フォレンジック調査とは？流れ・費用・調査項目と依頼先の選び方、報告期限まで解説

フォレンジック調査とは、サイバー攻撃や内部不正が起きたあとに、パソコン・サーバー・ログなどのデジタルデータを証拠として通用する手順で保全・解析し、何が起きたかを第三者に説明できる形で明らかにする調査です。この記事では、調査の定義と工程、対象ごとに分かること、警察庁統計に見る費用の実分布、依頼時に指定する調査項目、依頼先の選び方、そして個人情報保護委員会への報告期限との関係までを、2026年9月に公表されたGyazoの不正アクセス事案を例に整理します。

まとめ：フォレンジック調査で判断を迫られる3つの論点と前提

フォレンジック調査は、事故が起きてから技術力で挽回できる作業ではありません。証拠が残っていなければ調べようがなく、警察庁の集計では、ランサムウェア被害企業102件のうちログを「全て保全」できていたのは25件にとどまります。調査の成否は、平時のログ設計と発生直後の初動で大半が決まります。

そのうえで、被害企業が実際に判断を迫られる論点は3つです。第一に費用で、警察庁が集計した調査費用の総額は89件中46件が1,000万円以上に達しており、数十万円で収まる前提の予算組みは実態と合いません。第二に期限で、個人情報保護法の確報は原則30日以内である一方、復旧に1か月以上を要した事案は珍しくなく、調査完了を待って報告する進め方は破綻します。第三に体制で、警察への被害申告は刑事責任の追及には必要ですが、自社が負う説明責任を肩代わりするものではありません。

依頼の段階で差がつくのは、調査項目の指定と依頼先の見極めです。「何を明らかにしたいのか」を報告書の用途から逆算して伝え、経済産業省の基準に適合したサービスかどうかをIPAの公開リストで確かめる。この2つを押さえるだけで、作り直しや追加費用の多くは避けられます。以降、これらを判断できるだけの前提を順に示します。

フォレンジック調査の定義と、第三者に証拠として示すための技術的条件

フォレンジック調査は、データ復旧やログの目視確認とは目的が異なります。復旧の目的は業務を再開できる状態に戻すことですが、フォレンジック調査の目的は、第三者に対して事実を立証できる状態を作ることです。この違いが、作業手順の厳格さと費用の水準を決めています。

調査が答えるべき三つの問い：侵入経路・影響範囲・持ち出しの有無

侵入経路が分からなければ塞ぐべき穴を特定できず、影響範囲が分からなければ復旧の対象を切れず、持ち出しの有無が分からなければ個人情報保護委員会への報告内容も本人通知の要否も決まりません。逆に、この3つに答えるためのデータが残っていなければ、どれだけ高額な調査を発注しても結論は「痕跡が確認できなかった」で止まります。

フォレンジックとは何か：デジタルフォレンジックとの呼び分けと範囲

フォレンジックとは、本来は指紋鑑定や法医学を含む法科学全般を指す言葉で、そのうちデジタル機器を対象とする領域がデジタルフォレンジックです。企業のセキュリティ文脈では「フォレンジック調査」も同じ対象を指しており、実務上の使い分けはほとんどありません。対象別の種類の全体像はデジタルフォレンジックとは？種類・調査の流れと企業が平時に備えることで扱っているため、この記事は事案が起きた後に動く調査の実務と、費用・期限・依頼先・関係機関の判断に絞ります。

原本を壊さない原則：ビットレベルの複製とハッシュ値による同一性の証明

証拠として通用させるための技術的な条件は、国際的にほぼ共通しています。RFC 3227（Guidelines for Evidence Collection and Archiving、2002年2月）が挙げる証拠収集の原則は、データの変更を最小限にとどめること、記録媒体のビットレベルの複製を作ること、日時を含む詳細な記録を残すこと。ISO/IEC 27037:2012も、デジタル証拠の識別・収集・取得・保存の手続きを定めた国際規格として同じ立場に立ちます。

実務では、対象ディスクを書き込み防止装置を介して複製し、複製前後のハッシュ値が一致することをもって「原本と同一である」と示します。解析はこの複製に対して行い、原本には触れません。感染が疑われる端末を担当者が起動して中を確認する行為は、この原則を真正面から破ります。アクセス日時は書き換わり、一時ファイルは上書きされ、証拠としての価値が落ちます。

