情報漏洩の疑いやサイバー攻撃、内部不正などが発生した際、対象となるパソコンにどのようなデータや操作痕跡が残っているかを確認することは、原因や被害範囲、事実関係を明らかにするうえで重要です。

PCフォレンジックでは、パソコンのストレージやOS、ログ、アプリケーションなどに残されたデータを適切な手順で保全・解析し、「いつ、どのような操作が行われた可能性があるのか」を客観的なデータから整理します。

調査結果は、インシデント対応や再発防止、経営層への報告、社内処分などの判断材料として活用されるほか、事案によっては法的手続きなどを検討する際の資料となる場合もあります。

本記事では、PCフォレンジックの基礎知識から、パソコンから分かること、具体的な調査対象データ、調査前の注意点、調査の流れ、専門会社へ依頼する際のポイントまで詳しく解説します。

INDEX

はじめに

PCフォレンジックとは？パソコンに残るデータや操作痕跡を保全・解析する調査

PCフォレンジックで分かること【調査対象データ別】

インシデント発生時、PCフォレンジック調査前に注意すべきこと

PCフォレンジックの調査の流れ【4ステップ】

PCフォレンジック調査はどこに依頼すべき？自社調査と専門会社の違い

信頼できるPCフォレンジック調査会社の選び方と費用・期間

まとめ：PCフォレンジックでパソコンに残るデータから事実関係を確認しよう

PCフォレンジックとは？パソコンに残るデータや操作痕跡を保全・解析する調査

PCフォレンジックとは、パソコンに保存・記録されているデータやログ、操作痕跡などを保全・解析し、インシデントや不正行為に関する事実関係を確認する調査です。

通常の画面操作では確認できないOS内部の情報やファイルシステム、各種アーティファクトなども調査対象となるため、アクセスログやセキュリティ製品のアラートだけでは分からないPC上の活動を確認できる場合があります。

PCフォレンジックの定義と目的

「フォレンジック（Forensic）」は、法医学や科学捜査などに関連して用いられる言葉です。IT分野におけるデジタルフォレンジックでは、デジタルデータの完全性に配慮しながら、データを収集・保全・解析し、確認された事実を整理します。

PCフォレンジックでは、特にパソコンのストレージ、OS、ログ、アプリケーションなどに残されたデータを対象として、「どのようなファイルが存在していたのか」「いつ頃どのような操作が行われた可能性があるのか」「不審なプログラムが実行されていないか」などを確認します。

調査の目的は、最初から「不正があった」という結論を証明することではありません。パソコンに残されたデータから確認できる事実を積み上げ、インシデント発生時の状況や原因、影響範囲などを整理することにあります。

データを保全する際には、取得したデータのハッシュ値を算出・記録し、その後のデータが取得時点から変更されていないことを確認する方法などが用いられます。また、法的手続きなどで利用する可能性がある場合には、誰が・いつ・どのようにデータを取得・保管・解析したのかという取扱記録を残すことも重要です。

ただし、ハッシュ値や適切な証拠保全を行ったからといって、調査結果の法的な証拠能力や評価が自動的に保証されるわけではありません。具体的な法的対応を検討する場合には、必要に応じて弁護士などの専門家と連携することが重要です。

デジタルフォレンジックとの関係

デジタルフォレンジックは、さまざまなデジタル機器やシステムに残されたデータを保全・解析し、事実関係を確認する技術・手法の総称です。

調査対象には、PCやサーバーだけでなく、スマートフォンなどのモバイル端末、ネットワーク機器、クラウドサービスなども含まれます。調査対象に応じて、コンピュータフォレンジック、モバイルフォレンジック、ネットワークフォレンジックなどと呼ばれることがあります。

PCフォレンジックは、その中でも主にWindowsやmacOSなどを搭載したパソコンを対象として、ストレージ、OS、アプリケーション、ログなどを解析する領域です。

つまり、デジタルフォレンジックという広い概念の中に、PCを主な対象とするPCフォレンジックが含まれると考えると分かりやすいでしょう。NISTもデジタルフォレンジックについて、情報の完全性を保ちながらデータを特定・収集・検査・分析する考え方として整理しています。

