フォレンジック調査とは？流れ・費用の実態と報告期限までを実務目線で解説

フォレンジック調査とは、パソコンやサーバー、ネットワーク機器に残るデータを、後から証拠として通用する形で保全し、何が起きたのかを立証する調査です。不正アクセスやランサムウェア被害が起きた企業は、復旧作業と並行して「侵入経路はどこか」「どの範囲まで影響したか」「個人情報は持ち出されたか」を確定させなければなりません。この3点が決まらない限り、監督官庁への報告も取引先への説明も書けないからです。この記事では、調査の流れ、警察庁が公表した調査費用の実額分布、個人情報保護法が定める報告期限と調査期間のずれ、そして警察と民間調査の役割分担を、公的な一次資料の数値にもとづいて整理します。

まとめ：フォレンジック調査で判断を迫られる3つの論点

フォレンジック調査は、事故が起きてから技術力で挽回できる作業ではありません。証拠が残っていなければ調べようがなく、警察庁の集計では、ランサムウェア被害企業102件のうちログを「全て保全」できていたのは25件にとどまります。調査の成否は、平時のログ設計と発生直後の初動で大半が決まります。

そのうえで、被害企業が実際に判断を迫られる論点は3つです。第一に費用で、警察庁が集計した調査費用の総額は89件中46件が1,000万円以上に達しており、数十万円で収まる前提の予算組みは実態と合いません。第二に期限で、個人情報保護法の確報は原則30日以内である一方、復旧に1か月以上を要した事案は珍しくなく、調査完了を待って報告する進め方は破綻します。第三に体制で、警察への被害申告は刑事責任の追及には必要ですが、自社が負う説明責任を肩代わりするものではありません。以降、この3点を判断できるだけの前提を順に示します。

フォレンジック調査の定義と、証拠として通用させるための条件

フォレンジック調査は、データ復旧やログの目視確認とは目的が異なります。復旧の目的は業務を再開できる状態に戻すことですが、フォレンジック調査の目的は、第三者に対して事実を立証できる状態を作ることです。この違いが、作業手順の厳格さと費用の水準を決めています。

調査が答えるべき三つの問い：侵入経路・影響範囲・持ち出しの有無

侵入経路が分からなければ塞ぐべき穴を特定できず、影響範囲が分からなければ復旧の対象を切れず、持ち出しの有無が分からなければ個人情報保護委員会への報告内容も本人通知の要否も決まりません。逆に、この3つに答えるためのデータが残っていなければ、どれだけ高額な調査を発注しても結論は「痕跡が確認できなかった」で止まります。

デジタルフォレンジックとの呼び分けと、この記事が扱う範囲

「フォレンジック」は本来、指紋鑑定や法医学を含む法科学全般を指す言葉で、そのうちデジタル機器を対象とする領域がデジタルフォレンジックです。企業のセキュリティ文脈では「フォレンジック調査」も同じ対象を指しており、実務上の使い分けはほとんどありません。対象別の種類の全体像はデジタルフォレンジックとは？種類・調査の流れと企業が平時に備えることで扱っているため、この記事は事案が起きた後に動く調査の実務と、費用・期限・関係機関の判断に絞ります。

原本を壊さない原則：ビットレベルの複製とハッシュ値による同一性の証明

証拠として通用させるための技術的な条件は、国際的にほぼ共通しています。RFC 3227（Guidelines for Evidence Collection and Archiving、2002年2月）が挙げる証拠収集の原則は、データの変更を最小限にとどめること、記録媒体のビットレベルの複製を作ること、日時を含む詳細な記録を残すこと。ISO/IEC 27037:2012も、デジタル証拠の識別・収集・取得・保存の手続きを定めた国際規格として同じ立場に立ちます。

実務では、対象ディスクを書き込み防止装置を介して複製し、複製前後のハッシュ値が一致することをもって「原本と同一である」と示します。解析はこの複製に対して行い、原本には触れません。感染が疑われる端末を担当者が起動して中を確認する行為は、この原則を真正面から破ります。アクセス日時は書き換わり、一時ファイルは上書きされ、証拠としての価値が落ちます。

フォレンジック調査の流れ：NIST SP 800-86の4工程

調査の進め方は、米国国立標準技術研究所のNIST SP 800-86（Guide to Integrating Forensic Techniques into Incident Response、2006年8月）が示す収集（Collection）・精査（Examination）・解析（Analysis）・報告（Reporting）の4工程が事実上の共通言語になっています。ベンダーの提案書もおおむねこの区分に沿っているため、見積もりを読み解く枠組みとして使えます。