フォレンジック調査の流れ：NIST SP 800-86が示す収集から報告までの4工程

調査の進め方は、米国国立標準技術研究所のNIST SP 800-86（Guide to Integrating Forensic Techniques into Incident Response、2006年8月）が示す収集（Collection）・精査（Examination）・解析（Analysis）・報告（Reporting）の4工程が事実上の共通言語になっています。ベンダーの提案書もおおむねこの区分に沿っているため、見積もりを読み解く枠組みとして使えます。

収集：電源断で失われる揮発性の高いデータを優先する証拠取得の順序

収集で守るべき順序も、RFC 3227が明示しています。揮発性の高い順に、レジスタとキャッシュ、ルーティングテーブル・ARPキャッシュ・プロセステーブル・カーネル統計・メモリ、一時ファイルシステム、ディスク、当該システムに関係するリモートのログおよび監視データ、物理構成とネットワーク構成、アーカイブ媒体、という並びです。この順序が意味するのは、電源を落とした瞬間に上位の情報が消えるということです。

そのため、感染端末を発見したときの正解は「シャットダウンする」ではありません。ネットワークから隔離して通信を止めつつ、通電状態を保ったまま専門家の指示を仰ぐ、という対応が原則です。ただし暗号化が進行中で被害が拡大している場合など、揮発性データより被害停止を優先すべき局面もあります。この判断は事前に社内で決めておく類のもので、発生後に協議していると、どちらの選択肢も手遅れになります。

精査と解析：複数のログや履歴の断片を突き合わせる侵入後の時系列復元

精査は収集したデータから関係する痕跡を抽出する工程、解析はそれを突き合わせて何が起きたかを再構成する工程です。実際の作業は、認証ログの成功記録、プロセスの実行履歴、ファイルのタイムスタンプ、外部通信の宛先といった断片を時刻でつなぎ、侵入から権限昇格、横展開、データ持ち出しまでの筋道を組み立てる作業になります。ここで避けるべきは、単一のログだけで結論を出すことです。複数の独立したデータ源が同じ時刻に同じ事象を示して初めて、証拠としての強度が担保されます。自社で一次確認をする場合に見るべきログの種類と攻撃痕跡の読み方は、不正アクセスのログ確認・解析方法を実践解説した記事で具体的に扱っています。

報告：社内の再発防止・当局報告・訴訟の用途に応じた報告書の記載粒度

報告書は用途で書き分けが必要です。社内の再発防止に使うだけなら技術的な事実関係で足りますが、個人情報保護委員会への報告に使うなら、漏えいした個人データの項目と本人の数、原因、二次被害のおそれといった報告事項に対応する記述が要ります。訴訟や刑事手続で使う可能性があるなら、証拠の取得手順と保管の連鎖まで記載できる水準が必要です。見積もり段階で用途を伝えていないと、必要な水準に届かない報告書が納品され、追加費用で作り直すことになります。

調査対象ごとに分かること：ディスク・メモリ・ログ・クラウドの違い

フォレンジック調査で「解析」と呼ばれる作業の中身は、対象とするデータの種類によってまったく異なります。どこに何が残るかを把握しておくと、被害発生時にどのデータを優先して保全すべきかを自分で判断できます。

ディスク：削除済みファイルの痕跡とタイムスタンプによる持ち出しの調査

ディスクの解析では、削除されたファイルの残骸、ファイルシステムが保持する時刻情報、アプリケーションが残す実行履歴などを扱います。WindowsのNTFSであれば、マスターファイルテーブル（$MFT）の各レコードが作成・更新・アクセスなどの時刻を複数系統で保持しており、片方だけが改ざんされている状態が痕跡になることもあります。ファイルを削除しても管理情報が消えるだけで実データが残っている場合があり、そこが復元の手がかりです。退職者による情報持ち出しの調査でも主役になる領域といえます。

