フォレンジックとは？

01フォレンジックでできること・できないこと

フォレンジック（デジタル・フォレンジック）は、事故のあとにパソコンやサーバー、記録を調べ、何が起きたかを明らかにすることです。経済産業省の「情報セキュリティサービス基準」は、不正使用、サービス妨害、データの破壊、意図しない情報の開示などへの対応や法的な紛争の際に、電磁的記録の証拠保全・調査・分析を行う一連の科学的な調査手法と技術、と定義しています。

調べて分かることの例は次のとおりです。

• いつ、どこから入られたか（侵入経路）
• どの機器やアカウントが使われたか（被害の範囲）
• 情報が外に持ち出されたか、どれだけか

できないこともあります。記録が残っていなければ調べようがありません。JPCERT/CCは、ランサムウェアの場合、調査に必要なログ自体が暗号化されて使えないことがあるとしています。その場合は、侵入経路になりやすい場所（VPN機器など）から優先して調べます。

02どんな会社に必要か

• 個人データが漏れたおそれがあり、個人情報保護委員会への報告で原因や人数を書く必要がある
• 取引先や顧客に、何が起きたかを説明しなければならない
• ランサムウェアの被害から、侵入経路を塞いだうえで復旧したい
• 社員による持ち出しなど、法的な対応が考えられる

03選ぶとき・頼むときに見ること

• IPAの基準適合リストに載っているか。リストには「デジタルフォレンジック」の区分があります。依頼したいサービスがその区分で登録されているかを確かめます。
• 調査の対象。基準では、機器や記録デバイスの調査と、それに付随する訴訟支援・電子証拠開示（eディスカバリ）などがサービスとして挙げられています。
• すぐ来てもらえるか。平日の昼だけか、夜間や休日も動けるか。
• 報告書の中身。監督官庁や取引先に出せる形でまとめてもらえるか。

依頼先は事故対応・フォレンジックの一覧から探せます。

04頼む前に会社がすること

手がかりを消さないことが一番です。警察庁は、感染したパソコンはネットワークから切り離し、電源は落とさないよう案内しています。初期化や再インストールはしません。ログイン履歴やアクセスログは保存・印刷して残します。

平時には、ログを残す設定と保存期間を決めておきます。費用は調べる台数や範囲で大きく変わるため、サイバー保険で調査費用がどこまで出るかも確かめておきます。