収集：揮発性の高いデータから順に取る

収集で守るべき順序も、RFC 3227が明示しています。揮発性の高い順に、レジスタとキャッシュ、ルーティングテーブル・ARPキャッシュ・プロセステーブル・カーネル統計・メモリ、一時ファイルシステム、ディスク、当該システムに関係するリモートのログおよび監視データ、物理構成とネットワーク構成、アーカイブ媒体、という並びです。この順序が意味するのは、電源を落とした瞬間に上位の情報が消えるということです。

そのため、感染端末を発見したときの正解は「シャットダウンする」ではありません。ネットワークから隔離して通信を止めつつ、通電状態を保ったまま専門家の指示を仰ぐ、が原則です。ただし暗号化が進行中で被害が拡大している場合など、揮発性データより被害停止を優先すべき局面もあります。この判断は事前に社内で決めておく類のもので、発生後に協議していると、どちらの選択肢も手遅れになります。

精査と解析：断片を突き合わせて時系列を復元する

精査は収集したデータから関係する痕跡を抽出する工程、解析はそれを突き合わせて何が起きたかを再構成する工程です。実際の作業は、認証ログの成功記録、プロセスの実行履歴、ファイルのタイムスタンプ、外部通信の宛先といった断片を時刻でつなぎ、侵入から権限昇格、横展開、データ持ち出しまでの筋道を組み立てる作業になります。ここで避けるべきは、単一のログだけで結論を出すことです。複数の独立したデータ源が同じ時刻に同じ事象を示して初めて、証拠としての強度が担保されます。

報告：報告書の用途によって必要な粒度が変わる

報告書は用途で書き分けが必要です。社内の再発防止に使うだけなら技術的な事実関係で足りますが、個人情報保護委員会への報告に使うなら、漏えいした個人データの項目と本人の数、原因、二次被害のおそれといった報告事項に対応する記述が要ります。訴訟や刑事手続で使う可能性があるなら、証拠の取得手順と保管の連鎖まで記載できる水準が必要です。見積もり段階で用途を伝えていないと、必要な水準に届かない報告書が納品され、追加費用で作り直すことになります。

調査対象ごとに分かること：ディスク・メモリ・ログ・クラウド

フォレンジック調査で「解析」と呼ばれる作業の中身は、対象とするデータの種類によってまったく異なります。どこに何が残るかを把握しておくと、被害発生時にどのデータを優先して保全すべきかを自分で判断できます。

ディスク：削除済みファイルの痕跡とタイムスタンプ

ディスクの解析では、削除されたファイルの残骸、ファイルシステムが保持する時刻情報、アプリケーションが残す実行履歴などを扱います。WindowsのNTFSであれば、マスターファイルテーブル（$MFT）の各レコードが作成・更新・アクセスなどの時刻を複数系統で保持しており、片方だけが改ざんされている状態が痕跡になることもあります。ファイルを削除しても管理情報が消えるだけで実データが残っている場合があり、そこが復元の手がかりです。退職者による情報持ち出しの調査でも主役になる領域です。

メモリ：電源を切ると失われる情報と、取得の判断

メモリ上にしか存在しないデータには、実行中のプロセス、確立中のネットワーク接続、復号された状態の文字列などがあります。ディスクにファイルを書かずメモリ上だけで動作する攻撃手法では、メモリを取得しなければ痕跡そのものが得られません。取得は専用ツールで対象機の物理メモリをダンプする作業で、Windowsでは市販・無償のイメージング系ツール、LinuxではLiMEやAVMLといったカーネルモジュール型の取得手段が使われ、解析にはVolatility 3のようなメモリ解析フレームワークが用いられます。

判断が難しいのは、取得作業そのものが対象機の状態を変える点です。ツールを実行すればメモリ内容は一部書き換わり、ネットワーク経由で転送すれば通信の痕跡も増えます。それでも取得する価値があるのは、失われる情報のほうが大きいと見込める場合に限られます。だからこそ、実行者・時刻・使用ツールとバージョンを記録に残すことが、後で証拠の信頼性を説明する材料になります。

ログ：侵入経路の大半はVPN機器とリモートデスクトップ

ログは、侵入経路を特定する主たる材料です。警察庁が令和7年のランサムウェア被害について感染経路を集計した92件では、VPN機器が61件、リモートデスクトップが19件で、この2つが8割を超えます。不審メールやその添付ファイルは2件、その他が10件でした。つまり調査の初期にまず確認すべきは、外部公開されている認証点のログです。同じ集計で、侵入経路とされた機器のセキュリティパッチ適用状況は、未適用のパッチがあったものが40件、最新のパッチを適用済みだったものが31件でした。