メモリ：電源を切ると失われる情報と、取得による状態変化を踏まえた判断

メモリ上にしか存在しないデータには、実行中のプロセス、確立中のネットワーク接続、復号された状態の文字列などがあります。ディスクにファイルを書かずメモリ上だけで動作する攻撃手法では、メモリを取得しなければ痕跡そのものが得られません。取得は専用ツールで対象機の物理メモリをダンプする作業で、Windowsでは市販・無償のイメージング系ツール、LinuxではLiMEやAVMLといったカーネルモジュール型の取得手段が使われ、解析にはVolatility 3のようなメモリ解析フレームワークが用いられます。

判断が難しいのは、取得作業そのものが対象機の状態を変える点です。ツールを実行すればメモリ内容は一部書き換わり、ネットワーク経由で転送すれば通信の痕跡も増えます。それでも取得する価値があるのは、失われる情報のほうが大きいと見込める場合だけです。だからこそ、実行者・時刻・使用ツールとバージョンを記録に残すことが、後で証拠の信頼性を説明する材料になります。

ログ：侵入経路の大半を占めるVPN機器とリモートデスクトップの確認

ログは、侵入経路を特定する主たる材料です。警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」が令和7年のランサムウェア被害について感染経路を集計した92件では、VPN機器が61件、リモートデスクトップが19件で、この2つが8割を超えます。不審メールやその添付ファイルは2件、その他が10件でした。つまり調査の初期にまず確認すべきは、外部公開されている認証点のログです。同じ集計で、侵入経路とされた機器のセキュリティパッチ適用状況は、未適用のパッチがあったものが40件、最新のパッチを適用済みだったものが31件でした。

クラウド：証拠保全ガイドライン第10版の論点と契約によるログ取得範囲

クラウド上のデータは、事業者側の管理範囲にあるため自社でディスクを複製できません。デジタル・フォレンジック研究会が2025年3月に公開した「証拠保全ガイドライン 第10版」は、第9章「クラウドサービス」を設け、役割分担、クラウドサービスにおける証拠、証拠管理の考慮点、データ保全へのクラウドサービスの利用という4つの節を立てています。実務上の要点は、取得できるログの範囲と保存期間が契約プランで決まる点です。事故が起きてから「監査ログのプランに入っていなかった」と判明する事態は、契約時にしか防げません。

調査項目の具体：報告書の用途から逆算した依頼時の指定項目と章構成

見積もりの精度と報告書の使い勝手は、依頼時に「何を明らかにしてほしいか」をどこまで具体に書けるかで決まります。「全部調べてほしい」という依頼は範囲が定まらず、費用も期間も読めません。ここでは、個人情報保護委員会への確報と社内の再発防止の両方に使える形で、調査項目を整理します。

明らかにする事項：侵入から持ち出しまでの9項目と確報に向けた優先順位

調査項目は、調査が答えるべき三つの問い（侵入経路・影響範囲・持ち出しの有無）を、報告書で1項目ずつ結論を書ける粒度まで分解したものです。依頼書には次の表の項目のうち、どれを必須とし、どれを後続フェーズに回すかを明記します。

このうち「漏えいした項目」と「影響を受けた本人の数」は、報告対象事態に当たるかどうかの判定そのものに関わります。本人の数が1,000人を超えるか、要配慮個人情報が含まれるかで報告義務の有無が変わるため、最優先で確定させる項目です。一方、使用された不正プログラムの詳細な挙動解析は、再発防止には役立ちますが確報の期限までに必須ではありません。

報告書の構成：確報に転記できる章立てと未確定事項の記載に関する事前合意

報告書の目次は、依頼の時点でベンダーと合意しておくと手戻りが減ります。実務でよく使われる構成は、概要（発生と発覚の日時、結論の要約）、調査の範囲と方法（対象機器、取得したデータ、使用ツール）、判明した事実（時系列表）、影響範囲（漏えい項目と本人の数）、原因、未確定事項と継続調査の予定、再発防止の提言、という並びです。

とくに「未確定事項と継続調査の予定」の章を最初から設けておくと、確報の期限に全容が判明していなくても、その章をそのまま報告に転記できます。証拠を訴訟で使う可能性があるなら、付録として証拠の取得記録（誰が、いつ、どの機器から、どのハッシュ値で取得したか）を添付する指定も依頼書に入れておきます。

