従業員や退職者による機密情報・顧客情報などの持ち出しが疑われた場合、「実際に情報が持ち出されたのか」「どのような操作が行われたのか」を、憶測ではなく客観的な事実に基づいて確認することが重要です。

こうした事実確認に用いられる手法の一つが、PCなどに残されたデータや操作履歴を保全・解析する「PCフォレンジック（デジタルフォレンジック）」です。

PCには、ファイルの操作履歴や外部記憶媒体の接続痕跡、プログラムの実行履歴など、通常の画面操作だけでは確認しにくい情報が残っている場合があります。これらを複合的に分析することで、内部不正や情報持ち出しが疑われる事案の事実関係を整理する手掛かりになります。

本記事では、内部不正・情報持ち出しが疑われる代表的なケースから、PCフォレンジックで確認できる主な痕跡、調査の進め方、専門会社へ依頼すべきケースまで解説します。

INDEX

はじめに

内部不正・情報持ち出しが疑われるのはどのようなケース？

PCフォレンジック調査で確認できる情報持ち出しの主な痕跡

PCフォレンジックだけで情報持ち出しを断定できるとは限らない

内部不正・情報持ち出し調査の進め方【5ステップ】

専門家によるフォレンジック調査を検討すべきケース

内部不正・情報持ち出し調査を外部へ依頼する際の確認ポイント

まとめ：内部不正・情報持ち出しが疑われる場合はPCに残る痕跡の保全が重要

内部不正・情報持ち出しが疑われるのはどのようなケース？

内部不正や情報持ち出しは、必ずしも明確な証拠が見つかって発覚するとは限りません。

退職前の不自然なファイル操作や、これまで使用されていなかったUSBメモリの接続、機密情報への通常とは異なるアクセスなど、日常業務とは異なる行動をきっかけに疑いが生じるケースもあります。

ここでは、内部不正・情報持ち出しの調査を検討する代表的なケースを紹介します。

退職予定者・従業員による不審なファイル操作が見つかった

退職予定者や従業員が、通常業務では使用しない機密情報、設計データ、顧客情報などへ集中的にアクセスしていたことから、情報持ち出しの疑いが生じるケースがあります。

特に、退職や異動を控えた時期に大量のファイルを閲覧・コピーしている、不自然な時間帯に重要なデータへアクセスしているといった状況では、事実関係を確認する必要があります。

ただし、「機密ファイルへアクセスした」という記録だけで、情報持ち出しが行われたと断定することはできません。業務上必要な操作であった可能性もあるため、PCに残された他の操作痕跡とあわせて確認することが重要です。

USBメモリなど外部記憶媒体の使用が確認された

業務用PCにUSBメモリや外付けHDDなどが接続されていたことから、情報持ち出しが疑われるケースもあります。

PCのOSやシステム領域には、接続された外部記憶媒体に関する情報が残っている場合があります。こうした記録と、同じ時間帯のファイル操作などを照合することで、外部記憶媒体を利用した情報持ち出しの可能性を調査できます。

一方、USBメモリが接続されていたという事実だけで、機密情報がコピーされたことを意味するわけではありません。接続履歴だけで判断せず、ファイル操作など複数の痕跡を組み合わせて確認する必要があります。

機密情報・顧客情報への不審なアクセスが確認された

通常の担当業務ではアクセスする必要のない機密情報や顧客情報にアクセスしている、短時間に多数の重要ファイルを閲覧しているなど、不自然な操作が確認される場合があります。

アクセスログから「誰が・いつ・どの情報へアクセスしたか」を把握できることがありますが、その後にどのような操作が行われたのかまでは、アクセスログだけでは判断できない場合があります。

そのため、情報持ち出しが疑われる場合には、アクセス記録だけではなく、対象PCに残されたファイル操作や外部記憶媒体の接続、プログラムの実行などの痕跡を関連付けて確認することが重要です。

ファイルや操作履歴が削除されている

不審なファイル操作に加えて、関連するデータや履歴が削除されていることから内部不正の疑いが生じるケースもあります。

もちろん、ファイルの削除そのものは通常業務でも行われるため、削除されているという事実だけで不正行為を判断することはできません。

一方で、重要な情報へアクセスした直後に関連ファイルが削除されているなど、不自然な操作が複数確認される場合には、削除されたデータやファイルシステム上に残された痕跡を調査することで、当時の操作状況を確認できる可能性があります。