PCフォレンジックが必要となる主なケース

PCフォレンジックは、サイバー攻撃だけでなく、内部不正や情報持ち出し、コンプライアンス上の問題など、パソコン上で行われた操作について客観的な事実確認が必要となる場面で活用されます。

マルウェア感染・不正アクセスなどのサイバー攻撃

マルウェア感染や不正アクセスが発生した場合、PCフォレンジックによって対象端末に残された不審なファイル、プログラムの実行履歴、ログオン、外部通信などの痕跡を確認します。

例えば、EDRやアンチウイルスでマルウェアが検知された場合でも、「いつ実行されたのか」「実行後にどのような活動が行われたのか」「別の不正プログラムや永続化の仕組みが残されていないか」といった点までは、アラートだけでは判断できないことがあります。

また、不正アクセスが疑われる場合には、PC上の痕跡だけでなく、認証ログ、ファイアウォール、VPN、サーバーなどのログと関連付けることで、侵入経路や被害範囲を整理できる場合があります。

ただし、PCフォレンジックだけですべての感染経路や被害範囲を特定できるとは限りません。インシデントの内容に応じて、ネットワークログやサーバーログ、マルウェア解析などと組み合わせて調査します。

退職者や内部関係者による情報持ち出し・不正行為

退職予定者や従業員による機密情報・顧客情報などの持ち出しが疑われる場合にも、PCフォレンジックが利用されます。

例えば、退職前に通常業務では使用しない重要ファイルへ集中的にアクセスしている、USBメモリなどの外部記憶媒体が使用されている、クラウドストレージやWebメールなどを利用しているといった状況が確認される場合があります。

PCフォレンジックでは、ファイル操作、外部記憶媒体の接続、ブラウザやアプリケーションの利用、ログオン、プログラム実行などの痕跡を時系列で関連付け、当時どのような操作が行われた可能性があるのかを整理します。

ただし、「USBメモリが接続されていた」「機密ファイルへアクセスしていた」という記録だけで情報持ち出しを断定することはできません。複数の痕跡を組み合わせて確認し、「確認できた事実」と「そこから考えられる可能性」を区別することが重要です。

ハラスメントやコンプライアンス違反などの事実確認

社内におけるハラスメントやコンプライアンス違反などの事実確認において、業務用PCに残されたデータが調査対象となる場合もあります。

例えば、メールやチャット、文書ファイル、ブラウザ利用などに関連するデータから、特定の期間にどのようなやり取りや操作が行われていた可能性があるのかを確認します。

ただし、社内調査では従業員のプライバシーや就業規則、個人情報などへの配慮も必要です。PCフォレンジックを実施する場合には、調査対象や目的を明確にし、人事・法務部門や必要に応じて弁護士などと連携しながら適切な手続きで進めることが重要です。

PCフォレンジックで分かること【調査対象データ別】

PCフォレンジックでは、通常のファイル閲覧や管理画面からの確認だけでは把握しにくい、さまざまなデータや操作痕跡を調査対象とします。

ただし、確認できる内容は、OS、ストレージの種類、ログ設定、端末の利用状況、インシデント発生後の操作などによって異なります。

PCフォレンジックの主な調査対象（HDD・SSD・メモリ・ログなど）

PCフォレンジックの主な調査対象となるのが、HDDやSSDなどのストレージです。

ストレージには、ユーザーが保存したファイルだけでなく、OSやアプリケーションが作成したログ、設定情報、ファイルシステムの情報、ブラウザデータなど、さまざまなデータが記録されています。

また、調査目的やPCの状態によっては、システムメモリ（RAM）も調査対象となります。メモリには、実行中のプロセス、ネットワーク接続、コマンドなど、電源を失うことで取得できなくなる情報が存在する場合があります。

そのほか、WindowsイベントログなどのOSログ、メールデータ、ブラウザ履歴、アプリケーション固有のデータなども、事案に応じて調査します。

ファイル・フォルダの操作痕跡（作成・変更・削除など）

PCのファイルシステムには、ファイルの作成・変更・アクセスなどに関連するタイムスタンプや各種メタデータが記録されている場合があります。

これらを解析することで、「どのようなファイルが存在していたのか」「いつ頃作成・変更されたのか」「インシデントが疑われる時間帯に重要ファイルへ関連する操作が行われていないか」といった状況を確認します。

