>
>
公開日
最終更新日
情報漏洩やランサムウェア、退職者によるデータ持ち出しが発覚したとき、デジタルフォレンジック調査の費用はどこまで膨らむのでしょうか。目安は、PC1台の簡易・ファスト調査で30万〜100万円、複数端末を含む標準調査で100万〜250万円、大規模インシデントでは300万〜1,000万円以上です。
【状況別の参照先】ランサムウェアが疑われる場合は「ランサムウェア・不正アクセス調査」と「初動対応の失敗パターン」を、退職者・社内不正の場合は「社内不正・営業秘密持ち出しの調査」と「費用相場と料金の内訳」を、個人端末（スマホ等）の場合は「個人が依頼できる調査」をそれぞれ参照してください。
ただし、同じPC1台でも、事実確認だけを行うのか、削除データを復元して法廷提出用の報告書まで作るのかで、フォレンジック調査費用は変わります。この記事では、対象機器・調査目的別の料金相場に加え、電源を切るなどの初動ミスを防ぐ手順、サイバー保険の使い方、個人で依頼する際の法的な注意点まで具体的に整理します。
デジタルフォレンジック調査とは
デジタルフォレンジック調査とは、デジタル機器やクラウドに残る記録を適切に保全・解析し、インシデントの原因、影響範囲、操作主体を明らかにする調査です。
本記事のポイント
簡易・ファスト調査の費用帯は、見積もり比較モデルでは30万〜100万円です。
標準調査は100万〜250万円、大規模調査は300万〜1,000万円以上を比較用の費用帯として示します。
起動中端末の電源操作とネットワーク隔離は、事案の進行状況、組織のインシデント対応計画、CSIRT、調査会社の指示を踏まえて判断します。
証拠利用を想定する場合は、ハッシュ値と証拠管理記録を残します。
データ復旧との違い
データ復旧は、故障や誤削除によって読めなくなったファイルを再び利用できる状態に戻す作業です。一方、フォレンジック調査は、誰が、いつ、どの端末から、どのデータに何をしたのかを時系列で検証します。不正アクセスやEDRを利用したサイバー攻撃調査では、ファイルだけでなくプロセス、通信、認証、レジストリ、イベントログを突き合わせます。
削除ファイルを復元できても、その取得方法や改変の有無を説明できなければ、裁判や行政報告での証明力は限定されます。逆に、ファイル本体を復元できなくても、USB接続履歴、ショートカットファイル、メール送信記録、クラウドのダウンロードログを組み合わせて、持ち出し行為を推認できる場合があります。
チェーン・オブ・カストディによる証拠管理
チェーン・オブ・カストディとは、証拠を誰が、いつ、どの方法で取得し、どこで保管し、誰に引き渡したかを連続して記録する考え方です。調査会社は通常、原本を直接解析せず、書き込みを防止した状態で複製を作り、取得時のハッシュ値を記録します。
ハッシュ値が取得時と解析後で一致すれば、解析中にデータが変わっていないことを技術的に説明できます。ただし、報告書を作成しただけで証拠能力や証明力が自動的に認められるわけではありません。取得権限、保全手順、解析方法、事案との関連性を踏まえ、最終的には裁判所などが評価します。
ファストフォレンジックとディープフォレンジックの違い
初動判断を急ぐ場合はファストフォレンジック、訴訟や懲戒処分に使う証拠を広範囲に確認する場合はディープフォレンジックを選びます。
比較項目 | ファストフォレンジック | ディープフォレンジック |
|---|---|---|
主な目的 | 侵害有無と影響範囲の早期判定 | 攻撃経路や不正操作の詳細な立証 |
主な対象 | EDR記録、認証ログ、主要ファイル、通信ログ | ディスク全体、メモリ、削除領域、メール、複数ログ |
期間の目安 | 1〜5営業日で初期所見 | 2〜6週間以上 |
費用の比較帯 | 30万〜100万円 | 100万〜250万円以上 |
適する場面 | 行政報告や封じ込めの初動 | 訴訟、刑事告訴、懲戒、全容解明 |
ファスト調査後に重大な侵害が判明した場合は、同じ保全データを使ってディープ調査へ移行します。最初から全端末を詳細解析するより、優先端末と期間を絞った一次調査を挟む方が、費用と時間を管理しやすくなります。
