企業がランサムウェアなどのサイバー攻撃を受けたり、内部の不正行為が疑われたりした際、デジタルデータに残された痕跡から事実関係や原因、被害範囲を明らかにする「デジタルフォレンジック調査」は有効な手段です。しかし、フォレンジック調査の費用は個別のケースに応じて大きく変動するため、「適正価格が分からない」「社内の予算申請や経営層への説明が難しい」と頭を悩ませる情報システム部門の担当者も少なくありません。本記事では、フォレンジック調査の費用相場を規模や目的別に詳しく解説し、料金を左右する要因や見積もりをチェックする際のポイントを専門的な観点から分かりやすく解説します。

フォレンジック調査とは？インシデントの原因を特定するデジタル科学捜査

デジタルフォレンジックとは、PCやサーバー、ネットワーク機器、クラウドサービスなどに残されたデジタルデータや記録を収集・保全・解析し、インシデントの原因や被害範囲、事実関係を明らかにするための技術です。サイバーインシデントにおける「電子的な科学捜査」と表現されることもあり、情報漏えいやマルウェア感染、不正アクセス、内部不正などの調査に活用されています。法的手続きや社内処分などで調査結果を利用する可能性がある場合には、データの完全性を保ちながら適切に証拠を保全することも重要になります。

フォレンジック調査の目的とデータ復旧との違い

フォレンジック調査とデータ復旧では、主な目的が異なります。データ復旧は、ハードディスクなどの故障や操作ミスによるファイル削除などから、必要なデータを再び利用できる状態に戻すことを主な目的とします。

一方、フォレンジック調査では、端末やログなどに残された痕跡を解析し、「いつ、どのアカウントから、どのような操作が行われたのか」「外部との通信やファイル操作があったのか」など、可能な範囲で事実関係を時系列に整理していきます。削除されたデータについても、復元可能な状態であれば解析対象となる場合があります。

また、法的手続きや社内の懲戒手続きなどで利用する可能性がある場合には、証拠の収集・移動・保管・解析の履歴を記録する「チェーン・オブ・カストディ（証拠の管理・取扱履歴）」の考え方も重要です。ただし、フォレンジック調査を実施すれば自動的に裁判上の証拠能力が認められるわけではないため、法的利用を想定する場合は弁護士などの専門家とも連携して進めることが重要です。

フォレンジック調査が必要となる主なケース

フォレンジック調査が必要とされる局面は多岐にわたりますが、代表的なものとして以下のようなケースが挙げられます。

• ランサムウェア感染やマルウェア被害：感染経路の特定や、外部に重要な情報が窃取された可能性、被害範囲などを調査
• 従業員による不正持ち出し・内部不正：退職者による顧客情報の持ち出し、USBメモリへのファイルコピー、不審なメール送信やファイル操作などを調査
• アカウントの乗っ取り・クラウド不正利用：不正ログインの痕跡確認、設定変更、不審な操作履歴などを調査
• Webサイトへの攻撃：脆弱性を悪用した不正アクセスなどについて、アクセスログ等から侵入経路や情報漏えいの可能性を調査

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向け脅威の第1位に「ランサム攻撃による被害」が挙げられており、11年連続で10大脅威に選出されています。インシデント発生後に原因や被害範囲を確認する重要性は引き続き高いといえます。

出典：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」

また、デジタルデータソリューションが2024年3月に公表した、同社へランサムウェアに関する相談を行った企業55社を対象とした調査では、感染経路の調査を行った企業のうち約7割が情報漏えい調査を実施しておらず、情報漏えい調査を実施した企業では約8割で外部への情報漏えいが確認されたとしています。なお、この調査は同社への相談企業を対象としたものであり、ランサムウェア被害企業全体の割合を示すものではありません。単にシステムを復旧させるだけでなく、必要に応じて情報漏えいの有無まで確認することが重要です。

出典：デジタルデータソリューション株式会社「ランサムウェアに感染した企業55社の被害実態調査」（2024年3月公表）

【目的・規模別】フォレンジック調査の費用相場

フォレンジック調査の費用は、調査対象の種類や台数、データ容量、調査目的、緊急度などによって大きく異なります。そのため、「PC1台なら一律いくら」といった形で相場を示すことは難しく、公開されている価格も調査会社によって大きな幅があります。

