フォレンジック調査の進め方は？依頼する前に触ってはいけない物を解説

フォレンジック調査は、自社で原因を調べ始めず、被害の広がりを止めて機器の状態を残したまま、専門の会社へ引き継いで進めます。発注者の仕事は解析ではありません。記録を消さないことと、何を明らかにしたいのかを決めることです。

今日やることは、紙1枚⁠の用意です。「触らない物」⁠と⁠、社長、担当者、外部の相談先の連絡先を書きます。事故の直後は社内のシステムが使えないこともあるので、紙で持っておきます。

依頼する前に、何を触ってはいけないのか？

IPAの中小企業のためのセキュリティインシデント対応の手引きの説明資料は、ネットワークの遮断や機器の隔離を挙げたうえで、電源を切るなどの不用意な操作で記録を消さないよう注意しています。IPAのプラクティス7-2も、ランサムウェアの被害で従業員が取る初動の例に「メールやファイルを削除しない」「PCの電源を切らない」⁠を挙げています。

具体的な扱いは、デジタル・フォレンジック研究会の証拠保全ガイドライン第8版⁠が詳しく書いています。発注者に関係する部分を整理すると、次のとおりです。

同じガイドラインは、ルータのログについて、内部の領域が一杯になると古いものから上書きされると説明しています。放っておいても消える記録があるので、依頼は早いほど残る物が多くなります。機器の設定変更や初期化も、相談してから決めます。

駆除ソフトを試す、不要なファイルを整理する、といった善意の操作も同じです。機器の中身が変わる可能性があるので、実行する前に窓口か調査会社に聞きます。

電源を切るのは、どんなときか？

電源を切らないのは原則であり、絶対ではありません。証拠保全ガイドライン第8版は、電源を入れ続けることで破壊などの明白な被害が広がる場合は、速やかに停止する必要があるとしています。通信だけを避けたい場合は、電源を入れたままネットワークから切り離す、という整理です。

JPCERT/CCの侵入型ランサムウェア攻撃を受けたら読むFAQ（2026年6月18日更新）⁠も⁠、切り離しを先に置いています。被害や侵害の可能性が確認されたシステムは、切り離せるものからすぐにネットワークから隔離するという内容です。まだ被害を受けていないバックアップは、上書きで消えないように切り離すことも検討します。

したがって、順番はこうなります。

1. 発見した人がネットワークから切り離す。電源には触らない
2. 責任者に連絡する
3. 責任者が、止めるかどうかを相談先の助言も聞いて決める

判断に迷ったら、IPAの不正アクセス特別相談窓口⁠に電話かメールで相談できます。不正アクセスの被害を受けている、またはその可能性がある企業や組織が対象で、電話は平日の受付です。不正アクセス以外の事案は、企業組織向けサイバーセキュリティ相談窓口⁠がメールで受けています。どちらも応急処置の助言や専門業者の一覧の紹介を行います。企業組織向けの窓口は、事案の調査や解析には対応していないと明記しています。

調査会社に渡すメモには何を書くのか？

調査会社が最初に知りたいのは、いつ、どの機器で、何が起きたかです。IPAの手引きの説明資料は、対応時に整理しておく事項として、発覚日時、発生事象、対応経過、想定される原因、被害を受けたシステムの状況、システムの構成を挙げています。

これに、証拠保全ガイドラインの内容から次の記録を足します。

• 画面に表示されていた内容の写真
• ケーブルの接続の写真と、機器の型番、製造番号
• その機器を使っていた人と管理している人
• 機器の時計のずれ（確かめられる場合だけ）
• 発見してから誰が何を操作したか

JPCERT/CCのインシデント対応マニュアルの作成についての資料も、責任の明確化、事後の分析、法的対応の備えのために、対応の記録をすべて残すよう求めています。紙のメモで構いません。

自社で調べると何が困るのか？

困るのは2つです。1つは、調べる操作で記録が変わることです。もう1つは、後から説明がつかなくなることです。

IPAの手引きの説明資料は、訴訟対応なども見越して、事実関係を裏付ける情報を保全し、必要に応じてフォレンジック調査を行うとしています。証拠保全ガイドラインでは、複製が元と同じであることの検証や、作業の写真、ビデオ、筆記の記録が工程に入っています。専用の機器と記録の手順があるから、後で第三者に「この調査結果は確かだ」⁠と説明できます。

社内の担当者が管理者の画面からログを見て回ると、結果が正しくても、その説明が難しくなります。担当者を守るためにも、調べる役は外に任せます。

どこに、何を伝えて依頼するのか？

入口として公的な資料が案内しているのは、JNSAのサイバーインシデント緊急対応企業一覧（2026年4月更新）⁠で⁠す⁠。会社ごとに受付時間と対応地域が載っていて、相談と見積もりが無償の会社も載っています。

