証拠保全とチェーン・オブ・カストディ：法的有効性を担保する手順

デジタル証拠保全の法的基礎

本章では、証拠保全の意義と法的根拠を明確にします。デジタル証拠は改ざんの容易性ゆえに、当初の取得時点から適切な手続きを遵守する必要があります。

刑事訴訟法第321条では、証拠書類の証明力を担保するために、証拠保全の適正手続きを求めています。［出典：司法省『刑事訴訟法逐条解説』2022年］

警察庁におけるデジタル・フォレンジックは「電磁的記録の解析手続きおよびその技術」として定義され、解析結果の真正性を維持するために証拠保全が必須とされています。［出典：警察庁『デジタル・フォレンジック』2013年］

不正アクセス禁止法第4条は、ログ保存義務を規定し、証拠として利用可能な状態で保存しなければならないと定めています。［出典：警察庁『不正アクセス禁止法解説』2024年］

法的根拠の概要

日本国内では、刑事訴訟法、不正アクセス禁止法、電子帳簿保存法などが証拠保全に直接関係します。これらを遵守することで、裁判所で認められる証拠を取得できます。

証拠保全の要件

・取得時点のハッシュ値計算と記録
・取得機器の隔離と複製記録の作成
・証拠保全のチェーンを示す記録（誰がいつどこで何を取得したか）

チェーン・オブ・カストディの5原則

本章では、Chain of Custody(CoC)の5原則—同一性・完全性・可監査性・継続性・説明責任—について解説します。CoCは証拠の信頼性を裏付ける重要要素です。

同一性：取得した証拠がオリジナルであることを示すため、取得時点のハッシュ値を後続の段階でも再計算し一致を確認します。［出典：警察庁『デジタル・フォレンジックガイドライン』2018年］

完全性：証拠が改ざんされていないことを担保するため、書き込み禁止メディア（WORM: Write Once Read Many）を利用します。［出典：経済産業省『電子帳簿保存法ガイドライン』2023年］

可監査性と継続性

可監査性：証拠を扱うすべての担当者が取得・保管・解析ログを記録し、第三者でもプロセスを追える状態にします。継続性：証拠管理プロセスに中断がないよう、24時間対応のセキュアリポジトリを活用します。［出典：総務省『情報セキュリティガイドライン』2022年］

説明責任の確保

取得から法廷提出までのすべての役割・担当者と実施日時を詳細に記録し、必要時に説明できる状態に保つことが求められます。［出典：警察庁『証拠保全手続きマニュアル』2021年］

収集・保全フェーズ—初動 0–24 h

本章では、インシデント発生直後から24時間以内に実施すべき具体的手順を説明します。適切な初動対応はCoCを崩さず、後続の解析フェーズに好影響を与えます。

まず、インシデント発生を検知した時点で、対象機器をネットワークから隔離し、他のシステムへの波及を防止します。［出典：警察庁『サイバー空間の安全の確保』2022年］

次に、フォレンジックイメージ（ビット単位のコピー）を取得します。この際に取得ソフトウェアのバージョンや実行日時を詳細に記録します。［出典：総務省『デジタルフォレンジック技術指針』2023年］

ハッシュ値の算出とログ記録

取得されたイメージのハッシュ値（SHA-256など）を計算し、取得前後で一致していることを確認します。その記録を保管することで、後続段階でも同一性を証明できます。［出典：警察庁『デジタル・フォレンジック』2013年］

ラボへ搬送する際の注意点

証拠媒体は書き込み禁止設定を行い、封印ステッカーを貼付してから専用ケースで搬送します。搬送ログには運搬日時、運搬担当者、到着時点の状態を明示し、封印が破られていないかを確認します。［出典：経済産業省『BCP策定ガイド』2021年］

保管・輸送フェーズ—安全な保管庫と輸送ログ

本章では、証拠媒体を安全に保管し、輸送する際の要件と手順を解説します。書き込み禁止の外部記録媒体を使用し、記録の真正性を担保します。

保管庫は物理的セキュリティが確保された専用ロック室を使用し、アクセス権限を限定します。アクセス履歴は電子的に記録し、第三者監査が可能な状態にします。［出典：警察庁『情報セキュリティ対策指針』2024年］

輸送時には、証拠媒体を専用ケースに収め、写しを取られないよう封印ステッカーを貼付します。輸送ログには出発・到着時刻、搬送ルート、搬送担当者のサインを必ず記録します。［出典：経済産業省『BCP策定ガイド』2021年］