ただし、タイムスタンプはOSやアプリケーションの動作によって更新される場合があり、1つの日時情報だけから「誰がどの操作をした」と断定できるとは限りません。

外部記憶媒体の接続、ログオン、プログラム実行など、別の痕跡と組み合わせて確認することが重要です。

USBメモリなど外部記憶媒体の接続・使用痕跡

WindowsなどのOSには、過去に接続されたUSBメモリや外付けHDDなどに関する情報が残る場合があります。

調査では、機器を識別する情報や接続に関連する記録などを解析し、「どのような外部記憶媒体が接続されていた可能性があるのか」「いつ頃使用されていたのか」を確認します。

さらに、その時間帯のファイル操作やプログラム実行などと照合することで、外部記憶媒体を利用した情報持ち出しの可能性を検証します。

ただし、USB機器の接続履歴が確認できたからといって、特定のファイルがそのUSBメモリへコピーされたことまで必ず確認できるわけではありません。PCに残されたデータの状況によって確認できる範囲は異なります。

Webブラウザの閲覧履歴・検索履歴など

Google ChromeやMicrosoft Edge、SafariなどのWebブラウザには、閲覧履歴、検索履歴、ダウンロード履歴、キャッシュなどのデータが残っている場合があります。

これらを解析することで、インシデント発生前後にどのようなWebサイトへアクセスしていたのか、どのようなファイルをダウンロードしていたのか、Webメールやクラウドストレージなどのサービスを利用していた可能性があるのかを確認できる場合があります。

一方、ブラウザのプライベートモードを利用していた場合、履歴が削除されている場合、データが上書きされている場合などには、確認できる情報が限定されます。

また、クラウドサービスへアクセスした痕跡が確認できても、PC側のデータだけから「どのファイルをアップロードしたのか」まで特定できるとは限りません。必要に応じてクラウドサービス側の監査ログなども確認します。

メール・Webメールなどの利用痕跡

Outlookなどのメールクライアントを使用している場合には、PST・OSTファイルなどのローカルデータや添付ファイル、キャッシュなどが調査対象となる場合があります。

これらを解析することで、メールの送受信や添付ファイルの利用に関する情報を確認できる可能性があります。

Webメールの場合には、ブラウザ上に残された閲覧履歴やキャッシュなどが手掛かりとなることがありますが、PC側だけですべての送受信内容を確認できるわけではありません。詳細な確認には、メールサービス側に保存されている監査ログやメールデータが必要となる場合があります。

また、削除されたメールについても、保存状態や利用環境によって確認・復元できる可能性は異なります。

プログラムの実行履歴

Windowsでは、PrefetchやUserAssistをはじめ、プログラムの実行に関連する情報が複数の場所に残る場合があります。

これらのデータを解析することで、特定のアプリケーションや実行ファイルが使用されていた可能性や、おおよその実行時期などを確認できる場合があります。

例えば、ファイル圧縮ソフト、クラウド同期ソフト、ファイル転送ツール、不審なスクリプトやプログラムなどの利用痕跡が調査対象となることがあります。

ただし、プログラムが実行されたという事実だけでは、その利用目的や実際に行われた操作までは判断できません。他のファイル操作やログなどと関連付けて分析します。

削除されたファイルやデータの痕跡・復元可能性

ファイルを削除し、ゴミ箱から消去した場合でも、記憶媒体の状態によっては、ファイル本体やファイルシステム上の情報が残っていることがあります。

フォレンジック調査では、こうしたデータを解析し、削除されたファイルの一部または全部を復元できる可能性があります。

また、ファイルの内容そのものを復元できない場合でも、ファイル名や過去の存在、操作に関連する痕跡を別のデータから確認できる場合があります。

一方、削除後にPCを使用し続けてデータが上書きされている場合や、SSDのTRIM機能、暗号化などの影響によって、復元が困難または不可能になる場合もあります。

「削除されたデータはフォレンジックなら必ず復元できる」と考えず、できるだけ早い段階で調査の必要性を判断することが重要です。

OSのログ（ログオン履歴・イベントログなど）

Windowsイベントログなどには、OSやシステム上で発生したさまざまなイベントが記録されています。

ログ設定や保存状況によっては、ユーザーのログオン・ログオフ、リモート接続、サービスの動作、アカウントや権限に関する変更などを確認できる場合があります。

こうしたOSログを、ファイル操作、プログラム実行、ネットワーク通信などの情報と時系列で関連付けることで、インシデント発生前後にどのような活動が行われていた可能性があるのかを整理します。