Gyazo事案の時系列で読む：外部のフォレンジック調査と当局報告の進み方

2026年9月に公表された画像共有サービスGyazoの不正アクセス事案は、外部の専門機関によるフォレンジック調査と個人情報保護委員会への報告が並行して進んだ、時系列を追いやすい事例です。技術的な経緯と利用者側の点検手順はGyazoの不正アクセスと2,362万件の流出を技術解説した記事で扱っているため、ここでは調査と報告の進み方に絞ります。

Gyazo事案の発生から第二報までの11日間に見る調査と当局報告

運営会社Helpfeelの2026年9月16日の第一報と9月25日の第二報によると、経過は次のとおりです（いずれも2026年9月25日時点の公表内容）。不正アクセスは画像アップロード基盤の脆弱性を悪用したもので、第一報では外部専門機関のフォレンジック調査の実施を表明しています。

第二報では、ユーザーに関するデータ約2,362万件の流出を確認したうえで、その内訳をメールアドレス登録のないユーザー約1,801万件、登録のあるユーザー約562万件と示しています。第一報の時点では総数と情報の種類までだったものが、第二報で本人の属性別の内訳に進んでいる点は、解析が進むにつれて影響範囲の記述が細かくなる典型的な経過です。

Gyazo事案から読み取れる速報・継続調査・複数当局への報告の3つの実務論点

1つ目は、速報の時期です。9月11日の検知から9月15日の速報提出までは4日で、個人情報保護委員会が示す「発覚日から3〜5日以内」の範囲に収まっています。フォレンジック調査の結果を待たず、判明している範囲で速報を出すという順序が守られています。

2つ目は、調査の継続を前提にした公表です。第二報の時点でもフォレンジック調査は「進めている」段階で、確定した数値と調査中の事項を分けて示しています。後述する確報の追完の考え方と同じ構図で、調査完了まで沈黙する進め方ではありません。

3つ目は、報告先が1か所ではない点です。第二報では、個人情報保護委員会に加えて総務省や海外のデータ保護当局への報告・連携にも触れています。利用者が海外にいるサービスでは、国内の期限だけを見て工程を組むと、別の当局への説明資料が間に合わなくなります。これが、フォレンジック調査の報告書を複数の提出先へ転記できる粒度で作る理由です。

フォレンジック調査の費用：警察庁統計に見る総額の分布と押し上げ要因

費用は「対象台数と調査範囲によります」と説明されることが多く、発注側は相場をつかめないまま見積もりを受け取ることになります。ここでは推定値ではなく、警察庁が令和7年のランサムウェア被害企業から回答を得た「調査費用の総額」の実分布を示します。回答数は89件です。

出典：警察庁「サイバー空間をめぐる脅威の情勢等」掲載の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編126ページ（構成比は件数から算出）

調査費用1,000万円以上が約半数という水準と全社被害を想定した予算判断

1,000万円以上と回答したのは46件で、全体の約52%です。この数字は、ランサムウェア被害という比較的規模の大きい事案に限った集計である点に注意が必要で、退職者1名のパソコン1台を調べる調査がこの水準になるわけではありません。それでも、全社的な被害が起きた場合の調査費用は数百万円では収まらないという前提で、サイバー保険の補償範囲や緊急時の決裁ルートを平時に確認しておく根拠にはなります。

費用を押し上げる主因：対象台数よりも調査の長期化につながるログの欠損

同じ統計には、復旧期間と費用の関係も構成比で示されています。復旧に2か月以上を要した事案では、費用が1,000万円未満だった回答は構成比ゼロで、1,000万円以上5,000万円未満と1億円以上が50%ずつでした。一方、即時から1週間未満で復旧した事案では、100万円未満が32%、100万円以上500万円未満が36%と、あわせて約7割を占めます。長期化と高額化はほぼ連動しています。

長期化の主因は、調べる範囲の広さよりも、必要なログが欠けていて経路を特定できないことにあります。台数は工数に比例するだけですが、ログ欠損は仮説を1つずつ潰す作業を発生させ、工数を跳ね上げます。