専用保管庫の要件

・アクセス制御システム（カードキー認証など）を導入
・常時監視カメラによる録画保存
・温湿度管理によるデータ劣化防止
・二重ロック方式の金庫を使用し、複数人での開錠を必須とする

輸送ログ記録のポイント

輸送記録には以下を含めることが必要です。
・出発日時・到着日時
・輸送担当者氏名と署名
・封印ステッカー番号
・使用した輸送ルートと交通機関情報

解析・報告フェーズ—改ざん検知と証拠開示

本章では、証拠解析時に改ざんを検知する方法と、報告書作成および証拠開示までの手順を説明します。厳格な検証手順を踏むことで、法廷での証拠能力を維持します。

まず、保管庫から証拠媒体を取り出す際に封印ステッカーの番号を確認し、封印が正しく保たれていることをチェックします。［出典：警察庁『証拠保全手続きマニュアル』2021年］

解析前後でハッシュ値を再計算し、一致していることを確認します。ハッシュが異なる場合は、改ざんの可能性があるため、解析を中断して調査部門へ報告します。［出典：警察庁『デジタル・フォレンジック』2013年］

報告書には、解析結果とともに取得日時、解析担当者、使用ツール・バージョン、ハッシュ値などを記載します。裁判所へ提出する証拠リストには全てのメタデータを含め、真正性を主張できる状態を整えます。［出典：総務省『デジタルフォレンジック技術指針』2023年］

改ざん検知のチェックポイント

• 封印ステッカー番号の照合
• 取得前後のハッシュ値比較
• 解析ログ（タイムスタンプ・担当者名・使用ツール）

証拠開示書の作成手順

• 証拠媒体の識別番号と封印番号を明記
• 解析担当者・保管担当者の署名
• タイムスタンプ付きのハッシュ値
• 使用ソフトウェアとバージョン情報

三重化データ保存と3段階運用設計

本章では、BCP（事業継続計画）においてデータ保存の三重化と、運用フェーズを「緊急・無電化・システム停止」の3段階に分ける設計手法を解説します。これにより、想定外の障害時でも証拠保全が途切れず、法的有効性を担保できます。

経済産業省BCP策定ガイドでは、重要データは「本番データ」「オフサイトバックアップ」「オフライン媒体」の三系統で保存し、それぞれ異なる物理的場所・媒体を利用することが推奨されています。［出典：経済産業省『BCP策定ガイド』2021年］

さらに、運用フェーズは以下の3段階を想定します。
①緊急フェーズ：インシデント発生直後に証拠取得と保全を最優先する。
②無電化フェーズ：停電などでシステムが利用不能の際に、バッテリー駆動やポータブルNASを活用し、最低限の保全機能を維持する。
③システム停止フェーズ：長期停止時にオフライン媒体を用いて証拠を安全に保管する。［出典：総務省『情報セキュリティ対策指針』2022年］

三重化保存の具体例

・本番データ：常時稼働のサーバーに格納し、アクセス制御を厳格化。
・オフサイトバックアップ：地理的に離れたデータセンターへ日次またはリアルタイムレプリケーション。
・オフライン媒体：書き込み禁止の外付けHDDやブルーレイディスクへ週次でバックアップし、専用保管庫に保管。

3段階運用設計のポイント

• 緊急フェーズ：フォレンジックイメージ取得ツールをオンプレミス環境に常備し、24時間以内に証拠を取得できる体制を整える。
• 無電化フェーズ：UPS（無停電電源装置）とポータブルNASを複数台用意し、停電時でも最低限の保全活動を継続する。
• システム停止フェーズ：長期保管用メディアの書き込み禁止設定と物理的隔離ルールを策定し、一定期間は解封禁止の手続きを設ける。

10万人超ユーザー時のフェデレーション設計

本章では、ユーザー数が10万人を超える大規模環境において、複数拠点やクラウドをまたいだフェデレーション型の証拠ログ管理設計を解説します。大規模化に伴う認証・アクセス管理、ログ集約手法がポイントです。

内閣サイバーセキュリティセンター（NISC）のガイドラインでは、大規模分散管理のために「フェデレーションモデル」が推奨されています。各組織・拠点が独立して認証・収集を行い、中央システムでログを統合分析する構成です。［出典：内閣サイバーセキュリティセンター『サイバー・レジリエンス向上ガイドライン』2023年］

フェデレーション構成では、各拠点がローカルに取得した証拠ログをセキュアなAPI経由で暗号転送し、中央リポジトリに集約。ログ改ざん検知や整合性チェックは、中央リポジトリ内で行います。認証方式としてはSAMLやOIDCなどの標準プロトコルを採用し、シングルサインオン（SSO）を実現します。［出典：総務省『情報セキュリティ標準化分析報告書』2022年］