JNSA（日本ネットワークセキュリティ協会）が2024年に公表した「インシデント損害額調査レポート 第2版」では、複数のインシデントレスポンス事業者へのヒアリング結果について、「各事業者によって見積もりの単位に違いがある」としています。その上で、PCとサーバー数台程度の調査であれば、初動対応とフォレンジック調査を合わせて概ね300万～400万円程度が一つの目安とされています。

出典：NPO日本ネットワークセキュリティ協会（JNSA）「インシデント損害額調査レポート 第2版」（2024年2月）

PC1台など小規模なフォレンジック調査の費用相場

PC1台のみを対象とする調査であっても、確認する内容によって費用には大きな差があります。JNSAの2024年調査では、PCのフォレンジック費用として72万円／台、100万円／台、120万～180万円／台、150万円／台、180万円／台、200万～300万円／台、300万円～／台など、調査会社ごとに幅広い価格例が示されています。時間単位で料金を算定する会社や、初動対応費用に調査を含める会社もあるため、単純に1台あたりの金額だけで比較することはできません。

出典：NPO日本ネットワークセキュリティ協会（JNSA）「インシデント損害額調査レポート 第2版」（2024年2月）

また、東京海上日動のサイバーリスク保険に関する案内では、フォレンジック調査について「端末1台あたり約100～200万円×端末台数分」の費用が発生することが想定されると紹介されています。これらはあくまで公開されている参考値であり、簡易的な調査や対象データを限定した調査では、より低い料金で提供されているケースもあります。

出典：東京海上日動火災保険「サイバーリスク保険のお申込み・相談予約」

複数端末・サーバを含むフォレンジック調査の費用相場

組織内の複数PCやサーバー、各種ログなどを横断的に確認する調査では、対象が増えるほどデータ保全や解析の工数も増加する傾向があります。

JNSAの2024年調査では、PCとサーバー数台程度を対象とした場合、初動対応とフォレンジック調査を合わせて概ね300万～400万円程度が一つの目安とされています。一方で、同じ資料でもPCやサーバーの1台あたり料金、時間単価、一定期間の作業料金など、事業者によって料金の算定方法が大きく異なっています。そのため、複数端末の調査では「何台調べるのか」だけでなく、「どのログやデータまで解析するのか」を明確にして見積もりを比較することが重要です。

大規模・複雑なインシデント調査の費用相場

ランサムウェア感染が複数の端末やサーバーへ広がっている場合や、大規模なネットワーク全体について侵入経路・被害範囲を確認する場合には、調査費用が数千万円以上に及ぶこともあります。

JNSAの調査でも、マルウェア感染範囲が拡大し、調査対象端末の増加やネットワーク内の挙動調査が必要となった場合、費用が数千万円以上になる可能性が示されています。また、各事業者が過去に経験した高額事例として、1,000万円規模から数千万円、例外的には数億円規模まで幅広い事例が報告されています。これらは一般的な相場ではなく、大規模インシデントにおける高額事例である点には注意が必要です。

【一覧表】調査対象・目的別の費用相場

各調査対象や目的による費用の目安一覧は以下の通りです。

これらは関係団体などの公開資料に掲載されている参考値であり、すべての調査会社や案件に当てはまるものではありません。実際の費用は、調査対象、台数、データ容量、調査内容、緊急度などを確認した上で個別に見積もられるのが一般的です。

フォレンジック調査の費用が決まる7つの要因

フォレンジック調査の見積もり金額が案件ごとに異なるのには理由があります。金額を左右する主な要因を7つに分けて解説します。

1. 調査対象の機器の種類と台数

解析する機器の台数が増えるほど、データ保全や解析に必要な作業量が増え、調査費用も高くなる傾向があります。また、WindowsやMacのPCだけでなく、業務用データベースサーバー、AD（Active Directory）サーバー、クラウドサービスのログなど、調査対象の種類によって解析方法や必要な専門知識が異なります。