クラウド：証拠保全ガイドライン第10版が扱う論点

クラウド上のデータは、事業者側の管理範囲にあるため自社でディスクを複製できません。デジタル・フォレンジック研究会が2025年3月に公開した「証拠保全ガイドライン 第10版」は、第9章「クラウドサービス」を設け、役割分担、クラウドサービスにおける証拠、証拠管理の考慮点、データ保全へのクラウドサービスの活用という4つの節を立てています。実務上の要点は、取得できるログの範囲と保存期間が契約プランで決まる点です。事故が起きてから「監査ログのプランに入っていなかった」と判明する事態は、契約時にしか防げません。

フォレンジック調査の費用：警察庁統計に見る総額の分布

費用は「対象台数と調査範囲によります」と説明されることが多く、発注側は相場をつかめないまま見積もりを受け取ることになります。ここでは推定値ではなく、警察庁が令和7年のランサムウェア被害企業から回答を得た「調査費用の総額」の実分布を示します。回答数は89件です。

出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編126ページ（構成比は件数から算出）

1,000万円以上が約半数という水準の読み方

1,000万円以上と回答したのは46件で、全体の約52%です。この数字は、ランサムウェア被害という比較的規模の大きい事案に限った集計である点に注意が必要で、退職者1名のパソコン1台を調べる調査がこの水準になるわけではありません。それでも、全社的な被害が起きた場合の調査費用は数百万円では収まらないという前提で、サイバー保険の補償範囲や緊急時の決裁ルートを平時に確認しておく根拠にはなります。

費用を押し上げる主因は、対象台数よりログの欠損

同じ統計には、復旧期間と費用の関係も構成比で示されています。復旧に2か月以上を要した事案では、費用が1,000万円未満だった回答は構成比ゼロで、1,000万円以上5,000万円未満と1億円以上が50%ずつでした。一方、即時から1週間未満で復旧した事案では、100万円未満が32%、100万円以上500万円未満が36%と、あわせて約7割を占めます。長期化と高額化はほぼ連動します。

長期化の主因は、調べる範囲の広さよりも、必要なログが欠けていて経路を特定できないことにあります。台数は工数に比例するだけですが、ログ欠損は仮説を1つずつ潰す作業を発生させ、工数を跳ね上げます。

調査会社を選ぶときに照合する4条件

ベンダー選定の段階では、金額の総額よりも前提条件を照合するほうが有効です。照合すべきは、対象台数と対象データの範囲、保全のみか解析まで含むか、報告書がどの用途に耐える水準か、追加費用が発生する条件の4つ。とくに「保全のみ」の見積もりを解析込みと誤読すると、後から数百万円単位の追加が発生します。予備調査で被害の概況を把握し、その結果を見て本調査の範囲を決める段階契約は、初動を止めずに費用の見通しを立てる現実的な方法です。緊急対応の受付体制が24時間かどうかも、発生が夜間・休日に偏る以上は確認しておく条件になります。

報告期限の壁：確報30日・不正目的なら60日と調査期間のずれ

フォレンジック調査のスケジュールを縛るのは、技術的な作業量ではなく法定の報告期限です。ここを理解していないと、調査完了を待つうちに期限を過ぎます。

速報は速やかに、確報は30日以内、不正の目的なら60日以内

個人情報保護委員会は、個人データの漏えい等が報告対象事態に当たる場合、速報を速やかに（おおむね3〜5日以内）、確報を知った日から30日以内に提出するよう求めています。不正の目的をもって行われたおそれがある行為による漏えい等では、確報の期限は60日以内です。報告対象事態は、要配慮個人情報が含まれる場合、不正利用により財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある行為による場合、本人の数が1,000人を超える場合の4類型です。

ランサムウェア攻撃は、外部からの不正アクセスである以上、通常は「不正の目的をもって行われたおそれがある行為」に該当し、確報の期限は60日側で読むことになります。ただし該当性の判断は事案ごとに異なるため、30日を前提に動き出し、60日の適用可否は法務と早期に詰めるのが安全です。