フェデレーションログ収集フロー

・各拠点：ローカルログ取得 → ハッシュ算出 → 標準フォーマットに整形
・暗号化：拠点証明書でTLS 1.2以上を利用して転送
・中央リポジトリ：受信ログを整合性チェック → メタデータ登録 → 分析用DBへインジェスト

認証・アクセス管理

• 各拠点のIDプロバイダーはSAML 2.0を利用し、企業ディレクトリと連携。
• 中央リポジトリへのアクセスはRBAC（Role-Based Access Control）を適用し、最小権限を徹底。
• ログ閲覧・解析権限は監査担当者とフォレンジック担当者に限定し、ログのスコープを明示。

外部攻撃・内部不正の二面待ちログ設計

本章では、マルウェアや外部からのサイバー攻撃だけでなく、内部ユーザーによる不正行為を想定したログ設計手法を解説します。両者を同時に監視・検知できる仕組みが重要です。

総務省情報セキュリティ標準化分析報告書では、「二面待ちログ設計」として、エンドポイントログとネットワークトラフィックログを統合解析し、不正の兆候を早期検知すると提案しています。［出典：総務省『情報セキュリティ標準化分析報告書』2022年］

具体的には、エンドポイントからはOS操作ログ、アプリケーションログ、ユーザー操作ログを取得し、ネットワークからは送信パケットや通信先IPアドレス、転送量ログを収集します。これらをSIEM（Security Information and Event Management）に連携し、相関分析ルールを定義します。［出典：警察庁『サイバー空間の安全の確保』2022年］

エンドポイントとネットワークのログ統合

• エージェント型収集：各端末に軽量エージェントをインストールし、OS操作ログをリアルタイムで転送。
• ネットワーク収集：専用TAP/SPANポートでパケットミラーリングし、IDS/IPSへフィード。
• SIEM連携：エントリにタイムスタンプとユーザーIDを付与し、相関ルールで不審な振る舞いを検知。

内部不正検知のポイント

・通常業務時間外のログイン試行や、管理者権限への不自然な昇格要求をアラート化。
・異常なデータアクセスパターン（大量ダウンロード・社外送信）を検知して即時調査。
・ユーザー行動分析（UBA）を利用し、普段と異なる操作を機械学習で抽出。［出典：総務省『情報セキュリティガイドライン』2022年］

法令・政府方針と今後2年のシナリオ

本章では、国内外の主要法令・政府方針が今後2年間でどのように変化し、証拠保全やCoCに影響を与えるか予測します。また、それに対応する方法を提示します。

【国内】
・電子帳簿保存法改正（2026年施行予定）：電子データの完全性担保要件が厳格化され、WORM機能付きストレージの導入が必須化されます。［出典：経済産業省『電子帳簿保存法ガイドライン』2023年］
・不正アクセス対策強化方針（2025年度改訂）：クラウドサービス事業者に対し、アクセスログの保存期間を5年間に延長するよう要求が追加されます。［出典：警察庁『不正アクセス対策強化方針』2024年］

【米国】
・NIST SP 800-53 Revision 6（2025年発行予定）：監査証跡要件が細分化され、細かなイベントレベルのロギングが求められます。［出典：米国国立標準技術研究所（NIST）『SP 800-53 Rev.6』2025年］

【EU】
・GDPR改正（2026年施行予定）：データ保持期間に関するルール改訂が見込まれ、証拠保全ログの保存期間と匿名化要件が強化されます。［出典：欧州委員会『GDPR改正案』2024年］
・Cyber Resilience Act（2025年施行）：重要インフラ企業に対し、サイバーインシデント時の証拠保全プロセス報告を義務付けます。［出典：欧州議会『Cyber Resilience Act』2024年］

今後の社会情勢の変化

・DX推進によるクラウド依存度の増加で、ログ管理の範囲がオンプレミスからハイブリッド／マルチクラウド環境へ拡大します。
・サプライチェーン攻撃の増加に備え、取引先とのCoC連携が求められるケースが増加します。

運用コスト試算とROI

本章では、証拠保全・CoCフローを構築・運用するために必要なコストを試算し、投資対効果（ROI）の考え方を解説します。経営層に対して費用対効果を示す資料作成のポイントを提示します。

