フォレンジック調査は、コンピュータ上の情報を分析し、どのようなセキュリティ被害が起きているのかを把握するのに有効な手法です。

情報漏えいの有無を特定することに加え、再発防止のためのセキュリティ対策を行うのにもフォレンジック調査は有効で、デジタルデバイスの急速な普及にともない、フォレンジック調査の需要は年々急増しています。

しかし、現状として、フォレンジック調査が具体的にどのようなものかについて認知が進んでいるとは、言い難い状況です。

そこで、今回はフォレンジック調査の手順や実施時の注意点をいくつかご紹介します。フォレンジック調査のやり方を知ることで、適切な対応を実践しましょう。

フォレンジック調査とは

フォレンジック調査とは、パソコンやスマートフォンなどデジタル端末を調査し、そこからインシデントを究明、ないし解決するため、電子的証拠を収集する手法です。

フォレンジック調査では、特殊なツールを用いることで、削除データも検出・復元することができるため、警察・検察でも事件の詳細を明らかにするのに使われています。

フォレンジック調査で取り出せる証拠データとしては次のものがあります。

• パソコンの基本情報の調査
• 最近開いたファイルに関する履歴の確認
• 外部への情報流出履歴の確認
• インターネットおよび社内サーバへのアクセス履歴の確認
• プログラムの実行履歴の確認
• 削除したファイルの調査
• 指定キーワードによる検索
• パソコン内の全ファイルリスト
• 特定ブラウザの調査
• Office文書のプロパティ情報の調査

また近年はデジタル機器の普及と、サイバー攻撃件数の指数関数的な増大にともない、一般企業でもフォレンジック調査が頻繁に使われるようになりました。

警察庁によれば、サイバー攻撃による国内での被害件数も、2021年時点で前年比85％まで急増、サイバー犯罪の検挙件数は1万2209件と過去最多を更新し続けており、あらかじめ情報を扱う企業は、最悪の事態に備えて、フォレンジック調査に依頼する流れを確立しておくことが急務となっています。

フォレンジックの種類とは

フォレンジック調査には、次のような種類があります。

• コンピュータフォレンジック：パソコンやサーバー、HDD（ハードディスク）やUSBメモリから収集されたデータを分析・調査する技術です。
• モバイルフォレンジック：携帯電話やタブレットなどのモバイルデバイスから収集されたデータを分析するためのテクニックです。これには、通話履歴、SMSやMMSの記録、アプリケーションの使用記録、位置情報などが含まれます。
• ネットワークフォレンジック：ネットワーク上の状況を調査し、その状況から、インシデントの発生原因やセキュリティ被害を究明する技術です。
• ファストフォレンジック：数百から数千の複数のデバイスから必要最低限のデータを抽出し、一括で調査することで、インシデントを起こした端末を特定するアプローチです。

適切なインシデント対応を行わない企業には、重いペナルティが

フォレンジック調査の需要は個人・法人を問わず、年々急増しています。その背景には、デジタルデータの管理にまつわるセキュリティ体制を定めたガイドラインの策定を国が積極的に推し進めたことや、法改正による罰則強化も大いに関係しています。

例えば、個人情報を取り扱う企業は、個人情報の漏えいなどが発生した場合には、速やかに事態を把握し、その経過や結果を個人情報保護委員会に届け出る義務があります。またデータ漏えいを防止するためにも、インシデントを適切に調査した上で、必要かつ適切な措置を講じる義務があります。

また2022年には「改正個人情報保護法」が施行され、適切なインシデント対応を行わない企業には、重いペナルティが課せられるようになりました。たとえば個人情報保護法に違反した場合、罰金や措置命令、個人情報保護などに違反したと認められる行為を行った者（経営者や役員など）に対する個人的措置（罰金や懲役など）が行われる可能性もあります。

※1　データ復旧専門業者とは、自社及び関連会社の製品以外の製品のみを対象に保守及び修理等サービスのうちデータ復旧サービスを専門としてサービス提供している企業のこと
第三者機関による、データ復旧サービスでの売上の調査結果に基づく。（集計期間：2007年～2020年）
※2　累計ご相談件数32,377件を突破（期間：2016年9月1日～）

フォレンジック調査の手順

デジタル・フォレンジック調査の手順や流れは次のようになります。

1. ヒアリング
2. デジタル機器の保全
3. 解析・分析
4. データの復元
5. 調査結果の報告

①ヒアリング

フォレンジック調査では、全体の状況を把握あし、正確な処理を行うため、まずは被害状況などのヒアリングを行います。これにより調査の方向性で齟齬が生じないようにコンセンサスを図ります。

