デジタル・フォレンジック調査 - fss.jp

IDFが「証拠保全ガイドライン第１版」公開

Thu, 06 May 2010 05:53:10 +0900

デジタル・フォレンジック研究会（IDF）から「証拠保全ガイドライン第1版」が公開された。

電磁データを、その証拠としての信頼性を保ちながら収集、取得、保全するフォレンジックの手続きについてのガイドラインである。海外（欧米）の保全手続きを参考に、日本国内の特殊事情や関係者からの意見を反映してまとめられた労作である。

ｅディスカバリーのような法的制度のない日本では、まだまだ電磁的証拠の扱いにはばらつきがある。しかし、このガイドラインの「趣旨」にもあるように、日本のデジタルフォレンジックの必要性・有用性がますます高まることは必須だ。今回の策定は、将来への大きな一歩と言えるだろう。

---以下、「趣旨」より抜粋引用---

　この電磁的証拠の収集・取得・保全に関し、運用上の課題は「取得の対象となるデータはどの範囲であるべきか」、「保全した証拠の原本同一性の保証はどの程度確実にするべきか」の２つである。　

　デジタル・フォレンジックの歴史が比較的浅い我が国においては、未だに広く認識された標準的な取得手続きのガイドラインが存在しない

---引用終了---

来年の期末には新版発行予定とのことで、実際にフォレンジックに関与する企業や担当者が広く参照することにより、運用を通じて改良されていくことが期待される。

IDF（特定非営利活動法人デジタル・フォレンジック研究会）

訴訟ホールド（Litigation Hold）の実行

Fri, 26 Mar 2010 02:49:25 +0900

eディスカバリーにおいて、関係者への訴訟ホールドの通知が完了したら、いよいよ訴訟ホールド（Litigation Hold/Legal Hold）の実行に移る。訴訟ホールドの対応が如何に重要かについては再三伝えてきたが、FRCP（連邦民事訴訟規則）が設けたセーフ・ハーバーを基に、証拠隠蔽（Spoilation）制裁を受けないための要点を強調したい。

＜FRCP規則37[e]＞

セーフ・ハーバーは、その操作が誠意をもってなされた場合に限り、情報システムの日常的な操作により喪失した情報に適用される。誠意をもった操作には、情報の保全義務の対象とされている情報の喪失防止のため、第三者の介入による日常的な操作の特定の機能停止や変更を伴う場合がある。

要するに、訴訟ホールドへの対応に関して誠意をもって行っていれば、証拠破棄（Spoilation）による制裁を受ける恐れが低くなるということである。

現在の情報システムは複雑になり、どこに自分のESI（電子情報）が保存されているのか正確に把握できないような状態になっている。特に大企業ではなおさらだ。そんな状況に配慮してFRCP規則37[e]は設定されたという経緯がある。

裁判での証言で、「私は訴訟ホールドの指示を受け、受領の返信をした後、関連文書の削除を停止し、IT担当者は、その後文書の自動削除スケジュール処理を停止しました。」　「私は、訴訟ホールドに従い、関連範囲のメールの削除をやめました。」という訴訟ホールドに誠意をもって対応したという事実がセーフ・ハーバーにつながり、制裁の可能性を大きく低下させる。

一番良くないのは、訴訟ホールドの通知を受けていながらも、「私は関係ないと思ったので、指示に従わなかった。」　「知っていたけど、行わなかった。」というような証言だ。このような証言が従業員から出てこないように、法務部のしっかりとしたeディスカバリー教育が必要である。

訴訟ホールド（Litigation Hold）の実施段階

Thu, 25 Mar 2010 03:53:54 +0900

eディスカバリーにおいて訴訟ホールド（Litigation Hold/Legal Hold）実施の具体例について見ていきたい。

訴訟ホールドの発生条件を満たし、その範囲が決定したら、いよいよ訴訟ホールドの実施段階だ。手順としてはおおよそ次のようになるだろう。

・企業内の訴訟ホールド対象部署、対象従業員とその上司、各関係会社に、訴訟ホールドの通知を行う。メール、回覧板、口頭による通知を行い、その通知を受け取った旨を必ず返信してもらう。

