証拠保全の連鎖と法的証拠能力

保管過程の記録とは、証拠が発見された時点から、裁判で提示されるかアーカイブされるまでの間に行われる、証拠の収集、移 transfer、保管、分析を時系列で追跡する記録です。誰が、いつ、どこから証拠を収集し、どのように扱い、誰がアクセスし、どこに保管したのかを明らかにします。保管過程の記録が途切れていないことは、収集後に証拠が改ざんまたは変更されていないことを示すため、証拠能力を認めるうえで不可欠です。

すべての証拠には、移転のたびに記入する専用の保管過程記録フォームが必要です。必須項目には、固有の証拠識別子、証拠品の説明、案件番号、収集日時、収集担当者の氏名と連絡先、証拠を収集した場所、暗号学的ハッシュ値、証拠を受け取るか移転するすべての担当者の署名、安全な保管場所が含まれます。フォームに空白や不整合があると、法的主張の裏付けが弱くなります。

適切に扱うことで、証拠の汚染を防止できます。ベストプラクティスには、物理ハードウェアを扱う際に静電気防止手袋を着用すること（静電気の放電によって電子部品やデータが破壊される可能性があります）、電子媒体の保管に静電気防止バッグを使用すること、開封 tamper-evident packagingに証拠を入れること（証拠テープで封印し、封印をまたぐように署名した証拠袋）、アクセスログを備えた安全でアクセス制御された場所に保管すること、立会人なしで証拠の梱包を開封しないことが含まれます。

デジタル証拠が法的手続きで採用されるには、いくつかの基準を満たす必要があります。証拠は真正でなければなりません。つまり、それが主張どおりのものであると証明できる必要があります（ハッシュ検証）。また、検証済みのツールを使い、文書化された手順で収集された信頼できるものでなければなりません。選択した一部だけでなく、完全な文脈が保たれた完全なものである必要もあります。さらに、裁判所が理解できる形で提示された説得力のあるものでなければなりません。そして、収集から法廷まで、すべての担当者が記録された途切れのない保管過程の記録が必要です。

インシデントに犯罪行為が関与している場合、法執行機関（FBI、シークレットサービス、地域のサイバー犯罪対策部門）から証拠の提出を求められることがあります。証拠を移管する前に、召喚状および証拠保全命令を遵守していることを確認するため、法律顧問に相談してください。法執行機関は、証拠を消去するのではなく、その場で証拠を保全するよう組織に求める場合があります。これにより復旧が遅れる場合でも同様です。リーガルホールドの手続きを理解し、法執行機関の担当者とあらかじめ関係を構築しておくことで、進行中のインシデントにおけるこの連携を迅速化できます。

リーガルホールド（訴訟ホールド）とは、予想される、または進行中の訴訟に関連する記録について、通常の廃棄や上書きを停止する通知です。侵害に起因する訴訟を受けた、または予想される場合、組織は直ちにリーガルホールドを実施し、メール、ログ、フォレンジックイメージ、システム構成など、関連する可能性のあるすべての証拠を保全する必要があります。リーガルホールドを実施せず、その後に証拠を破棄すると、証拠隠滅に対する制裁を受ける可能性があります。裁判所が陪審に不利な推認を行うよう指示することもあります。

デジタル証拠は証拠法上のルールを満たす必要があります。真正性の立証には、その証拠が提出者の主張どおりのものであることを示す必要があり、ハッシュ値の検証と証拠保管の連鎖に関する文書がこの目的を果たします。コンピューターが生成した記録（ログ、自動生成レポート）は伝聞法則に基づく異議を受ける可能性がありますが、伝聞法則の例外である業務記録として認められることがよくあります。専門家証人（フォレンジックアナリスト）は、証拠の収集方法と分析方法について証言し、その手法は米国の裁判所においてDaubert基準に基づく反対尋問に耐えなければなりません。

証拠は、法的手続きが続く期間中、安全に保管する必要があります。その期間は、最初のインシデントから数年に及ぶこともあります。物理的証拠には、アクセスログを備えた施錠済みの温度・湿度管理保管庫、証拠にアクセスするたびに文書化したうえで交換する改ざん検知シール、環境上の危険（湿気、熱、磁場）からの保護が必要です。デジタル証拠（ディスクイメージ、PCAPファイル）は、ライトワンスメディアに保存し、保存媒体の劣化を検出できるようチェックサムを定期的に検証する必要があります。

刑事訴追や民事訴訟では、フォレンジックアナリストが専門家証人として召喚され、裁判官や陪審員に手法と調査結果を説明することがあります。専門家証人には、デジタルフォレンジックに関する教育、訓練、経験を示した資格が必要です。その手法は科学的に妥当で、一貫して適用されなければなりません。フォレンジックレポートは、客観的で再現可能であり、技術に詳しくない意思決定者にも理解できる言葉で記述する必要があります。反対尋問では、弁護人が手法、ツールの妥当性、証拠保管の連鎖に異議を唱えます。

社内の企業調査と刑事訴追では、証拠に求められる基準が異なります。社内調査は雇用法と社内規程に基づいて行われ、基準となるのは人事上の措置を裏付けるのに十分かどうかです。犯罪捜査では、合理的な疑いを超える立証による訴追に必要な、より高い証拠基準が求められます。法執行機関としての権限を持たない民間調査員が収集した証拠も、裁判で認められる可能性はありますが、適法に収集されていなければなりません。監視されることを通知されていた企業システムについて、従業員が一般にプライバシーへの合理的な期待を持つことはありません。

攻撃者が複数の国にあるサーバーを経由してトラフィックを送るため、デジタル調査は国境を越えることがよくあります。これにより、外国のサーバーから証拠を取得するには各国間の刑事共助条約（MLAT）が必要となる、クラウドプロバイダーは現地の裁判所命令なしにデータを開示することを法律で禁じられている場合がある、GDPRによりEU域外への個人データの移転が制限される、といった問題が生じます。インシデントが国境を越える活動に関係する場合、組織は国際サイバー法に詳しい法律顧問と連携する必要があります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、証拠保管の連鎖に関する文書によって、収集から法廷での提出まで、すべての保管担当者と移管が記録されること、訴訟が予想される場合は、証拠隠滅に対する制裁を防ぐため、リーガルホールドを直ちに実施する必要があること、そしてデジタル証拠が法的に認められるには、真正で信頼でき、完全であり、暗号学的ハッシュによって検証されていなければならないことを学びました。次は、レジストリ、イベントログ、Prefetchファイルなど、Windowsのフォレンジックアーティファクトについて学びます。