フォレンジック調査とは、パソコンやサーバー、ネットワーク機器などの記録を正確に保全し、分析して、事故で何が起きたかを明らかにする調査のことです。取引先や顧客、当局に事実を説明する必要がある事故で頼みます。ただし、残っていない記録からは確かなことが言えません。
今日やることは、頼み先の候補を2社控えて、サイバー保険に入っているかを確かめることです。保険証券があれば、調査費用が補償の対象か、事故のとき最初にどこへ連絡するかも見ておきます。事故が起きてから探すと、比べる時間がありません。
フォレンジック調査では何をするのか？
デジタル・フォレンジック研究会の証拠保全ガイドライン第10版（2025年3月）は、デジタル・フォレンジックを次のように説明しています。機器上の記録を確実かつ正確に、あるがまま収集・取得して保全し、それを基盤に分析・解析を行い、法的紛争やトラブルでの適正な立証に資するものです。
作業は大きく2つに分かれます。
- 保全：記録を変えないように写し取る。誰がいつ扱ったかも記録する
- 分析：写しを調べて、起きたことを時系列にする
IPAのインシデント対応の手引きは、調査の対象としてハードディスク、メモリ内のデータ、サーバーやネットワーク機器のログを挙げています。ウイルス駆除やデータの復元とは別の仕事で、目的は「元に戻すこと」ではなく「事実を確かめること」です。
何がわかり、何はわからないのか？
調査で問うのは、主に次のような点です。答えが出るかどうかは、残っている記録で決まります。
| 問い |
手がかりになる記録 |
答えが出にくい場合 |
| いつ、どこから入られたか |
VPN機器や認証のログ |
ログの保存期間を過ぎている |
| どの機器まで広がったか |
端末とサーバーの痕跡 |
再インストールで消した |
| 何が持ち出された可能性があるか |
通信やファイル操作の記録 |
通信の記録を残していない |
| 今も入られたままか |
不審なアカウントやプログラム |
調査していない機器がある |
警察庁の令和8年上半期の報告は、ランサムウェア攻撃の代表的な流れの最後に、ログや使用したツールなどの痕跡の消去を挙げています。そのため、調査を頼めば必ず全容がわかるとは言えません。
「漏れていない」は言い切れないことがある
記録が無い部分について、調査会社は「漏えいはなかった」と言い切れません。報告書には「確認できる範囲では、痕跡は見つからなかった」といった表現になる場合があります。社長がこの違いを理解しておくと、取引先への説明で言い過ぎずに済みます。
調査でわからないものはほかにもあります。攻撃者が誰なのか、持ち出されたデータがこの先どう使われるのかは、自社の機器の記録だけでは判断しにくい点です。
事故のあと、どの順番で動くのか？
IPAの手引きが示す流れに、調査の位置を重ねると次のようになります。
1. 切り離し、記録を残す
感染が疑われる機器は使うのをやめ、ネットワークから切り離します。警察庁は令和7年の報告で、慌てて電源を切ると侵入の痕跡が失われ、調査が困難になる可能性があると注意しています。
ただし、電源を切らないことが常に正解ではありません。証拠保全ガイドラインは、電源の供給を続けると明白な被害の拡大やそのおそれがある場合、速やかに停止する必要があるとしています。迷ったら、次の相談先に聞きます。
画面の写真、発見した時刻、発見した人、それまでに行った操作をメモします。ガイドラインが想定する「ファースト・レスポンダ」は、専門の技能を持つとは限らない、引き継ぎのために保全に関わる担当者です。専門家でなくても、これは担えます。
2. 相談する
IPAの企業組織向けサイバーセキュリティ相談窓口や、警察のサイバー事案の窓口に相談します。保険に入っていれば、保険会社への連絡もこの段階です。誰が連絡するかは、専任なしで作るCSIRTの役割分担の中で決めておきます。
3. 調査を頼むか決める
頼むかどうかは社長が決めます。復旧を急ぐ現場と、記録を残したい調査は、ぶつかることがあります。特に、機器の初期化やバックアップからの復元は、痕跡を消す場合があります。調査が要りそうなら、復元の前に調査会社に確かめます。
4. 報告する
個人データの漏えいについては、個人情報保護委員会への報告が必要な場合があります。同委員会の案内では、報告対象は次の4類型です。要配慮個人情報を含むもの、財産的被害のおそれがあるもの、不正の目的によるおそれがあるもの、1,000人を超えるものです。
速報は事態を知ってからおおむね3〜5日以内、確報は30日以内、不正の目的によるおそれがある場合は60日以内とされています。調査結果を待ってから速報を出すのでは間に合わないことがあります。なお、個人情報保護法は令和8年に改正され、政令と規則の整備が進んでいます。実際の報告の前に、委員会の最新のページで確かめてください。
どんな場面で調査を頼むのか？
全部の事故で頼む必要はありません。1台のパソコンが感染し、外との通信も、重要な情報の保存もなかったとわかる場合は、ウイルス対策の範囲で片づくこともあります。次のような場面では、外部の調査を検討します。私たちの整理で、法律上の基準ではありません。
- 個人情報や取引先から預かった情報が漏れた疑いがある
- サーバーや複数の機器に被害が広がっている
- 原因がわからず、復旧しても再び入られるおそれがある
- 取引先や親会社から、調査結果の提出を求められた
- 訴訟や損害賠償に発展する可能性がある
- 社員や委託先の不正が疑われる
製造業なら、預かった図面の扱いが論点になります。たとえば、自動車部品の加工会社で図面サーバーが暗号化された場合を考えます。納入先は、図面が外に出たかどうかを知りたがります。自社の説明だけでは足りず、第三者の調査結果を求められることもあります。契約で報告義務や秘密保持の定めがあるなら、調査会社に頼む前にそれを読み直します。
誰に頼むのか？
頼み先を探す公的な一覧が2つあります。
図鑑のフォレンジック調査サービスの比較でも、候補を並べて確かめられます。問い合わせでは次を聞きます。
- 受付の時間帯と、着手までの目安
- 調査の範囲と費用の決まり方。追加料金が出る条件
- 現地へ来るか、機器を送るのか
- 報告書の形式。取引先や当局への説明に使える内容か
- 復旧の支援も頼めるか、別の会社になるか
費用はどう備えるか
費用は台数や範囲で変わります。確かな公開の相場は見つからなかったので、ここには書きません。複数社に、同じ条件で見積もりを取るのが確実です。
目安として参考になるのは、日本損害保険協会の想定損害額の例です。社員10人、年間売上3億円の小売業で、不正アクセスにより1万名分の会員情報が漏えいした場合の例に、事故原因調査費用300万円が入っています。あくまで協会が示した想定で、実際の額を示すものではありません。
警察庁の令和8年上半期の報告でも、調査と復旧に総額1,000万円以上を要した組織は全体の6割を占めています。これは調査費だけの数字ではありません。保険で備える場合は、サイバー保険の比較で、調査費用の補償と指定の調査会社の有無を確かめます。
平時に何を残しておくと調査が進むのか？
調査の成否は、事故の前に決まる部分があります。効くのは、ログを機器の外に残しておくことと、機器の一覧を持っておくことです。証拠保全ガイドラインも、初動と証拠保全の経緯を時系列で記録する方法を事前に整えるよう挙げています。
ログの置き場所はログ管理製品の比較で確かめられます。ログを関連づけて監視する仕組みは、SIEMが自社に要るかの判断で説明しました。
監視や運用の全体像は、監視・運用・社内体制のカテゴリにまとめています。
