示されている
- 技能8-5では、証拠となり得る情報の特定・収集・取得・保持が求められる
- 原本保護やチェーン・オブ・カストディはSG明示語ではなく、証拠保全を理解する補助概念
- 可能な場合は原本を保護し、複製を利用して調査する
- ハッシュ値はデータの完全性・同一性を確認する材料として使う
- ハッシュ値だけでは作成者や取得手続の適切性まで示せない
- 取得・移送・保管・受渡しの経緯を追跡できるようにする
- 電源断は一律に決めず、揮発性情報と被害拡大を考慮する
- 複数ログの調査では、時刻・タイムゾーンの整合が重要
関連記事
- C1-T11：内部不正のメカニズム
- C2-T03：ハッシュ関数とメッセージ認証
- C5-T09：ログ管理と監視
- C6-T01：インシデントハンドリングの4段階
- C6-T02：初動対応とエスカレーション
- C6-T03：封じ込めから復旧まで
- C6-T05：原因分析と再発防止
- C8-T05：サイバー犯罪に関する法律
本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。
参考資料
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- NIST SP 800-86「Guide to Integrating Forensic Techniques into Incident Response」
- NIST IR 8387「Digital Evidence Preservation: Considerations for Evidence Handlers」
- NIST SP 800-92「Guide to Computer Security Log Management」
コメント