復旧に1か月以上を要した事案は4割を超える

警察庁が集計した復旧等に要した期間は、回答107件が次のように分かれています。

出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編125ページ（構成比は件数から算出）

1か月以上または復旧中が47件で、全体の4割を超えます。復旧と調査は別工程ですが、両者は同じ現場と同じ人員を奪い合うため、復旧が長引く事案では調査結果の確定も遅れます。

確報に間に合わない場合の実務判断

ここは立場を明確にします。調査の完了を待って確報を出す進め方は取るべきではありません。期限内に、確定した事実と、継続調査中で未確定の事項を分けて提出するのが実務として正しい形です。個人情報保護委員会のガイドライン（通則編）3-5-3-4も、確報の時点で合理的な努力を尽くしても一部の事項が判明していない場合は、その時点で把握している内容を報告し、判明次第、報告を追完する扱いを示しています。なお30日・60日の算定に土日祝の除外はなく、期限日が土日・祝日・年末年始閉庁日（12月29日〜1月3日）に当たる場合だけ翌日が期限になります。未確定事項を残した報告より、期限の徒過のほうが問題になります。

この前提に立つと、調査の設計も変わります。全体像の完全な解明を最初から狙うのではなく、「本人の数と漏えいした情報の種類」という報告に直結する事項を優先的に確定させ、攻撃者の詳細な手口の解明は後続フェーズに回す組み立てが合理的です。ベンダーとの初回打ち合わせで報告期限を共有し、中間報告の日程を工程に組み込んでおけば、少なくとも期限直前に「まだ調査中です」だけを持って報告に臨む事態は避けられます。

警察への相談と民間のフォレンジック調査の役割分担

「警察に被害届を出せば調べてもらえるのか」は、被害企業から必ず出る質問です。答えは、目的が違うので両方必要になる場合が多い、です。

捜査の目的は刑事責任の追及、自社調査の目的は説明責任

警察の捜査は、犯人を特定し刑事責任を問うために行われます。企業が求める「どの取引先のデータが、いつ、どれだけ外部に出たのか」という説明責任のための事実確認は、捜査の主目的ではありません。捜査ではデータの取得方法も法定されており、刑事訴訟法99条の2の記録命令付差押えや、110条の2による記録媒体の複写・印刷・移転を経た差押えといった手続が用意されています。押収された機器は捜査の必要がある間は戻らず、捜査情報が企業側に随時共有されるわけでもありません。監督官庁への報告や顧客対応に使える調査結果は、自社が依頼した調査から得るのが基本になります。

相談窓口と、国が直接扱う重大サイバー事案

被害の申告や相談は、各都道府県警察のサイバー犯罪相談窓口が入口です。国レベルでは、2022年4月に関東管区警察局へ設置されたサイバー特別捜査隊が、2024年4月に関東管区警察局サイバー特別捜査部へ改組され、重大サイバー事案（警察庁は参照条文として警察法第5条第4項第6号ハを示しています）への対処を担っています。海外の攻撃集団による事案や高度な技術を要する事案では、外国捜査機関との連携を含む捜査がここで行われます。自社の事案がこの枠組みで扱われるかを企業側が選べるわけではありませんが、相談の入口は都道府県警察で変わりません。

申告のタイミングと、証拠を壊さないこと

相談は早いほうがよく、証拠保全の前でも構いません。むしろ、自己流の確認作業で痕跡を壊してから相談するほうが、捜査にも自社調査にも不利になります。相談時点で「いつ、誰が、どの端末に何をしたか」の記録があると、その後の調査が速く進みます。警察への相談と民間ベンダーへの調査依頼は排他的ではなく、並行して進めるのが一般的です。

警察庁統計に見る証拠の欠損実態と、証拠を守るための備え

ここまでの費用も期限も、証拠が残っていることが前提です。その前提が崩れている企業が実際には多いことを、同じ統計が示しています。

ログを「全て保全」できていたのは102件中25件

警察庁がランサムウェア被害企業のログ保全状況を集計した102件では、全て保全できていたのが25件、一部が利用不可だったのが64件、利用不可が8件、そもそもログを取得していなかったのが5件でした。つまり4分の3の企業が、調査に必要なログを完全な形では持っていません。攻撃者が痕跡を消す場合もありますが、保存期間の設定が短く自然に消えていた、取得対象から外れていた、という運用側の理由も相当数を占めます。

バックアップも同じ構図です。同統計では、バックアップを取得していたのは回答116件のうち105件でしたが、復元結果が判明した99件のうち、実際に復元できたのは20件で、復元できなかったのが79件でした。復元できなかった理由の内訳は、バックアップも暗号化されていたが48件、運用不備が19件です。バックアップを取っている事実と、有事に戻せる事実は別物だと考えたほうがよい数字です。

