社内のPCやサーバーから不審な通信が検知された、従業員の不正行為や情報漏えいの疑いが生じたなど、予期せぬセキュリティインシデントに直面した際、客観的な事実を確認する手段の一つとなるのがデジタルフォレンジック調査です。しかし、フォレンジック調査には専門的な知識や技術が必要であり、インシデント発覚後に不用意な端末操作やデータ削除を行うと、調査に必要なログや痕跡が変更・消失してしまう可能性があります。

本記事では、外部の専門会社へスムーズにフォレンジック調査を依頼し、経営層や法務、監査部門、社外の関係者に対して確認された事実を適切に説明するために、依頼前に準備しておきたい情報、具体的な調査の流れ、インシデント発覚直後に注意したい初動対応について詳しく解説します。

INDEX

はじめに

フォレンジック調査とは？インシデント発生時に何を明らかにするのか

フォレンジック調査の依頼を検討すべき状況とは？

【重要】フォレンジック調査を依頼する前に注意したいこと

フォレンジック調査の依頼前に準備・整理すべき6つの情報

フォレンジック調査の依頼から報告までの全ステップを解説

フォレンジック調査の依頼先を選ぶ際に確認したいポイント

フォレンジック調査を依頼する際の費用・期間

フォレンジック調査の依頼に関するよくある質問

まとめ：インシデント発生時は自己判断で操作せず、早めに専門家へ相談しよう

フォレンジック調査とは？インシデント発生時に何を明らかにするのか

デジタルフォレンジック（Digital Forensics）とは、PCやサーバー、ネットワーク機器、各種ログなどに残されたデジタルデータを収集・保全・解析し、不正アクセスやデータ改ざん、情報漏えいなどのインシデントについて、原因や影響範囲、発生した事実を確認するための手法です。

デジタル証拠を扱う際には、取得したデータが調査中に変更されていないことを確認できるようにするなど、適切な保全手順が重要になります。ISO/IEC 27037では、デジタル証拠となり得るデータの識別、収集、取得、保全に関するガイドラインが示されています。

現在では、犯罪捜査や法的手続きだけでなく、企業で発生したサイバー攻撃、情報漏えい、内部不正などの原因究明や被害範囲の確認にもデジタルフォレンジックが広く活用されています。

フォレンジック調査で確認できること

フォレンジック調査では、対象となる端末やサーバー、各種ログなどを解析し、インシデントに関するさまざまな事実を確認します。

• マルウェアの感染経路や、感染後に実行された可能性のある不審なプログラム
• 外部への不審な通信や、機密データが持ち出された可能性
• 削除された電子メールや業務ファイルなどの復元可能性や操作痕跡
• Webサイトの閲覧履歴やUSBデバイスの接続履歴、ファイル操作履歴
• OSやアプリケーションの実行履歴、ファイルの作成・変更日時などをもとにした時系列の整理

ただし、フォレンジック調査を行えば必ずすべての操作や原因を特定できるわけではありません。保存されているログの期間や対象端末の利用状況、データの上書き状態などによって、確認できる範囲は異なります。

なぜ自社調査ではなく専門家への依頼を検討するのか？

社内のIT部門やセキュリティ担当者が原因を確認しようとして対象端末を操作すると、ファイルのタイムスタンプやログなどが更新され、調査対象となるデータの状態が変化する場合があります。

特に監査や法務対応などで調査結果を第三者への説明に利用する場合には、「どのデータを、いつ、どのような方法で取得し、どのように保管・解析したのか」を記録しておくことが重要です。NISTでも、デジタル証拠は容易に変更されるため、Chain of Custody（証拠の取扱履歴）やハッシュ値などによってデータの完全性を確認できるようにすることが重要とされています。

専門のフォレンジック調査会社へ依頼することで、対象や調査目的に応じた方法で必要なデータを保全し、専門的な解析ツールや知見を用いて調査を進めることができます。

ただし、専門会社が調査したという理由だけで、調査結果の裁判上の証拠能力や法的有効性が自動的に保証されるわけではありません。訴訟などでの利用を予定している場合には、事前にその目的を調査会社へ伝え、必要に応じて弁護士などとも連携して調査方法や成果物を検討することが重要です。