2025年以降の市場と技術動向
IMARC Groupの日本デジタルフォレンジック市場調査は、2025年の市場規模を4億5,170万米ドル、2034年を11億1,800万米ドル、2026〜2034年の年平均成長率を10.59％と予測しています。1米ドル150円で単純換算すると、2025年は約678億円です。為替換算額は比較用の目安であり、市場規模の円建て確定値ではありません。
2025年以降は、AIで大量のログや端末を優先順位付けするAIフォレンジックと、クラウド上の証跡を遠隔収集する調査が広がっています。AIは不審なプロセスや通信の絞り込みに使えますが、取得権限の判断や証拠管理を自動で保証するものではありません。専門家が根拠となる原記録を確認し、AIの出力を検証する運用が前提です。
▲ データ復旧とデジタルフォレンジック調査の目的と役割の違い
フォレンジック調査が必要になる理由
フォレンジック調査は、被害の有無を判断するだけでなく、行政報告、本人通知、取引先への説明、再発防止策の根拠をそろえるために使います。
個人情報保護法に基づく報告期限
日本の個人情報保護法には、すべての漏洩事故に一律で適用される「72時間以内」という期限はありません。72時間はEU一般データ保護規則で知られる期限であり、日本では要配慮個人情報の漏洩、不正目的による漏洩、財産的被害のおそれがある漏洩、1,000人を超える漏洩などが報告対象になります。
個人情報保護委員会は漏えい等報告案内ページ（https://www.ppc.go.jp/personalinfo/legal/leakAction/、2025年6月確認）で、速報は発覚日から3〜5日以内、確報は発覚日から30日以内、不正な目的で行われたおそれがある場合は60日以内と案内しています。同委員会の同ページでは、報告が必要となる事態として、要配慮個人情報を含む個人データ、不正利用により財産的被害が生じるおそれのある個人データ、不正な目的による行為に起因する漏えい等、本人の数が1,000人を超える漏えい等を挙げています。対象・提供状況や個別の例外は、個人情報保護委員会の現行の法令・ガイドライン・Q&Aで確認が必要です。報告対象に当たることが確認できれば、速報用に発覚日時、対象システム、想定件数、外部流出の可能性、初動措置を整理し、対象外と判断される場合は判断根拠と確認済みログを社内記録として残します。
情報が不足していても報告対象に該当する可能性が高ければ、判明分で速報し、調査の進展に合わせて更新します。報告対象外と判断する場合も、判断根拠と確認したログを社内記録として残せば、後日新しい事実が判明した際に経緯を説明できます。
ランサムウェアに伴う情報漏洩の確認
ランサムウェアは暗号化だけでなく、データを窃取して公開を迫る二重脅迫を伴います。暗号化されたサーバーを復旧しても、外部送信の有無を調べなければ、本人通知や取引先説明の範囲を決められません。デジタルデータソリューションは、同社が公表した2024年の調査結果として、ランサムウェア被害を受けた企業のうち情報漏洩の有無を調査しなかった割合が約74%であり、調査を実施した企業の中で外部への情報漏洩が確認された割合が約80%であったと報告しています。この数値は同社の対応案件に基づくもので、国内企業全体の傾向を表すものではありません。
IPAは「情報セキュリティ10大脅威 2025」で、組織向け脅威の1位にランサム攻撃による被害を挙げています。感染が疑われる場合は、暗号化ファイルだけでなく、VPNやリモートデスクトップの認証履歴、管理者アカウントの利用、圧縮ツールの実行、クラウドストレージへの通信を確認します。ランサムウェアへの事前対策と事故後の調査を分けずに設計すると、保全対象のログを平時から決められます。
サプライチェーンへの説明責任
委託先で事故が起きた場合、委託元は「漏洩したか不明」という回答だけでは顧客対応を終えられません。侵入経路、影響を受けたデータ、外部送信の痕跡、再発防止策を報告できれば、取引継続の判断材料になります。大企業の調達基準が委託先にも適用されるため、中小企業でも外部調査会社へ連絡できる体制を用意する場面が増えています。