ただし、必要な監査設定が有効になっていなかった場合や、ログが上書き・削除されている場合には、確認できる範囲が限定されます。

PCフォレンジックですべての操作を特定できるとは限らない

PCフォレンジックを行っても、すべての操作や事実を100％特定できるとは限りません。

PCに残されているデータは、OSやアプリケーションの動作、端末の継続利用などによって更新・上書きされます。また、必要なログが最初から取得されていなかった場合には、後からその履歴を作り出すことはできません。

削除されたデータについても、SSDのTRIM、上書き、暗号化などによって確認できない場合があります。また、クラウドサービスなどPC外で行われた操作については、サービス側のログを確認しなければ判断できないケースもあります。

そのため、PCフォレンジックの調査結果では、「確認できた事実」「データから考えられる可能性」「現存するデータからは確認できない事項」を区別して整理することが重要です。

インシデント発生時、PCフォレンジック調査前に注意すべきこと

不審なPCを発見した際、状況を確認するために対象端末を操作すると、OSやアプリケーションによってデータやログが更新され、調査に利用できる情報が変化する場合があります。

一方、マルウェアの活動や不正アクセスが継続している場合には、証拠保全だけでなく被害拡大防止も考慮しなければなりません。

そのため、一律の対応ではなく、インシデントの状況と調査目的に応じて判断することが重要です。

PCのシャットダウンや再起動を安易に行わない

調査対象となるPCを自己判断でシャットダウン・再起動すると、メモリ上にのみ存在していた情報が失われる可能性があります。

メモリには、実行中のプロセスやネットワーク接続など、電源断後には取得できなくなる情報が含まれている場合があります。

また、再起動することでOSやアプリケーションの状態が変化し、調査対象となるデータが更新されることもあります。

ただし、「必ず電源を入れたままにする」ことが正しいわけではありません。マルウェアの活動による被害が継続している場合や、ネットワーク隔離が困難な場合などには、被害拡大防止を優先した判断が必要になることもあります。

可能であれば、現在の電源状態を維持し、社内のインシデント対応手順やフォレンジックの専門家へ相談したうえで対応方法を判断します。

ネットワークの接続・切断は状況に応じて判断する

マルウェア感染や不正アクセスが疑われ、対象PCから不審な外部通信や他端末への通信が継続している場合には、ネットワーク隔離が被害拡大防止に有効です。

EDRにネットワーク隔離機能がある場合には、その機能を利用する方法もあります。

一方、重要な業務端末や特殊なシステムでは、ネットワーク切断によって業務へ影響が生じる場合があります。また、調査目的によっては現在の通信状態そのものが重要な情報となることもあります。

そのため、通信状況、被害拡大の可能性、業務影響などを考慮し、社内のインシデント対応手順や専門家の助言をもとに判断することが重要です。

不用意なファイル操作やツールの実行を避ける

「何が起きたのか確認したい」と対象PC上でファイルを開いたり、検索したり、さまざまなツールをインストール・実行したりすると、新たな操作履歴や一時ファイルが作成される場合があります。

また、アンチウイルスソフトによるスキャンや駆除によって、不審なファイルが削除・隔離され、調査前の状態から変化する可能性もあります。

もちろん、被害拡大防止のためマルウェアの隔離・駆除を優先すべきケースもあるため、対応そのものを避けるのではなく、「何を・いつ・なぜ実施したのか」を記録しておくことが重要です。

フォレンジック調査を検討している場合には、必要以上の操作を行わず、現在の状況とこれまでに実施した対応を整理して専門家へ相談するとよいでしょう。

OSの初期化や再インストールを調査前に行わない

OSを初期化・再インストールすると、ストレージ上に残されていたログやファイルシステムの情報、削除されたデータの痕跡などが上書きされ、調査できる範囲が大きく限定される可能性があります。

そのため、情報持ち出し、不正アクセス、マルウェア感染などについて後から詳しく調査する可能性がある場合には、必要なデータを保全する前にPCを初期化することは避けた方がよいでしょう。

