企業活動のデジタル化が進む一方、不正アクセスやランサムウェア、内部不正による情報漏洩などのインシデントが発生した際には、「何が起きたのか」「どこまで影響したのか」を客観的な事実から確認することが重要です。そのために用いられる調査手法の一つが「フォレンジック（デジタルフォレンジック）」です。

フォレンジック調査では、PCやサーバー、ネットワーク、クラウドサービスなどに残されたデジタルデータやログを収集・保全・解析し、インシデントの原因や被害範囲、不審な操作、情報流出の可能性などを確認します。

本記事では、フォレンジックの基本的な意味から、一般的なログ調査との違い、調査対象、フォレンジック調査で分かること・分からないこと、具体的な調査の流れ、インシデント発生時の初動対応、外部専門会社へ依頼する際の判断基準まで体系的に解説します。

INDEX

はじめに

フォレンジックとは？その基本的な意味を解説

なぜフォレンジック調査が必要なのか？その目的と重要性

フォレンジック調査の種類と調査対象

フォレンジック調査で分かること・分からないこと

【ケース別】フォレンジック調査が活用される主なケース

デジタルフォレンジック調査の基本的な流れ（手順）

インシデント発生時の初動対応で注意すべきこと

フォレンジック調査は自社でできる？外部へ依頼する判断基準

フォレンジック調査の費用・期間は何で決まる？

信頼できるフォレンジック調査会社を選ぶ際のポイント

平時からフォレンジック調査に備える「フォレンジック・レディネス」

まとめ｜フォレンジックを理解し、インシデント発生時に適切な調査につなげよう

フォレンジックとは？その基本的な意味を解説

セキュリティインシデントの原因や影響範囲を調べる際に用いられる「フォレンジック」。まずはその言葉の意味と、IT・セキュリティ分野で使われる「デジタルフォレンジック」について整理します。

「フォレンジック」の語源と本来の意味

フォレンジック（Forensic）という言葉は、ラテン語の「forensis」に由来し、法廷や公開の場に関係する意味を持つ言葉として使われてきました。現在では、医学・化学・情報技術などの科学的な知見を用いて、事件やトラブルに関係する事実を調査・分析する「法科学」や「鑑識」に関係する言葉として広く使用されています。

IT・セキュリティ分野で「フォレンジック」という場合には、主にコンピュータやネットワークなどに残されたデジタルデータを調査する「デジタルフォレンジック」を指すことが一般的です。

「デジタルフォレンジック」とは？デジタルデータを対象とした調査

デジタルフォレンジックとは、PCやサーバー、スマートフォン、ネットワーク機器、クラウドサービスなどに残されたデジタルデータを収集・保全・解析し、インシデントや不正行為に関係する事実を明らかにするための調査手法です。

NPOデジタル・フォレンジック研究会では、インシデントレスポンスや法的紛争・訴訟に際して、電磁的記録の証拠保全や調査・分析、改ざん・毀損等の分析・情報収集を行う一連の科学的調査手法・技術と定義しています。

単にファイルを見るだけではなく、端末や各種ログに残された痕跡を時系列で関連付け、「いつ」「どの端末・アカウントで」「どのような操作が行われた可能性があるのか」を客観的なデータから整理していくことが特徴です。

また、将来的に法的手続きや第三者への説明で利用する可能性がある場合には、データがどのように取得・保全・管理されたのかを記録し、調査対象データの完全性や取扱いの追跡可能性を確保することも重要になります。

一般的なセキュリティ調査（ログ調査）との違い

一般的なセキュリティ調査とデジタルフォレンジックは完全に別のものではなく、利用するデータや調査手法が重なる部分もあります。

例えば、日常的なセキュリティ運用では、EDRやSIEM、ファイアウォールなどに記録されたログやアラートから、不審な通信やマルウェアの実行などを確認します。迅速な状況把握や被害拡大防止を目的として行われることが多い調査です。

一方、デジタルフォレンジックでは、こうしたログに加えて、端末のファイルシステム、レジストリ、メモリ、ブラウザ履歴、USB接続履歴、メール、クラウドの監査ログなど、より幅広いデジタルデータを調査対象とします。