ただし、台数と費用が単純に比例するとは限りません。多数の端末から必要な情報だけを抽出するファストフォレンジックなど、調査対象の規模に応じて異なる手法が採用されることもあります。

2. データ容量

保全および解析を行うストレージやログのデータ容量も、見積もりに影響する要因の一つです。データ容量が大きいほど、データの取得・複製や解析環境への取り込み、検索用インデックスの作成などに時間を要する可能性があります。

ただし、すべての調査会社がデータ容量に比例して料金を設定しているわけではありません。端末単位、作業時間単位、調査内容単位など料金の算定方法は異なるため、見積もり時にデータ容量が料金へどのように反映されるのか確認しておきましょう。

3. 調査の目的と内容（不正アクセス、情報漏洩、内部不正など）

何を明らかにしたいのかという調査目的によって、確認するデータや解析手法は大きく変わります。

例えば、特定端末についてUSB機器の接続履歴やファイル操作の痕跡を確認する場合と、外部からの不正アクセスについて侵入経路・攻撃者の操作・情報漏えいの可能性まで調査する場合では、必要な調査範囲が異なります。後者では、端末だけでなくファイアウォール、VPN、各種サーバー、クラウドサービスなど複数のログを横断的に分析することもあるため、調査工数が増える可能性があります。

4. 調査の範囲・深度（ファストフォレンジック／詳細調査など）

フォレンジック調査では、目的に応じて調査するデータの範囲や深度を調整することがあります。

JNSAではファストフォレンジックについて、早急な原因究明や侵入経路、不正な挙動の把握などを目的として、最低限必要なデータを抽出・コピーして解析する手法と説明しています。多数の端末を短期間で確認し、詳細調査が必要な端末を絞り込む際などにも活用できます。

一方、詳細なフォレンジック調査では、端末のデータ、ログ、削除データ、通信記録などをより広く確認し、必要に応じてマルウェア解析などを組み合わせます。「ファストフォレンジック」と「詳細調査」の区分や料金、必要日数について業界共通の基準があるわけではないため、名称だけではなく、実際に何を調査するのかを確認することが重要です。

5. 緊急度と対応時間（オンサイト対応や時間外対応）

インシデント発生後、通常よりも短い納期での調査、現地へのオンサイト対応、営業時間外の対応などを依頼する場合は、通常とは異なる料金体系や追加費用が設定される場合があります。

重要なのは、単に「早くしてほしい」と依頼するのではなく、「いつまでに何を明らかにする必要があるのか」を調査会社と共有することです。初期所見だけを優先して受け取り、詳細な調査報告はその後に行うなど、目的に応じた進め方を相談できる場合もあります。

6. 報告書の内容・提出形式

調査終了後に提出される報告書についても、必要な内容や用途によって作業範囲が変わる場合があります。

社内の情報システム部門や経営層向けの調査報告と、監督官庁への説明、警察への相談、訴訟などを想定した資料では、必要とされる情報や記録の粒度が異なる可能性があります。外部提出を想定する場合は、どのような情報や形式が必要なのかを事前に調査会社へ伝えておくことが重要です。

個人情報保護委員会への漏えい等報告が必要となる事案では、速報は発覚後速やかに行う必要があり、その目安は概ね3～5日以内とされています。その後、原則として30日以内に確報が求められ、不正な目的で行われたおそれがある場合は確報期限が60日以内となります。ただし、フォレンジック調査報告書そのものが個人情報保護委員会への報告書になるわけではないため、法務担当者や弁護士などとも連携して対応する必要があります。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」

7. データ保全作業の有無・方法

フォレンジック調査では、解析を始める前に調査対象となるデータを適切に保全することが重要です。必要に応じて、元データへの変更を極力避けながらフォレンジックイメージを取得したり、ハッシュ値などを利用して取得したデータの完全性を確認したりします。

法的手続き等で利用する可能性がある場合には、誰が、いつ、どのように証拠を取得・保管・解析したのかを記録することも重要になります。

セキュアイノベーションでは、データ保全にあたって保全マニュアルと保全キットを送付しており、データ保全作業自体を依頼する場合は別途見積もりとなっています。そのため、見積もりを比較する際には「データ保全が料金に含まれているか」も確認しておきましょう。