早期の業務復旧が必要な場合には、対象PCから必要なデータを保全したうえで、代替端末を用意するなど、調査と復旧を両立できる方法を検討します。

PCフォレンジックの調査の流れ【4ステップ】

PCフォレンジックの具体的な進め方は、調査目的や対象となるPC、インシデントの状況によって異なります。

一般的には、調査目的を整理したうえで必要なデータを保全し、解析、報告という流れで進めます。

STEP1：ヒアリングとインシデント状況の確認

まず、「何が起きた可能性があるのか」「何を明らかにしたいのか」を整理します。

例えば、情報持ち出しの有無を確認したいのか、マルウェア感染前後の活動を確認したいのか、削除されたファイルの存在を調べたいのかによって、必要となる調査データや解析方法は異なります。

あわせて、

対象となるPCのOSや台数、ストレージ容量、暗号化の有無、インシデントが発覚した日時、調査対象期間、現在の電源・ネットワーク状態、発覚後に行った操作などを確認します。

そのうえで、調査対象と優先順位、必要な保全方法、想定される調査範囲などを決定します。

STEP2：証拠保全（調査データの取得・複製）

調査目的に応じて、対象PCから必要なデータを取得・保全します。

PCフォレンジックでは、ストレージ全体をイメージとして取得する方法が用いられることがありますが、すべての調査で必ずHDD・SSD全体をビット単位で複製するわけではありません。

調査目的や端末の状態によって、フルディスクイメージ、論理的なデータ取得、特定データの取得、メモリ取得など、適切な方法を選択します。

取得したデータについては、ハッシュ値などを利用してデータの同一性・完全性を確認する方法が用いられます。

また、法的手続きなどで調査結果を利用する可能性がある場合には、誰が、いつ、どの端末から、どのような方法でデータを取得し、その後誰が管理・解析したのかといった取扱記録を残すことも重要です。

ハッシュ値はデータの完全性確認を支える手段であり、チェーン・オブ・カストディは証拠の取得・保管・移動・解析などの取扱いを記録する考え方です。両者を適切に管理することは重要ですが、それ自体が調査結果の法的評価を保証するものではありません。

STEP3：データの解析・調査

保全したデータに対して、フォレンジック専用ツールや各種解析手法を用いて調査を行います。

調査対象となるデータには、ファイルシステム、OSのレジストリ、イベントログ、プログラムの実行履歴、ブラウザデータ、メールデータ、削除領域などがあります。

これらを個別に確認するだけでなく、複数のデータを時系列で関連付ける「タイムライン解析」を行うことで、インシデント発生前後にどのような活動が行われていた可能性があるのかを整理します。

また、調査対象を無制限に広げるのではなく、対象期間、ユーザー、ファイル、キーワード、不審な操作などを調査目的に応じて絞り込むことで、必要な事実を効率的に確認します。

STEP4：調査結果の整理・報告

調査によって確認された情報を整理し、調査報告書などの形で報告します。

報告書では、単にログやファイルを列挙するだけではなく、「どのような方法で調査したのか」「どのような事実が確認されたのか」「データからどのような可能性が考えられるのか」「現存するデータからは何を確認できなかったのか」といった内容を整理することが重要です。

調査結果を技術担当者だけでなく、経営層、法務、人事などが意思決定に利用する場合には、専門用語だけに依存せず、インシデントの経緯や影響が理解できる形で説明されているかも重要なポイントとなります。

また、法的手続きへの利用を検討する場合には、調査会社だけで判断せず、弁護士などと連携しながら必要となる資料や手続きを確認します。

PCフォレンジック調査はどこに依頼すべき？自社調査と専門会社の違い

PCフォレンジックが必要となるすべてのケースで、必ず外部の専門会社へ依頼しなければならないわけではありません。

自社で取得しているログやEDR、資産管理ツールなどで十分に事実関係を確認できるケースもあります。

一方、通常のログだけでは分からないPC内部の詳細な痕跡を確認したい場合や、調査対象データを適切に保全する必要がある場合などには、フォレンジックの専門会社への相談を検討します。

自社調査で対応できる範囲とその限界

自社で利用しているEDR、SIEM、資産管理ツール、Windowsイベントログなどを確認することで、取得しているデータの範囲内で、不審なプログラムの実行、ログオン、USB利用、外部通信などの状況を把握できる場合があります。