必要に応じて削除されたデータの復元を試みたり、複数の端末やログを時系列で関連付けたりすることで、インシデントの発生前後に何が起きていたのかを詳しく確認します。

また、法的手続きや第三者への説明を想定する場合には、データの取得方法や保管状況、取扱履歴などを記録する「チェーン・オブ・カストディ」の考え方が重要になります。ただし、こうした手続きを行ったからといって、裁判などにおける証拠能力が自動的に保証されるわけではありません。

なぜフォレンジック調査が必要なのか？その目的と重要性

フォレンジック調査を実施する目的は、単に攻撃者の技術的な手法を調べることではありません。

インシデントの原因や被害範囲を把握し、適切な復旧・対外対応・再発防止につなげるための客観的な判断材料を得ることが重要な目的です。

目的1：インシデントの原因を特定する

不正アクセスなどが発生した場合、攻撃者がどのような脆弱性や認証情報を悪用し、どの経路からシステムへ侵入した可能性があるのかを調査します。

原因を十分に確認しないままシステムだけを復旧した場合、侵入に利用された脆弱性やアカウントが残り、同じ経路を利用して再び侵害される可能性があります。

ただし、保存されているログやデータの状態によっては、侵入経路を完全に特定できないケースもあります。その場合には、確認できた事実と特定できなかった事項を分けて整理します。

目的2：被害の範囲と影響を把握する

目に見える被害が発生した端末だけが侵害されているとは限りません。

例えば、攻撃者が複数のPCやサーバーへ横展開していたり、管理者アカウントを利用して他のシステムへアクセスしていたりする可能性があります。

フォレンジック調査によって、影響を受けた可能性のある端末・アカウント・データなどを確認し、どこまで追加調査や隔離が必要なのかを判断する材料にします。

被害範囲を適切に把握することは、安全なシステム復旧や事業再開の範囲を判断するうえでも重要です。

目的3：企業の対外的な説明責任を果たす

個人情報や取引先の機密情報などが関係するインシデントでは、企業が経営層、顧客、取引先、関係機関などへ事実関係を説明する必要が生じる場合があります。

特に個人データの漏えい等が発生し、個人の権利利益を害するおそれがある一定の事態に該当する場合には、個人情報保護委員会への報告や本人への通知が必要になります。すべての情報漏洩事案について一律に公表義務が生じるわけではありません。

フォレンジック調査によって、どの情報が影響を受けた可能性があるのか、情報流出を示す痕跡が確認されたのか、確認できない事項は何かなどを客観的に整理することで、対外対応を検討するための判断材料になります。

目的4：法的手続きなどを見据えてデジタルデータを適切に保全する

内部不正による情報持ち出しやサイバー攻撃などでは、将来的に民事・刑事上の手続きや損害賠償請求、社内処分などにつながる可能性があります。

その際、元となるデジタルデータを不用意に変更せず、どのような方法で取得・保全・管理したのかを記録しておくことは、データの信頼性を説明するうえで重要です。

ISO/IEC 27037では、証拠となる可能性のあるデジタルデータについて、識別・収集・取得・保全に関するガイドラインが示されています。

ただし、適切なフォレンジック手法で取得したデータであっても、法的な証拠能力や証明力が自動的に保証されるわけではありません。法的手続きで利用する場合には、事案に応じて弁護士などの専門家とも連携することが重要です。

目的5：調査結果を再発防止策につなげる

フォレンジック調査によって侵入経路や攻撃者の活動、内部管理上の問題などが確認できれば、その事実をもとに再発防止策を検討できます。

例えば、悪用された脆弱性への対応、多要素認証（MFA）の導入、アクセス権限の見直し、EDRなどによる監視強化、ネットワーク構成の変更、ログ管理の改善などです。

一般的なセキュリティ対策を一律に追加するだけでなく、実際に発生したインシデントの原因や被害拡大の要因に基づいて対策の優先順位を決めることが重要です。

フォレンジック調査の種類と調査対象

デジタルフォレンジックでは、PC・サーバーだけでなく、ネットワークやモバイル端末、クラウドなど、インシデントに関係するさまざまなデジタルデータが調査対象となります。

