--- title: "証拠保全ガイドライン" description: "SG試験で問われる証拠保全ガイドラインについて、電磁的証拠を正しく保全するための指針として、CSIRTマテリアルなど似たガイドラインとの違いを初心者向けに整理します。" last_modified_at: "2026-07-09" canonical_url: "https://stemtazoo.github.io/sg/evidence-preservation-guideline/" section: "sg" --- # 証拠保全ガイドライン ## まず結論 **証拠保全ガイドライン**は、インシデントや不正行為などが起きたときに、 **電磁的証拠を適切に保全するための指針**です。 SG試験では、細かい手順を暗記するよりも、 > **「後から調査・分析できるように、証拠を正しく残すためのガイドライン」** と押さえるのが大切です。 作成元としては、**デジタル・フォレンジック研究会**と結び付けて覚えます。 --- ## 直感的な説明 証拠保全ガイドラインは、簡単にいうと、 > **デジタル証拠を壊さず、改ざんされない形で残すための手引き** です。 例えば、不正アクセスや情報漏えいが疑われたときに、 焦ってパソコンを操作したり、ログを消してしまったりすると、 原因調査に必要な証拠が失われる可能性があります。 そのため、証拠を扱うときは、 - 勝手に内容を変更しない - 取得した日時や担当者を記録する - 証拠の同一性を保つ - 後から説明できる形で管理する といった考え方が重要になります。 このように、**証拠として使える状態を保つ**ための考え方を整理したものが、証拠保全ガイドラインです。 --- ## 定義・仕組み 証拠保全ガイドラインは、**電磁的証拠の保全手続きの参考として、様々な事案で広く利用できるように策定された指針**です。 ここでいう電磁的証拠とは、例えば次のようなものです。 - サーバやPCのログ - メール - ファイル - 通信記録 - 記録媒体のデータ - システム上に残る操作履歴 ポイントは、単に「データをコピーする」ことではありません。 証拠として扱うためには、 - いつ取得したか - 誰が取得したか - どのような方法で取得したか - 取得後に改ざんされていないか を説明できる必要があります。 つまり、証拠保全では **内容そのもの** だけでなく、 **証拠を扱った手順の正しさ** も重要になります。 --- ## どんな場面で使う？ 証拠保全ガイドラインは、次のような場面で関係します。 ### 不正アクセスが疑われるとき サーバへの不正ログインや不審な通信があった場合、 ログや通信記録を証拠として残す必要があります。 ### 情報漏えいが発生したとき 誰が、いつ、どの情報にアクセスしたのかを調査するために、 アクセスログや操作履歴の保全が重要になります。 ### 内部不正が疑われるとき 従業員による不正持ち出しなどが疑われる場合も、 PCやファイル操作履歴などを適切に保全する必要があります。 ### 法的対応や第三者説明が必要なとき 後から「その証拠は本当に正しいのか」と問われたときに、 取得・保管の流れを説明できることが大切です。 --- ## よくある誤解・混同 ### 誤解1：証拠保全ガイドラインは、CSIRTを作るための資料である これは違います。 CSIRTの構築・運用を支援する資料は、**CSIRTマテリアル**です。 証拠保全ガイドラインは、CSIRT体制そのものではなく、 **電磁的証拠をどのように保全するか**に焦点があります。 --- ### 誤解2：証拠保全は、ログを保存しておけば十分である これも注意が必要です。 ログを保存することは大切ですが、それだけでは不十分な場合があります。 証拠として使うには、 - 取得方法 - 取得日時 - 取得者 - 保管方法 - 改ざんされていないこと なども説明できる必要があります。 つまり、証拠保全は **データ保存** ではなく、 **証拠として信頼できる形で残すこと** です。 --- ### 誤解3：内部不正防止のためのガイドラインである 内部不正への対策に関するものは、**組織における内部不正防止ガイドライン**です。 証拠保全ガイドラインは、内部不正に限らず、 不正アクセス、情報漏えい、サイバー攻撃などの事案で、 電磁的証拠を保全するために使われます。 --- ## 試験での切り分けポイント SG試験では、ガイドライン名と役割をセットで切り分けることが大切です。 | 用語 | 見分けるポイント | |---|---| | 証拠保全ガイドライン | 電磁的証拠の保全手続き | | CSIRTマテリアル | 組織内CSIRTの構築・運用を支援 | | ISMSユーザーズガイド | ISMS認証基準の要求事項の意味を説明 | | 組織における内部不正防止ガイドライン | 内部不正の防止・早期発見・拡大防止 | 特に、問題文に > **電磁的証拠** > **証拠の保全** > **デジタル・フォレンジック** と出てきたら、証拠保全ガイドラインを選ぶ可能性が高いです。 --- ## まとめ（試験直前用） 証拠保全ガイドラインは、 - **電磁的証拠を保全するための指針** - **後から調査・分析できる形で証拠を残す** - **作成元はデジタル・フォレンジック研究会** と押さえましょう。 試験では、 > **証拠保全 = デジタル証拠を正しく残す** > **CSIRT = インシデント対応体制を作る** と切り分けると、選択肢を判断しやすくなります。 --- ## 公式リンク より詳しく確認したい場合は、以下の公式情報も参考になります。 - [デジタル・フォレンジック研究会：証拠保全ガイドライン第10版](https://digitalforensic.jp/home/act/products/df-guideline-10th/)