- デジタルフォレンジック
デジタルフォレンジックとは？目的から実現の流れをわかりやすく解説
情報通信技術がより進んだ段階に移っている現代では、サイバー犯罪・情報漏洩が増えていることが解決すべき重要な事柄となっています。
情報の流出・紛失を防ぎ、適切に管理するために構築する、総括的な枠組みである情報セキュリティーマネージメントシステム（ISMS）に「A 16.2.7 証拠の収集」があります。
わかりやすく言うと、情報セキュリティ事故が生じた時に詳細を記録しておくということですが、どういうわけで詳細を記録しておかなければならないのでしょうか。
コンピュータやインターネットに関連する訴訟は珍しくなく、証拠の構成要素を細かく理論的に調べることによって、その本質を明らかにする「デジタルフォレンジック」がきわめて大切になっているからです。
組織内で情報漏洩・不正アクセスを共有して、同じような事態がまた発生しないようにするというのも実現しようとしてめざす事柄のひとつですが、それに加えて大切な目的があります。
デジタルフォレンジックというテクニックを密接に関係づけて、ISMSで証拠の収集をしなければならない理由についてを確かめていきましょう。
デジタルフォレンジックとは
まずはじめに、デジタルフォレンジックに関する意味・あらましをまとめていきましょう。
コンピュータを使ってあらゆる種類の電子的なデータや情報を作成・処理・保存・取得・交換することが発展した現在、デジタルフォレンジックはいったいどんな重要性を持っているのでしょうか。
インターネットが発達して、ありとあらゆるもののデジタル化が成熟期に達すると同時に、サイバー攻撃・コンピュータ犯罪は巧妙化しています。
デジタル技術を取り入れている企業にとって、不可避なセキュリティインシデントは断じて無関係なことではなく、前もって対策を講じなければなりません。
明白な信頼性を担保することに結びつけるためのインシデントレスポンスとして、意識して目を向けられ、その動向や詳細を調べられているのがデジタルフォレンジックです。
フォレンジックとは
「フォレンジック」という単語はそれほど耳に入ってくる場合がないため、どういった重要な意味を持つ単語であるかを心の中に思い描けない人も多いのではないでしょうか。
本来フォレンジックとは、「法科学（Forensic Science、フォレンジック・サイエンス）」を示して使用されることが多くなっています。
人間生活に対する科学の実用化がより進んだ段階に移っていくことと同時に、ネットワークや情報システムの運用で、保安上の脅威となる事象が急拡大しているのです。
これに対して、機器の操作記録から事態をつきつめて明らかにするための情報を、構成している要素に分けて解明するデジタルフォレンジックという技法が、単語が世間に広くゆき渡ると同時に広がっていきました。
デジタルフォレンジックの目的
コンピュータネットワーク上に構築された仮想的空間における事実・真実を明らかにする根拠となるものを要素に分け、その構成を明らかにするデジタルフォレンジックは、個人情報をデータで取り扱う企業にとって、きわめて大切な技術であるといえます。
デジタルフォレンジックの目的に関する見識を深め、デジタルフォレンジックが土台となって生み出されたものを認識することは、サイバー攻撃が起こった場合に対する準備に結びつくのです。
セキュリティインシデント発生時の原因究明
マルウェアに感染させる行為や不正アクセスなどのセキュリティインシデントが発生した際には、デジタルフォレンジックは因果関係をつきつめて明らかにすることに役立ちます。
どういった種類のサイバー攻撃を受けたのか、どういった場所に脆弱性があったのか、どういった事情を経て、最終的にマルウェアがファイルに組み込まれたかなど、原因を詳しく理解できるからです。
デジタルフォレンジックによって受けた損害や危害の全貌をしっかりと理解することで、再発防止対策を取ることにも有用であるほか、状況次第では法的な措置へのアクションを移しやすくなります。
サイバーセキュリティにおける訴訟への備え
デジタルフォレンジックによって、何がどうしてこうなったのかを知るために有益といえる細かい情報が次第に判明することで、行動や状態の責任を負うべき対象責任の所在が明らかになります。
複雑な証拠を要素ごとに分け、その構成などを明らかにするだけでなく、不注意などから生じた過ちの細部に至るまでくわしいことがしっかりと理解できるのです。
セキュリティインシデントが生じたことで、自社が責任を取るべきかどうか問題となり、訴訟される局面といった望ましくない状態になった場合でも対策を立てやすくなるでしょう。
セキュリティインシデントの予防
損害や危害を受けた場合、デジタルフォレンジックで詳細を追究して明らかにすることが実施できる仕組みを、すぐ役立つように準備したり整えたりすることは、セキュリティインシデントを前もって防ぐことにも結びつきます。
サイバー攻撃の標的として照準を定められにくくなるばかりでなく、機密情報が従業員・退職者によって外部に漏れることを前もって防ぐことにもつながるでしょう。
デジタルフォレンジックを成り立たせている基本的な条件