以下の分類は代表的なものであり、実際の調査では複数の領域を組み合わせて解析することも少なくありません。

コンピュータフォレンジック（PC・サーバー）

従業員が使用するデスクトップPCやノートPC、業務システムを稼働させているサーバーなどを対象とする調査です。

HDDやSSDなどに保存されたファイル、OSのイベントログ、レジストリ、Web閲覧履歴、プログラムの実行履歴、USBデバイスの接続履歴などを確認します。

状況によっては削除されたデータの復元を試み、通常の画面上では確認できなくなったデータや操作痕跡を調査する場合もあります。ただし、データの上書きやSSDのTRIM、暗号化などの影響によって、削除データを復元できないケースもあります。

ネットワークフォレンジック（通信データ・ログ）

ファイアウォール、プロキシ、VPN、ルーターなどのネットワーク機器に記録されたログや、取得されている場合にはネットワーク通信データなどを解析します。

不審な外部IPアドレスとの通信、通常とは異なる接続、外部への大量通信、端末間の不審なアクセスなどを確認し、侵入経路や攻撃者の活動、情報流出の可能性を調査する際に活用します。

ただし、不審な通信が確認されたことだけで、情報流出が発生したと断定できるわけではありません。端末側のファイル操作やその他のログと関連付けて評価する必要があります。

モバイルフォレンジック（スマートフォン・タブレット）

iOSやAndroidなどのスマートフォン・タブレットを対象とした調査です。

端末や取得可能なバックアップなどから、通話履歴、メッセージ、画像・動画、位置情報、アプリの利用に関するデータなどを調査する場合があります。

ただし、取得できるデータは端末のOS・機種・設定・暗号化状態・アプリの仕様などによって大きく異なります。削除されたメッセージや特定アプリのデータを必ず取得・復元できるわけではありません。

クラウドフォレンジック（クラウドサービス・監査ログ）

AWS、Microsoft Azure、Google Cloudなどのクラウド環境や、Microsoft 365をはじめとするSaaSに記録されたログなどを対象とします。

サインイン履歴、監査ログ、権限変更、ファイルアクセス、ダウンロード、外部共有などの記録から、不正アクセスやアカウント侵害、データへのアクセス状況などを確認します。

クラウド環境では物理的なストレージを直接取得できない場合も多いため、サービスが提供するログ出力機能、API、スナップショットなど、環境に応じた方法でデータを収集・保全します。

また、クラウドサービスによって取得できるログの種類や保存期間が異なるため、平時から必要なログ設定を確認しておくことが重要です。

データベースフォレンジック（データベース）

顧客情報や業務データなどが格納されているデータベースを対象とした調査です。

監査ログやアクセスログ、トランザクションログなどを利用し、データへのアクセス、追加・変更・削除などがいつ、どのアカウントによって行われた可能性があるのかを確認します。

取得できる情報はデータベース製品や設定によって異なり、事前に詳細な監査ログを取得していない場合には、確認できる範囲が限定されることもあります。

フォレンジック調査で分かること・分からないこと

フォレンジック調査は、インシデントの事実関係を明らかにするための有効な手段ですが、調査を行えば必ずすべての事実を特定できるわけではありません。

どの程度まで確認できるかは、端末やログの状態、保存期間、データの上書き、暗号化、調査開始までの時間などによって異なります。

侵入経路や不審な操作の痕跡

不正アクセスが発生した場合、VPNや外部公開システムのログ、認証ログ、端末上のプロセス実行履歴などを関連付け、攻撃者がどの経路から侵入した可能性があるのかを調査します。

さらに、侵入後に利用されたアカウント、実行されたコマンド、他の端末やサーバーへのアクセスなどを時系列で整理することで、攻撃者の活動を可能な範囲で再構成します。

ただし、侵入時点のログがすでに消失しているなどの理由により、侵入経路を完全には特定できない場合もあります。

被害を受けた端末・アカウント・データの範囲

複数の端末や認証ログなどを確認することで、マルウェアへ感染した可能性のある端末、攻撃者によって利用された可能性のあるアカウント、アクセスされたシステムなどを整理します。

これによって、追加調査や隔離が必要な範囲、システム復旧前に対処すべき事項などを判断するための材料が得られます。

「暗号化されていない」「アラートが出ていない」という理由だけで影響がないと判断せず、攻撃者の活動経路を踏まえて評価することが重要です。

情報流出やデータ持ち出しを示す痕跡

情報漏洩や内部不正では、特定のファイルへのアクセス、大量コピー、圧縮処理、USBデバイスへの書き込み、クラウドサービスへのアップロード、外部への通信などの痕跡を確認します。