フォレンジック調査の依頼を検討すべき状況とは？

社内でインシデントの疑いが生じた際、どのような状況であれば外部のフォレンジック調査を検討すべきなのでしょうか。代表的な3つのケースを解説します。

サイバー攻撃の兆候が見られる場合

不審なIPアドレスとの通信が検知された、サーバーや端末にランサムウェアの感染が疑われる事象が確認された、マルウェアへの感染警告が複数端末で発生したといったケースです。

このような事象が確認された場合、単一の端末だけでなく、ほかの端末やサーバー、アカウントなどにも影響が及んでいる可能性があります。対象端末や各種ログを調査し、侵入経路、不審な操作、感染・侵害範囲、情報漏えいの可能性などを確認するために、専門的なフォレンジック調査が必要となる場合があります。

内部不正・情報漏えいが疑われる場合

「競合他社へ自社の機密情報が流出している可能性がある」「顧客データベースへの通常とは異なるアクセスや大量のダウンロードが確認された」など、社内関係者による情報持ち出しや不正行為が疑われる場合です。

対象となるPCやサーバー、USB接続履歴、ファイル操作履歴、メールや各種アクセスログなどを調査することで、「いつ、どのような操作が行われたのか」を確認できる場合があります。

内部不正が疑われる場合には、デジタルデータの保全だけでなく、人事・法務上の対応も必要となるため、関係部署や弁護士などと連携しながら調査を進めることが重要です。

退職者によるデータの不正な持ち出し・削除が懸念される場合

退職予定者や退職者が、会社の開発データや顧客情報などをUSBメモリやクラウドサービスへコピーした可能性がある場合や、業務データを削除した可能性がある場合にも、フォレンジック調査が利用されます。

対象となるPCを初期化する前に、USB機器の接続履歴、ファイルのコピー・削除などの操作痕跡、関連するログを確認することで、事実関係を整理できる可能性があります。

ただし、削除されたデータについては必ず復元できるわけではありません。記憶媒体の種類、削除後の使用状況、データの上書き状態などによって復元可能性が異なるため、不審な事象が確認された場合には、不必要な操作を続ける前に専門家へ相談することが重要です。

【重要】フォレンジック調査を依頼する前に注意したいこと

インシデントの疑いが発生した直後、原因を確認しようとして行った操作によって、フォレンジック調査に必要なログや痕跡が変更されてしまう場合があります。

一方で、ランサムウェアなどでは被害拡大を防ぐためにネットワークからの隔離を優先すべきケースもあります。初動対応はインシデントの状況によって異なるため、以下を「すべてのケースで禁止される操作」と考えるのではなく、自己判断による不要な操作を避け、早い段階で自社のインシデント対応手順や専門家の指示を確認することが重要です。CISAも、感染端末の隔離を推奨する一方、電源断によってメモリ上の証拠が失われる点について注意を促しています。

自己判断による調査対象機器のシャットダウン・再起動

PCやサーバーをシャットダウン・再起動すると、メモリ（RAM）上に存在していた実行中プロセスやネットワーク接続情報などの揮発性データが失われる場合があります。

また、再起動によってログや一時ファイルなどの状態が変化する可能性もあります。そのため、原因確認だけを目的として自己判断で再起動することは避け、必要な初動対応について専門担当者へ確認してください。

ただし、感染拡大を阻止するために隔離や停止を優先すべきケースもあるため、「どのような場合でも電源を切ってはいけない」という意味ではありません。

システムの初期化やソフトウェアのアンインストール

マルウェアを駆除したい、端末を正常な状態へ戻したいという理由で、調査前にOSの初期化やソフトウェアのアンインストールを行うと、調査に必要なファイルや実行履歴、設定情報などが失われる可能性があります。

復旧を急ぐ場合でも、原因や被害範囲の調査が必要かを確認し、必要なデータを保全してから復旧作業へ移行することが重要です。

ログや不審なファイルの安易な削除

怪しいファイルを発見した場合でも、原因確認のために開いたり削除したりすると、ファイルシステム上の情報や操作履歴などが変更される場合があります。

また、ログについても、不必要な削除や設定変更は避けてください。ログには保存期間が設定されている場合があり、時間の経過とともに古いデータが自動的に上書きされることもあります。