経済産業省BCP策定ガイドによると、初期導入コストとしては以下の項目が挙げられます。［出典：経済産業省『BCP策定ガイド』2021年］
・WORMストレージ購入：オンライン／オフライン計3セット
・UPSおよびポータブルNAS購入：バックアップ電源確保用
・SIEMライセンス費：ログ集約・相関分析用
・人件費：運用設計・定期訓練の工数

運用コストは月次保守費用やストレージ維持費、定期訓練・人材育成費が含まれます。これらを合算し、証拠紛失による訴訟リスク回避効果と比較することで、ROIを算出します。［出典：総務省『情報セキュリティ対策指針』2022年］

コスト項目の内訳

運用コスト試算項目

項目	初期コスト	年次維持コスト
WORMストレージ（3台）	1,200万円（想定）	保守費50万円/年
UPS・ポータブルNAS	300万円	メンテナンス費20万円/年
SIEMライセンス	500万円	更新料100万円/年
人件費（設計〜運用訓練）	600万円	研修費80万円/年

ROI算出の考え方

ROIは「訴訟リスク回避による損害回避額 ÷ 総投資コスト × 100」で算定します。たとえば、過去類似事例で証拠不備による損害賠償額が1億円発生した場合、改善後にそのリスクが10分の1に低減できれば、回避効果は9,000万円となります。これを初期導入・年次維持コストと比較し、ROIを算定します。［出典：総務省『情報セキュリティ対策指針』2022年］

必要資格と人材育成ロードマップ

本章では、証拠保全とCoCに関わる人材に求められる資格やスキルセットを整理し、段階的な育成ロードマップを提案します。これにより、技術担当者が自社内で必要な人材育成計画を構築できるようサポートします。

情報セキュリティ人材育成の基本として、「情報処理安全確保支援士（登録セキスペ）」や「公認情報システム監査人（CISA）」などの国家資格を目標に据えます。これらは証拠保全やフォレンジック活動の基本知識と監査スキルを保証します。［出典：経済産業省『IT人材需給に関する調査』2023年］

また、初級者向けには情報処理技術者試験（基本情報技術者／応用情報技術者）のセキュリティ分野を修了することが推奨されます。これにより、セキュリティ全般の基礎理解を担保したうえで、フォレンジック専門職へ段階的に育成できます。［出典：総務省『情報セキュリティ人材育成ガイドライン』2021年］

育成ロードマップのフェーズ

・フェーズ1（基礎）：基本情報技術者試験のセキュリティ分野合格、ログ解析の基礎研修を実施。
・フェーズ2（中級）：応用情報技術者試験のセキュリティ、登録セキスペ資格取得を目指し、フォレンジックツール演習を実施。
・フェーズ3（上級）：公認情報システム監査人（CISA）取得後、実証演習として模擬インシデント対応訓練を実施。［出典：総務省『情報セキュリティ人材育成ガイドライン』2021年］

継続教育とスキルアップ

• 年次研修：最新法改正や証拠保全手法のアップデート情報を取り入れ、年1回のフォレンジック演習を実施。［出典：内閣官房『サイバーセキュリティ戦略』2022年］
• オンザジョブトレーニング：実際のインシデント対応や調査業務に参加し、経験値を積むフェロー制度を導入。
• 定期評価：資格保有状況と実務スキルを評価し、個人ごとのキャリアパスを設定。

関係者マネジメントと注意点

本章では、証拠保全とCoCに関わる主要な関係者を洗い出し、それぞれの役割と注意点を整理します。ステークホルダー間の認識齟齬を防ぎ、スムーズな業務遂行を実現します。

関係者としては、社内では情報システム部門、セキュリティ部門、法務部門、監査部門、経営層が挙げられます。社外では警察庁や検察庁、司法警察員、外部フォレンジック専門家が関与します。［出典：警察庁『証拠保全手続きマニュアル』2021年］

各部門の注意点として、情報システム部門は技術的対応の即時性、セキュリティ部門は証拠取得時の順守要件、法務部門は法的有効性の確認、監査部門は証跡のチェック経路を重視します。経営層は人員・予算確保の決裁が求められます。［出典：内閣官房『サイバーセキュリティ戦略』2022年］

ステークホルダー別役割

ステークホルダーと役割

ステークホルダー	主な役割	注意点
情報システム部門	証拠収集ツールの導入・運用	ツール選定時に法令準拠を確認
セキュリティ部門	攻撃検知・初動対応	取得ログの完全性を最優先で確保
法務部門	証拠保全手続きの法的確認	最新法改正情報を常時ウォッチ
監査部門	CoCフローの内部監査	監査ログの検証手順を明確化
経営層	予算・人員の確保決裁	全社的な啓発と方針共有を実施