こうした情報を複数組み合わせることで、どのデータが持ち出された可能性があるのかを評価します。

ただし、「ファイルへアクセスした記録がある」ことと「そのファイルが外部へ持ち出された」ことは同じではありません。また、不審な通信の記録があっても、その通信内容や対象データまで確認できない場合があります。

そのため、調査結果では「確認できた事実」「可能性が考えられる事項」「現存するデータからは判断できない事項」を分けて整理することが重要です。

ログやデータの不足によって特定できない場合もある

フォレンジック調査の結果を大きく左右する要因の一つが、調査に必要なログやデータが残っているかどうかです。

OSやシステムのログは保存容量や設定によって古いデータから上書きされる場合があります。また、攻撃者によってログが削除されたり、インシデント発生後の操作によって関連するデータが上書きされたりすることもあります。

そもそも必要な監査ログが取得されていない場合もあります。

こうしたケースでは、高度なフォレンジック技術を用いてもすべての事実を特定できるとは限りません。そのため、平時からインシデント調査に必要なログやデータを適切に取得・保全しておくことが重要です。

【ケース別】フォレンジック調査が活用される主なケース

フォレンジック調査は、外部からのサイバー攻撃だけでなく、情報漏洩や内部不正など、さまざまなインシデントで活用されます。

ケース1：不正アクセス

WebサーバーやVPN、クラウドサービス、社内ネットワークなどへ第三者による不正アクセスが疑われるケースです。

認証ログ、VPNやファイアウォールのログ、サーバー・端末上の操作履歴などを関連付け、侵入経路、悪用された可能性のあるアカウント、侵入後に行われた操作、被害範囲などを調査します。

また、攻撃者が遠隔操作を継続するための不審なアカウントやツールなどを残していないか確認し、安全な復旧につなげます。

ケース2：ランサムウェア・マルウェア感染

ランサムウェアやその他のマルウェアに感染したケースでは、暗号化された端末だけを確認するのではなく、侵入経路やネットワーク内部での横展開、侵害されたアカウントなども調査します。

近年のランサムウェアでは、暗号化前に情報を外部へ持ち出す攻撃も確認されているため、ファイル操作や外部通信などから情報流出を示す痕跡がないか確認することも重要です。

調査結果は、侵入経路の是正、影響範囲の整理、バックアップからの段階的な復旧、再発防止などを検討するための判断材料になります。

ケース3：情報漏洩・内部不正によるデータ持ち出し

従業員や退職予定者による営業秘密・顧客情報の持ち出し、個人クラウドストレージへのアップロードなどが疑われるケースでもフォレンジック調査が利用されます。

ファイルへのアクセス履歴、USBデバイスの接続記録、メール送信履歴、クラウドサービスの監査ログなどを確認し、どのような操作が行われた可能性があるのかを整理します。

削除されたファイルについても、端末や記憶媒体の状態によっては復元できる場合がありますが、上書きや暗号化などの状況によって復元できないケースもあります。

ケース4：Webサイトの改ざん

企業のWebサイトが第三者によって書き換えられたり、不正なコードを設置されたりしたケースです。

Webサーバーのアクセスログ、ファイルの作成・変更履歴、管理画面への認証ログなどを調査し、どのような経路から侵入された可能性があるのか、どのファイルが変更されたのかを確認します。

改ざんされたファイルを元に戻すだけでは、侵入に利用された脆弱性や認証情報が残り、再び改ざんされる可能性があります。そのため、復旧と並行して原因を確認することが重要です。

ケース5：ハラスメントやコンプライアンス違反などの内部調査

ハラスメントや不正取引、機密情報の不正利用など、社内のコンプライアンス違反が疑われるケースで、デジタルデータが調査対象となる場合もあります。

業務用PCやメール、社内チャット、ファイルアクセス履歴など、適法かつ社内規程等に沿って取得できるデータを確認し、事実関係を整理します。

ただし、内部調査では従業員のプライバシーや労務上の問題なども関係するため、調査範囲やデータの取扱いについて、必要に応じて法務部門や弁護士などと連携して進めることが重要です。