まず自社で確認できる情報を整理することは、初動対応としても有効です。

一方、削除されたデータ、ファイルシステムに残された各種アーティファクト、詳細なタイムライン、メモリデータなどを解析する場合には、専門的な知識や解析環境が必要になることがあります。

また、調査目的を決めずに対象PCを直接操作すると、調査対象となるデータが変化する可能性があります。

特に社内処分や法的手続きなどを視野に入れている場合には、自社調査そのものが直ちに問題になるわけではありませんが、誰が・どのような手順でデータを取得・確認したのかを記録し、必要に応じて人事・法務・弁護士や専門会社と連携して進めることが重要です。

専門会社へ依頼する主なメリット

フォレンジック専門会社へ依頼する主なメリットは、専門知識や解析環境を活用しながら、データ保全から解析・報告まで調査目的に応じた支援を受けられることです。

適切な手順によるデータ保全・調査を進めやすい

フォレンジックを専門とする調査会社では、PCの状態や調査目的を踏まえ、必要なデータをどのような方法で取得・保全するかを検討します。

必要に応じてハッシュ値による完全性確認や、データ取得・管理に関する作業記録などを残しながら調査を進めます。

法的対応を視野に入れている場合にも、調査方法やデータの取扱状況を説明できる状態を整えることは重要です。

ただし、専門会社が調査したことやチェーン・オブ・カストディを記録したことだけで、調査結果の法的有効性が保証されるわけではありません。利用目的について事前に調査会社や弁護士などへ相談することが重要です。

通常の確認では見つけにくいデータや痕跡も解析できる

専門会社では、フォレンジック専用ツールやOS・ファイルシステムに関する知識を利用し、通常の画面操作では確認しにくいデータも調査対象とします。

例えば、ファイルシステムに残された情報、プログラム実行に関するアーティファクト、削除データの痕跡、ブラウザやアプリケーションの内部データなどを解析します。

調査対象のデータ量が多い場合には、検索、インデックス作成、データの絞り込みなどの機能を利用しながら、調査目的に関連する情報を確認します。

ただし、専門ツールを使用すればすべてのデータを復元・特定できるわけではありません。データの保存状態や端末の利用状況などによって確認できる範囲は異なります。

初動から保全・解析・報告まで一貫した支援を受けられる

フォレンジック会社によっては、インシデント発生直後の相談から、データ保全、解析、調査報告書の作成まで一連の対応を依頼できます。

特に社内にフォレンジックの専門知識を持つ担当者がいない場合には、「現在のPCをどう扱うべきか」「どのデータを残すべきか」といった初動段階から相談できることはメリットとなります。

また、調査結果を経営層、法務、人事などへ説明する必要がある場合には、技術的な調査結果を整理した報告書や説明を受けられるかどうかも確認しておくとよいでしょう。

対応可能な範囲は調査会社によって異なるため、相談から保全・解析・報告まで、どこまで対応しているのかを事前に確認することが重要です。

信頼できるPCフォレンジック調査会社の選び方と費用・期間

PCフォレンジックでは、機密情報や個人情報を含むPCデータを外部へ預ける可能性があります。

そのため、料金だけではなく、調査技術、データの管理体制、類似案件の実績、対応範囲、報告内容などを総合的に確認して調査会社を選ぶことが重要です。

調査会社の選定ポイント

信頼できるフォレンジック調査会社を選ぶ際には、「PCを解析できるか」だけではなく、自社が抱えているインシデントに対して必要な調査を実施できるかという観点で確認します。

類似するインシデントや対象環境での調査実績

PCフォレンジックといっても、マルウェア感染、不正アクセス、情報持ち出し、データ削除、社内調査など、事案によって確認すべきデータは異なります。

そのため、自社が抱えている事案と類似するインシデントへの対応経験があるか、Windows・macOSなど対象となる環境に対応できるかを確認します。

実績件数だけを見るのではなく、「どのような調査目的に対応できるのか」「どのようなデータを解析できるのか」「PC以外のログやサーバーまで調査対象を広げられるのか」なども確認するとよいでしょう。

