証拠保全ガイドライン

まず結論

証拠保全ガイドラインは、インシデントや不正行為などが起きたときに、
電磁的証拠を適切に保全するための指針です。

SG試験では、細かい手順を暗記するよりも、

「後から調査・分析できるように、証拠を正しく残すためのガイドライン」

と押さえるのが大切です。

作成元としては、デジタル・フォレンジック研究会と結び付けて覚えます。

直感的な説明

証拠保全ガイドラインは、簡単にいうと、

デジタル証拠を壊さず、改ざんされない形で残すための手引き

です。

例えば、不正アクセスや情報漏えいが疑われたときに、焦ってパソコンを操作したり、ログを消してしまったりすると、原因調査に必要な証拠が失われる可能性があります。

そのため、証拠を扱うときは、

勝手に内容を変更しない
取得した日時や担当者を記録する
証拠の同一性を保つ
後から説明できる形で管理する

といった考え方が重要になります。

このように、証拠として使える状態を保つための考え方を整理したものが、証拠保全ガイドラインです。

定義・仕組み

証拠保全ガイドラインは、電磁的証拠の保全手続きの参考として、様々な事案で広く利用できるように策定された指針です。

ここでいう電磁的証拠とは、例えば次のようなものです。

サーバやPCのログ
メール
ファイル
通信記録
記録媒体のデータ
システム上に残る操作履歴

ポイントは、単に「データをコピーする」ことではありません。

証拠として扱うためには、

いつ取得したか
誰が取得したか
どのような方法で取得したか
取得後に改ざんされていないか

を説明できる必要があります。

つまり、証拠保全では 内容そのもの だけでなく、
証拠を扱った手順の正しさ も重要になります。

どんな場面で使う？

証拠保全ガイドラインは、次のような場面で関係します。

不正アクセスが疑われるとき

サーバへの不正ログインや不審な通信があった場合、ログや通信記録を証拠として残す必要があります。

情報漏えいが発生したとき

誰が、いつ、どの情報にアクセスしたのかを調査するために、アクセスログや操作履歴の保全が重要になります。

内部不正が疑われるとき

従業員による不正持ち出しなどが疑われる場合も、 PCやファイル操作履歴などを適切に保全する必要があります。

法的対応や第三者説明が必要なとき

後から「その証拠は本当に正しいのか」と問われたときに、取得・保管の流れを説明できることが大切です。

よくある誤解・混同

誤解1：証拠保全ガイドラインは、CSIRTを作るための資料である

これは違います。

CSIRTの構築・運用を支援する資料は、CSIRTマテリアルです。

証拠保全ガイドラインは、CSIRT体制そのものではなく、 電磁的証拠をどのように保全するかに焦点があります。

誤解2：証拠保全は、ログを保存しておけば十分である

これも注意が必要です。

ログを保存することは大切ですが、それだけでは不十分な場合があります。

証拠として使うには、

取得方法
取得日時
取得者
保管方法
改ざんされていないこと

なども説明できる必要があります。

つまり、証拠保全は データ保存 ではなく、
証拠として信頼できる形で残すこと です。

誤解3：内部不正防止のためのガイドラインである

内部不正への対策に関するものは、組織における内部不正防止ガイドラインです。

証拠保全ガイドラインは、内部不正に限らず、不正アクセス、情報漏えい、サイバー攻撃などの事案で、電磁的証拠を保全するために使われます。

試験での切り分けポイント

SG試験では、ガイドライン名と役割をセットで切り分けることが大切です。

用語	見分けるポイント
証拠保全ガイドライン	電磁的証拠の保全手続き
CSIRTマテリアル	組織内CSIRTの構築・運用を支援
ISMSユーザーズガイド	ISMS認証基準の要求事項の意味を説明
組織における内部不正防止ガイドライン	内部不正の防止・早期発見・拡大防止

特に、問題文に

電磁的証拠
証拠の保全
デジタル・フォレンジック

と出てきたら、証拠保全ガイドラインを選ぶ可能性が高いです。

まとめ（試験直前用）

証拠保全ガイドラインは、

電磁的証拠を保全するための指針
後から調査・分析できる形で証拠を残す
作成元はデジタル・フォレンジック研究会

と押さえましょう。

試験では、

証拠保全 = デジタル証拠を正しく残す
CSIRT = インシデント対応体制を作る

と切り分けると、選択肢を判断しやすくなります。

公式リンク

より詳しく確認したい場合は、以下の公式情報も参考になります。

デジタル・フォレンジック研究会：証拠保全ガイドライン第10版