デジタルフォレンジック調査の基本的な流れ（手順）

フォレンジック調査の具体的な進め方はインシデントや調査対象によって異なりますが、一般的には「状況把握」「データの保全・収集」「解析」「報告」といった流れで進めます。

NISTでも、コンピュータやネットワークフォレンジックをインシデントレスポンスへ取り入れるための実務的なガイダンスが示されています。

Step1：インシデントの状況把握とヒアリング

まず、事象が発生・発覚した日時、最初に確認された現象、影響を受けている可能性があるシステムなどを整理します。

不正アクセス、ランサムウェア、情報漏洩、内部不正など、発生している事象によって必要となる調査データや優先順位は異なります。

ヒアリングによって調査の目的を明確にし、対象とするPC・サーバー・アカウント・ログなど、調査範囲を整理します。

Step2：調査対象データの保全・収集

調査に必要となるデータを、不必要に変更しないよう注意しながら収集・保全します。

PCやサーバーの記憶媒体を取得する場合には、状況に応じてライトブロッカー（書き込み防止装置）などを使用し、元データへの書き込みを抑えながらフォレンジックイメージを作成する方法があります。

取得したデータについてハッシュ値を算出し、取得時と解析時などに値を比較することで、保全したデータの完全性を確認する方法も利用されます。

ただし、すべてのフォレンジック調査でストレージの完全複製を作成するわけではありません。クラウドサービスやネットワーク機器、各種ログなどについては、それぞれの環境に適した方法でデータを取得・保全します。

ハッシュ値やチェーン・オブ・カストディは、データの完全性や取扱履歴を説明するために重要ですが、それだけで法的な証拠能力が保証されるものではありません。

Step3：データの解析・分析

保全・収集したデータを調査目的に沿って解析します。

端末ではOSのイベントログ、レジストリ、ファイルシステム、ブラウザ履歴、プログラムの実行履歴などを確認し、必要に応じて削除データの復元も試みます。

さらに、VPNや認証基盤、EDR、ファイアウォール、クラウドなどに残されたログと関連付け、インシデント発生前後の活動を時系列で整理します。

これによって、侵入経路、利用されたアカウント、実行された操作、影響範囲、情報流出を示す痕跡などを可能な範囲で確認します。

Step4：調査結果の整理・報告書の作成

解析によって確認された事実を整理し、必要に応じて調査報告書を作成します。

報告書には、調査の目的・対象・実施内容に加えて、「確認された事実」「技術的な分析結果」「確認できなかった事項」「考えられる影響」などを整理します。

経営層や法務部門などへの説明で利用する場合には、専門的なログを並べるだけでなく、何が起きたのか、どこまで影響した可能性があるのか、今後どのような対応が必要なのかを理解しやすい形に整理することも重要です。

実際の報告書の内容や形式は、調査目的や依頼内容によって異なります。

インシデント発生時の初動対応で注意すべきこと

フォレンジック調査を行う可能性がある場合、インシデント発覚後の操作によって調査に必要なデータの状態を変化させないことが重要です。

一方で、被害が継続している場合には被害拡大防止も優先する必要があります。証拠保全だけを優先するのではなく、インシデントの状況に応じて対応を判断します。

不用意なシャットダウンや再起動を避ける

原因を確認するために不用意に端末を再起動したり、電源を切ったりすると、実行中のプロセスやネットワーク接続情報など、メモリ上に存在する揮発性データが失われる場合があります。

また、再起動によってログや一時ファイルなどの状態が変わる可能性もあります。

そのため、調査を想定している場合には不用意な電源操作を避け、自社のインシデント対応手順や専門家の助言に基づいて判断することが重要です。

ただし、攻撃やマルウェア感染が継続しており、ネットワークから隔離することができないなど、被害拡大を防ぐために電源断を検討する必要があるケースもあります。一律に「絶対に電源を切ってはいけない」と考えるのではなく、被害拡大防止とデータ保全の双方を考慮して判断します。

被害拡大防止と証拠保全を考慮してネットワーク接続を判断する

不正アクセスやマルウェア感染が継続している場合には、影響を受けている端末やシステムをネットワークから隔離することが有効な場合があります。

ランサムウェアなどでは、他の端末への横展開を防止するため、迅速な隔離が求められるケースもあります。

ただし、ネットワーク構成やサービスの重要度によって影響は異なります。端末単体を隔離するのか、ネットワークセグメントを分離するのか、通信を制限するのかなど、自社のインシデント対応手順や専門家の助言を踏まえて判断します。