フォレンジック調査の見積もりの仕組みと確認ポイント

フォレンジック調査の見積書には、普段見慣れない技術的な専門用語が含まれていることもあり、不透明に感じられることがあります。その見積もりがどのような仕組みで構成されているのかを解説します。

フォレンジック調査はなぜ個別見積もりになることが多いのか

フォレンジック調査を依頼する企業のインシデントは、それぞれ状況が異なります。

例えば、「従業員がPCのデータを削除して退職した」というケースでも、そのPCが起動するのか、ディスクが暗号化されているのか、どの程度のデータ容量があるのか、クラウドサービスと連携しているのか、何を明らかにしたいのかによって必要な作業は変わります。

そのため、事前ヒアリングを通じて対象範囲、機器の種類・台数、データ容量、調査目的、緊急性などを確認した上で個別に見積もるケースが多くなります。JNSAの調査でも、端末単位、時間単位、一定期間の料金、パッケージ、個別見積もりなど、事業者によって見積もりの単位が異なることが確認されています。

見積もりの主な内訳（PC1台の不正調査の場合）

PC1台の社内不正調査を例にすると、見積もりには以下のような作業が含まれる可能性があります。なお、以下は料金の内訳を理解するための例であり、実際の金額や作業内容は調査会社・案件によって異なります。

• 初動ヒアリング・調査計画：現在の状況や調査目的を整理し、対象となるデータや調査方法を決定
• 証拠データの保全：調査対象となるストレージや必要なデータを適切な方法で取得・保全
• フォレンジック解析：ファイル操作履歴、USB接続履歴、Web閲覧履歴、メール、ログなど、調査目的に応じたデータを解析
• 調査報告書の作成：解析結果や確認された事実、調査方法などを整理して報告
• 報告会：必要に応じて経営層、情報システム部門、法務担当者などへ調査結果を説明

案件によっては、マルウェア解析、ダークウェブ調査、オンサイト作業、特急対応などが追加される場合もあります。

【要注意】見積もりで必ず確認すべき5つのチェックポイント

見積もりを提示された際には、以下の5点を確認し、社内の合意形成や予算管理に活かしてください。

フォレンジック調査の費用を抑えるためのポイント

フォレンジック調査は調査範囲によって高額になる場合がありますが、平時の備えや適切な初動対応によって、不要な調査範囲の拡大や長期化を防げる可能性があります。

平時からログ管理を徹底する

必要なログが保存されていない場合、インシデント発生後に確認できる情報が限られ、原因や被害範囲の特定が難しくなることがあります。その結果、より多くの端末やデータを確認しなければならず、調査範囲や工数が増える可能性もあります。

そのため、平時から認証ログ、サーバーログ、ファイアウォールやVPNなどの通信ログ、クラウドサービスの監査ログなどについて、事業上のリスクや法令・契約上の要件に応じた保存期間を定めて管理しておくことが重要です。

例えばAWS CloudTrailの「イベント履歴」では、AWSリージョン内の過去90日間の管理イベントを確認できます。90日を超えて継続的に記録する場合には、TrailやCloudTrail Lakeのイベントデータストアなどをあらかじめ構成する必要があります。

出典：Amazon Web Services「CloudTrail イベント履歴の操作」

インシデント発生時の初動対応を誤らない（証拠保全）

インシデント発覚後に不用意な操作を行うと、調査に必要なログやデータが上書き・変更される可能性があります。

まず、発覚日時、発見者、表示されていた画面、対象端末、確認された事象など、把握できている内容を記録してください。不審なファイルを開いたり、移動・削除したり、状況確認のために何度も端末を操作したりすることも避けた方が安全です。

セキュアイノベーションでは、データ保全を予定している機器について、保全キットが届くまでは操作せず、シャットダウンや再起動を避け、操作を行った場合には「いつ、誰が、どのような操作をしたのか」を記録するよう案内しています。

ただし、ランサムウェアの暗号化が進行しているなど、ネットワークからの隔離やシステム停止を優先すべきケースもあります。インシデントの状況はそれぞれ異なるため、一律の対応を行うのではなく、自社のインシデント対応手順や専門事業者の指示に従って判断することが重要です。