依頼先の選び方：IPAの基準適合リストと見積もりで照合する条件

フォレンジック調査の依頼先は、専門の調査会社、セキュリティベンダーのインシデント対応部門、データ復旧業者の調査サービスなど幅があり、名前だけでは水準を比べられません。選定は、公的なリストで最低限の水準を確かめ、見積もりの前提条件で比べる、という二段で進めます。

依頼先選定の公的な目安：情報セキュリティサービス基準適合サービスリスト

客観的な入口として使えるのが、IPAが公開している情報セキュリティサービス基準適合サービスリストです。経済産業省が策定した「情報セキュリティサービス基準」への適合性を審査登録機関が審査し、適合すると認められたサービスが分野別に掲載されています。分野は情報セキュリティ監査、脆弱性診断、ペネトレーションテスト、デジタルフォレンジック、セキュリティ監視・運用、機器検証の6つで、デジタルフォレンジックサービスのリストは2026年9月18日掲載分が最新です（2026年9月25日確認）。

掲載期間は審査登録機関の定める登録有効期間か2年間のうち短い方とされており、リストは随時入れ替わります。候補の会社が掲載されているかは、見積もりを取る前に最新版で確認してください。掲載は技術者の体制や品質管理の手順が基準を満たしている目安であって、個別案件の結果を保証するものではない点も押さえておきます。

見積もりで照合する4条件：対象範囲・解析の有無・報告書の水準・追加費用

ベンダー選定の段階では、金額の総額よりも前提条件を照合するほうが有効です。照合すべきは、対象台数と対象データの範囲、保全のみか解析まで含むか、報告書がどの用途に耐える水準か、追加費用が発生する条件の4つ。とくに「保全のみ」の見積もりを解析込みと誤読すると、後から数百万円単位の追加が発生します。予備調査で被害の概況を把握し、その結果を見て本調査の範囲を決める段階契約は、初動を止めずに費用の見通しを立てる現実的な方法です。緊急対応の受付体制が24時間かどうかも、発生が夜間・休日に偏る以上は確認しておく条件になります。

初回の打ち合わせで確認する着手日数・中間報告・クラウド対応の質問

4条件に加えて、初回の打ち合わせでは次の点を質問しておくと、提案の実質が見えます。保全に着手できるまでの日数と、現地作業か機器の送付か。報告書の見本（機密部分を伏せたもの）を見せてもらえるか。確報の期限に合わせた中間報告に対応できるか。クラウドサービスのログ取得について、事業者への開示請求まで支援範囲に含むか。調査後の再発防止策の提言と、その実装を別の会社に依頼してよいか。

最後の点は見落とされがちです。調査会社が再発防止の工事まで一括で請け負う提案は手間が省ける反面、原因の認定と対策の受注が同じ会社に集まります。原因の特定と、その対策の実装・検証を分けた発注は、報告書の中立性を説明しやすくする方法です。社内の体制面では、窓口を1本化するCSIRTの役割と定義を解説した記事も参考になります。

報告期限の壁：確報30日・不正目的なら60日と調査期間のずれ

フォレンジック調査のスケジュールを縛るのは、技術的な作業量ではなく法定の報告期限です。ここを理解していないと、調査完了を待つうちに期限を過ぎます。報告義務の根拠となる法律の全体像は個人情報保護法の基本を解説した記事で整理しています。

速報は3〜5日以内、確報は30日以内、不正の目的なら60日以内

個人情報保護委員会の漏えい等報告の案内では、個人データの漏えい等が報告対象事態に当たる場合、速報を発覚日から3〜5日以内に、確報を発覚日から30日以内に提出するよう求めています。不正の目的をもって行われたおそれがある行為による漏えい等では、確報の期限は60日以内です。報告対象事態は、要配慮個人情報が含まれる場合、不正利用により財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある行為による場合、本人の数が1,000人を超える場合の4類型で、報告はオンラインの入力フォームから行います。報告事項9項目と本人通知の範囲は個人情報保護委員会への報告義務をまとめた記事で確認できます。同ページは、令和7年10月1日以降、ランサムウェア事案は共通様式により報告できるとしています（2026年9月25日確認）。