不審なファイルやログを発見した場合は、自己判断で操作を加えるのではなく、その存在や発見日時などを記録し、必要な取得・保全方法について専門家へ相談することが重要です。

不用意なネットワークからの切断・接続

マルウェア感染や不正アクセスが進行している場合、ネットワークからの隔離は被害拡大を防ぐために有効な対応となることがあります。

一方で、隔離方法やタイミングによっては、調査に必要な通信情報を取得できなくなったり、攻撃者側の挙動が変化したりする可能性があります。そのため、「必ずLANケーブルを抜く」「必ずWi-Fiを切断する」といった一律の対応ではなく、自社のインシデント対応手順や専門家の指示に基づいて判断しましょう。

すでに隔離した端末を自己判断で再び社内ネットワークへ接続することも、被害拡大につながる可能性があるため避けてください。

関係者への不用意なヒアリングや事実確認

内部不正や情報持ち出しが疑われる場合には、端末やログの保全と並行して、関係者へのヒアリングが必要になることがあります。

ただし、調査対象者へ早い段階で事実確認を行うことで、関連データが削除・変更されるなど、その後の事実確認が難しくなる可能性もあります。

関係者へのヒアリングのタイミングや方法については、フォレンジック調査だけで判断せず、人事・法務・コンプライアンス部門や弁護士などと連携して計画的に進めることが重要です。

フォレンジック調査の依頼前に準備・整理すべき6つの情報

専門会社へ問い合わせを行い、調査の必要性や見積もり、調査方針について検討するためには、可能な範囲で以下の情報を整理しておくとスムーズです。

すべての情報が揃ってから問い合わせる必要はありません。緊急性が高い場合や、「何を準備すればよいのか分からない」という段階でも、まず専門会社へ相談してください。

1. インシデントの発覚経緯と日時

「いつ、誰が、どのような方法で異常を確認したのか」を整理します。

例えば、「10月15日の午前10時頃、EDRが外部の不審なサーバーとの通信を検知した」「取引先から、自社を騙る不審なメールが届いていると連絡があった」など、最初に異常が確認された日時と経緯を可能な範囲で記録します。

その後に発生した事象や社内で行った対応についても時系列で整理しておくと、調査の対象期間を検討しやすくなります。

2. 調査の目的（原因究明、被害範囲の確認など）

フォレンジック調査を通じて、何を明らかにしたいのかを整理します。

例えば、マルウェアの侵入経路を確認したいのか、情報漏えいの有無や影響範囲を確認したいのか、従業員による不正なデータ持ち出しの事実を確認したいのかによって、必要となる調査対象や解析方法が異なります。

監査、行政機関への報告、法的手続きなどで調査結果を利用する予定がある場合には、その用途も依頼時に伝えておきましょう。

3. 調査対象となる機器・サービスのリスト

調査対象となる可能性のあるデジタル資産を整理します。

PCや物理・仮想サーバーの台数、OSの種類、ディスク容量、Microsoft 365やAWSなど利用しているクラウドサービス、ファイアウォールやVPNなど、インシデントに関連する可能性がある環境を確認します。

対応可能なOS、機器、クラウドサービスなどはフォレンジック調査会社によって異なるため、問い合わせ時に対象環境への対応可否も確認しましょう。

なお、セキュアイノベーションの現行デジタルフォレンジックサービスでは、Windows、Linux、Macを対象としており、スマートフォン・タブレットなどのモバイルデバイスは対象外となっています。

4. インシデント発覚後に自社で行った対応

「LANケーブルを抜いた」「セキュリティ製品でスキャンを実施した」「アカウントのパスワードを変更した」など、インシデント発覚後に行った操作を時系列で記録します。

フォレンジック解析では、攻撃者やマルウェアによる操作だけでなく、自社担当者が行った操作も痕跡として残る場合があります。

「いつ」「誰が」「どの端末やシステムに」「何を行ったのか」を記録しておくことで、解析時に確認された事象を整理するための重要な情報になります。

5. 保有しているログの種類と保存期間

自社で取得しているログの種類を整理します。

ファイアウォールやプロキシなどのネットワークログ、Active Directory（AD）の認証ログ、EDR・ウイルス対策製品の検知ログ、クラウドサービスの監査ログなどについて、保存場所と保存期間を確認します。