国内企業における調査事例
NTT西日本は2024年2月、子会社のNTTビジネスソリューションズで発生した顧客情報の不正持ち出しについて、調査結果と再発防止策を公表しました。NTT西日本の公式調査報告によると、流出した顧客情報は約928万件に及びます。同社は関係する端末、サーバー、操作記録などを調べ、USBメモリーを利用した持ち出しを含む長期間の不正行為を整理しました。
この事例は、退職者や内部関係者の調査では、現在のPCだけを確認しても全容に届かないことを示しています。USB制御ログ、過去の端末、共有フォルダー、印刷、メール、管理者権限の付与履歴まで保存できていれば、調査可能な期間と対象を広げられます。
▲ 個人情報漏洩事故発生から確報提出までの報告プロセス
フォレンジック調査の対象と具体的な内容
調査対象はPCやスマートフォンだけでなく、サーバー、ネットワーク機器、AWS・Azureなどのクラウド、Google WorkspaceやMicrosoft 365などのSaaSにも及びます。
PC・サーバーの調査
PCでは、ファイルの作成・削除・コピー、USB接続、Web閲覧、プログラム実行、メール、認証、リモート接続などを調べます。サーバーでは、OSやアプリケーションのログ、管理者操作、バックアップ、データベースへのアクセス、外部通信を解析します。証拠性を損なわないよう、調査対象に対する不用意なPC操作は避けます。
外部からの侵入を調べる場合は、端末だけでなく、ファイアウォール、VPN、Active Directory、EDRの記録を時刻順に並べます。サイバー攻撃の種類によって確認すべき痕跡が異なるため、フィッシングメールを起点とするのか、脆弱性悪用や正規IDの不正利用を疑うのかを初期仮説として設定します。
スマホ・タブレットの調査
スマートフォンでは、通話履歴、SMS、連絡先、写真、位置情報、ブラウザー履歴、アプリの利用記録などが対象になります。メッセージアプリの内容を取得できる範囲は、OS、機種、暗号化、バックアップ、ロック状態、アプリの仕様によって変わります。削除されたメッセージが必ず復元できるわけではありません。
業務用端末で情報漏洩インシデントが疑われる場合は、モバイル端末管理の記録、クラウドへの同期、テザリング、ファイル共有アプリも調べます。端末管理ログを取得できれば限定調査に進み、取得できなければ端末本体と同期先のバックアップを優先して保全します。
クラウド環境の調査
AWSではCloudTrail、Azureではアクティビティログやサインインログ、Google Cloudでは監査ログなどを使い、管理操作、権限変更、API実行、データへのアクセスを追跡します。例えば、AWS CloudTrailの公式ガイドでは、イベント履歴から過去90日間の管理イベントを確認できると案内しています。90日を超えて保存する場合は、証跡やイベントデータストアなどの事前設定が必要です。
クラウド調査で「誰が何をしたか」を特定できる範囲は、契約プラン、管理権限、監査設定、ログの保存期間に左右されます。ログが残っているならアカウントと操作を絞り込み、残っていないなら接続元PC、ID管理基盤、ネットワーク機器の記録を代替証拠として調べます。
SaaS・メール環境の調査
Microsoft 365やGoogle Workspaceでは、サインイン、メール転送設定、ファイルの共有・ダウンロード、管理者操作などを確認します。Microsoftは監査ログ保持ポリシーの公式文書で、ライセンスや保持ポリシーによって保存期間が異なることを案内しています。Googleも管理者向けの監査・調査ツール案内で、サービスごとの監査情報を説明しています。
監査ログを取得できるプランなら、対象ユーザーと期間を限定して解析します。取得できない場合は、メールボックス、同期済みPC、IDプロバイダーのログを先に保全します。日常的な監査対応と操作ログ管理に保存期間の確認を組み込むと、事故後に調査不能となる期間を減らせます。
