デジタルフォレンジックスとは？でじたるふぉれんじっくす
デジタルフォレンジックスとは、インシデントや不正の証拠となる電子データを、後から第三者に「改変していない」と示せる形で保全・収集・解析し、報告するまでの一連の手続。書込み防止装置を介して原本に触れずに複製し、複製の前後で一致するハッシュ値によって同一性を、受渡しの記録によって保管の連鎖を証明する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
通常のやり方で調べてしまうと、証拠としての価値が先に失われる。運用担当者が感染端末を自分で操作すればファイルの更新日時が変わり、懲戒処分や損害賠償、警察への相談の場面で「本当にそうだったのか」を示せなくなる。支援士では、自分で解析するのではなく、保全の手順を指導し、必要なら専門家へ引き渡す判断ができるかが問われる（午後シラバス4-4）。
具体例
社内で情報の持出しが疑われた際、対象PCの電源を落とさずFTK Imagerでメモリを取得し、ディスクは書込み防止装置を介してビットイメージを複製、SHA-256のハッシュ値を採取する。以後の解析は複製に対してだけ行い、媒体の受渡しは日時と担当者名を記録に残す。
試験での引っ掛け
収集はレジスタ・メモリ・通信状態のように揮発性の高いものから先で、ディスクやバックアップは後になる。感染端末をいきなり電源断すると、メモリ上にしかない復号鍵や通信先が消える。切離しはLANケーブルの抜線で行い、電源は保持するのが原則。
関連用語
出た過去問
出典：平成28年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）
ディジタルフォレンジックスに該当するものはどれか。
正解：犯罪に関する証拠となり得るデータを保全し，その後の訴訟などに備える。
要点：証拠データを保全し訴訟に備えるのがフォレンジックス
ディジタルフォレンジックスは、不正やインシデントの証拠となる電磁的記録を、改変されていないことを保ちながら収集・保全し、分析して訴訟や社内処分に備える活動です。証拠の完全性を示すため、取得手順や保管の連鎖の記録が重視されます。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16（IPA）
外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。まず，稼働状態にある調査対象サーバや…
正解：d → c → a → b
要点：証拠保全は揮発性の高いデータから順に行う
ディジタルフォレンジックスでは、消えやすいデータから順に保全する「揮発性の順序」が原則となる。ルーティングテーブルなどメモリ上の状態は電源断や時間経過で失われるため最優先で、次にディスク上のファイル、遠隔のログサーバに残るログ、最後に書換えの起こらないCDのような媒体という順になる。
出典：令和2年度 10月試験 情報処理安全確保支援士試験 午前Ⅱ 問13（IPA）
ディジタルフォレンジックスに該当するものはどれか。
正解：犯罪に関する証拠となり得るデータを保全し、調査、分析、その後の訴訟などに備える。
要点：フォレンジックスは証拠データを保全し分析して訴訟に備える
ディジタルフォレンジックスは、不正やインシデントの事実を明らかにするため、機器やログに残るデータを改変しないよう保全し、時系列や因果関係を分析して、裁判などで証拠として通用する形にまとめる一連の活動である。原本の完全性を保つためのハッシュ値の記録や、証拠の受渡し経路を追跡できるようにする管理の連鎖が重視される。
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。このとき、稼働状態にある調査対象のサ…
正解：d → c → a → b
要点：証拠保全は揮発しやすいものから順に採取する
フォレンジックスでは、失われやすいものから先に採取するという揮発性の順序が原則である。ルーティングテーブルはメモリ上の情報で電源断や状態変化で即座に失われるため最優先、次に稼働中サーバのディスク上のファイル、続いて別の機器で保全されているログサーバの記録、最後に内容が変化しない配布メディアの順となる。この原則を守らないと、後から取り返せない情報を失う。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。