ログはサービスや設定によって保存期間が異なり、時間の経過とともに古い記録が削除される場合もあります。どのログがいつまで残っているのかを確認することは、調査範囲を決めるうえでも重要です。

6. 調査報告書の用途（経営層への報告、監査・法務対応など）

調査報告書をどのような目的で使用する予定なのかを伝えます。

社内の経営層への説明、外部監査、行政機関への報告、弁護士との法務対応など、利用目的によって必要となる説明内容や成果物が異なる場合があります。

法的手続きで利用する可能性がある場合には、調査会社だけでなく弁護士などとも事前に相談し、どのようなデータ保全や報告内容が必要なのかを整理しておくことが重要です。

フォレンジック調査の依頼から報告までの全ステップを解説

フォレンジック調査を外部の専門会社へ相談してから、調査結果の報告を受けるまでの一般的なプロセスを6つのステップで解説します。

具体的な工程や順序は、調査会社やインシデントの内容、緊急度によって異なります。

Step1. 問い合わせ・初期相談（ヒアリング）

不審な通信や情報漏えいなど、インシデントの可能性を確認した段階でフォレンジック調査会社へ相談します。

問い合わせ時には、発生している事象、発覚日時、対象となる端末やシステム、現在の状態、自社で行った対応などを可能な範囲で伝えます。

すべての情報が整理できていなくても相談は可能です。緊急性が高い場合には、まず現在の状況を伝え、対象端末をどのように扱うべきかなど、必要な初動対応を確認してください。

Step2. 提案・見積もり・契約

ヒアリングした内容をもとに、調査対象、調査範囲、調査方法、想定スケジュール、費用などについて提案・見積もりを受けます。

「どの端末・ログを対象とするのか」「何を明らかにするための調査なのか」「報告書に何が含まれるのか」を確認しておくことが重要です。

依頼する場合には、発注手続きや契約を行います。案件によっては、必要に応じて秘密保持契約（NDA）などを締結する場合もあります。

Step3. データ・証拠の保全

調査対象となるPCやサーバー、各種ログなどから、調査に必要なデータを取得・保全します。

物理ストレージでは、元のデータへの変更を極力避けながらフォレンジックイメージを取得する方法が用いられる場合があります。取得したデータについてハッシュ値を記録することで、取得後にデータが変更されていないことを確認できるようにする方法もあります。NISTでも、ハッシュ値はデジタル証拠の完全性を確認するために利用されるとされています。

一方、クラウドサービスや各種ログなどでは取得・保全方法が異なります。すべての調査でストレージの完全複製を行うわけではなく、調査対象と目的に適した方法で保全します。

Step4. データの解析・調査

保全したデータやログを解析し、調査目的に応じて事実関係を確認します。

例えば、プログラムの実行履歴、ファイル操作、USB接続、アカウント認証、外部通信などの情報を時系列で整理し、インシデント発生前後にどのような事象が発生したのかを確認します。

案件によっては、削除されたデータの復元可能性の確認や、マルウェアの静的・動的解析などを組み合わせる場合もあります。

なお、解析ツールや自動化技術、AIなどを活用する事業者もありますが、利用する技術や手法は調査会社や案件によって異なります。

Step5. 調査報告書の作成・提出

解析によって確認された内容を整理し、調査報告書を作成します。

報告書には、調査対象、調査方法、確認された事実、インシデントの経緯、原因や影響範囲について確認できた内容などが記載されます。

また、十分なデータが残っていないなどの理由で確認できなかった事項についても、調査上の制約として明確にされていることが望まれます。

監査や法的手続きなどで利用する予定がある場合には、報告書を作成しただけで裁判上の証拠能力が自動的に保証されるものではないため、事前に利用目的を調査会社や弁護士等と共有しておきましょう。