社内不正・営業秘密持ち出しの調査
退職予定者によるデータ持ち出しでは、USB接続、外付けSSD、個人メール、Webメール、クラウドストレージ、印刷、スマホ撮影などを調べます。削除されたファイルだけに注目せず、最近使ったファイル、リンクファイル、ファイル名検索、圧縮ソフトの実行履歴を時系列で照合します。
データ持ち出し調査では、PC1台の限定解析からメールやクラウドを含む調査まで、対象と成果物で見積額が大きく変わります。対象者へ聞き取りを行う前に保全方針を決めなければ、証拠削除やアカウント停止によってログへアクセスできなくなるおそれがあります。
目的・企業規模別の調査方針
調査範囲は端末台数だけで決めず、達成したい目的、法的手続の有無、利用できるログ、企業規模を基準に設定します。
ランサムウェア・不正アクセス調査
事業再開を急ぐ場合は、侵入が疑われる端末、認証基盤、VPN、バックアップを優先します。ファストフォレンジックで侵入経路と横展開の範囲を見極め、外部送信や管理者権限の悪用が見つかればディープ調査へ移行します。初期所見と最終報告を分ければ、復旧判断を数週間待たずに進められます。
情報漏洩・データ持ち出し調査
情報漏洩調査では、「漏洩したか」だけでなく、対象データ、件数、保存項目、送信先、第三者が閲覧できた期間を整理します。データ持ち出し調査の費用を管理するなら、対象者、端末、期間、疑わしいファイル群を先に定義します。ただし、調査対象者へ先に詳細を聞くと証拠が消される可能性があるため、端末とアカウントの保全を聞き取りより前に置きます。
50名未満の企業における方針
専任のセキュリティ担当者がいない企業では、全端末の詳細解析から始めず、感染端末、管理者PC、サーバー、ルーターの4領域を優先します。顧問弁護士、保険会社、外部調査会社の連絡先を1枚にまとめ、発覚日時と端末の電源状態を記録できる様式を用意すると初動が安定します。
50〜300名の企業における方針
複数拠点やクラウドサービスを利用する企業では、情シス、法務、広報、人事の役割分担を事前に決めます。EDRやID管理のログが取得できるならファスト調査で対象端末を絞り、取得できないならネットワーク機器と主要サーバーの保全範囲を広げます。社内不正では、人事部門による対象者への連絡時期も調査会社と合わせます。
300名超の企業における方針
端末数が300台を超える企業では、全端末のディスク複製は費用と時間の両面で現実的ではありません。EDR、SIEM、認証ログを使って高リスク端末を抽出し、詳細解析する端末を段階的に追加します。海外拠点やグループ会社を含む場合は、データの越境移転、現地法、労務上の調査権限も法務部門が整理します。
初動対応の失敗パターンと調査の流れ
インシデント発生直後は、端末の電源状態を変えずにネットワークから隔離し、専門家へ引き継ぐまでの操作を記録することが基本です。ただし、暗号化の進行、横展開、医療・製造設備への影響、業務停止の危険がある事案では、隔離方法や電源操作は一律ではありません。組織のインシデント対応計画、CSIRT、サービス提供事業者、外部専門家の指示を確認し、通信遮断による影響を評価できれば隔離を進め、評価できなければ停止範囲を限定して判断します。
初動で避けるべき操作
焦って電源を切る、再起動する、ファイルを開くといった操作は、メモリ上のマルウェア、通信先、暗号鍵、ファイルのタイムスタンプを失わせるおそれがあります。すでに電源が切れている端末も、自社判断で起動しません。
状況 | 避ける操作 | 正しい初動 | 理由 |
|---|---|---|---|
PCが起動中 | シャットダウン、再起動 | 電源状態を維持してLAN・Wi-Fiを遮断 | メモリ上の痕跡を残すため |
PCが停止中 | 電源を入れて確認 | 起動せず、そのまま保管 | 起動によるログ更新を防ぐため |
不審なファイル | 開く、移動する、削除する | 画面を外部カメラで記録して操作を止める | タイムスタンプ変更と再感染を防ぐため |