アクセス履歴だけでは情報持ち出しの有無を判断できない

共有フォルダや社内システムから重要なファイルへアクセスした記録が残っていても、それだけで「社外へ情報を持ち出した」と判断することはできません。

確認したいのは、そのアクセスの前後に対象PCでどのような操作が行われたのかです。

例えば、同じ時間帯に外部記憶媒体が接続されていないか、ファイルのコピーや移動につながる操作が行われていないか、不審なアプリケーションやWebサービスを利用した痕跡がないかなど、複数の情報を関連付けることで事実関係を整理します。

内部不正の調査では、1つのログだけで結論を出すのではなく、複数の痕跡を時系列で確認することが重要です。

PCフォレンジック調査で確認できる情報持ち出しの主な痕跡

PCフォレンジックでは、PCのOSやファイルシステム、各種ログなどに残されたデータを保全・解析し、過去にどのような操作が行われた可能性があるのかを確認します。

調査できる内容は、OSや利用環境、データの保存状態、調査までに行われた操作などによって異なりますが、情報持ち出し調査では主に次のような痕跡を確認します。

ファイルの閲覧・コピー・変更・削除などの操作痕跡

PCには、ファイルの作成・更新・削除などに関連する情報が残っている場合があります。

ファイルシステムの情報やOSが保持する各種データなどを解析することで、「どのようなファイルが操作されていたのか」「いつ頃操作が行われたのか」といった状況を確認します。

これらの情報を、外部記憶媒体の接続記録やプログラムの実行履歴などと組み合わせることで、情報持ち出しにつながる操作が行われた可能性を調査します。

ただし、PCの利用状況やデータの残存状態によっては、特定の操作を完全に再現できない場合もあります。

USBメモリ・外付けHDDなど外部記憶媒体の接続痕跡

WindowsなどのOSには、過去に接続されたUSBメモリや外付けHDDなどについて、機器を識別するための情報や接続に関連する記録が残る場合があります。

これらを解析することで、対象PCにどのような外部記憶媒体が接続されていた可能性があるのか、その接続時期などを確認します。

さらに、同じ時間帯のファイル操作などと照合することで、外部記憶媒体を介した情報持ち出しの可能性を検証します。

なお、外部記憶媒体の接続記録が確認できても、それだけで「特定のファイルがコピーされた」と断定できるわけではありません。複数の痕跡を関連付けた分析が必要です。

外部へのデータ送信につながるブラウザ・アプリの利用痕跡

PC上に残されたブラウザやアプリケーションの利用痕跡も、情報持ち出しの経路を確認する手掛かりになる場合があります。

例えば、ブラウザの閲覧履歴やキャッシュなどから、Webメール、クラウドストレージ、ファイル転送サービスなどが利用されていた可能性を確認できることがあります。

ただし、PC側に残された情報だけで「どのファイルが外部へ送信されたか」まで特定できるとは限りません。利用環境やデータの残存状況によって確認できる範囲は異なります。

そのため、PCフォレンジックでは、PC上に残されたブラウザやアプリケーションの利用痕跡を、ファイル操作などの情報とあわせて分析します。

削除されたファイルやデータに残る痕跡

ファイルをゴミ箱から削除した場合でも、ファイルシステム上の情報や記憶媒体の状態によっては、削除されたファイルに関する痕跡が残っている場合があります。

フォレンジック調査では、こうした情報を解析し、削除されたファイルの存在や過去の操作状況を確認します。データの状態によっては、削除されたファイルの一部または全部を復元できる可能性もあります。

ただし、削除後にPCが使用され続けてデータが上書きされている場合や、記憶媒体の種類・設定などによっては復元できないこともあります。

そのため、「削除されたデータは必ず復元できる」と考えず、できるだけ早い段階で端末に残された状態を保つことが重要です。

PCのログオン・プログラム実行・ファイル操作などの時系列

内部不正の調査では、個々のログを確認するだけではなく、複数の痕跡を時間軸に沿って整理することが重要です。

例えば、PCへのログオン、外部記憶媒体の接続、重要ファイルへのアクセス、特定のプログラムの実行などを時系列で整理することで、インシデント発生前後にどのような操作が行われていた可能性があるのかを確認できます。

こうした「タイムライン解析」によって、別々に存在していたデータ同士の関連性を確認し、当時の状況を客観的に整理することができます。

PCフォレンジックだけで情報持ち出しを断定できるとは限らない

PCフォレンジックは、内部不正や情報持ち出しの事実関係を確認するうえで有効な手段ですが、すべての事案で持ち出しの有無を断定できるわけではありません。

どのようなデータがPCに残っているかは端末の利用状況によって異なるため、調査結果についても「確認できた事実」と「そこから考えられる可能性」を区別することが重要です。

