情報セキュリティマネジメント 2017年 春期 午前（科目A） 問15

ディジタルフォレンジックス【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「証拠」「保全」「収集」「分析」「法的」などがあればフォレンジックスの説明を示す可能性が高い。
2. 選択肢の役割を分類する：予防・防御、検知・フィルタリング、データ廃棄、調査・証拠保全。
3. フォレンジックスは「調査と証拠保全」が中心であることを確認し、それに合致する選択肢を選ぶ。
4. 残りを排除する：運用ルールによるメールフィルタはフィルタリング、サーバ防御はセキュリティ対策、上書きは廃棄・消去（サニタイズ）に該当するため誤り。

選択肢別の誤答解説

• ア: 「メールサーバを通過する送受信メールをフィルタリングすること」
  → これはメールフィルタリングやDLP（Data Loss Prevention：情報漏えい防止）の説明です。フォレンジックスは事後の証拠保全・解析であり、通常はリアルタイムのフィルタリングとは別物です。
• イ: 「外部からの攻撃や不正なアクセスからサーバを防御すること」
  → これは防御（ディフェンス）や侵入検知/防御（IDS/IPS、ファイアウォールなど）の説明です。フォレンジックスは防御ではなく、攻撃発生後の調査と証拠保全が目的です。
• ウ: 「記憶媒体を廃棄する前に任意のデータ列で上書きすること」
  → これはデータ消去（サニタイズ）や廃棄手順に関する説明で、フォレンジックスとは逆の行為です。フォレンジックスでは元データを保全するため、上書きしてしまうと証拠が失われます。なお、安全な廃棄では上書きや物理破壊が有効ですが、それは証拠保全の目的とは異なります。

よくある誤解

• フォレンジックスは「不正を未然に防ぐ」活動だと思う誤解
  → 実際は事後の調査・証拠保存・原因究明が主目的。防止は別のセキュリティ対策です。
• 証拠は必ず復元できると思う誤解
  → 上書きや破損、機器の操作によって証拠が失われることがあります。特に電源操作で揮発性メモリ（RAM）の情報が消える点に注意が必要です。
• 自分で触っても問題ないと思う誤解
  → 調査前に現場の機器に不用意に触ると、タイムスタンプやログが変わり証拠価値が落ちます。まずは記録（写真・ログ）を残し、専門家に連絡するのが原則です。

補足コラム

• 現場保全：現状の記録（写真や接続状態）、アクセスを遮断して二次被害を防ぐ。
• イメージ取得：オリジナルを変更しないために「ビット単位の複製（イメージ）」を作成する。書込み防止装置（ライトブロッカー）を使う。
• 証拠管理：誰がいつ触ったかを記録するチェーンオブカストディを保持する。
• 分析：ログ解析、ファイル復元、タイムライン作成などを実施し、原因を特定する。
• 報告：調査結果を分かりやすく報告し、必要なら法的手続きに備える。

FAQ