報告と本人への通知が義務になったのは令和4年4月1日施行の改正からで、その経緯は個人情報保護委員会の「漏えい等報告・本人への通知の義務化について」にまとまっています。ランサムウェア攻撃は、外部からの不正アクセスである以上、通常は「不正の目的をもって行われたおそれがある行為」に該当し、確報の期限は60日側で読むことになります。ただし該当性の判断は事案ごとに異なるため、30日を前提に動き出し、60日の適用可否は法務と早期に詰めるのが安全です。

復旧に1か月以上を要した事案が4割を超える状況と調査結果の確定への影響

警察庁が集計した復旧等に要した期間は、回答107件が次のように分かれています。

出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編125ページ（構成比は件数から算出）

1か月以上または復旧中が47件で、全体の4割を超えます。復旧と調査は別工程ですが、両者は同じ現場と同じ人員を奪い合うため、復旧が長引く事案では調査結果の確定も遅れます。

調査完了が確報に間に合わない場合の実務判断と未確定事項の報告・追完

ここは立場を明確にします。調査の完了を待って確報を出す進め方は取るべきではありません。期限内に、確定した事実と、継続調査中で未確定の事項を分けて提出するのが実務として正しい形です。個人情報保護委員会のガイドライン（通則編）3-5-3-4も、確報の時点で合理的な努力を尽くしても一部の事項が判明していない場合は、その時点で把握している内容を報告し、判明次第、報告を追完する扱いを示しています。なお30日・60日の算定に土日祝の除外はなく、期限日が土日・祝日・年末年始閉庁日（12月29日〜1月3日）に当たる場合だけ翌日が期限になります。未確定事項を残した報告よりも問題なのは、報告期限の徒過です。

この前提に立つと、調査の設計も変わります。全体像の完全な解明を最初から狙うのではなく、「本人の数と漏えいした情報の種類」という報告に直結する事項を優先的に確定させ、攻撃者の詳細な手口の解明は後続フェーズに回す組み立てが合理的です。ベンダーとの初回打ち合わせで報告期限を共有し、中間報告の日程を工程に組み込んでおけば、少なくとも期限直前に「まだ調査中です」だけを持って報告に臨む事態は避けられます。

警察への相談と民間のフォレンジック調査における目的の違いと役割分担

「警察に被害届を出せば調べてもらえるのか」は、被害企業から必ず出る質問です。答えは、目的が違うので両方必要になる場合が多い、です。

捜査と自社調査の目的の違い：刑事責任の追及と取引先・当局への説明責任

警察の捜査は、犯人を特定し刑事責任を問うために行われます。企業が求める「どの取引先のデータが、いつ、どれだけ外部に出たのか」という説明責任のための事実確認は、捜査の主目的ではありません。捜査ではデータの取得方法も法定されており、刑事訴訟法99条の2の記録命令付差押えや、110条の2による記録媒体の複写・印刷・移転を経た差押えといった手続が用意されています。押収された機器は捜査の必要がある間は戻らず、捜査情報が企業側に随時共有されるわけでもありません。監督官庁への報告や顧客対応に使える調査結果は、自社が依頼した調査から得るのが基本になります。

都道府県警察の相談窓口と、国が直接扱う重大サイバー事案の捜査体制

被害の申告や相談は、各都道府県警察のサイバー犯罪相談窓口が入口です。国レベルでは、2022年4月に関東管区警察局へ設置されたサイバー特別捜査隊が、2024年4月に関東管区警察局サイバー特別捜査部へ改組され、重大サイバー事案（警察庁は参照条文として警察法第5条第4項第6号ハを示しています）への対処を担っています。海外の攻撃集団による事案や高度な技術を要する事案では、外国捜査機関との連携を含む捜査がここで行われます。自社の事案がこの枠組みで扱われるかを企業側が選べるわけではありませんが、相談の入口は都道府県警察で変わりません。

警察への申告のタイミングと、証拠を壊さず自社の操作記録を残す初動

相談は早いほうがよく、証拠保全の前でも構いません。むしろ、自己流の確認作業で痕跡を壊してから相談するほうが、捜査にも自社調査にも不利になります。相談時点で「いつ、誰が、どの端末に何をしたか」の記録があると、その後の調査が速く進みます。警察への相談と民間ベンダーへの調査依頼は排他的ではなく、並行して進めるのが一般的です。