1つの履歴ではなく複数の痕跡を組み合わせて確認する

例えば、「USBメモリが接続されていた」という記録だけでは、情報持ち出しが行われたとは判断できません。

一方、USBメモリが接続された時間帯と、機密ファイルへのアクセスやファイル操作などの時間帯が重なっていれば、調査を進めるうえで重要な手掛かりになります。

このように、内部不正調査では1つのログから結論を出すのではなく、ファイル操作、外部記憶媒体、ログオン、プログラム実行など複数の痕跡を関連付けて確認します。

フォレンジック調査の役割は、最初から「不正があった」という結論を証明することではなく、端末に残されたデータから、実際に確認できる事実を積み上げていくことにあります。

PCの利用状況やデータの残存状況によって確認できる範囲は異なる

PC上のデジタルデータは、端末を使用し続けることで更新・上書きされていきます。

インシデント発覚後に対象PCを通常どおり使用したり、不用意にファイルを開いたり、ツールを実行したりすると、タイムスタンプやログ、一時データなど、調査に利用できる情報が変化する可能性があります。

また、データを削除してから時間が経過している場合には、削除領域が別のデータで上書きされ、復元や確認が難しくなることもあります。

そのため、内部不正が疑われる場合には、対象PCを自己判断で操作し続けず、できるだけ元の状態を保ったうえで調査方法を検討することが重要です。

内部不正・情報持ち出し調査の進め方【5ステップ】

内部不正・情報持ち出しが疑われる場合、調査そのものだけでなく、発覚直後の初動対応が重要です。

対象PCを不用意に操作すると、調査に必要なデータが変化・上書きされる可能性があります。まずは現在の状態をできるだけ維持し、何を確認する必要があるのかを整理したうえで調査を進めます。

STEP1：【初動・証拠保全】PCに残る痕跡を不用意に変化させない

情報持ち出しの疑いが生じると、「まずPCを確認したい」と考えがちですが、調査前の操作によって端末の状態が変わってしまう可能性があります。

例えば、ファイルを開く、削除する、アプリケーションを実行する、再起動するといった操作でも、OS内部ではさまざまなデータが更新されます。

後から「インシデント発生時にどのような状態だったのか」を確認できるよう、調査対象となるPCについては、不用意な操作を避けることが重要です。

対象PCの操作・再起動・データ削除などを安易に行わない

調査対象となるPCでは、自己判断によるファイル操作、ログ削除、セキュリティツールの実行、再起動、シャットダウンなどを安易に行わないようにします。

特に電源の状態やネットワーク接続をどう扱うべきかは、インシデントの状況や取得すべき情報によって判断が異なる場合があります。

対象PCを操作する前に、可能であればフォレンジック調査の担当者へ状況を伝え、適切な対応方法を確認することが望まれます。

誰が・いつ・どのような操作を行ったか記録する

インシデント発覚後に対象PCを誰が扱ったのか、どのような操作を行ったのかを記録しておくことも重要です。

例えば、「発覚時点で電源が入っていたか」「発覚後に誰が端末を操作したか」「どのような確認を行ったか」などを記録しておけば、後から調査結果を評価する際にも役立ちます。

特に法的措置などを視野に入れている場合には、対象となるデータをどのように管理・保全してきたのかを説明できるよう、証拠の取扱いについて記録を残しておくことが重要です。