Step6. 結果報告とアフターフォロー（再発防止策など）

調査報告書をもとに、確認された原因や影響範囲、その後に必要となる対応を整理します。

フォレンジック調査会社によっては、調査結果の説明だけでなく、再発防止策の提案、セキュリティ設定や監視体制の見直し、脆弱性診断などの関連支援を提供している場合があります。

セキュアイノベーションのデジタルフォレンジックサービスでも、調査・解析結果の報告書提出に加え、今後の対応や再発防止策の提案を行っています。

フォレンジック調査の依頼先を選ぶ際に確認したいポイント

デジタルフォレンジックは専門性が高く、機密性の高い情報を扱うため、依頼先を選ぶ際には複数の観点から確認することが重要です。

ここでは、フォレンジック調査を実際に依頼する際に最低限確認しておきたい3つのポイントを紹介します。

自社のインシデントに対応できる専門性・実績があるか

まず、自社で発生しているインシデントと同種・類似の調査経験があるかを確認しましょう。

ランサムウェア、不正アクセス、情報漏えい、内部不正などでは、それぞれ必要となる調査対象や解析手法が異なります。

担当者の専門性を確認する材料として、GIAC Certified Forensic Analyst（GCFA）やEnCase Certified Examiner（EnCE）など、デジタルフォレンジックに関連する資格も参考になります。GCFAはコンピューターシステムからのデータ収集・解析や高度なインシデント調査に関する知識を対象とする資格で、EnCEはEnCaseを用いたコンピューター調査手法などを対象とする認定制度です。

ただし、資格の有無だけで調査品質が保証されるわけではありません。実務経験、調査対象への対応可否、調査手順や報告内容なども併せて確認しましょう。

また、ISO/IEC 27001（ISMS）などの情報セキュリティに関する認証や、調査データのアクセス管理・保管・削除方法など、依頼先自身の情報管理体制も確認しておくことが重要です。

なお、ISO/IEC 27037はデジタル証拠の取り扱いに関する国際規格・ガイドラインであり、「ISO/IEC 27037を取得している」という一般的な認証資格として扱うのは適切ではありません。

必要なタイミングで相談・調査を開始できる体制があるか

インシデント発生後は、時間の経過や端末の利用継続によってログや調査に必要なデータが失われる場合があります。そのため、相談から初期対応までのスピードも重要な確認ポイントです。

ただし、すべての案件で24時間365日対応や即時出動が必要とは限りません。

自社のインシデントの緊急度に応じて、受付時間、初期回答までの目安、データ保全を開始できる時期、オンサイト対応の可否などを確認しましょう。

調査範囲・費用・報告内容が明確になっているか

フォレンジック調査は、対象となる機器の種類・台数、データ容量、調査目的、解析範囲などによって費用が異なります。

見積金額だけを見るのではなく、「どの機器・ログを対象とするのか」「何をどこまで解析するのか」「データ保全や報告書作成が含まれているのか」「追加費用が発生する条件は何か」を確認しましょう。

また、調査途中で対象端末やログを追加する必要が生じる場合もあるため、追加作業を始める前に依頼者へ説明・確認する仕組みになっているかも重要です。

フォレンジック調査を依頼する際の費用・期間

フォレンジック調査を依頼する際には、調査内容だけでなく費用と期間についても事前に確認しておくことが重要です。

ただし、フォレンジック調査には一律の料金や期間があるわけではなく、対象となる機器やデータ量、調査内容によって大きく異なります。

依頼前に確認したい費用と見積もりの考え方

フォレンジック調査の費用は、「調査対象となる機器の種類・台数」「データ容量」「調査対象となる期間」「解析内容」「緊急度」「データ保全の方法」などによって変動します。

JNSAの「インシデント損害額調査レポート 第2版」では、複数のインシデントレスポンス事業者への調査結果として、PCやサーバーのフォレンジック料金には事業者ごとに大きな差があり、見積もりの単位も異なることが示されています。また、PCとサーバー数台程度を対象とした場合、初動対応とフォレンジック調査を合わせて概ね300～400万円程度という参考値も示されています。これはあくまで同調査における目安であり、すべての案件に当てはまる市場相場ではありません。