調査の目的と範囲を事前に明確にする

調査目的を整理せずに「関連しそうな端末をすべて詳細に調査する」とすると、必要以上に調査範囲が広がる可能性があります。

「いつ頃発生した可能性があるのか」「何を確認したいのか」「どの端末・アカウントが関係している可能性が高いのか」「情報漏えいの有無まで確認する必要があるのか」といった情報を整理し、調査会社へ伝えましょう。

その上で、関連性の高い端末やログから優先的に確認し、結果に応じて調査範囲を拡大するなど、段階的な進め方が可能か相談することで、必要な調査を維持しながら費用をコントロールしやすくなります。ただし、調査対象を自己判断で過度に限定すると重要な痕跡を見落とす可能性もあるため、最終的な範囲は専門家と相談して決定することが重要です。

複数の調査会社から見積もりを取得する

インシデントの緊急度が極めて高く、すぐに対応を開始しなければならない場合を除き、複数の調査会社から見積もりを取得することも選択肢の一つです。

比較する際は、単純な総額だけではなく、同じ調査対象・目的・納期を伝えた上で、「どこまでが見積もりに含まれているのか」「追加費用が発生する条件は何か」「どのような報告書が納品されるのか」まで確認しましょう。

失敗しないフォレンジック調査会社の選び方

フォレンジック調査会社を選ぶ際には、料金だけで判断するのではなく、調査内容や対応体制、報告書、情報管理なども含めて比較することが重要です。

調査実績

まず確認したいのは、自社で発生しているインシデントに近い調査実績があるかどうかです。

ランサムウェア、不正アクセス、情報漏えい、内部不正など、フォレンジック調査にはさまざまな種類があり、必要な解析技術も異なります。自社と同じ業種や同様のインシデントへの対応経験、調査対象となるOS・システムへの対応可否などを確認しましょう。

守秘義務の関係から具体的な顧客名や案件内容を公開できない会社もあるため、企業名の掲載有無だけでなく、相談時に類似案件の対応経験や調査方法について説明を受けられるかも重要なポイントです。

専門資格を持つ調査員の在籍と技術力

フォレンジックでは、データの取得・保全、OSやファイルシステムの解析、ログ解析、マルウェア解析など、専門的な知識が求められます。

専門性を確認する際の参考として、「EnCE（EnCase Certified Examiner）」や「GCFA（GIAC Certified Forensic Analyst）」「GCFE（GIAC Certified Forensic Examiner）」など、デジタルフォレンジックやインシデント対応に関する資格があります。

ただし、資格の有無だけで技術力を判断することはできません。実際の調査経験、対応できるOSやシステム、使用する解析環境、データ保全の手順なども含めて確認することが重要です。

明確な料金体系と見積もり

フォレンジック調査では、Webサイト上に固定料金を掲載していない調査会社も少なくありません。案件ごとに調査対象やデータ容量、目的が異なるため、個別見積もりであること自体は問題ではありません。

重要なのは、初期相談時のヒアリングをもとに、「何を調査するのか」「どこまでが見積金額に含まれているのか」「追加料金が発生する条件は何か」を分かりやすく説明してもらえるかどうかです。見積書だけでは判断できない項目についても、契約前に確認しておきましょう。

堅牢なセキュリティ体制と情報管理

フォレンジック調査では、社内の機密文書、メール、認証情報、ソースコードなど、機密性の高い情報を調査会社へ預ける可能性があります。そのため、調査技術だけでなく、預かった情報をどのように管理しているかも重要です。

例えばISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた国際規格であり、調査会社の情報管理体制を確認する際の一つの参考になります。

