正解：イ
各選択肢の解説
ア業務への影響を抑えるため、PCを初期化して後任者がすぐ使えるようにする。
誤り。復旧や業務の継続を優先して、証拠を消してしまう対応です。 マルウェア感染後の復旧では初期化が選ばれることもありますが、 調べる前に初期化すると、持ち出しの痕跡を後から確かめられなくなります。
イ内容を改変しない方法で複製・保全し、取得や保管の経緯を記録する。
正解。法的措置を考えるなら、証拠の収集の手順に沿って、データを改変せずに 保全します。誰がいつ取得し、誰が保管してきたかの記録があって初めて、 証拠として信頼されます。
ウ担当者がPCにログインし、持ち出されたと思われるファイルを開いて確かめる。
誤り。調べる行為そのものが証拠を変えてしまいます。ログインやファイルを開く操作で、 最終アクセス日時やログが書き換わり、持ち出した時点の状態と区別できなくなります。 中身を調べるのは、保全した複製に対して行います。
エ本人に事情を聞いて同意を得たうえで、本人に該当ファイルを削除させる。
誤り。被害の拡大を止めたい気持ちから出る対応ですが、疑いのある本人に操作させると、 痕跡を消される恐れがあり、証拠も失われます。本人への聴取は、 証拠を保全した後に、定められた手順で行います。
理解を深めるために
調べる前に「そのままの状態で残す」
事件現場で、警察が来る前に部屋を片付けてしまうと、何が起きたかを確かめられなくなります。 PCも同じで、触る前に保全するのが証拠の収集の基本です。 JIS Q 27002 では、証拠の収集は組織的管理策の一つに位置づけられています。
なぜ保全と記録が要るのか
- 法的措置や懲戒の場面では、示す証拠が「本物で、後から手を加えていない」ことを 説明できなければならない
- PCは起動やログイン、ファイルを開くだけで日時情報やログが書き換わる。 そこで、原本を改変しない方法で複製を取り、調査は複製に対して行う
- 誰がいつ取得し、誰の手を経て保管されてきたかを記録しておく。 この記録が欠けると、途中で差し替えられていないことを示せない
- 手順はインシデント対応の前に定めておく。発生してから考えると、 最初の操作で証拠を失いやすい
混同しやすい対応との違い
| 対応 | 何を優先しているか | 証拠への影響 |
|---|---|---|
| 改変せず複製・保全し経緯を記録 | 証拠の収集 | 後から真正性を示せる |
| PCを初期化して再利用 | 業務の復旧 | 痕跡が消える |
| 担当者が原本を直接開いて確認 | すぐに事実を知ること | 日時情報やログが変わる |
| 本人に削除させる | 被害の拡大防止 | 痕跡を消される恐れ |
試験では「法的措置」「訴訟」「懲戒」といった語が出たら、復旧や確認より先に 証拠を保全する対応を選びます。インシデント対応のどの段階かで、優先することが変わります。