STEP2：【状況整理】疑わしい事象と調査目的を整理する

次に、「何が起きた可能性があるのか」と「何を明らかにしたいのか」を整理します。

例えば、

「退職予定者が機密ファイルへ大量にアクセスしていた」

「特定のPCで未許可のUSBメモリが使用されていた」

「重要なファイルが削除されている」

といった発覚の経緯を整理したうえで、確認したい事実を明確にします。

情報持ち出しの有無を確認したいのか、対象となったファイルを特定したいのか、インシデント発生前後のPC操作を整理したいのかによって、必要な調査内容は異なります。

社内処分や法的対応を検討している場合には、人事・法務部門や必要に応じて弁護士などとも連携しながら、調査目的と対応方針を整理することが重要です。

STEP3：【データ保全・調査】PCに残されたデータや操作痕跡を調査する

調査対象と目的を整理した後、PCに保存されているデータを適切な手順で保全し、解析を行います。

フォレンジック調査では、必要に応じて対象ストレージのデータを複製して調査用データを作成し、元のデータへの影響を抑えながら解析を進めます。

また、保全時にはハッシュ値などを用いてデータの同一性を確認する方法が用いられることもあります。

保全したデータから、ファイル操作、外部記憶媒体の接続、プログラムの実行などの痕跡を確認し、調査目的に沿って事実関係を整理します。

自社で確認できる範囲とフォレンジック調査の違い

自社で行う初期確認では、PC上で確認できるファイルや一般的なログ、セキュリティ製品の検知情報などから状況を把握することができます。

一方、フォレンジック調査では、OSやファイルシステムに残された各種アーティファクトなど、通常の画面操作だけでは確認しにくいデータも解析対象となります。

削除されたデータについても、残存状態によってはファイルや操作痕跡を確認できる可能性があります。

「どこまで自社で確認し、どの段階から専門調査を依頼するか」は、インシデントの重要度や、調査結果をどのような目的で使用するかを踏まえて判断することが重要です。

調査対象や確認したい事実に応じて解析範囲を決める

フォレンジック調査では、調査対象を広げればよいわけではありません。

対象となるPC、ユーザー、調査期間、疑われているファイルやキーワード、不審な操作などをあらかじめ整理し、確認したい事実に応じて解析範囲を設定します。

例えば、退職前の情報持ち出しが疑われるのであれば、退職前の一定期間に絞ってファイル操作や外部記憶媒体の接続状況を確認するなど、事案に応じた調査設計が必要です。

調査範囲を適切に設定することで、必要な事実を効率的に確認するとともに、調査期間や費用の適正化にもつながります。

STEP4：【分析・報告】複数の痕跡を時系列で整理する

調査で得られたファイル操作、外部記憶媒体の接続、ログオン、プログラム実行などの情報を関連付け、時系列に沿って整理します。

単独では意味を判断しにくい記録でも、インシデント発生前後の複数のデータと組み合わせることで、当時の操作状況が見えてくることがあります。

調査結果を報告する際には、「確認できた事実」「確認できなかったこと」「データから考えられる可能性」などを区別することが重要です。

こうした整理によって、経営層や法務・人事部門などが、その後の対応を検討するための客観的な材料を得ることができます。

STEP5：【事後対応】調査結果をもとに対応・再発防止を検討する

フォレンジック調査によって事実関係を整理した後は、その結果に応じて社内対応や再発防止策を検討します。

内部不正が確認された場合には、就業規則や社内規程に基づく対応を検討し、必要に応じて法務担当者や弁護士などの専門家と連携します。

また、技術的な再発防止策も重要です。

例えば、重要情報へのアクセス権限の見直し、外部記憶媒体の利用制御、操作ログの取得・監視、退職・異動時のアカウントや権限管理など、今回の事案が発生した要因を踏まえて対策を検討します。

フォレンジック調査は「誰が何をしたのか」を確認して終わるものではなく、同様のインシデントを繰り返さないための改善につなげることが重要です。

専門家によるフォレンジック調査を検討すべきケース

内部不正が疑われるすべてのケースでフォレンジック調査が必要になるわけではありません。

一方で、自社だけでは事実関係を確認できない場合や、対象PCのデータを適切に保全して調査する必要がある場合には、専門家への相談を検討する価値があります。

退職予定者・退職者による情報持ち出しが疑われる場合

退職予定者や退職者が、退職前に機密情報や顧客情報へ不自然にアクセスしていた場合は、早い段階で事実関係を確認することが重要です。

特に、競合企業への転職や独立などが予定されている場合には、営業秘密などの重要情報が持ち出されていないか確認する必要が生じることもあります。

対象PCが社内に残っている場合には、不用意に再利用や初期化をせず、必要なデータを保全したうえで調査を検討します。

法的な対応が必要となる可能性がある場合には、フォレンジック調査だけで判断せず、法務担当者や弁護士とも連携して対応することが重要です。

自社で確認しても事実関係を特定できない場合

「重要ファイルへアクセスした記録はあるが、実際に持ち出されたか分からない」「USBメモリの接続は確認できたが、何が行われたのか判断できない」といった場合には、通常のログ確認だけでは事実関係を整理できないことがあります。