・訴訟ホールドの通知書に以下の内容を記述する。

訴訟ホールド実行者の名前と所属、訴訟ホールドの重要性について、罰則規定、訴訟ホールド実施の理由（裁判所命令、訴訟など）、通知書送付の理由、保全すべきデータ、取扱いデータの削除行為の禁止（コンピューター、携帯、PDA、USBメモリなどすべて）。

・対象データの保全と収集のため、IT部門と協力する。

実際、ESI（電子情報）に精通しているのは企業内のIT部門であるから、IT部門の協力なしには適切な訴訟ホールドは実施できない。必ずIT部門と密な対応をとることが重要である。

証拠隠蔽（Spoilation）判決を避けるには？

Wed, 24 Mar 2010 01:32:54 +0900

eディスカバリーにおいて何よりも重要なことは、訴訟ホールド（Litigation Hold/Legal Hold）「文書の保存義務」の対応をしっかりと実施することだ。訴訟ホールド対応を失敗してしまうと、せっかくの勝てる裁判を台なしにしかねないからだ。

訴訟ホールドは、将来の訴訟が予見された時点で発生し、関連文書の保全義務が発生する。企業の通常のRetention Policy（文書保存ポリシー）をすぐに停止し、保全すべきESI（電子情報）の範囲を見極める必要がある。保全が必要なESIを破棄してしまえば、証拠隠蔽（Spoilation）の制裁につながるからだ。

＜証拠隠蔽（Spoilation）の制裁＞

実際にSpoilationの制裁が課せられるか否かは一般に次の要素で決まる。

・証拠破棄を実施した側の過失の度合い

・訴訟相手によって被った不利益の度合い

・当事者によって請求された制裁の度合い

＜証拠破棄（Spoilation）とみなされないためには？＞

何もSpoilationの制裁を恐れて、行動する必要はない。データ保全・収集のよい例を参考に挙げよう。

・適切な訴訟ホールドの実施時期と適用範囲の決定

・クレーム内容に関する適切なフォローアップ努力

・ESIを識別するための適切な検索キーワードの決定理由

大事なことは、双方ともに完璧さを要求されているのではなく、誠実に、適切に訴訟ホールドの対応を実施することにある。

eディスカバリーにおける画像ファイルの対応（ESI Culling）

Tue, 23 Mar 2010 00:01:15 +0900

ESI（電子情報）には、メールや文書ファイルのようなテキストファイルだけでなく、大量の画像ファイルも含まれている。eディスカバリーのデータ収集、データ処理・加工の工程において、画像ファイルはどのように対処すればいいのだろうか？

テキストファイルであれば、キーワード検索による絞り込みによって、容易に対象範囲を絞り込むことは可能だが、画像ファイルはそもそもキーワード検索ができない。不要な情報をデータ収集することは、後の工程で無駄なコストを発生させるし、必要なデータを除去（ESI Culling）してしまうことは、証拠隠蔽行為（Spoilation）につながる恐れがある。

ここでは、画像ファイルの対応について、いくつかのヒントを紹介しよう。

・メタデータに対するキーワード検索による絞り込み

画像ファイルには、通常、作成日、撮影日、作成者など、ソフトまたはハードによって埋め込まれたメタデータが存在する。このメタデータに対し、キーワード検索を行って、情報を絞り込むことが可能だ。

・日付範囲、画像種類によるデータ除去（Culling）

撮影日などの日付を利用し、日付の範囲で画像を絞り込むことが可能だ。

・OCRソフトの使用によるキーワード検索

画像ファイルに対して、OCRソフトを使い、画像にファイルに含まれるテキストを読み込み、キーワード検索をかけることが可能だ。画像の品質にもよるため、完璧な認識は不可能だが、それでも95%以上の認識率を維持できる。

上記の手段を組み合わせることで、画像ファイルについても電子情報除去（ESI Culling）を行い、eディスカバリーのコスト削減を期待することができる。

訴訟ホールド（Legal Hold）の発生条件

Sat, 20 Mar 2010 03:53:59 +0900

eディスカバリーにおいて、訴訟ホールド（Litigation Hold/Legal Hold）「文書の保存義務」と判断される条件を認識することは、致命的に重要である。訴訟ホールドの発生条件を見誤ると、証拠隠蔽行為（Spoilation）につながるからだ。