そのため、単純に「1台いくら」で比較するのではなく、必要な調査範囲を整理したうえで個別に見積もりを取得することが重要です。

詳しい費用相場や料金が決まる要因については、「フォレンジック調査の費用相場は？料金が決まる要因と見積もりのポイント」もあわせて確認してください。

調査期間は対象・調査範囲によって異なる

フォレンジック調査の期間は、対象となる端末やログの数、データ量、インシデントの複雑さなどによって異なります。

JNSAの調査でも、コンピューターやネットワーク機器、クラウドサービスなどのログを専門家が分析するフォレンジック調査では、場合によって数週間以上を要することがあるとされています。

セキュアイノベーションの現行デジタルフォレンジックサービスでは、通常の調査期間を約10～15営業日としており、調査対象によって期間が異なります。また、特急対応では6営業日以内の調査を案内しています。

経営層への説明などで早い段階の情報が必要な場合には、見積もり時に「最終報告はいつ頃になるか」だけでなく、「途中段階で確認できた内容を共有してもらえるか」についても確認しておくとよいでしょう。

フォレンジック調査の依頼に関するよくある質問

フォレンジック調査を依頼する際によくある疑問について解説します。

Q. 調査を依頼すれば必ず原因は特定できますか？

いいえ、フォレンジック調査を実施しても、すべての案件で原因を特定できるとは限りません。

インシデント発生から調査開始までの期間が長く、必要なログがすでに上書きされている場合や、攻撃者によってログが削除されている場合など、確認できる情報が限定されることがあります。

JNSAの報告書でも、フォレンジックやインシデントレスポンスの技術は完全なものではないという点が指摘されています。

その場合でも、残存しているログや端末上の痕跡などを組み合わせることで、確認できた事実や影響範囲、考えられる侵入経路などを整理し、その後の対応判断につなげられる場合があります。

Q. 削除されたデータはどこまで復元できますか？

削除されたデータを復元できるかどうかは、記憶媒体の種類、削除方法、削除後の利用状況、データの上書き状態などによって異なります。

HDDでは削除されたファイルのデータが一定期間残る場合がありますが、上書きされれば復元が困難になります。また、SSDではTRIMなどの仕組みによって、削除後のデータを復元することが難しい場合があります。

そのため、「削除直後なら高い確率で復元できる」と一律に判断することはできません。不正なデータ削除などが疑われる場合には、復元ソフトなどを自己判断で実行せず、不必要な操作を避けたうえで専門家へ相談してください。

Q. 調査中も通常業務は続けられますか？

調査対象やインシデントの状況によって異なります。

フォレンジック調査では、必要なデータを保全した後、その複製データを解析する方法が用いられる場合があります。その場合でも、元の端末をすぐ通常業務へ戻せるとは限りません。

マルウェアへの感染や不正アクセスが疑われる端末の場合には、被害拡大を防ぐためにネットワーク隔離や利用停止を継続する必要があることがあります。また、復旧・再構築が必要になるケースもあります。

業務継続の可否は調査に必要なデータの保全とインシデントの封じ込めを考慮しながら判断し、必要に応じて代替端末の利用なども検討しましょう。

まとめ：インシデント発生時は自己判断で操作せず、早めに専門家へ相談しよう

不審な通信や情報漏えいの可能性が確認された際、原因を早く知りたいからといって対象端末を不用意に操作すると、調査に必要なログやデータが変更・失われる可能性があります。

一方で、ランサムウェアなど感染が進行しているケースでは、被害拡大を防ぐための隔離などを優先すべき場合もあります。そのため、「必ず電源を入れたままにする」「必ずネットワークから切断する」といった一律の判断ではなく、必要以上の操作を避けながら、自社のインシデント対応手順や専門家の指示に従うことが重要です。

フォレンジック調査を依頼する際には、発覚日時や事象、自社で実施した操作、対象となる機器やログ、調査によって明らかにしたいことを可能な範囲で整理しておくと、その後の調査を進めやすくなります。

また、調査結果は原因や被害範囲の確認だけでなく、経営層や監査・法務部門への説明、再発防止策を検討するための重要な材料になります。すべての情報が揃っていない段階でも、フォレンジック調査が必要か判断に迷った場合には、不用意な操作を続ける前に専門会社へ相談することが重要です。