IDF『証拠保全ガイドライン 第10版』は、この分野をこう説明しています。

注目してほしいのは「分析・解析を行い」の前に、3つの動詞が置かれていることです。この分野で費用と時間がかかるのは、実は分析ではなく、その手前の3つです。

出典：同ガイドライン「2. 用語の定義」の各項目より。日本語の定義文はガイドラインの記述にもとづく要約です。

第1章 おわり — 次は第2章

フォレンジック調査を依頼しても「分かりませんでした」で終わることがあります。理由は技術力ではありません。調べる対象が残っていないからです。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』（2026年3月公表）。ランサムウェア被害を受けた企業・団体等へのアンケート結果です。

完全に揃っていた組織は4分の1以下です。そして最多は「一部が利用できなかった」——つまり、途中まで追えて、肝心なところで切れる状態です。

もう1つ、時間の問題があります。当サイトで国内の情報漏えい630件を調べたところ、不正アクセスの場合、被害に気づくまでの中央値は442日でした。

出典：当サイトの分析記事 漏えい630件の日付を発覚と公表に分けた。発覚日が明記されている75件を対象とした集計です。

442日と、多くのログの標準保存期間（30日〜90日）を並べてみてください。気づいた時点で、侵入時のログはとっくに消えています。これがフォレンジックの最大の敵です。

第2章 おわり — 次は第3章

IDFのガイドラインには、PCを保全するときのチェックシートが付いています。その3番目に、こう書かれています。

当日の新聞です。デジタルの話をしているのに、紙の新聞が出てきます。理由は単純で、「その日に、その場所で、この人たちが作業した」ことを、あとから否定されない形で残すためです。日付は改ざんできますが、当日の新聞紙面は用意できません。

この一項目が、この分野の性格をよく表しています。フォレンジックの厳密さは、技術ではなく手続きの側にあります。

消えやすいものから取る（揮発性の順序）

証拠には「消えやすさ」の順番があります。RFC 3227は「消えやすいものから、消えにくいものへ順に集めるべき」として、次の順を例示しています。

出典：IETF RFC 3227「Guidelines for Evidence Collection and Archiving」2.1節 Order of Volatility（2002年2月）。日本語は筆者による訳です。

2番に注目してください。メモリの中身は、電源を切った瞬間に消えます。動いているマルウェア、復号された状態のデータ、接続中の通信先——ディスクには残らない情報が、ここにあります。

証拠として認められるための5条件

出典：RFC 3227 2.4節 Legal Considerations。日本語訳と括弧内の訳語は筆者によるものです。

4番目が、この記事でいちばん実務的に効きます。技術的に正しく取り出しても、取り扱いの記録が無ければ「信頼できない」と評価され得ます。だから作業ログを残し、ハッシュ値で同一性を検証し、誰が保管したかを記録します。この保管の連鎖をChain of Custody（証拠保全の一貫性）と呼びます。

なお日本では、この考え方は犯罪捜査規範第117条にも表れています。IDFのガイドラインは同条を引き、押収物の出納を明確にしておく必要があると説明しています。

第3章 おわり — 次は第4章

ファスト・フォレンジックは『証拠保全ガイドライン 第10版』7-7節に項目があります。それ以外の対比は筆者による整理です。

よくある3つの誤解

第4章 おわり — 次は第5章

この分野を調べると、正反対に見える指示が出てきます。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』、RFC 3227 2.2節（日本語は筆者訳）、『証拠保全ガイドライン 第10版』付録A項目8。

3行目だけを読むと矛盾しているように見えます。矛盾ではありません。順番が違うだけです。

『証拠保全ガイドライン 第10版』付録Aのチェックシートの流れを、実務向けに筆者が要約したものです。実際の手順はガイドライン本文をご確認ください。

「電源を切るな」は1〜3の話、「プラグを抜け」は4の話です。そして4で正規のシャットダウンをしない理由は、RFC 3227が明快に書いています——攻撃者が終了処理のスクリプトを書き換えて、証拠を消すようにしている場合があるからです。

第5章 おわり — 次は第6章

証拠保全ガイドラインは第10版（2025年3月）で「9. クラウドサービス」の章を新設しました。オンプレミスとは前提が違うためです。

出典：『証拠保全ガイドライン 第10版』9章。IaaS／PaaS／SaaSの別により、CSP（提供者）とCSC（利用者）の管理領域は変わります。

3行目が、実務でいちばん見落とされます。「ログは取れているはず」と思っている操作が、既定では記録されていないことがあります。誰がいつ設定を変えたか（コントロールプレーン）は残っていても、誰がどのファイルを持ち出したか（データプレーン）は残っていない、という状態が起こり得ます。

そして4行目。ガイドラインはこう述べています——保持期間を経過したログデータの回復は極めて困難であるため、インシデント対応の初期の段階でログデータの外部保管を行う必要がある。第2章の442日を思い出してください。

第6章 おわり — 次は第7章

専門事業者が到着するまでに、証拠を守るためにできることがあります。いずれも技術を必要としません。

『証拠保全ガイドライン 第10版』4-1節（初動対応が未実施の場合に把握・記録すべき事項）を、専門知識のない担当者向けに筆者が整理したものです。

3番と4番が意外に重要です。ガイドラインは、検知・発覚から報告・対処依頼までの時間、その間に何をしたか、その事実を知る人物と人数を記録するよう求めています。これは調査のためだけでなく、あとで「対応が適切だった」と説明するための材料にもなります。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