さて、そのタイミングとは、いったいいつのことか？　それは、将来の訴訟が予見された時点である。よって、訴訟が決定したり、裁判所からの出廷要請がきたりといったいわゆる明確なイベント発生時点とは限らない。例えば、社内でセクシャルハラスメントに関する役員会を開催するというようなイベントを計画した時点で、訴訟ホールドが発生する。

各企業の法務部の参考のため、訴訟ホールドの発生条件の具体例をいくつか挙げたい。

・訴訟前に、潜在的な訴訟相手のリストを作成した時点

・雇用不採用の理由を求める文書が到着した時点

・潜在的な訴訟に関して、上司との対話数が相当に増加した時点

Special thanks to: John Isaza and John J. Jablonski @ LAW.com

訴訟ホールド（Legal Hold）対応で失敗しない方法

Fri, 19 Mar 2010 01:14:20 +0900

eディスカバリーで不利な制裁を避けるためには、まず徹底した訴訟ホールド（Litigation Hold/Legal Hold）「文書の保全義務」対応を心掛けたい。というのも、不意にまたは故意に行った訴訟ホールド期間の文書破棄は、証拠隠滅行為（Spoilation）につながるからだ。

失敗しない訴訟ホールド対応のための、ESI（電子情報）の保全について必要な７つのステップを以下に挙げる。

ステップ１：訴訟ホールドとなる引き金を識別する

ステップ２：文書保全の義務があるのか分析する（訴訟ホールドは必要か？）

ステップ３：訴訟ホールドの適用する範囲を決定する

ステップ４：訴訟ホールドの通達（従業員に対する通知と情報の保全の実施）

スッテプ５：訴訟ホールドの実施と有効性について調査する

ステップ６：訴訟ホールドを修正する（必要であれば）

ステップ７：経過を監視し、訴訟ホールドを解除する

各企業の法務部は上記のステップに従った訴訟ホールド対応を、訴訟時に備えて日頃から訓練しておきたい。

Special thanks to: John Isaza and John J. Jablonski @ LAW.com

証拠隠蔽（Spoliation）判決を左右する訴訟ホールド

Wed, 17 Mar 2010 01:08:25 +0900

＜Rambus 対 Micron事件＞

Rambus は、DRAM技術に関する自社の特許を侵害したとして、Micronを訴えた。しかし、この背景には、Rambus 社のしたたかな特許待ち伏せ戦略があった。自社のDRAM技術を採用させ、ライセンシングの形にもっていくことだ。

Rambus 社は、ダイレクトRDRAMの製造を各メーカーが後戻り出来ない時点まで静観し、時を待った。その間、Rambus社内では、Retention Policy（文書保存ポリシー）を策定し、２度にわたる文書の破棄が実行された。

時が満ちると、訴訟のモデルを作り上げるために、最初に日立に対して特許侵害を通告した。当然のことながら、双方に対して訴訟ホールド（Litigation Hold）「電子文書の保全義務」がかけられた。

しかしながら、Rambus社の目論見は外れることとなった。

裁判所の判決は、Rambusの訴訟戦略実行時に本訴訟が合理的に予期できたとして、その時点で訴訟ホールドが発生すると判断、Rambus社の定めた文書保存ポリシー（Retention Policy）による２度の文書破棄は証拠隠滅行為（Spoliation）に当たると結論した。

訴訟ホールド（Litigation Hold）「電子文書の保全義務」が発生するのは、他社からの通告がなされた時点ではなく、訴訟の発生が合理的に予測できた時点であることを再度強調したい。このポイントを間違うと、Spoliation（証拠隠滅）の制裁を課せられる恐れがあるので、各企業の法務部は十分に注意されたし。

FRCPの事例にみる衝撃的なeディスカバリーの重要性

Fri, 12 Mar 2010 04:33:55 +0900

＜Qualcomm 対 Broadcom事件＞

Qualcomm社は、ビデオ技術に関する自社の特許を侵害したとして、Broadcom社を訴えた。しかしながら、Broadcomが使用した技術は、JVT SSOと呼ばれる標準規格で各企業が参加して策定したものであり、Qualcommもその規格に参加していた。

問題は、QualcommがJVTに参加したのは、標準規格が設定された後だったと主張していた点である。本来ならJVT参加企業は自社の特許を開示する義務があるが、規格が設定された後であれば、その義務はない。