デジタルフォレンジックの法的な強制力が有効な水準に到達するには、次に挙げる基本的な条件を満たさなければなりません。
法規にかなっている手続きであること
物事の推論の参考となる情報による証拠能力を担保するうえで、結論が導き出される根拠となる判断となるのは、電子機器・記録媒体の管理が法律に基づいて適切であることです。
構成要素を細かく理論的に調べることによって、その本質を明らかにする方法が、法律で定められた枠から外れている場合、手続きが法律上、正しく道理にかなっていることを証明できません。
事実と合っていて少しもまちがいのない解析であること
デジタルフォレンジックで解析された、物事の推論の参考となる情報が証拠として受け入れられるには、物事の推論の参考となる情報の事実性がきわめて大切です。
内容を変えて、違ったものにすることがたやすく行えるため、論理にかなっている正しい手続きで細かく理論的に調べることによって、本質を明らかにする必要があります。
特別な方法で未知の事柄をおしはかり論じることや、意味・内容を解きほぐして明らかにすることなく、れっきとした事実であることを証明しなければなりません。
事実を確認したのが直接関わりを持たない人であること
直接関わりを持たない人が特定の立場にとらわれず、しっかり調べて事実を確かめられていることは、デジタルフォレンジックが正しく道理にかなっていることを証明するうえで最も大事な要素です。
細かく理論的に調べることによって、その本質を明らかにする過程・結果だけでなく、使用した手法・技術もはっきりとさせることで、同じ事象が繰り返し起こることを客観的に証明しやすくなります。
デジタルフォレンジックの種類
デジタルフォレンジックは大まかな枠組みの用語であって、調べて詳細を明らかにする対象・方法によって、以下のように細かく分けられます。
コンピュータフォレンジック
コンピュータに記録されている推論の参考となる複雑な情報を構成している要素に分けて解明することで、被害の全貌を明白にして、不正操作・意図的に書き換えられたことを証明するフォレンジック技術です。
情報流出を引き起こすもとになったコンピュータを調査することで、流出の時期・原因・経路、犯罪の裏付けとなる証を消し去られた情報の復元など、多岐にわたる被害の形跡を見出せるのです。
モバイルフォレンジック
ノートパソコン・スマートフォン・タブレットなど、場所を問わずに使用できるモバイル端末内の情報に重点が置かれたフォレンジック技術です。
モバイル端末は新たな情報が加えられる頻度が高く、位置情報があちこちに散らばって存在しているため、より細かく理論的に調べることによって、その本質を明らかにすることが求められます。
ネットワークフォレンジック
情報端末同士を接続するネットワーク上で証拠を調査・解析することを目的とするフォレンジック技術です。
ネットワークに流れるパケット情報の不審な動きを調べ、いつ／どの端末が／どのような経路で／どこに／何を送信したのか、といった全体像を把握して情報端末間の分析を実施します。
悪質な振る舞いをするデータが無いかを毎日点検することで、不正侵入・サイバー攻撃の検出だけでなく、組織に直接所属している人による情報漏洩を防ぎ、不正を未然に抑え込むことのできる要素としての働きをなすことが期待できるでしょう。
ファストフォレンジック
ファストフォレンジックという単語の意味を、他と区別できるように明確に限定することはできませんが、むだなところがなくわずかの間でできるフォレンジックと理解することが一般的です。
最近では大がかりなデータを処理する場合が増加している傾向にあり、これまでのフォレンジックでは調査に要する時間が膨れ上がってしまい、悪い状態になった企業の信頼をもとの状態に戻すことに向けて手際よく対応を進めることが困難となっていました。
これによって意識して目を向けられ、その詳細が調べられているのが、フォレンジックに欠かせないデータだけを細かく理論的に調べることによって、その本質を明らかにするファストフォレンジックです。
セキュリティインシデントが生じた際に企業が最初に対応すべきアクションは、問題の真実を明らかにする根拠となるものを集めることではなく、被害の大きさを小さくすることになります。
調査する場合に前もって焦点を当てる範囲を狭めて明確に定めることで、フォレンジックに要する時間を縮めて短くするだけでなく、フォレンジックの必要経費もカットダウンできるでしょう。
デジタルフォレンジック調査
デジタルフォレンジックの調査の流れを厳密にではなくざっと分類すると、収集・検査・分析・報告の要素で構成されています。
実際上の調査の流れに基づいて、デジタルフォレンジックについて論じると、どのようにして実施されていくのかを細部に至るまでくわしく整理していきましょう。
収集
分析の対象となる収集されたデータは、紛失したり盗まれたりしないように適切に保全すると同時に完全なコピーが作成されるところから、セキュリティインシデントを引き起こしたもとになったことを追究して明らかにすることが始まります。
作業を進めていく次の段階の「検査」は、実際にコピーされた媒体に対して行われて、デュプリケータと称される専用のツールが利用されることもあります。