警察庁統計に見る証拠の欠損実態と、平時に証拠を守るための備え

ここまでの費用も期限も、証拠が残っていることが前提です。その前提が崩れている企業が実際には多いことを、同じ統計が示しています。

ログを「全て保全」できていたのは102件中25件という証拠欠損の実態

警察庁がランサムウェア被害企業のログ保全状況を集計した102件では、全て保全できていたのが25件、一部が利用不可だったのが64件、利用不可が8件、そもそもログを取得していなかったのが5件でした。つまり4分の3の企業が、調査に必要なログを完全な形では持っていません。攻撃者が痕跡を消す場合もありますが、保存期間の設定が短く自然に消えていた、取得対象から外れていた、という運用側の理由も相当数を占めます。

バックアップも同じ構図です。同統計では、バックアップを取得していたのは回答116件のうち105件でしたが、復元結果が判明した99件のうち、実際に復元できたのは20件で、復元できなかったのが79件でした。復元できなかった理由の内訳は、バックアップも暗号化されていたが48件、運用不備が19件です。バックアップを取っている事実と、有事に戻せる事実は別物だと考えたほうがよい数字です。

侵入から発覚までを追跡できるログ保存期間と攻撃者による消去への備え

優先順位は、侵入経路の統計がそのまま指針になります。VPN機器とリモートデスクトップの認証ログ、管理者アカウントの操作ログ、外部通信の記録、エンドポイントの実行履歴の4つは、最低限、事案発覚から遡って追跡できる期間だけ残す必要があります。侵入から発覚まで数週間から数か月が空く事案があることを考えると、30日程度の保存期間では足りません。ログを機器のローカルにだけ置く構成も、攻撃者に消される前提で見ると危険です。収集と転送、保存を分離する設計はログ集約の仕組みとエージェント選定を解説した記事で扱っています。

発生直後に証拠を失わせるシャットダウン・再起動・駆除などの禁止操作

証拠を残す設計と対になるのが、それを壊さない初動です。避けるべき操作は、感染が疑われる端末のシャットダウンと再起動、ウイルス対策ソフトによる駆除の実行、暗号化されたファイルの削除や上書き、そして担当者が中身を確認するための操作。いずれも証拠を消す行為で、駆除は検体そのものを失わせます。やるべきことは、ネットワークからの隔離、通電状態の維持、時刻付きの記録の3つです。この4つの禁止事項と3つの実施事項を1枚にまとめて配布しておけば、少なくとも発見者の善意の操作による証拠喪失は防げます。

フォレンジック調査を依頼すべき場面と、簡易な社内調査で足りる場面

すべてのセキュリティ事故に本格的なフォレンジック調査が要るわけではありません。費用と期間を考えると、依頼すべき場面と見送ってよい場面を条件で切り分けておくほうが、有事の判断が速くなります。

外部の専門機関に依頼すべき条件：個人データの漏えいや第三者への立証

次のいずれかに当たる場合は、外部の専門機関へ依頼する前提で動きます。個人データの漏えいのおそれがあり、報告対象事態の4類型のどれかに当たる可能性がある場合。取引先や利用者への説明、あるいは訴訟・刑事手続で調査結果を使う見込みがある場合。サーバーや複数端末に被害が広がり、侵入経路が社内の確認では特定できない場合。役員や情報システム部門の関与が疑われ、社内調査では中立性を説明できない場合。いずれも、第三者に対して事実を立証する必要があるという点で共通しています。

社内の簡易調査で足りる被害範囲の条件と、初期化前にも守る証拠保全の手順

一方、マルウェアの検知が1台にとどまり、外部送信の痕跡が通信ログで確認できず、個人データを扱わない端末であれば、社内の確認と端末の初期化で収める判断も合理的です。ただしその場合も、初期化の前にディスクの複製とログの退避だけは取っておきます。後から被害の広がりが判明したとき、初期化済みの端末からは何も取り出せないためです。

