情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問38

デジタルフォレンジックス【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワードを抽出：「証拠」「収集」「保全」「調査」「監査」など。
2. 各選択肢の意味を簡単に思い出す。
   • コンティンジェンシープラン＝事業継続の計画
   • サンプリング＝代表抽出の統計手法
   • デジタルフォレンジックス＝証拠収集・保全の技法
   • ベンチマーキング＝比較評価の手法
3. 「証拠を収集し保全する」に最も直接対応するものを選ぶ。該当するのはデジタルフォレンジックスなので、ウを選ぶ。

選択肢別の誤答解説

• ア: コンティンジェンシープラン（contingency plan：予期せぬ事態に備えた業務継続計画）
  • 誤り。事業を継続するための手順や代替手段の計画であり、証拠の収集・保全を主目的とはしません。災害や大規模障害への対応計画です。
• イ: サンプリング（sampling：母集団から代表を抜き出して調査する統計手法）
  • 誤り。大量データの代表抽出や検査で使いますが、証拠としての完全な収集・保全（改ざん防止や法的保存）を保証する手法ではありません。
• ウ: デジタルフォレンジックス（digital forensics：デジタル証拠を収集・保全・解析する技法）
  • 正解。証拠性を保つ手順（イメージ取得、ハッシュ検証、チェーンオブカストディ管理）を含み、監査や訴訟にも耐えうる形で扱います。
• エ: ベンチマーキング（benchmarking：製品や運用を他社や基準と比較して改善する手法）
  • 誤り。性能評価や運用改善のための比較分析であり、証拠の収集・保全とは目的が異なります。

よくある誤解

• 「インシデント対応＝フォレンジックス」と混同しやすい
  • インシデント対応（Incident Response：問題の封じ込め・復旧を行う活動）は目的が早期回復です。一方でフォレンジックスは証拠保全と解析が主目的で、両者は協調しますが別の工程です。
• 「バックアップがあれば証拠保全は十分だ」と考える誤り
  • バックアップはデータ復旧に有用ですが、取得時点の証拠性（タイムスタンプ、改ざんの有無、作業履歴など）を保つための手順（ハッシュ値の記録や作業ログ）は別に必要です。
• 「電源を切れば安全に証拠を保てる」との誤解
  • 状況による（揮発性メモリの情報が消えるなど）。適切な判断はフォレンジックの方針に従います。素人判断で操作すると証拠を失ったり改ざんしたと見なされる恐れがあります。

補足コラム

• 収集（Acquisition）: ハードディスクやログ、スマホなどからビット単位で適切にデータを取得します。イメージ取得（disk imaging）と呼びます。
• 保全（Preservation）: ハッシュ関数で取得データの完全性を確認し、Chain of Custody（誰がいつ扱ったかの記録）を残します。
• 解析（Analysis）: タイムライン解析、ファイル復元、ログ解析などで事実を明らかにします。
• 報告（Reporting）: 再現可能で第三者が理解できる報告書を作成します。

• 従業員が不審なUSBを差した疑いがある場合、まずその端末はそのままにして情報セキュリティ担当（または外部のフォレンジック専門業者）に連絡します。担当者は手順に従って証拠性を損なわないよう取得・記録します。日常的には、外部委託業者とフォレンジック手順を契約書に明記しておくと安心です。

FAQ