情報セキュリティマネジメント 2023年 科目A 問03

デジタルフォレンジックス【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：この設問では「法的な証拠」「収集」「保管」「調査分析」といった語が重要です。
2. 各選択肢を分類する：証拠収集・保全に関する説明か、別のセキュリティ対策（暗号化、検疫、脅威共有など）かで分ける。
3. 用語を思い出す：デジタルフォレンジックスは「証拠を扱う」分野であることを確認する。
4. 最も一致する選択肢を選ぶ：証拠性や保全を強調しているものを選ぶ（この場合はウ）。

選択肢別の誤答解説

• ア: この説明は脅威情報（threat intelligence：攻撃者やマルウェアに関する情報）を標準形式で表現し、対策機器に渡すことを指します。代表的な標準にSTIX（Structured Threat Information eXpression）やTAXII（Trusted Automated eXchange of Indicator Information）があります。脅威情報の共有であり、証拠収集や法的保全を目的とするフォレンジックスとは異なります。
• イ: これはサンドボックス（sandbox：隔離された環境でプログラムを実行して挙動を確認する仕組み）による動的解析を示しています。受信メールの添付ファイルの安全性を判断するための手法で、検出・防御が目的です。解析の一部としてフォレンジックスの結果が使われることはありますが、単に送信前に挙動をチェックする行為自体は「証拠保全・法的証拠化」を意味しません。
• ウ: 「法的な証拠となるデータを収集し、保管し、調査分析すること」とあり、デジタルフォレンジックスの定義に合致します。証拠の完全性を守る手順（イメージ取得、ハッシュ値の記録、チェーン・オブ・カストディの記録など）もこの中に含まれます。
• エ: これは通信の暗号化（encryption：データを第三者に読まれないようにする技術、例：TLS）を説明しています。暗号化は機密性の確保が目的であり、フォレンジックス（証拠の収集・保全）とは目的が異なります。むしろ暗号化されているとフォレンジックスで解析が難しくなる場面もあります。

よくある誤解

1. 「フォレンジックス＝ハッカーを追いかける技術」ではない：フォレンジックスは攻撃者追跡だけでなく、内部不正や誤操作の原因追及、訴訟や懲戒手続きのための証拠収集にも使います。
2. 「サンドボックスで動かせばそれがフォレンジックス」ではない：サンドボックスは挙動確認のためのツールで、法的証拠としての保全手順（証拠管理）を伴わないことが多く、別物です。
3. 「フォレンジックスは社内の誰でもすぐできる」ではない：誤った操作で証拠の改ざんになる危険があり、適切な手順や専門知識が必要です。まずは現場での証拠保全（触らない・電源操作は指示に従う等）を覚えてください。

補足コラム

• 事件発生直後：現場担当者は何もしない（触らない）が基本。スクリーンショット撮影や現状記録は可能。
• 優先連絡先：自社のインシデント対応担当、法務、必要なら外部のフォレンジック業者に連絡。
• 証拠保全の例：問題のPCはネットワークから切り離すが電源の切断は専門家の指示の下で行う。ハードディスクの丸ごとイメージ（bit-by-bitコピー）を取得してから調査する。
• 記録を残す：誰がいつどのように触ったかを必ず記録（チェーン・オブ・カストディ）。これがなければ法的効力が弱くなる可能性があります。
• 外注の判断目安：証拠性が重要（訴訟や刑事処分を視野）なら外部専門業者へ。コストや時間がかかる点に注意。

FAQ