経済産業省の基準への適合は、IPAの情報セキュリティサービス基準適合サービスリスト⁠で確かめられます。審査を行う日本セキュリティ監査協会にもデジタルフォレンジックサービスの台帳⁠があります。ただしIPAは、掲載がサービスの保証を意味するものではないとしています。事故の前に比べておくなら、インシデント対応・フォレンジックの比較で、窓口の時間と調査の範囲を見ておきます。

暗号化されたデータの復旧を別に頼む場合は、注意が要ります。5団体が公開したデータ被害時のベンダー選定チェックシートの発表資料は、「復旧率」⁠の解釈や費用、契約を巡るトラブルが増えていることを背景に挙げています。JPCERT/CCのFAQも、暗号化されたファイルの復号は一般に困難で、身代金は支払うべきではないとしています。

依頼のときに発注者が決めるのは、調査の目的です。

• 情報が外へ持ち出されたかを知りたいのか
• 侵入の経路を塞いで、再開したいのか
• 取引先や当局に説明する材料がほしいのか
• 訴訟や保険の手続きに使う可能性があるのか

全部を明らかにしようとすると、時間も費用も増えます。JPCERT/CCのFAQも、全容を明らかにする詳細な調査には時間がかかることが多く、ログが暗号化で使えない場合もあるとしています。一方で、復旧の前には侵入経路として考えられる原因に必ず対処するよう求めています。事業の再開を急ぐなら、経路の調査を優先するよう頼みます。

サイバー保険に入っている会社は、調査会社を決める前に保険の窓口へ連絡します。指定の会社や事前の承認が条件になっていないかは、契約の内容で確かめます。補償の違いはサイバー保険の比較⁠で見ておけます。

依頼のあと、調査はどう進むのか？

進め方は会社と事案で変わります。証拠保全ガイドラインの工程とIPAの手引きをもとに、発注者の目線で並べると次のようになります。

証拠保全ガイドラインは、現場で作業するときは依頼元の担当者が常駐するよう心がけることや、対象を起動せざるを得ないときはリスクを説明して同意を得ることを書いています。発注者は、説明を受けて判断する立場です。分からない点はその場で聞きます。

クラウドのデータは、手順が別になります。ガイドライン第8版にも外部サービスの証拠保全の章があり、研究会の公開資料のページでは第10版が公開されています。手元の版が古くないかは、ここで確かめられます。クラウドのメールやファイル共有を使っているなら、管理者のアカウントを誰が持っているかも調査会社に伝えます。

報告書では何を確かめるのか？

受け取ったら、次の点を確かめます。

• 分かったことと、分からなかったことが分かれているか
• ログが残っていなかった期間と機器が書かれているか
• 持ち出しについて、「無かった」⁠の⁠か「確認できなかった」⁠の⁠か
• 取引先への説明にそのまま使える部分はどこか

契約の面では、外部の専門組織へどこまで情報を開示するかも判断します。経済産業省のサイバー攻撃事案への対処のページは、情報共有のガイダンスや、秘密保持契約に盛り込む攻撃技術情報の扱いのモデル条文を案内しています。調査で得た攻撃の情報を他の組織と共有してよいか聞かれたときは、この資料が判断の材料になります。

個人データの漏えいのおそれがあれば、報告の期限は調査の完了を待ってくれません。期限と報告先の扱いは、インシデント対応マニュアルの作り方⁠に入れています。

製造業では何に気をつけるのか？

たとえば、図面をファイルサーバーに置き、工場に設備の保守業者が遠隔で入る回線がある部品メーカーの場合です。

JPCERT/CCのFAQは、代表的な侵入の方法を4つ挙げています。リモートアクセスの出入口、外部から接続できるシステムの脆弱性、システム運用保守サービスの回線、メールを起点にした感染です。保守の回線があるなら、調査会社に存在を伝えます。保守業者への連絡先もメモに入れます。

現場では、止まった機械の前で再起動を試みるのが日常の対応です。設備の不調とサイバー攻撃は、最初は区別がつきません。IPAの手引きの説明資料も、原因が分からないシステム停止は、セキュリティの問題の可能性も含めて対応するとしています。現場には「事務所のPCやサーバーで同時に異常が出ていたら、再起動の前に担当者へ電話する⁠」⁠と伝えておきます。

調査の目的も、図面を預かる立場では変わります。取引先が知りたいのは、自社の図面が持ち出されたかどうかです。図面を置いていたサーバーを優先の対象にするよう、最初に伝えます。

平時に何をしておくと調査が進むのか？

調査の材料は事故の前にしか貯められません。証拠保全ガイドラインは、ルータのログを別の機器へ転送することを、組織の規模にかかわらず推奨しています。ログをまとめて残す方法は、統合ログ管理ツールの製品比較⁠で確かめられます。

あとは担当者です。誰が電話を受け、誰が判断するのかを決めておかないと、この記事の手順は動きません。兼任の担当者が1年目に学ぶ順番は社内のセキュリティ人材の育て方に、運用全体はセキュリティ運用のカテゴリ⁠にまとめています。