②デジタル機器の保全

フォレンジックの証拠保全とは、コンピューターやネットワーク上に存在するデータを収集し、証拠として証明する「法的に正しいプロセス」を指します。フォレンジックの証拠保全は、司法機関、法務機関、警察機関など法執行機関で広く活用されています。

デジタル機器の保全は、デジタルフォレンジック調査において非常に重要なステップです。なぜなら通話履歴やアクセスログ、そしてアプリケーションの操作履歴などは、端末を操作しただけで書き換わってしまうからです。

仮にデータが書き換わると正確な調査が出来ず、法廷機関にも証拠用データが提出できなくなってしまいます。一方、フォレンジック専門技術では、特殊なツールを用いてクローン機器を作成し、オリジナルデータを確保した上で調査をおこなうことが可能となっています。

③解析・分析

解析・分析作業では、ウイルスやハッキングの経路や被害規模を明らかにします。これによりインシデントがどのように起こったのかを特定し、セキュリティ上の脆弱性を発見することで、今後のリスクマネジメントに活かすこともできます。

なお、ログやパケットデータの解析を個人で特定することは困難ですが、フォレンジック調査では、適切な手続きで正確に情報を割り出し、解析することが可能です。

④データの復元

フォレンジック調査では、データ復元を行うことが多くあります。なぜなら、企業内の不正行為などでは、しばしば当事者が証拠隠滅を目論み、データを削除するなどの悪事を働いているからです。そのため、フォレンジック調査では、データ削除や改ざんの有無を把握したうえで、特殊なツールや専門技術を用いて、データ復旧を行っています。

しかし、デジタル機器、とくにメモリ機器からのデータ復旧は難易度が高く、規模が小さいフォレンジック調査の専門業者では対応が難しいことも多いです。そのため、フォレンジック調査に依頼する際は、調査対象の端末の状況を確認したうえで、データ復旧の技術力がある業者に依頼することが重要となっています。

なお、当社のデータ復旧サービスは14年連続国内売上トップクラス（※）。東京都経営革新優秀賞も受賞し、累計データ復旧相談数は41万件を突破しています。

（※）データ復旧専門業者とは、自社及び関連会社の製品以外の製品のみを対象に保守及び修理等サービスのうちデータ復旧サービスを専門としてサービス提供している企業のこと、 第三者機関による、データ復旧サービスでの売上の調査結果に基づく。（集計期間：2007年～2020年）

⑤調査結果の報告

最終的に、調査結果の詳細はレポートにまとめ、提出されます。当社のレポートは法廷利用可能な資料として扱うことが可能です。

フォレンジック調査を実施しなければならないケース

フォレンジック調査を実施しなければならない代表的なケースは次の通りです。

社内不正による情報持ち出し、不正会計が疑われる場合

デジタルフォレンジック調査を実施しなければならないケースとして、社内不正による情報持ち出し、不正会計が疑われる場合を挙げることが出来ます。

これらのケースでは、デジタルフォレンジック調査を行うことで、削除されたデータ、たとえば「インターネット閲覧履歴」や「プログラムの実行履歴」なども確認できます。

これにより不正な情報の流出先を特定したり、不正な会計処理を行った者を特定したり、不正行為を行った時期を推定したりすることが可能になります。

マルウェア感染による情報漏えいが疑われる場合

マルウェア感染による情報漏えいが疑われる場合にも、デジタルフォレンジックは有効です。

マルウェア感染による情報漏えいが疑われる場合、まず最初に、そのマルウェアがどのようにシステムやネットワークに侵入し、どのような情報が、どのような経路で漏えいしたかを調査することがマストとなります。少なくとも、フォレンジック調査で生じた被害全容を把握することにより、生じた損害を最小限に抑えることができます。

また、これにより今後、同様の事象が再発しないよう対策を講じることもできます。

＼PC・スマホ等の解析ならDDF　24時間365日受付／

フォレンジック調査を実施する際の注意点

ここでは、フォレンジック調査を実施する際の注意点を以下3点ご説明いたします。

• フォレンジックの内製化は困難
• 全プロセスを記録・証明する必要がある
• 調査の目的を明確化

フォレンジックの内製化は困難

フォレンジック調査では、ハードウェアやソフトウェアの解析、ネットワークトラフィックの解析、データベースの解析、電子メールの解析など、様々な分析手法が用いられます。

要するに、フォレンジック調査では専門的な技術が必要不可欠であり、調査にかかる手間が大きいため、一般企業で「フォレンジックを内製化すること」は、難しいとされています。