「フォレンジックのためにネットワークへ接続し続ける」「必ずLANケーブルを抜く」といった一律の運用ではなく、事業影響と被害拡大リスクを考慮することが重要です。

不用意な操作によるログ・データの上書きに注意する

状況を確認しようとして対象端末へログインし、多数のファイルを開いたり、ソフトウェアをインストールしたり、不用意にファイルを削除したりすると、OSやファイルシステムの状態が変化します。

ウイルススキャンなどの処理によってファイルが隔離・削除される場合もあります。

こうした変更によって調査に必要な痕跡が失われる可能性があるため、「誰が」「いつ」「何のために」「どのような操作を行ったのか」を記録し、必要最低限の操作にとどめることが重要です。

調査前のOS再インストールや初期化を避ける

インシデント発生後、業務を早期に復旧するためにPCやサーバーを初期化・再構築したくなる場合があります。

しかし、OSの再インストールや初期化によって、インシデントに関係するログやファイル、その他の痕跡が失われ、後から調査できる範囲が大きく限定される可能性があります。

フォレンジック調査を行う可能性がある場合には、可能な範囲で必要なデータを保全したうえで再構築へ移行します。

事業復旧を急ぐ必要がある場合には、すべての調査が完了するまで復旧を停止するのではなく、必要な保全・調査と復旧作業を並行して進められるよう優先順位を整理することが重要です。

フォレンジック調査は自社でできる？外部へ依頼する判断基準

フォレンジック調査をすべて外部へ依頼する必要があるわけではありません。

自社のセキュリティ人材、利用しているEDRやSIEMなどのツール、ログの取得状況、インシデントの規模や対外説明の必要性などによって、自社で対応できる範囲は異なります。

自社で確認できる範囲と専門的なフォレンジック調査の違い

社内にセキュリティエンジニアやCSIRTなどの専門人材がおり、EDR・SIEMなどを適切に運用している場合には、自社でアラートやログを確認し、影響端末の特定、アカウント停止、ネットワーク隔離などの初期対応を行える場合があります。

一方、複数のPC・サーバー・認証基盤・ネットワーク・クラウドなどからデータを収集・保全し、時系列で関連付けて侵入経路や攻撃活動を再構成する場合には、専門的な知識やツールが必要となることがあります。

また、法的手続きや第三者への説明を見据えたデータ保全、削除データの解析、メモリフォレンジックなどは、日常的なセキュリティ運用とは異なる専門性が求められる領域です。

「社内か外部か」を二者択一で考えるのではなく、自社で初動対応や情報整理を行い、専門的な解析が必要な部分を外部へ依頼するといった役割分担も考えられます。

専門会社への依頼を検討したいケース

以下のようなケースでは、外部のフォレンジック専門会社への相談を検討します。

• 個人情報や機密情報が流出した可能性があり、影響範囲を確認する必要がある
• ランサムウェアなどによって複数の端末・サーバーへ被害が広がっている
• 社内で確認しても侵入経路や被害範囲を特定できない
• 不正アクセスが継続している可能性があり、専門的な解析が必要
• 内部不正などでデジタルデータの保全・解析が必要
• 法務、監査、取引先、保険会社などへの客観的な説明が求められている
• 自社の担当者だけでは調査とシステム復旧を並行して進めることが難しい

重大なインシデントの場合には、調査対象となるログやデータが失われる前に相談することも重要です。

フォレンジック調査を外部へ依頼するメリット

専門会社へ依頼するメリットの一つは、専門的な知識・ツールを利用して、複数のデジタルデータを横断的に調査できることです。

また、インシデント発生中は社内の情報システム・セキュリティ担当者が、被害拡大防止、システム復旧、経営報告など多くの対応を同時に求められます。外部専門家がデータ保全や解析を担当することで、社内チームの負担を分散できる場合があります。

さらに、第三者が調査することで、自社だけの調査とは異なる視点から事実関係を整理し、経営・法務・取引先などへの説明資料として活用できる場合があります。

ISO/IEC 27037などではデジタル証拠の識別・収集・取得・保全に関する考え方が示されていますが、外部専門会社へ依頼したことや特定の規格に沿ってデータを取得したことだけで、法的な有効性や証拠能力が自動的に保証されるわけではありません。