調査で侵入経路が特定できたら、次の工程は同じ穴が他のシステムに残っていないかの確認です。外部公開しているVPN機器やWebアプリケーションを対象に、再公開の前に診断を掛けておくと、調査報告書の「再発防止の提言」を実装として閉じられます。診断の種類と進め方は脆弱性診断とは何かを解説した記事で整理しており、復旧後のシステムを対象にした一創の脆弱性診断・セキュリティ診断では、侵入経路になりやすい公開面の診断から再発防止策の実装までを受託しています。

よくある質問

フォレンジック調査について、被害発生時に企業の担当者から寄せられることの多い質問に回答します。

フォレンジック調査の費用はどのくらいかかりますか？

対象台数と調査範囲で大きく変わりますが、公的な実額としては、警察庁がランサムウェア被害企業89件から得た「調査費用の総額」の分布が参考になります。100万円未満が16件、100万円以上500万円未満が18件である一方、1,000万円以上が46件と約半数を占めました。パソコン1台の持ち出し調査であれば数十万円から数百万円の水準が一般的ですが、全社的な被害では桁が変わると考えてください。

フォレンジック調査にはどのくらいの期間がかかりますか？

保全作業自体は数日で終わることもありますが、報告書の確定までを含めると数週間から数か月です。警察庁の集計では、復旧等に1か月以上を要した事案と回答時点で復旧中の事案を合わせると、107件中47件に上ります。個人情報保護法の確報が原則30日以内、不正の目的をもって行われたおそれがある場合で60日以内であることを踏まえ、調査完了を待たずに中間段階で報告する前提で工程を組んでください。2026年9月のGyazo事案でも、検知から4日で速報を出し、調査を続けながら第二報を公表しています。

自社だけでフォレンジック調査を実施できますか？

ネットワークからの隔離と初期の状況記録までは自社で行うべき作業ですが、証拠能力を保った保全と解析は専門ベンダーへの委託が現実的です。書き込み防止を伴う複製や、ハッシュ値による同一性の担保、保管の連鎖の記録には専用の機材と手順が必要で、自己流の操作は証拠を損ないます。自社が担うのは、証拠を残す設計と、証拠を壊さない初動、そして依頼時に調査項目と報告書の用途を具体に伝えることです。

警察に被害届を出せばフォレンジック調査は不要になりますか？

なりません。警察の捜査は刑事責任の追及を目的としており、監督官庁への報告や取引先への説明に必要な事実確認を代替するものではないためです。押収された機器は捜査中は戻らず、捜査情報も随時共有されるわけではありません。相談は早期に行いつつ、自社の説明責任に必要な調査は別途依頼するのが一般的な進め方です。

フォレンジック調査に資格は必要ですか？依頼先はどう選べばよいですか？

法律上、調査の実施に必須の国家資格はありません。実務では、デジタル・フォレンジック研究会が認定するCDFP（基礎のCDFP-B、実務者のCDFP-P）や、GIAC Certified Forensic Analyst（GCFA）をはじめとする民間資格が技能の目安として使われます。依頼先の選定では資格の有無だけで判断せず、IPAの情報セキュリティサービス基準適合サービスリストのデジタルフォレンジック分野に掲載されているかを確かめたうえで、報告書が想定する用途に耐える水準か、証拠の取得手順と保管の連鎖を記録として提示できるかを確認するほうが実質的です。

関連記事

• デジタルフォレンジックとは？種類・調査の流れと企業が平時に備えること
• Gyazoの不正アクセスと2,362万件の流出｜利用者の点検手順とアップロード基盤の見直し
• 不正アクセスのログ確認・解析方法｜見るべきログと攻撃痕跡の調べ方を実践解説
• ニチレイのサイバー攻撃・システム障害とは？RansomHouseの犯行声明と経緯・防御設計を解説
• アサヒ サイバー攻撃の時系列まとめ｜発生から復旧完了（2026年4月）までの全経緯・被害・原因
• インシデント管理とは？ITIL準拠のプロセスと監視・オンコールの実装を運用目線で解説【2026年版】
• ログ集約とは？収集・転送・保存・可視化の仕組みとエージェント選定・導入判断を実装目線で解説【2026年版】
• Renta!不正アクセスでサービス停止：再開未定の現状と運営側の停止判断・証拠保全・段階的再開