サーバー | 直ちに初期化、復元 | 通信遮断の影響を評価し、保全後に復旧 | 業務停止と証拠消失を同時に避けるため |
クラウドアカウント | 無計画なログ削除や設定変更 | ログを退避し、侵害アカウントを停止 | 操作履歴を確保した上で封じ込めるため |
ネットワーク遮断は、LANケーブルを抜く、Wi-Fiを無効化する、スイッチ側で対象ポートを閉じるなどの方法で行います。ただし、サーバーや医療・製造設備を急に切り離すと安全や事業に影響する場合があります。その場合は、通信先を制限できれば限定遮断へ進み、制限できなければCSIRTや外部専門家の指示を受けながら停止範囲を決めます。
発覚後15分の初動チェックリスト
発覚日時、発見者、表示された画面、端末名、IPアドレスを記録します。
端末の電源状態を変えず、ネットワークから隔離します。
端末やサーバーへ誰が何をしたかを時刻付きで記録します。
情シス責任者、法務、経営責任者へ連絡します。
サイバー保険へ加入している場合は、調査会社との契約前に保険会社または代理店へ事故連絡します。
クラウドやネットワーク機器のログが上書きされる前に退避を始めます。
ヒアリングと調査設計
最初のヒアリングでは、発覚経緯、対象機器、利用サービス、疑わしい期間、調査結果の利用目的を整理します。行政報告のための早期判定と、訴訟に使う詳細解析では必要な成果物が違うため、初期所見、技術報告書、法的手続向け報告書を分けて見積もります。
データ保全とハッシュ値取得
PCやサーバーは、書き込み防止装置を使ってディスクイメージを作成します。稼働中の端末では、必要に応じてメモリ、通信状況、実行プロセスを先に取得します。原本、複製、解析用コピーを分け、媒体番号、取得担当者、日時、ハッシュ値、保管場所を証拠管理表へ記録します。
解析とタイムライン作成
保全データから、認証、ファイル操作、プログラム実行、外部通信などの時刻を抽出し、一つのタイムラインに統合します。端末ごとに時刻設定がずれている場合は、基準時刻との差を補正します。AIや自動解析ツールで候補を絞った後も、結論の根拠となる原ログを調査員が確認します。
報告書作成と再発防止
報告書には、調査目的、対象、保全方法、使用ツール、確認できた事実、確認できなかった事項、判断根拠を記載します。事実と推測を分け、断定できない部分は不足しているログや追加調査の条件を示します。技術報告書の内容を基に、パスワード変更、脆弱性修正、ネットワーク分離、ログ保存期間の延長などを再発防止計画へ落とし込みます。
調査期間のタイムライン
時期の目安 | 主な作業 | 成果物 |
|---|---|---|
発覚当日 | 隔離、記録、関係者連絡、ログ退避 | 初動記録、対象一覧 |
1〜3営業日 | ヒアリング、保全、一次解析 | 調査計画、速報用情報 |
3〜10営業日 | 主要端末とログの解析 | 初期所見、影響範囲 |
2〜6週間 | 詳細解析、タイムライン統合 | 技術報告書 |
1〜3カ月以上 | 大規模解析、追加保全、法的対応支援 | 最終報告書、証拠資料 |
▲ インシデント発覚時における端末状態ごとの初動対応フロー
フォレンジック調査の費用相場と料金の内訳
本節の金額は公定価格や統計上の市場相場ではなく、調査範囲と見積書を比較するための試算モデルです。簡易調査を30万〜100万円、標準調査を100万〜250万円、大規模インシデントを300万〜1,000万円以上として整理します。暗号化、機器の故障、データ容量、端末台数、緊急対応、出張、報告書の用途によって実際の料金は変動します。公開料金を横断集計した数値ではないため、同じ調査条件（対象台数・データ容量・報告書水準）を各社へ提示し、見積書の総額で比較します。各表内・各節での費用帯はこの前提に基づき、追記は省略します。
調査規模別の費用比較モデル
調査区分 | 費用の比較帯 | 主な対象 | 期間の目安 |
|---|---|---|---|
簡易・ファスト調査 | 30万〜100万円 | PC1台、主要ログ、USB履歴、侵害有無 | 1〜5営業日 |
標準調査 | 100万〜250万円 | 複数PC、サーバー1台、メール、社内不正 | 2〜6週間 |
