フォレンジック調査の費用はいくら？台数と範囲で変わる見積もりの中身

フォレンジック調査の費用は、PCとサーバーが数台なら、初動対応と合わせて概ね300〜400万円というのが、JNSA（日本ネットワークセキュリティ協会⁠）⁠の調査で確かめられる目安です。感染が広がって調べる台数と範囲が増えると、数千万円以上になる例もあります。

今日やることは、2つです。社内のPCとサーバーの台数を確かめ、サイバー保険に入っているなら、調査費用が補償に入るか、調査会社に頼む前に保険会社へ連絡が要るかを保険証券で確かめてください。事故のあとに調べると、発注の順番を間違えることがあります。

費用の相場はどれくらいか？

公的な料金表はありません。よく使える数字は、JNSAのインシデント損害額調査レポート第2版⁠に載っている16社への聞き取りです。2024年⁠の資料で、見積もりの単位が会社ごとに違う点に注意してください。

ファスト・フォレンジックは、最低限のデータだけを抜き出して多くの台数を早く調べる方法です。

同じレポートは、調査対象は数台となることが多く、初動対応を合わせて概ね300〜400万円⁠と総括しています。感染の範囲が広がれば、数千万円以上にもなります。東京海上日動もサイバーリスク保険の案内ページで、端末1台あたり約100〜200万円×台数を想定額として示しています。

仮に、PC2台⁠とサーバー1台⁠を調べる場合を、この表の単価で計算してみます。

全体の負担は調査費だけでは終わりません。警察庁の令和7年の報告では、ランサムウェアの被害組織へのアンケートで、復旧に総額1,000万円以上⁠を要した組織が5割⁠を超え、調査費用と復旧費用の高額化も指摘されています。

台数と範囲で、なぜ費用が動くのか？

調査の費用は、ほぼ専門家の作業時間です。JNSAのレポートは、ログを専門家が長時間かけて分析するため、数週間以上かかることもあると説明しています。費用を動かす要素は次の5つです。

調べる台数：1台ずつ単価が掛かる見積もりなら、台数がそのまま金額に響きます。JNSAのレポートは、PCを全台調べる必要があるケースの手法としてファスト・フォレンジックを挙げています。JPCERT/CCの侵入型ランサムウェアのFAQも、詳細な調査には時間がかかることが多いとして、影響範囲から侵入経路をある程度推測して確かめる進め方を示しています。

調べる機器の種類：PCよりサーバーが高い会社が多いのは、表のとおりです。クラウドやネットワーク機器のログを追加すると、範囲はさらに広がります。

求める答え：「侵入経路を知りたい」⁠と「何が持ち出されたかを説明したい」⁠で⁠は⁠、作業が変わります。持ち出しの有無まで求めると、調査は深くなります。

報告書の用途：社内の判断に使うのか、取引先や個人情報保護委員会への説明に使うのかで、求める書き方が変わります。IPAのランサムウェア被害から学ぶ教訓集（2026年9月）では、聞き取りをしたほぼ全ての組織が調査結果をもとに関係者へ説明していました。JNSAの被害組織調査には、取引先などの要請で全端末を徹底調査し、対応全体で2,000万円以上かかった例も載っています。

残っている記録：ログが足りないと、調べても答えが出ない部分が残ります。作業が増えるのに結論が弱くなることもあります。普段のログ管理で何を残すかは、調査の質にも関わります。

たとえば、図面を預かる製造業の場合

たとえば、取引先の図面を預かる部品メーカーで、ファイルサーバーが暗号化され、PC約50台⁠のどこまで影響があるか分からない場合です。

全台を1台150万円⁠で詳しく調べると、計算上は7,500万円です。現実の進め方としては、サーバーと入口の機器を優先し、PCはファスト・フォレンジックで絞り、怪しい数台だけ詳しく調べる形を相談します。IPAの教訓集も、対象機器の全てに実施するのが難しければ、攻撃の起点と思われる機器を優先することを挙げています。例としてVPNとActive Directoryのログが想定されています。

このとき交渉の軸になるのは、取引先から何を聞かれるかです。図面の持ち出しの有無を答える必要があるなら、そこに必要な範囲を調査会社へ先に伝えます。範囲を決めずに「全部調べてください」⁠と頼むと、費用も期間も読みにくくなります。

見積もりでは何を確かめるのか？

依頼の前に、次の項目を文書で確かめます。

• 料金の単位：台数、週、時間のどれか。上限はあるか
• 初動対応は別料金か。夜間や休日の割増はあるか
• 追加の条件：対象の台数が増えたときの単価
• 調査の範囲：PC、サーバー、ネットワーク機器、クラウドのどこまでか
• 成果物：報告書の形式、社外に出せるか、説明会への同席はあるか
• 期間：速報と最終報告がそれぞれいつ出るか
• 復旧作業：調査に含まれるのか、別の会社に頼むのか

JNSAのレポートも、事業者ごとに内容と料金を十分に確認するよう求めています。IPAの教訓集は、調査でデータの持ち出しも含めた全ての活動が明らかになるわけではないと注意しています。見積もりの段階で、分からないまま残る可能性も聞いておいてください。

頼み先は、JNSAのサイバーインシデント緊急対応企業一覧と、IPAの情報セキュリティサービス基準適合サービスリスト⁠で探せます。どちらも掲載が品質を保証するものではありません。公式情報をもとにした窓口と範囲の違いは、インシデント対応・フォレンジックの比較で確かめられます。

調査費用は保険で出るのか？

出る商品はありますが、条件で結果が変わります。公開されている例として、東京海上日動の補償の説明では、セキュリティ事故の原因と被害範囲の調査、証拠保全の費用が補償の項目に入っています。攻撃のおそれが見つかった段階で、有無を判断するために支出する費用も項目にあります。

ただし、同じ説明に例外も書かれています。

• 結果的に攻撃がなかった場合、補償は外部通報で見つかった事象に限られる
• 情報漏えい限定補償プランでは、緊急対応費用は対象外

連絡の順番にも注意が要ります。契約時の注意では、緊急対応費用について、最初に発見した日の翌日から30日以内で、かつ費用を負担する前に連絡が必要とされています。連絡がない場合は、発見の翌日から30日以内⁠に生じた費用だけが対象です。

これは1社⁠の例で、ほかの会社や契約では違います。確かめる点は次のとおりです。

未加入で備えを考えるなら、サイバー保険の比較で各社の補償と窓口を見られます。保険に入っても、記録が残っていなければ調査自体が進みません。統合ログ管理ツールの比較とあわせて、平時の準備を点検してください。

事故の初めに担当者が見る場所はパソコンのログの確認方法⁠、公式発表から見た初動はインシデントの事例の記事⁠にまとめています。社内で回す仕組みは監視・運用・社内体制のカテゴリ⁠で扱っています。