当初、Qualcommから提出されたeディスカバリーのレポートからは、JVT参加についてのEメールも一切見つからなかったため、訴訟はQualcomm有利に進んでいるように見えたが、Broadcomの訴訟弁護士の尋問により、QualcommでJVTとの連絡をとりあっていたある社員のEメールがeディスカバリーの対象から漏れていたことが判明した。

判事の命令により、その社員のEメールが調査され、20通余りのJVT関連メールが見つかった。その証拠を基に、eディスカバリーのやり直しが命令され、結果として、20万ページに及ぶJVTとの交信メールが検出されるに至った。

結局、地裁は、QualcommがJVTに関しての証拠隠蔽行為があったとして、特許権の行使を無効とし、Broadcomの弁護士費用8億5千万円の負担を命じた。さらに、Qualcommの訴訟弁護士に対し、倫理講義の受講、ならびに制裁を命じた。（2008年カリフォルニア州判決）

本判決は、特にEメールに関してのeディスカバリーの重要性を訴える判例となり、弁護士界には衝撃が走った。

Litigation Hold（訴訟ホールド）にいかに対応するか

Thu, 11 Mar 2010 02:15:26 +0900

企業で管理される電子文書（Microsoft Office、電子メールなど）は、各企業の Retention Policy（電子文書の保管ポリシー）に従って、一定期間保存した後で、破棄されています。

しかし、従業員からのクレームや他社からのクレーム文書が届くなど、訴訟になる可能性が判明した時点で、企業には Litigation Hold（訴訟ホールド）「電子文書の保全義務」が発生します。

万が一、この Litigation Hold（訴訟ホールド）「電子文書の保全義務」を怠って、通常通りのサイクルで電子文書を破棄した場合、証拠隠滅行為とみなされ、巨額の制裁が課せられる恐れがあります。

＜Litigation Hold（訴訟ホールド）「電子文書の保全義務」発生時のステップ＞

・まずは、対象の Custodian（カストディアン）「従業員」に対し、訴訟ホールドの通知を行います。

・通知とともに、カストディアン（従業員）の電子文書の保全作業を行います。この時、保全作業をカストディアンに任せてはいけません。必ず、企業の文書保全技術者が確実な保全作業を行う必要があります。この時に、必要な文書が保全漏れになったり、不必要な文書まで保全したり、保全手順を誤ったりすれば、制裁が課せられたり、企業秘匿の損失につながる恐れがあります。

ECA（Early Case Assessment）の利点

Wed, 10 Mar 2010 02:45:43 +0900

ECA（Early Case Assessment）「訴訟案件の早期評価査定」は訴訟全体のコストを削減するために非常にインパクトがあります。

ECAについて、実際に弁護士を対象に行った調査の結果、以下の事実が判明しました。

＜ECAの利点＞

・成功の成果：ECAを行った場合、76%の訴訟でよい結果が得られた。

・戦略的計画：87%がECAは訴訟を続行する最良の方法であると回答した。

・経費削減：50%の訴訟で、訴訟費用を削減できた。

・管理予算：弁護士の半数以上がECAにより、より正確な訴訟費用の見積もりができたと回答した。

＜ECAの正当性＞

つまるところ、ECAとは、訴訟コストを前払いするか、後払いにするかの問題で、ECAの実施により初期費用は高くつきますが、eディスカバリーの開始から数カ月後には、ECAを実施しない場合と比較して、大幅に訴訟コスト削減が可能となります。

結果的に、ECA（Early Case Assessment）「訴訟案件の早期評価査定」により、eディスカバリー全体のコストを 30～40% も削減できます。

ECA（Early Case Assessment）とは？

Tue, 09 Mar 2010 06:56:59 +0900

一度、訴訟としてファイリングされた企業は、その内容を吟味して、裁判に持ち込むか、和解するかについての判断を迫られることになります。

訴訟の工程全体にかかる時間とコストは莫大なため、なるべくその工程の規模を小さく保つことが重要です。

そのためには、訴訟の早期段階において、訴訟事実を評価して、収集すべき情報の対象を絞り込み、訴訟全体のリスクを計算して、戦略的に判断することが重要です。

このように、訴訟の早期段階において、訴訟に関わるリスク・バリューを評価することを ECA（Early Case Assessment）「訴訟案件の早期評価査定」と呼びます。