認証の有無だけでなく、データへのアクセス制御、保管方法、調査終了後のデータの返却・削除方法、委託先の有無なども必要に応じて確認するとよいでしょう。

フォレンジック調査の費用に関するよくある質問

フォレンジック調査の費用について、特に情報システム部門の担当者や経営企画担当者が疑問に感じやすいポイントをまとめます。

Q. PC1台のフォレンジック調査にはいくらかかりますか？

A. PC1台であっても、調査目的、データ容量、解析範囲、緊急度などによって費用は異なります。

JNSAの2024年調査では、PCのフォレンジック費用として72万円／台から300万円以上／台までさまざまな価格例が示されており、時間単位や個別見積もりの会社もあります。また、東京海上日動の案内では、フォレンジック調査について端末1台あたり約100万～200万円程度が想定例として紹介されています。いずれも一律の市場価格を示すものではなく、参考値として考える必要があります。

セキュアイノベーションでも、調査対象となる機器の種別・台数などによって料金が異なるため、ヒアリング後に個別に見積もりを行っています。

Q. フォレンジック調査の見積もりにはどのような情報が必要ですか？

A. 調査会社に見積もりを依頼する際は、主に以下の情報を整理しておくと、調査範囲や概算費用を検討しやすくなります。

• 調査対象となる機器のOS、台数、ストレージ容量
• インシデントが発覚した日時や、発生した可能性がある時期
• 現在把握できている被害や不審な事象
• 何を明らかにしたいのかという調査目的
• 希望する納期やスケジュール
• セキュリティログ、サーバーログ、ファイアウォール等のログが残っているか
• 端末を操作・再起動・シャットダウンしたか、その場合はどのような操作を行ったか

セキュアイノベーションでも、ヒアリング時に調査対象機器の台数、OS、バージョン、ディスク容量などを確認した上で見積もりを行っています。

Q. サイバー保険は適用されますか？

A. サイバー保険の商品によっては、インシデント発生時の原因調査や被害範囲調査などに要した費用が補償対象となる場合があります。

例えば損保ジャパンのサイバー保険では、事故原因調査などの費用を含む補償が案内されており、東京海上日動の商品でも外部業者へ委託したフォレンジック調査費用が補償対象となる例が示されています。

ただし、実際に補償される範囲、支払限度額、免責金額、事故発生後の連絡期限、調査会社への依頼前に保険会社の承認が必要かどうかなどは契約内容によって異なります。フォレンジック調査を依頼する前に、加入している保険会社や代理店へ確認することをおすすめします。

出典：損害保険ジャパン「サイバー保険」
出典：東京海上日動火災保険「サイバーリスク保険」

Q. 調査にはどのくらいの期間がかかりますか？

A. 調査期間は、対象となる機器の台数、データ容量、調査目的、解析内容などによって大きく異なります。そのため、「ファストフォレンジックなら必ず数日」「詳細調査なら必ず数週間」と一律に決めることはできません。

参考として、セキュアイノベーションのデジタルフォレンジックサービスでは、通常の調査期間を約10～15営業日としており、調査対象によって期間は異なります。また、お急ぎの場合には6営業日以内の特急対応も提供しています。

個人情報漏えいなど監督官庁への報告期限が関係する事案では、調査完了まで待ってから対応を始めるのではなく、法務担当者や専門家と連携しながら、判明している情報をもとに並行して対応を進めることが重要です。

まとめ：費用相場と要因を理解し、適切なフォレンジック調査の依頼を

デジタルフォレンジック調査の費用は、対象となる機器、台数、データ容量、調査の目的や範囲、緊急度、データ保全の有無など、複数の条件によって決まります。

公開されている価格には大きな幅があるため、単に「最も安い見積もり」を選ぶのではなく、「何をどこまで調査する費用なのか」「追加料金はどのような場合に発生するのか」「必要な調査結果を得られる内容になっているのか」を確認することが重要です。

また、平時から必要なログを適切に保存し、インシデント発生時に不用意な端末操作を避けることは、原因や被害範囲を調査しやすくする上でも重要です。調査の目的と優先順位を整理した上で専門の調査会社へ相談し、必要十分な調査範囲を決定することが、適切な費用でフォレンジック調査を進めるポイントとなります。

インシデント発生後は、原因究明だけでなく、情報漏えいの有無や影響範囲を適切に確認し、その結果を再発防止につなげることが重要です。費用だけではなく、調査内容、対応体制、情報管理、報告内容なども含めてフォレンジック調査会社を選定し、迅速な復旧と事業影響の最小化につなげていきましょう。