フォレンジックの専門知識・経験を持つ調査担当者

PCフォレンジックでは、データ取得・保全だけでなく、OS、ファイルシステム、各種アーティファクト、ログなどに関する専門的な知識が求められます。

調査担当者の専門性を確認する参考として、デジタルフォレンジックやインシデントレスポンスに関連する資格の保有状況を確認する方法もあります。

例えば、GIACのGCFAやGCFEなど、デジタルフォレンジックに関する知識・スキルを対象とした資格があります。GIACはGCFEについて、Windowsシステムからのデータ収集・解析などの能力を評価する資格としています。

ただし、資格を保有しているだけで調査能力が保証されるわけではありません。

実際の調査経験、対応可能なOSやシステム、解析方法、使用するツール、調査結果を説明する能力なども含めて確認することが重要です。

データの保全・管理体制と調査報告書の内容

フォレンジック調査では、企業の機密情報や従業員に関するデータなどを扱う可能性があります。

そのため、データをどのような環境で保管・解析するのか、アクセス権限をどのように管理しているのか、調査終了後のデータをどのように返却・削除するのかなど、情報管理体制を確認します。

ISO/IEC 27001やプライバシーマークなどの第三者認証も、情報管理体制を確認する際の参考材料の一つとなりますが、認証の有無だけでフォレンジック調査の品質が決まるわけではありません。

また、調査報告書についても、「確認できた事実」「分析から考えられる事項」「確認できなかった事項」が区別されているか、調査方法や調査範囲が分かる形になっているかなどを事前に確認しておくとよいでしょう。

PCフォレンジックの費用・期間を左右する主な要因

PCフォレンジックの費用や調査期間は、対象となるPCの台数だけで決まるものではありません。

主に、端末の台数、ストレージ容量、OS、暗号化の有無、調査対象期間、確認するデータの種類、削除データの解析有無、緊急度、報告書の内容などによって必要な作業量が変わります。

JNSA（日本ネットワークセキュリティ協会）が2024年に公表した「インシデント損害額調査レポート 第2版」では、複数のインシデントレスポンス事業者へのヒアリング結果として、PCのフォレンジック料金には事業者ごとに大きな幅があり、PCとサーバー数台程度を対象とした初動対応とフォレンジック調査についても、概ね300万～400万円程度という例が紹介されています。

ただし、これはすべてのPCフォレンジック調査に適用できる一律の相場ではありません。PC1台のみの調査、対象期間や確認項目を限定した調査、大規模なインシデント調査などでは必要な費用は異なります。

調査期間についても、「PC1台なら何日」と一律に決めることはできません。データ取得に必要な時間、解析対象となるデータ量、調査内容、追加調査の有無、報告書の作成内容などによって変わります。

そのため、調査会社へ相談する際には、「何を明らかにしたいのか」を整理したうえで、調査対象、調査範囲、費用、想定期間、追加費用が発生する条件などを事前に確認することが重要です。

まとめ：PCフォレンジックでパソコンに残るデータから事実関係を確認しよう

PCには、ファイル操作、USBなどの外部記憶媒体の利用、プログラム実行、ログオン、ブラウザ利用など、さまざまなデータや操作痕跡が残っている場合があります。

PCフォレンジックでは、こうした情報を適切な方法で保全・解析し、複数の痕跡を関連付けることで、インシデント発生前後に何が起きていた可能性があるのかを客観的に整理します。

一方、PCフォレンジックを実施すれば、すべての操作や削除データを必ず特定・復元できるわけではありません。ログが取得されていない、データが上書きされている、SSDのTRIMや暗号化の影響を受けているなど、確認できる情報には限界があります。

また、法的手続きや社内処分を想定する場合でも、フォレンジック調査を実施したことだけで調査結果の法的評価が保証されるわけではありません。調査目的に応じて、法務担当者や弁護士などと連携しながら適切な手続きを検討することが重要です。

不審なPCを発見した場合には、自己判断で再起動、初期化、ファイル操作などを行う前に、現在の状態と発覚した事象を整理しましょう。ただし、マルウェア感染など被害が継続している場合には、被害拡大防止のための封じ込めを優先する必要があるケースもあります。

PCに残されたデータを今後の調査に利用する可能性がある場合には、証拠保全と被害拡大防止の両方を考慮しながら、自社のインシデント対応手順や必要に応じてフォレンジックの専門家と連携し、適切な調査につなげることが重要です。