大規模インシデント | 300万〜1,000万円以上 | ランサムウェア、複数拠点、全社ネットワーク | 1〜3カ月以上 |
訴訟・刑事手続向け調査 | 150万〜500万円以上 | 詳細報告書、証拠整理、意見書、説明対応 | 1〜3カ月以上 |
初期見積もりが数万円でも、保全、解析、出張、緊急対応、報告書作成が別料金なら、最終的なフォレンジック費用はこの比較帯を超える場合があります。価格を比較するときは、最安料金ではなく、必要な成果物を含む総額を使います。
対象機器別の料金比較モデル
対象 | 料金比較帯 | 主な調査内容 | 料金が上がる条件 |
|---|---|---|---|
PC1台 | 30万〜100万円 | ファイル、USB、Web、メール、実行履歴 | 大容量、暗号化、物理故障、削除復元 |
スマートフォン1台 | 20万〜50万円以上 | 通話、メッセージ、写真、位置情報 | ロック、破損、暗号化、アプリ解析 |
サーバー1台 | 100万〜250万円 | 不正アクセス、管理操作、外部通信 | 停止できない環境、大容量、緊急対応 |
クラウド・SaaS | 50万〜200万円以上 | 認証、権限変更、共有、ダウンロード | 複数テナント、海外拠点、ログ不足 |
複数拠点・全社環境 | 300万〜1,000万円以上 | 侵入経路、横展開、情報流出、復旧支援 | 端末数、拠点数、調査期間、法的対応 |
料金を比較する際は、「PC1台」という表記だけでは範囲を判断できません。ディスク保全のみか、解析・報告書作成まで含むか、クラウドやメールを追加した場合の単価はいくらかを同じ条件でそろえます。各表の金額には出張費・緊急対応費・報告会費用が含まれない場合があるため、見積書で「含まれる作業」「含まれない作業」「追加費用が発生する条件」を項目別に確認し、その結果をもとに総額で比較します。
目的別の料金比較モデル
調査目的 | 費用の比較帯 | 主な成果物 |
|---|---|---|
USB接続・ファイルコピー確認 | 30万〜80万円 | 接続日時、対象ファイル、操作履歴 |
データ持ち出し調査 | 50万〜250万円 | 持ち出し経路、対象データ、時系列 |
メール・クラウド不正利用 | 50万〜200万円 | 認証元、共有・転送・ダウンロード履歴 |
ランサムウェア侵入調査 | 300万〜1,000万円以上 | 侵入経路、感染範囲、外部送信の痕跡 |
不貞・個人間トラブル | 20万〜50万円以上 | 適法に取得できる端末データの解析結果 |
定額型とタイムチャージ型の違い
定額型は、端末1台、データ容量、作業内容を固定して料金を決める方式です。USB履歴の確認など、対象と目的が限定されている案件に向きます。対象外作業の単価が契約書に明記されていれば、予算を管理しやすくなります。
タイムチャージ型は、調査員の作業時間に応じて請求する方式です。時間単価は調査会社、担当人数、緊急性、成果物の水準で変わるため、本文では一律の相場を置きません。侵入範囲が見えないランサムウェア調査では柔軟に対応できますが、作業上限がないと費用が膨らみます。上限額、途中報告の時点、追加承認が必要になる条件を契約に入れます。
料金内訳の試算例
PC1台の社内不正調査を150万円で行う想定なら、初動ヒアリング10万円、データ保全20万円、詳細解析80万円、報告書作成30万円、報告会10万円という内訳が一例です。この試算は、国内複数の調査会社が公開しているサービス紹介ページおよび見積書サンプルをもとに、工程別の比率を編集部で整理したモデルです。特定会社の実勢価格ではなく、自社案件で見積書を取得した際に工程ごとの計上漏れがないか照合するための参考値として使います。実際の見積書と照合したうえで、乖離が大きい工程は調査会社に内訳の根拠を確認します。
現地出張、夜間対応、故障媒体の復旧、翻訳、弁護士との協議、裁判所での説明は追加費用になりやすい項目です。見積書で「一式」と記載されている場合は、各工程の上限工数と成果物を分けられれば総額を比較し、分けられなければ追加請求が発生しない定額範囲を契約書に記載します。