フォレンジック調査の費用・期間は何で決まる？

フォレンジック調査の費用や期間は、インシデントの内容や調査範囲によって大きく異なります。

そのため、「PC1台なら一律○万円」「ランサムウェアなら必ず○週間」といった形で判断することは難しく、調査目的と対象範囲を整理したうえで見積もりを確認する必要があります。

調査対象やデータ量によって費用・期間は異なる

フォレンジック調査の費用や期間に影響する主な要素には、調査対象となるPC・サーバー・スマートフォンなどの台数、データ容量、対象となるログやクラウドサービスの数などがあります。

さらに、削除データの復元が必要か、複数環境を横断したタイムライン解析が必要か、緊急対応やオンサイト対応が必要か、調査報告書にどの程度の内容が求められるかによっても変わります。

ランサムウェアなどで多数の端末やサーバーへ影響が広がっている場合には、優先度の高いシステムから段階的に調査するなど、調査範囲を整理しながら進めることもあります。

費用だけで比較するのではなく、「何を明らかにするための調査なのか」「どこまでが見積もりに含まれているのか」を確認することが重要です。

見積もり前に整理しておきたい情報

外部の専門会社へ問い合わせる際には、以下のような情報を判明している範囲で整理しておくと、調査範囲や見積もりの検討が進めやすくなります。

• インシデントの概要（不正アクセス、ランサムウェア、情報漏洩、内部不正など）
• 事象が発生・発覚した日時
• 現在確認されている被害や異常
• 調査対象となる可能性がある機器・システムの種類と台数
• 取得しているログやEDR・SIEMなどの利用状況
• 現在までに行った初動対応やシステム操作
• 調査によって確認したい事項
• 対外報告や法的手続きなどの期限・要件

すべての情報が揃っていなくても、現在分かっている事実から専門会社へ相談し、必要な調査対象を整理することができます。

信頼できるフォレンジック調査会社を選ぶ際のポイント

フォレンジック調査では、企業の機密情報や個人情報などを含むデータを外部へ預ける場合があります。

そのため、費用や知名度だけでなく、調査能力、対応体制、情報管理、成果物などを総合的に確認することが重要です。

調査実績と技術力

自社で発生しているインシデントやシステム環境に対応できる技術力があるかを確認します。

例えば、ランサムウェア、不正アクセス、内部不正などでは必要となる調査手法が異なる場合があります。また、Windows PCだけでなく、サーバー、Active Directory、ネットワーク、クラウドなど複数の環境を横断して調査する必要が生じることもあります。

関連する資格を保有する技術者が在籍しているか、どのような調査環境・ツールを利用しているかなども判断材料になりますが、資格だけで調査品質が保証されるものではありません。実際に対応可能な調査範囲や経験を確認することが重要です。

必要なタイミングで調査を開始できるか

インシデント発生後は、ログの上書きやシステム復旧などによって調査可能なデータの状態が変化する可能性があります。

問い合わせから初期ヒアリングまでどの程度かかるのか、いつデータ保全や解析へ着手できるのか、オンサイト・リモートのどちらに対応できるのかなどを確認します。

「24時間365日対応」といった表記だけで判断するのではなく、受付後に実際のフォレンジック担当者がいつ対応を開始できるのかを確認しておくことが重要です。

セキュリティ体制と情報管理の信頼性

フォレンジック調査では、個人情報、顧客情報、営業秘密、認証情報など、機密性の高いデータを取り扱う可能性があります。

調査会社がどのような情報セキュリティ管理を行っているか、データへのアクセス権限、保管方法、調査終了後のデータ取扱いなどを確認します。

ISO/IEC 27001（ISMS）やプライバシーマークなどの第三者認証は、情報管理体制を確認する際の一つの材料になります。

認証の有無だけでなく、実際にどのような環境でデータを解析・保管するのかまで確認するとよいでしょう。

調査範囲・費用・成果物が明確か

見積もりでは、調査対象となる端末・ログ、実施する解析、報告内容などが明確になっているかを確認します。

また、調査を進めた結果、追加の端末やログを確認する必要が生じた場合に、どのような条件で追加費用が発生するのかも重要です。

単純な総額だけでなく、「何を調査し、どのような結果が得られる契約なのか」を確認して比較します。

報告書が経営・法務などにも分かりやすいか

フォレンジック調査の成果物となる報告書は、セキュリティ担当者だけが理解できればよいとは限りません。

経営層、法務、監査、取引先などへの説明で利用する可能性がある場合には、技術的なログだけではなく、「何が起きたのか」「どこまで確認されたのか」「確認できない事項は何か」が分かりやすく整理されていることが重要です。