侵入から発覚までを追跡できるログ保存期間

優先順位は、侵入経路の統計がそのまま指針になります。VPN機器とリモートデスクトップの認証ログ、管理者アカウントの操作ログ、外部通信の記録、エンドポイントの実行履歴の4つは、最低限、事案発覚から遡って追跡できる期間だけ残す必要があります。侵入から発覚まで数週間から数か月が空く事案があることを考えると、30日程度の保存期間では足りません。ログを機器のローカルにだけ置く構成も、攻撃者に消される前提で見ると危険です。収集と転送、保存を分離する設計はログ集約の仕組みとエージェント選定を解説した記事で扱っています。

発生直後にやってはいけない操作

証拠を残す設計と対になるのが、それを壊さない初動です。避けるべき操作は、感染が疑われる端末のシャットダウンと再起動、ウイルス対策ソフトによる駆除の実行、暗号化されたファイルの削除や上書き、そして担当者が中身を確認するための操作。いずれも証拠を消す行為で、駆除は検体そのものを失わせます。やるべきことは、ネットワークからの隔離、通電状態の維持、時刻付きの記録の3つです。この4つの禁止事項と3つの実施事項を1枚にまとめて配布しておけば、少なくとも発見者の善意の操作による証拠喪失は防げます。

よくある質問

フォレンジック調査について、被害発生時に企業の担当者から寄せられることの多い質問に回答します。

フォレンジック調査の費用はどのくらいかかりますか？

対象台数と調査範囲で大きく変わりますが、公的な実額としては、警察庁がランサムウェア被害企業89件から得た「調査費用の総額」の分布が参考になります。100万円未満が16件、100万円以上500万円未満が18件である一方、1,000万円以上が46件と約半数を占めました。パソコン1台の持ち出し調査であれば数十万円から数百万円の水準が一般的ですが、全社的な被害では桁が変わると考えてください。

フォレンジック調査にはどのくらいの期間がかかりますか？

保全作業自体は数日で終わることもありますが、報告書の確定までを含めると数週間から数か月です。警察庁の集計では、復旧等に1か月以上を要した事案と回答時点で復旧中の事案を合わせると、107件中47件に上ります。個人情報保護法の確報が原則30日以内、不正の目的をもって行われたおそれがある場合で60日以内であることを踏まえ、調査完了を待たずに中間段階で報告する前提で工程を組んでください。

自社だけでフォレンジック調査を実施できますか？

ネットワークからの隔離と初期の状況記録までは自社で行うべき作業ですが、証拠能力を保った保全と解析は専門ベンダーへの委託が現実的です。書き込み防止を伴う複製や、ハッシュ値による同一性の担保、保管の連鎖の記録には専用の機材と手順が必要で、自己流の操作は証拠を損ないます。自社が担うのは、証拠を残す設計と、証拠を壊さない初動です。

警察に被害届を出せばフォレンジック調査は不要になりますか？

なりません。警察の捜査は刑事責任の追及を目的としており、監督官庁への報告や取引先への説明に必要な事実確認を代替するものではないためです。押収された機器は捜査中は戻らず、捜査情報も随時共有されるわけではありません。相談は早期に行いつつ、自社の説明責任に必要な調査は別途依頼するのが一般的な進め方です。

フォレンジック調査に資格は必要ですか？

法律上、調査の実施に必須の国家資格はありません。実務では、デジタル・フォレンジック研究会が認定するCDFP（基礎のCDFP-B、実務者のCDFP-P）や、GIAC Certified Forensic Analyst（GCFA）をはじめとする民間資格が技能の目安として使われます。委託先を選ぶ際は資格の有無だけで判断せず、報告書が想定する用途に耐える水準か、証拠の取得手順と保管の連鎖を記録として提示できるかを確認するほうが実質的です。

関連記事

• デジタルフォレンジックとは？種類・調査の流れと企業が平時に備えること
• ニチレイのサイバー攻撃・システム障害とは？RansomHouseの犯行声明と経緯・防御設計を解説
• アサヒ サイバー攻撃の時系列まとめ｜発生から復旧完了（2026年4月）までの全経緯・被害・原因
• インシデント管理とは？ITIL準拠のプロセスと監視・オンコールの実装を運用目線で解説【2026年版】
• ログ集約とは？収集・転送・保存・可視化の仕組みとエージェント選定・導入判断を実装目線で解説【2026年版】