費用を左右する主な要因
端末、サーバー、アカウント、拠点の数
ディスクやメールボックスのデータ容量
暗号化、破損、削除、ログ欠損の有無
夜間・休日・現地駆け付けの有無
速報、行政提出用、法廷提出用など報告書の水準
対象期間と検索するキーワードの範囲
海外拠点、外国語、越境移転への対応
費用を下げるために証拠保全を省くと、後から調査範囲を広げられなくなるおそれがあります。まず原本を保全し、その複製に対して対象期間と対象者を絞る方法なら、証拠を残したまま解析費用を管理できます。
サイバー保険による費用補償
サイバー保険では、事故原因や影響範囲を調べるフォレンジック費用が、事故対応費用や調査費用の補償対象に含まれる場合があります。補償範囲は契約ごとに異なり、免責金額、支払限度額、指定業者、事前承認の条件が設定されていることがあります。
被害発覚後、調査会社との契約前に保険会社または代理店へ事故連絡します。
緊急対応を始める場合は、口頭承認の担当者名と時刻を記録します。
調査範囲、見積書、会社名を提出し、補償対象となる作業を切り分けます。
調査報告書、請求書、作業明細、事故対応記録を保管します。
保険会社の事前承認が得られれば承認範囲で契約し、承認が得られない緊急時は、人命・事業継続・証拠保全に必要な最小作業へ範囲を限定して、連絡経緯を残します。保険対象になると考えて先に高額な契約を結ぶと、指定業者外や事前承認不足を理由に全額補償されない可能性があります。
調査会社の選び方と個人依頼の注意点
調査会社は、料金の安さだけでなく、証拠保全体制、対象分野の実績、報告書の用途、追加費用、個人案件の適法性を基準に選びます。
対応実績と専門領域
ランサムウェア、内部不正、スマートフォン、クラウドでは必要な技術が異なります。依頼予定の案件と同じ分野について、調査対象、期間、成果物の例を質問します。官公庁や大手企業の実績が非公開でも、匿名化した事例の調査手順や報告書見本を提示できれば、対応水準を判断できます。
情報セキュリティサービス基準への適合
経済産業省は、一定の品質要件を満たす情報セキュリティサービスを審査・登録する制度を設けています。情報セキュリティサービス基準審査登録制度の公式案内で、制度の概要と登録サービスを確認できます。
登録があれば選定時の客観的な材料にし、登録がなければ直ちに除外するのではなく、ISMS、保全設備、担当者の経歴、報告書実績、賠償責任保険を追加で確認します。登録制度は個別案件の成功や法廷での採用を保証するものではありません。
資格と調査員の技術
調査員の資格情報は、担当者の経歴や実務体制を確認するための一材料です。GIACのGCFEの公式資格案内を含め、資格の対象領域、認定要件、更新条件は各認定団体の公式ページで確認します。
資格は担当者の基礎能力を判断する一材料ですが、資格保有者が実際に担当するかも確認します。資格者が監修するだけの場合は、主担当者の経験年数、解析する機器、使用ツール、レビュー体制を見積書へ記載できれば契約候補に残し、記載できなければ技術面の比較材料が不足します。
法的手続に対応する報告書
行政報告、社内処分、民事訴訟、刑事告訴では報告書に必要な詳細度が違います。法的利用を予定するなら、ハッシュ値、取得日時、使用ツール、解析手順、証拠管理記録、事実と意見の区別が報告書に含まれるかを確認します。
「法廷対応可能」という表示だけで選ばず、過去に個人情報保護委員会への説明資料、弁護士向け資料、証拠説明書の作成を支援した実績を質問します。実績を提示できれば法的報告書を含む見積もりへ進み、提示できなければ技術調査のみに範囲を限定して、法的整理は弁護士と別に行います。
追加費用を見抜く見積もりチェックリスト
初期調査、保全、解析、報告書の各料金が分かれているか
出張、夜間、休日、緊急対応の単価が記載されているか
データ容量や端末追加時の料金が明記されているか
初期所見と最終報告書の納期が決まっているか
調査を途中終了した場合の料金が定められているか
証拠媒体の保管期間と廃棄方法が決まっているか