このようなケースでは、PCに残された複数の操作痕跡をフォレンジック調査によって確認することで、インシデント発生前後の状況をより詳しく整理できる可能性があります。

事実関係が十分に確認できていない段階では、特定の従業員による不正と決めつけず、客観的なデータに基づいて調査を進めることが重要です。

対象PCのデータや操作痕跡を適切に保全したい場合

内部不正が疑われるPCを通常どおり使用し続けると、OSやアプリケーションによってログや一時データが更新され、調査に必要な痕跡が変化する可能性があります。

また、自社で確認するためにファイルを開いたり、ツールをインストールしたりすること自体が、新たな操作履歴としてPCに記録される場合があります。

そのため、PCに残された状態をできるだけ維持したまま調査したい場合には、データ保全の段階からフォレンジックの専門家へ相談することが有効です。

法的措置や社内処分を視野に客観的な調査結果が必要な場合

内部不正の疑いを理由に社内処分や法的措置を検討する場合には、「不審だった」という印象ではなく、確認できた事実を客観的に整理することが重要です。

フォレンジック調査では、端末から確認されたデータや操作痕跡を整理し、調査方法や結果を報告書としてまとめることで、その後の意思決定に必要な情報を提供できます。

ただし、フォレンジック調査の結果だけで法的な判断が決まるわけではありません。具体的な処分や法的措置については、社内規程や関係法令を踏まえ、必要に応じて弁護士などの専門家へ相談することが重要です。

経営層などへの説明に調査報告書が必要な場合

情報持ち出しなどのインシデントでは、経営層や関係部門から「何が起きたのか」「どこまで確認できたのか」「今後どのような対策が必要なのか」といった説明を求められることがあります。

また、取り扱っていた情報の内容やインシデントの状況によっては、顧客・取引先などへの説明や、関係機関への対応を検討しなければならない場合もあります。

フォレンジック調査によって確認した事実を報告書として整理しておくことで、憶測に頼らず、調査結果に基づいた社内外への説明や今後の対応を検討しやすくなります。

内部不正・情報持ち出し調査を外部へ依頼する際の確認ポイント

内部不正・情報持ち出しについて外部のフォレンジック調査会社へ相談する場合には、単に「解析できるか」だけではなく、データ保全から調査、報告までどのような形で対応してもらえるのかを確認することが重要です。

PCの証拠保全から対応できるか

フォレンジック調査では、解析そのものだけでなく、その前段階となるデータ保全が重要です。

調査対象のPCをどのような手順で保全するのか、保全したデータの同一性をどのように確認するのか、作業内容をどのように記録するのかなどを確認しておきましょう。

特に、自社内にフォレンジックの専門知識を持つ担当者がいない場合には、調査だけでなくデータ保全の方法についても支援を受けられる会社を選ぶと、初動から調査まで一貫した対応を進めやすくなります。

調査結果を報告書として提出できるか

フォレンジック調査では、調査結果をどのような形で受け取れるのかも重要な確認ポイントです。

確認された痕跡を列挙するだけではなく、「どのような方法で調査したのか」「何が確認されたのか」「どこまで判断できるのか」といった内容が整理された報告書であれば、経営層や法務・人事部門などへの説明にも活用しやすくなります。

調査を依頼する前に、報告書の提出有無や記載内容、調査結果の説明方法などを確認しておくとよいでしょう。

調査範囲・費用・期間を事前に確認できるか

フォレンジック調査の費用や期間は、対象となるPCの台数、OS、ストレージ容量、調査内容、解析する期間などによって変わります。

そのため、依頼前のヒアリングで「何を明らかにしたいのか」を伝えたうえで、必要な調査範囲、費用、想定期間を確認することが重要です。

すべてのデータを一律に解析するのではなく、調査目的に応じた範囲を提案してもらえるかどうかも、調査会社を選ぶ際のポイントになります。

まとめ：内部不正・情報持ち出しが疑われる場合はPCに残る痕跡の保全が重要

内部不正や情報持ち出しが疑われる場合、重要なのは「不正があった」と決めつけて対応することではなく、PCなどに残されたデータから客観的な事実関係を確認することです。

警察庁によると、2025年（令和7年）の営業秘密侵害事犯の検挙事件数は38事件で、前年から72.7％増加しました。また、相談受理件数は74件と近年高い水準で推移しており、転職・独立時に営業秘密に関する情報を持ち出す事犯も確認されています。

情報持ち出しの疑いが生じた際には、アクセスログや1つの操作履歴だけから結論を出すのではなく、ファイル操作、外部記憶媒体の接続、ログオン、プログラムの実行など、PCに残された複数の痕跡を関連付けて確認することが重要です。

また、対象PCを不用意に操作すると、調査に必要なデータが変化・上書きされる可能性があります。自己判断でファイルを確認したり、再起動やシャットダウンなどを行ったりする前に、できるだけ現在の状態を維持し、調査の必要性や進め方を検討しましょう。

自社で事実関係を確認することが難しい場合や、PCに残されたデータを適切な手順で確認する必要がある場合には、早い段階でフォレンジック調査を扱う専門事業者へ相談することも選択肢の一つです。