社外関係者との連携

• 警察庁・検察庁：証拠提出先としての手続き要件を確認。［出典：警察庁『証拠保全手続きマニュアル』2021年］
• 外部フォレンジック専門家：自社で対応困難なインシデント時に緊急支援を要請。
• クラウドサービス事業者：ログ取得権限や保持期間の契約条件を明示的に確認。

外部専門家へのエスカレーション手順

本章では、社内で対処困難なインシデントや大規模事案発生時に、外部フォレンジック専門家へエスカレーションする手順を解説します。ここでは情報工学研究所（弊社）への相談方法を中心に説明します。

外部専門家へ相談するタイミングとしては、初動対応後48時間以内に初期調査結果を元にエスカレーション判断を行います。判断基準は「現状のスキル・リソースでは証拠保全にリスクがある場合」です。［出典：内閣サイバーセキュリティセンター『サイバー・レジリエンス向上ガイドライン』2023年］

情報工学研究所への依頼手順は以下の通りです。
①お問い合わせフォームに必要事項を入力（インシデント概要、社内対応履歴、取得ログサンプル）。
②弊社より初期ヒアリング・見積もりをご提示。
③ご承認後、オンライン契約締結・技術チーム派遣。［内部手順想定］

エスカレーションの判断基準

• 社内リソースで24時間以内に証拠保全が完了しない場合。
• 重大な法的リスクが発生する可能性が高い場合。
• 攻撃の規模や被害範囲が想定を超える場合。

情報工学研究所への依頼手順

外部専門家依頼フロー

ステップ	内容
①情報収集	インシデント概要・取得ログサンプルを準備
②お問い合わせ	弊社お問い合わせフォームから依頼内容送信
③初期ヒアリング	弊社担当が現状確認と見積提示
④契約・技術派遣	オンライン契約締結後、技術チームが対応開始

社内合意形成のポイント

本章では、経営層や関係部門と証拠保全・CoCプロジェクトの合意形成を図るためのポイントを解説します。具体的には稟議書の作成例やプレゼン時に強調すべき論点を示します。

まず、稟議書には以下の項目を含めることが重要です。
・プロジェクト目的：証拠保全体制構築による訴訟リスク低減
・スコープ：必要機器・ツール・人員・研修計画
・投資対効果：ROI試算結果
・スケジュール：フェーズごとのマイルストーン
・リスク：法令改正への対応や初期障害発生時の対応方法。［出典：経済産業省『ITガバナンスガイドライン』2022年］

プレゼン資料で強調すべき論点は「訴訟リスク回避」と「企業信頼性維持」です。過去事例を用いて、証拠不備による損害額と再発防止コストを比較し、経営層にわかりやすく説明します。［出典：総務省『情報セキュリティ対策指針』2022年］

稟議書作成のチェックリスト

• 目的・背景：法的要件と訴訟リスクの具体例を記載。
• 投資項目：機器・ツール・人件費の内訳を明示。
• 効果：ROI算出方法と数値根拠を添付。
• スケジュール：各フェーズの期限と担当部門を明示。
• 課題と対応策：法令改正時のアップデート計画を盛り込む。

プレゼン時の留意点

・言葉は簡潔にまとめ、専門用語には注釈を付与。
・スライドは図表を活用し、視覚的に訴求。
・過去の訴訟事例や被害額を具体的に示し、緊急性を訴える。
・コストとリスクの比較を“見える化”して、経営層の意思決定を促進。［出典：総務省『情報セキュリティ対策指針』2022年］

まとめ—今日から始める3ステップ

本章では、これまでの内容を3つのステップにまとめ、今日から実行可能なアクションプランを提示します。これにより、証拠保全体制を迅速に構築し、訴訟リスクを低減できます。

ステップ1：現状診断
社内の現行ログ取得・保管フローを棚卸し、CoC要件とのギャップを洗い出します。各拠点・部門ごとにヒアリングを実施し、取得ツールや保管方式をリスト化します。［出典：総務省『情報セキュリティ対策指針』2022年］

ステップ2：ポリシー策定とBCP統合
ギャップを埋めるためのCoCポリシーを策定し、三重化保存と3段階運用をBCPに組み込みます。法務部門と連携して文書化し、社内共有を実施します。［出典：経済産業省『BCP策定ガイド』2021年］

ステップ3：運用開始とレビュー
ポリシーに基づきツール導入や人材育成を実施し、半年ごとに内部監査を行います。運用中の課題をフィードバックし、継続的に改善を図ります。［出典：警察庁『デジタル・フォレンジック』2013年］

実行アクションフロー