再解析、報告会、弁護士説明、行政対応が料金に含まれるか
フォレンジック会社の費用を比較するときは、同じ対象台数、データ容量、調査期間、報告書水準を各社へ提示します。条件をそろえられれば総額と納期を比較し、そろえられない場合はファスト調査だけを定額で契約して、結果を見て次工程を判断します。
個人が依頼できる調査
個人でも、自分が所有・管理するPCやスマートフォンのハッキング確認、アカウント不正利用、データ復元、不貞や金銭トラブルに関する適法な証拠保全を依頼できます。個人事業主が従業員による顧客情報の持ち出しを調べるケースも対象になります。
スマートフォン1台の調査費用は、端末の状態、ロック解除の可否、故障復旧、削除データ解析、法的手続向け報告書の有無で変わります。比較モデル上は20万〜50万円以上を置いていますが、公開価格の横断集計ではありません。回収したい金額や訴訟で争う利益より調査費用が大きい場合は、最初に弁護士へ相談し、必要な証拠項目だけを限定します。
無断アクセスに関する法的リスク
配偶者や家族の端末であっても、本人の承諾なくパスワードを入力してアカウントへログインしたり、認証を回避したりすると、不正アクセス禁止法やプライバシー侵害などの問題が生じる可能性があります。端末の所有者であることと、アカウントへアクセスする権限があることは同じではありません。
本人の端末・アカウントであり正当なアクセス権を説明できれば調査会社へ相談し、説明できなければ端末を操作せず、弁護士を通じて証拠保全や開示請求の手段を検討します。調査会社が所有関係、利用権限、本人確認を行わずに解析を引き受ける場合は、契約を見送る判断が安全です。
よくある質問
フォレンジック調査の依頼前に多い、費用、期間、復元可能性、初動に関する疑問へ回答します。
Q：調査費用は保険で賄えますか？
A：サイバー保険の事故対応費用や調査費用に含まれる場合があります。ただし、調査会社との契約前に保険会社または代理店へ連絡し、指定業者、事前承認、免責金額、支払限度額を確認します。
Q：調査期間はどれくらいかかりますか？
A：ファスト調査の初期所見は1〜5営業日、標準調査は2〜6週間が目安です。複数拠点のランサムウェア調査や訴訟向け調査では、1〜3カ月以上かかる場合があります。
Q：削除されたデータは必ず復元・立証できますか？
A：必ず復元・立証できるわけではありません。上書き、暗号化、端末の初期化、ログ保存期間の経過によって復元できない場合があり、復元できても取得権限や保全手順によって証拠としての評価が変わります。
Q：感染したPCはすぐに電源を切るべきですか？
A：起動中なら、暗号化の進行や設備への影響を評価したうえで、LANケーブルやWi-Fiを切ってネットワークから隔離します。すでに停止している場合は起動せず、端末へ加えた操作を記録して専門家へ引き継ぎます。組織のインシデント対応計画やCSIRTの手順がある場合は、その手順で隔離できれば計画に沿って進め、手順がない場合は外部専門家の指示に基づき停止範囲を決めます。
まとめ
フォレンジック調査を成功させるための初動と備え
デジタルフォレンジックの費用は、対象端末、ログ、緊急性、報告書の用途で変わります。本文の簡易調査30万〜100万円、標準調査100万〜250万円、大規模案件300万〜1,000万円以上は、公定価格ではなく、工程・規模・成果物をそろえて見積もりを比較するための費用帯です。事故発生時は、端末の電源状態、暗号化の進行、設備への影響を評価し、ネットワーク隔離と操作記録を行います。
明日から着手する最初の一歩は、発覚日時、端末状態、連絡先、保険会社への連絡順を1枚の初動対応マニュアルにまとめることです。あわせて管理画面と公式ドキュメントで監査ログの保存期間、サイバー保険の指定業者・事前承認・補償条件を確認します。ログ取得と保険承認の条件が確認できれば限定検証や契約手続へ進み、確認できなければ保全対象と緊急対応の範囲を最小化して記録を残します。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