証拠保全の時にきわめて大切であることは、被害が生じた際の状態が確実に維持されていることです。
証拠の収集にはありとあらゆるデータを効果的に利用するため、セキュリティインシデントが生じた後にデータ内容を変えて違ったものにされている場合、収集が支障なく滑らかにできない可能性があります。
データは誰でも簡単に加工できてしまうため、証拠能力を有するには、途中でデータの内容が改ざんされたりしないように管理を徹底することが大切です。
検査
サイバー攻撃・情報漏洩が発生した場合、データを保護して安全であるようにしていたとしても、証拠となるデータが消し去られていたり、盗用・改ざんを防ぎとめる暗号化が施され、データを解読できない可能性もあります。
媒体に保存されたデータのタイムスタンプ・タイムライン・レジストリの構成要素を細かく理論的に調べることによって本質を明らかにしたり、あとかたもなく消されたデータを元の状態に戻さなければなりません。
具体的には壊れたり傷ついたデータの修復・暗号化されたデータの解読・圧縮されたデータの展開・不要なデータの除去・特定の条件に合致したデータの取得などを実施します。
法的証拠能力が維持される水準まで状態を元の状態に戻していき、次の分析工程の対象となる複雑な情報を要素ごとに分けて、構成を明らかにしやすいようにデータ化されるのです。
分析
検査工程で必要なものをすべてそろえられた情報から、調べて詳細を明らかにするのが分析工程で、データの作成時期や作成者の特定・事案発生までに変更された回数や内容・アプリケーションの実行履歴を細かく調べていきます。
セキュリティインシデントの詳細を明らかにする際に、状況に合っていてふさわしい証拠となるかどうかを分析するため、デジタル技術だけでなく、法律を認識・理解していなければなりません。
データを解析する際には、専用の解析ツールを使用してチェックすることで、通常ではわからないデバイスによる操作ログを詳細に掘り起こし、分析プロセスに基づいてデータを関連付けていくことで証拠の発見につなげていきます。
報告
分析工程で判明した事実は断片的な情報であるため、専門の弁護士による監修のもと、データの復元や解析によって得られた成果をまとめて作成されたレポートが最後に報告されます。
レポートは法廷での要証事実の存否について判断を下す根拠となる資料として、実際の調査状態・本質を明らかにしたデータ群・証拠をあげて事実を証明する証拠などが細部にわたって記載されているのです。
それゆえに法廷での証拠として効果的に利用するだけでなく、その他の折衝があった場合にも判断の真偽を明らかにするための資料となり、レポート内容に基づいて社内のセキュリティ対策をさらに強くする目的としても活用されています。
インシデント記録はどういうわけで必要か？
書き出しで述べたように、ISMSではセキュリティインシデントが起こった場合に、インシデント記録は事実を明らかにする根拠となるものとして収集することが要求されています。
どういうわけでインシデント記録が必要であるのかというと、法的な強制力をもった証拠となる公算が大きいからです。
一例を挙げれば、不正な手段によって自社サーバへのアクセス権が取得され、ネットワークを通じて利用することで個人情報の流出が発生したということであれば、悪意をもった犯罪に該当する行為によるセキュリティインシデントです。
企業側が損害や危害を受けたことを察知するのは、セキュリティインシデントが発生して数時間後になるかもしれませんし、数日後になるかもしれません。
そういった場合、結果として事件の張本人を断定するまでに、相当の時間が過ぎ去っている可能性もあり、きわめて大切になってくるのが事件当時の法的な証拠として機能できる記録です。
サーバに記録されたログから、いつ（When）・どこで（Where）・誰が（Who）・何を（What）・なぜ？（Why）・どのように（How）を証拠として保全しておくことで、もし監督官庁から法的根拠を要求された際に、状況に合っていてふさわしい証拠を提出できます。
ここで欠かすことのできない技術は、長い時間が過ぎ去った後に記録を入手するための技術と、法的な強制力を根拠とする記録を証拠として保全する技術です。
デジタルフォレンジックはこういった要点を実現させるためにとる方法として、ISMSで中心的な役目を果たすものとなっています。
まとめ
デジタルフォレンジックは、情報技術がより進んだ段階に移っていくとともにサイバー攻撃・情報漏洩の数が増加している現在において、必要性の高い技術・手法といえるでしょう。
デジタル化が進歩したことによって、インターネットに接続することが広く行き渡った現に今、進行している時代において、サイバー攻撃・情報漏洩のリスクは納得がいかないながらも、他に選択肢がなく、いつもそばにつきまとうことになります。
その前提に立って、セキュリティインシデントが起こった際に素早く的確な対応ができることは、企業としてどれだけ信じられるかという度合いを向上することにも結びつくのです。
デジタルフォレンジックを媒介として、顧客データを代表とする重要な秘密情報を適切に保護することで、社会的信用の損失といった不都合な事態にならないようにする対策の程度をさらに高めていきましょう。