事前に報告書の構成例や、どの程度まで説明・報告を支援してもらえるのかを確認しておくと、調査後の認識違いを防ぎやすくなります。

平時からフォレンジック調査に備える「フォレンジック・レディネス」

インシデントが発生した際に迅速かつ正確なフォレンジック調査を行うためには、発生してから準備を始めるのではなく、平時から「調査できる状態」を整えておくことが重要です。

このように、将来のインシデントや不正行為を想定し、必要なデータ、体制、手順などを事前に整備しておく考え方を「フォレンジック・レディネス」と呼びます。

調査に必要なログ・データを取得・保全する

インシデントが発生してから調査を開始しても、必要なログが取得されていなかったり、保存期間を過ぎて上書きされていたりすると、原因や被害範囲を確認できない場合があります。

Active Directoryなどの認証ログ、VPN・ファイアウォール・プロキシなどのネットワークログ、EDR、クラウドサービスの監査ログなど、自社でインシデントが発生した際に必要となるデータを整理します。

ログの保存期間について、「最低3か月」「最低1年」など、すべての企業に共通する一律の期間が決められているわけではありません。

自社が想定する脅威、インシデント発見までに要する可能性のある期間、法令・業界・契約上の要件、ストレージコストなどを踏まえて保存期間を設計します。

また、攻撃者によるログ削除や改ざんの影響を抑えるため、重要なログを別環境へ転送・集中管理することや、アクセス権限を適切に分離することも検討します。

インシデント発生時の連絡・対応手順を決めておく

インシデント発生時には、誰が最初に事象を確認し、誰がインシデント対応を指揮するのかを事前に整理します。

例えば、

• 誰が第一報を受けるのか
• 誰が被害拡大防止の判断を行うのか
• 誰が調査対象データの保全を指示するのか
• どの段階で経営層・法務・広報へ報告するのか
• どの段階で外部専門会社へ相談するのか
• 誰がシステム復旧を判断するのか

といった役割や判断基準をインシデント対応計画へ盛り込みます。

また、計画を作成するだけでなく、ランサムウェアや情報漏洩など具体的なシナリオを想定した机上訓練を行い、実際に手順が機能するか確認することも重要です。

外部専門会社への相談ルートを事前に整理する

重大なインシデントが発生してから初めてフォレンジック会社を探す場合、会社選定や契約手続きに時間がかかる可能性があります。

平時から相談先となる専門会社の候補、連絡先、対応可能な時間帯、契約手続き、調査開始までの流れなどを整理しておけば、有事の際にスムーズに相談しやすくなります。

必要性が高い企業では、事前相談やインシデント発生時の優先対応契約などを検討する方法もあります。

さらに、外部会社を決めることだけでなく、「どのような事象が発生したら外部へ相談するのか」という社内の判断基準まで事前に定めておくことが重要です。

まとめ｜フォレンジックを理解し、インシデント発生時に適切な調査につなげよう

デジタルフォレンジックは、不正アクセスやランサムウェア、情報漏洩、内部不正などのインシデントが発生した際に、PC・サーバー・ネットワーク・クラウドなどに残されたデジタルデータを収集・保全・解析し、客観的な事実関係を整理するための調査手法です。

フォレンジック調査によって、侵入経路や攻撃者の活動、被害範囲、情報流出を示す痕跡などを確認できる場合があります。一方で、必要なログやデータが残っていなければ、すべての事実を特定できるとは限りません。

そのため、インシデント発生後に専門的な調査を行うだけでなく、平時から必要なログを取得・保全し、初動対応手順や外部専門家への相談ルートを整えておく「フォレンジック・レディネス」の考え方も重要です。

インシデントが発生した際には、被害拡大防止、調査に必要なデータの保全、事業復旧を状況に応じて並行して進めながら、確認された事実を経営判断や対外対応、再発防止へつなげていきましょう。