また、フォレンジック調査では、調査結果の信頼性を確保したうえで、さらに調査のプロセスが正当なものであることを証明しなくてはなりません。

全プロセスを記録・証明する必要がある

デジタルフォレンジックの調査プロセスでは、証拠の収集、分析、検証までの全プロセスを体系的に記録しなくてはなりません。ゆえにフォレンジックの専門知識を持たない場合、プロセスの記録が不正確になりやすく、法的機関で立証できるような証拠能力を失ったり、あるいはハッキングなどサイバー攻撃の被害経路を見失う恐れがあります。

調査の目的を明確化

フォレンジック調査の目的を明確化していない状況で調査をおこなうと、混乱を招く恐れが高いです。具体的には、どのようなデータを、どのように取り出すべきかを決定できず、貴重な時間が無駄になる可能性があります。また、目的を明確化していない場合、収集したデータを有効活用することが難しくなり、望んだ結果には至らない可能性があります。

そのため、フォレンジック調査を行う前に、調査の目的を明確化する必要があります。

フォレンジック調査を依頼するメリット

フォレンジック調査を依頼するメリットとしては、次のものを挙げることが出来ます。

• メリット1 ：証拠データを正しい手続きで保全可能
• メリット2：マルウェア感染の有無、窃取された情報などセキュリティインシデントの早急な究明が行える
• メリット3：あわせて脆弱性を診断し、再発防止が可能
• メリット4：行政機関に提出できる報告書を作成可能

メリット1 ：証拠データを正しい手続きで保全可能

電子データは容易に変化するため、正しい手順のもと、解析/分析を行わないと、データが意図しない形で変更されてしまい、データの信頼性は損なわれてしまいます。

一方、フォレンジック調査では、専門のエンジニアが正確な手続きを踏まえるため、調査の前後でデータが変わることはありません。そうすることによって、収集した証拠が法執行機関や行政機関でも信用されるようになります。

メリット2：不審な端末の早急な究明および解析が行える

大規模なサイバー攻撃を受けた場合、調査対象端末が増えがちです。中小企業のフォレンジック調査でも、大量のデータを処理する必要があり、調査に時間を要しがちです。

インシデント発生時、一つ一つのデバイスを深く調査すると、企業の業務運営にも大きく支障が生じる可能性があるため、この場合、数百から数千の複数のデバイスを一括で調査する「ファスト・フォレンジック」というアプローチを用います。

これは多数のコンピュータ・サーバーから、調査に必要な部分のみを迅速に取得する方法であり、インシデントの発生源となったデジタル端末を素早く特定することができます。

ファスト・フォレンジックで調査対象端末を絞り込んだ後は、それに「ディープフォレンジック」による解析をかけることで、より詳細なインシデント調査を行うことが可能です。

メリット3：あわせて脆弱性を診断し、再発防止が可能

フォレンジック業者では、どのような情報が、どのような経路で、どのように抜き取られたかを詳細に調査することが可能です。

もしマルウェアに感染していた場合、他の機器にも感染が拡大していないか、二次感染被害を調査する必要がありますが、フォレンジック調査ではマルウェア感染・情報流出の原因となる脆弱性を並行して診断できます。

インシデントの原因を、自力で調査した場合、通常、原因の絞り込みが難しいことも多いのですが、フォレンジック調査ではインシデント原因を特定する検証作業に秀でており、再発防止策の策定までスムーズに行うことが可能となっています。

メリット4：行政機関に提出できる報告書を作成可能

解析元となるデータは、数字の羅列にすぎず、それをそのまま提出しても専門知識を持たない人間からしたら理解不能な代物でしかありません。一方、フォレンジック調査では、裁判資料としても法廷に提出可能な調査報告書を作成でき、複雑なログやデータの羅列を分かりやすく体系化することが可能です。

フォレンジック調査会社への相談方法

インシデントが発生した際、フォレンジック調査を行うかまだ決定していない段階であっても、一度専門会社へ相談するのをおすすめします。

なぜなら専門的なノウハウを持たない中で自社調査を行っても、正確な実態把握ができなかったり、証拠となるデータが故意に改ざん・削除されている可能性も想定されるからです。

とくに取引先や行政等へ報告が必要な場合、 自社調査だけでは信憑性が疑われ、場合によってはさらなる信用失墜につながる危険性があります。

調査の実施が未確定の場合でも、今後のプロセスを整理するためには、まずは実績のある専門会社へ相談しましょう。

＼24時間365日 相談受付／

フォレンジック調査の流れ

フォレンジック調査会社へ相談・依頼する際は以下のような流れで行います。なお、当社では作業内容のご提案とお見積りのご提示まで無料でご案内しております。