【問129】情報・サイバーセキュリティ管理士 練習問題｜証拠保全とデジタルフォレンジック
インシデント対応とクラウド・IoT 問4/25難易度B（標準）
問題文
インシデント調査におけるデジタルフォレンジックの証拠保全に関する説明として、最も適切なものはどれか。
- 1.調査を迅速にするため、対象の端末上で直接ログを編集し不要な記録を削除する
- 2.対象媒体の複製を作成し、ハッシュ値で同一性を示したうえで複製を解析する
- 3.保全した証拠は担当者が個人で保管し、取扱いの記録は残さないようにする
- 4.揮発性の高いメモリ情報は価値が低いため、電源を切ってから調査を開始する
解説
正解は2。デジタルフォレンジックでは、原本を改変しないことが最も重要である。書込み防止装置を用いて対象媒体のビット単位の複製（イメージ）を作成し、原本と複製のハッシュ値が一致することで同一性を示したうえで、解析は複製に対して行う。あわせて、取得から保管、解析、報告までの授受の経緯を記録する管理の連鎖（Chain of Custody）を維持し、証拠としての価値を保つ。1は誤り。対象端末上での直接編集や記録の削除は証拠の改ざんに当たり、絶対に行ってはならない。3は誤り。個人保管と記録の欠如は管理の連鎖を断ち、証拠能力を失わせる。4は誤り。メモリ上の情報は通信状況や実行中のマルウェアを示す価値が高く、揮発性の高いものから収集する。本試験では収集順序と原本保全の原則が問われる。