一般的に、訴訟の起点から 60～90日以内で、訴訟対応計画を立てることを言います。

ECA（Early Case Assessment）は以下の３項目を解決するのに重要です。

・eディスカバリーに費やされる時間とコストの見積もり

・リスクと和解金を決定する訴訟事実の評価

・面会協議の準備

eディスカバリー動向

Wed, 03 Mar 2010 06:07:38 +0900

米国のeディスカバリー企業のリサーチ結果によると、最近のトレンドとして以下の傾向が伺える。

・78％の回答者が、2008年に比べ、2009年の方が訴訟と規制についての問い合わせ数が増加したと回答した。

・３分の２以上の回答者が、2010年は訴訟と規制についての問い合わせ数が最低でも20％は増加すると見込んでいる。

・大多数の回答者は、2010年の増加は訴訟数の大幅な増加によるものであり、46％の回答者は規制についての問い合わせ数が増加するだろうと予測している。

・48％の回答者は、eディスカバリーを社内で行おうとするプロジェクトに取り組んでおり、36％の回答者が１年以内に企業内eディスカバリーの実現に向けて取り組む予定であると回答した。

世界的な経済の悪化が訴訟の増加に拍車をかけていることは間違いない。米国に支社をもつ日本企業もeディスカバリーの対象となるので、十分に注意されたい。

猛威をふるうガンブラーウイルスの駆除方法

Tue, 12 Jan 2010 05:47:52 +0900

昨年報告したJR東日本ホームページ改ざん被害以降、ガンブラーウイルスによるホームページ改ざん被害が国内で相次いでいる。

そもそもこのガンブラーウイルスは、アプリケーションソフトの脆弱性をついており、また亜種の作成されるスピードが速いため、一般のウイルス対策ソフトでの検出が追いつかない状況だ。

感染経路もウェブサイトの閲覧という、ごく当たり前の行動によって感染するため、防ぎようがない。

基本的な対策は、脆弱性を含むアプリケーションソフトの最新のセキュリティアップデートをあてることだが、これがなかなかできていないのが現状ではないだろうか？

ガンブラーウイルスの駆除方法についての情報を掲載するので、大至急、対策に当たってほしい。特に、FTPソフトにより、ウェブ更新作業を行っている方は必須である。

ガンブラーウイルスの駆除方法:
https://www.ccc.go.jp/detail/web/index.html　（サイバークリーンセンター提供）

絶大なFBI犯罪記録データベース

Tue, 05 Jan 2010 05:43:57 +0900

FBIなど米捜査機関が犯罪記録を調査するために使用しているデータベースサーバー National Crime Information Center (NCIC)には、１日に６百万件以上のクエリー（問い合わせ）がなされる。

通常のデータ検索に加え、いわゆるオフライン検索を組み合わせると、その威力は絶大なものとなる。

オフライン検索を利用すると、情報の一部を頼りに検索が実行できるため、例えば、容疑者の車のナンバーの一部しか手掛かりがない場合、身長、性別などの特徴しか手掛かりがない場合などでも調査が行える。（オンラインの場合には、他の識別情報が必要）

さらに他の捜査機関が検索したログからも検索が実行でき、容疑者特定への決定的な糸口になることもある。

例えば、最近のオクラホマシティー爆破事件のケースでは、危険物搬送トラックレンタル者のリストから得た名前を検索した結果、同一の名前をオクラホマ州ハイウェイパトロールが検索していたというログが見つかり、爆破事件から２日後に別の武器携帯違反で、逮捕されていることがわかった例がある。

また、2009年9月26日、ケンタッキー州に住む13歳の少女が性犯罪者に誘拐された事件では、最後に目撃された車のナンバーをオフライン検索したところ、同州の別な郡で、数時間前にそのナンバーがパトカーによって検索されていることを発見し、翌午前4時までに同郡のホテルに容疑者が滞在していることを突き止め、無事に少女を保護したというケースもあった。

このように米国では、犯罪に関するデータを、検索ログであっても、共有して検索できるようになっており、犯罪捜査に絶大な威力を発揮している。

情報ソース:
http://www.fbi.gov/page2/jan10/ncic_010410.html