この用語の意味
フォレンジック調査とは、サイバー攻撃、不正アクセス、情報漏えいなどが起きた、または疑われるときに、パソコン、サーバー、クラウド、ネットワーク機器に残る記録を収集・分析し、原因と被害範囲を客観的に確認する調査です。
復旧やウイルス削除だけを指す言葉ではありません。ログ、メール、通信履歴、ログイン履歴、ファイルの更新日時などを、後から検証できるよう証拠として扱います。デジタル・フォレンジック、デジタル鑑識、電子鑑識と呼ばれることもあります。
何ができるか
調査では、いつ問題が起きたか、どこから侵入された可能性があるか、影響を受けた端末・アカウント・ファイルは何かを確認します。持ち出しや改ざんの可能性、不正なプログラムやアカウントの残存も、残された記録を基に見ます。
ただし、ログの保存期間や取得範囲、端末の状態によって確認できる範囲は変わります。調査結果だけで法的責任や漏えいの有無を断定できるとは限らず、専門家が根拠と限界を説明することが重要です。
実際に使うために必要なもの
対象となる端末・サーバー・クラウドの情報、アクセスログ、バックアップの状態、発見時刻、関係者が行った操作の記録が必要です。契約中の保守会社、クラウド事業者、サイバー保険の連絡先も確認します。
費用は、対象台数、保存すべきデータ量、緊急対応の有無、報告書の要件などで変わります。依頼前に、調査対象、証拠保全の方法、報告範囲、復旧作業を含むかを文書で確認します。
小さく試す運用例
Webサイトの改ざんが疑われた場合は、担当者を一人決め、画面表示・発見時刻・不審なメールを記録します。サーバー会社にはアクセスログなどを上書きしないよう保存を依頼し、保守会社または調査会社へ現状を渡します。
この段階では、原因を推測してWordPress、テーマ、プラグインを一斉更新したり、バックアップで上書き復元したりしません。復旧を急ぐ必要があっても、証拠保全と隔離の方法は、専門家や契約先の指示に沿って決めます。
人が確認すること・注意点
端末をネットワークから切り離すか、電源を切るか、誰へ報告するかは、被害拡大の防止と証拠の保持を両方考えて人が判断します。特に電源断は揮発性の情報を失う可能性があるため、可能なら専門家の指示を受けます。
個人情報や機密情報が関係する場合は、社内の責任者、法務、保険会社、取引先との契約上の連絡先を確認します。犯罪や金銭被害が疑われる場合は、警察のサイバー事案に関する相談窓口への相談も検討します。
関連する事例・テンプレート
IPAは企業組織向けに、インシデント発生時の初動対応の相談や専門業者一覧の紹介を案内しています。ただし、IPA自身が個別の調査・解析を行うものではありません。IPA：サイバーセキュリティ相談・届出窓口一覧
調査サービスを探す際は、対応範囲を確認したうえで、IPA：情報セキュリティサービス基準適合サービスリストを参考にできます。警察への相談先は警察庁：サイバー事案に関する相談窓口で確認できます。
関連するコラム
「大手だから安全」とは限らない――さくらインターネット不正アクセスから考える企業のセキュリティ：不正アクセス発生時に、提供会社と利用企業が確認する範囲を整理します。
不正侵入が疑われた際の運用と初動を確認するには、不正侵入で業務を止めないためのネットワーク運用を参照してください。