不審な記録を見つけたら。原本を守り、調査へ引き継ぐ準備

画面の控え、ログ、端末の情報を区別し、取得する人・保存先・引継ぎの記録を決める。

見つけた人に、専門調査を任せない

NCSCの技術対応資料は、利用できるログや証拠、その取得の確認、経験を持つ担当の必要性を説明しています。SONAEは、一般の兼任担当が不審なファイルを開いたり、端末を何度も試したりする前に、正規の相談先へつなぐ準備を提案します。画面を見た事実と、専門的に取得した証拠は同じではありません。社員へ難しい調査を要求するより、何を見つけ、何を既に操作したかを早く伝えられるようにしましょう。

残す対象と、取れる人を先に確かめる

メール、認証、共有、端末など、どこに何の記録があるかを管理表へ対応させます。契約や設定によって取得できる範囲と保存される期間が違うため、あるはずという想定だけで準備を終えません。取得にはどの役割が必要か、外部の支援先へ頼む場合の窓口はどこかを確認します。秘密の値を表へ載せず、正式な参照先と担当を残します。普段から取得できることの確認と、事故時の実際の取得を別に記録しましょう。

原本と、説明のための控えを分ける

画面の写真や切り取った表は説明に役立ちますが、元の情報のすべてを含むとは限りません。取得したファイルは原本として扱う場所と、確認用の複製を区別し、無断で編集や形式変換をしません。取得した人、対象、時刻、方法、保存先、以降の受渡しを記録します。ハッシュなどの確認値を使う場合も、何のファイルについていつ計算したかを残します。値が一致することだけで、内容が真実であると証明できるわけではありません。

止める判断と、保全の判断をつなぐ

被害の拡大を防ぐ対応と、記録を残す対応には調整が必要です。証拠のために危険な状態を必ず維持する、または何も考えずに電源を切る、という一律の指示にはしません。責任者と専門担当が、業務と安全、取得できる情報への影響を踏まえて判断します。既に再起動や削除を行った場合も隠さず、その操作と時刻を伝えます。本記事は専門的な取得作業の手順書ではなく、相談と引継ぎの準備を扱っています。

共有する情報にも、境界を設ける

ログには個人情報や秘密が含まれる場合があります。相談のために、外部の公開サービスへファイルをアップロードしないようにします。承認された支援先、必要な範囲、受渡しの方法、保存と削除の条件を確認します。架空の演習では、架空ログ一件に識別番号を付け、受渡しの記録と照合します。実際の機密を使わずに、担当が変わっても所在を追えるかを確認できます。共有する控えと、保管する原本の関係も残しましょう。

引き継いだ後の管理を終点まで決める

完了の目安は、必要な記録の所在と取得履歴、誰が受け取ったか、何が欠けているかを説明できることです。調査が終わっても無期限に誰でも見られる状態へ放置しません。保管期間、調査や関係する手続きに必要な保持、削除の承認は責任者と適切な専門家が判断します。一般的な記事だけで法的な証拠の十分性を判定しないようにしましょう。保全は多く集めることより、必要な情報を壊さず適切な担当へつなぐことが目的です。

相談前の確認表

• 不審な対象を自分で繰り返し試さない
• 取得可能な記録と担当を確認する
• 原本と控え・受渡しの履歴を分ける
• 公開サービスへ無断でアップロードしない

参考資料（確認日：2026年10月23日）：NCSC：Develop — Technical response capabilities ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。