5.3ステークホルダーとデジタルフォレンジック

インシデント対応は技術者だけの仕事ではありません。法務・広報・人事・経営・場合によっては法執行機関まで、適切なステークホルダーを適切な役割で巻き込むことが成否を分けます。同時に、集めた証拠が後で法的に通用するかは、どの順序で・どう完全性を保ちながら集めたかで決まります。この節では、ステークホルダーの対応づけとフレームワーク（NIST IRカテゴリ・CMMC）、そしてNIST SP800-86のフォレンジック原則を、SOCアナリストが証拠を壊さずに動くための判断として学びます。

5.3.1ステークホルダーとフレームワーク

• ステークホルダーの対応づけ＝インシデントの種類・影響に応じて、誰を・いつ・どの役割で関与させるかを事前に決めること。経営（意思決定・承認）／法務（法的リスク・証拠の扱い）／広報（対外説明）／人事（内部不正・従業員対応）／IT/SOC（技術対応）／法執行機関（犯罪捜査）などを、影響区分に応じて動員する。関与の遅れや役割の混線は対応を致命的に遅らせる。
• NIST IRカテゴリ＝インシデントを機能的影響・情報影響・復旧可能性などの区分で分類し、通知すべき相手や対応の優先度を決める枠組み。CMMC（Cybersecurity Maturity Model Certification）は主に米国防関連のサプライチェーンに求められるセキュリティ成熟度の認証枠組みで、組織のプロセスがどの成熟レベルにあるかを段階的に評価する。両者とも「誰にどこまで対応義務があるか」を体系づける。

5.3.2NIST SP800-86 のフォレンジック原則

• 証拠収集の順序（order of volatility）＝揮発性の高いものから先に集めるのが原則。おおむね CPUレジスタ/キャッシュ → メモリ（RAM）・ルーティングテーブル・ARPキャッシュ・プロセス表・カーネル統計 → 一時ファイル → ディスク → リモートログ/監視データ → 物理構成・ネットワークトポロジ → アーカイブ媒体 の順。電源断やリブートで消える情報を後回しにすると証拠が失われる。
• データ完全性（integrity）＝収集した証拠が改ざんされていないことをハッシュ値（例：SHA-256）で担保し、取得時と提出時で一致することを示す。データ保全（preservation）＝原本を触らずビットイメージの複製上で解析し、証拠保管の連鎖（chain of custody）で誰がいつ扱ったかを記録する。揮発データの収集＝RAM・実行中プロセス・ネットワーク接続など消えやすい情報を、ライブ状態のうちに保全する。

侵害されたLinuxサーバの調査を任されました。上司からは「後で法的措置になるかもしれないので証拠は厳密に」と言われています。ここで新人がやりがちな失敗は、いきなりサーバをシャットダウンしてディスクを取り出し、イメージ化から始めることです。これはNIST SP800-86の証拠収集の順序を無視した判断で、電源を落とした瞬間にRAM上の揮発証拠——実行中のマルウェアプロセス、確立中のネットワーク接続、復号済みの鍵、注入されたコード——がすべて消えます。正しくは、まだ生きているうちに揮発性の高いものから、すなわちメモリダンプ・現在の接続・プロセス表・ARP/ルーティングテーブルを先に採取し、その後でディスクのビットイメージを取ります。採取した各証拠は取得直後にハッシュ値を計算し、原本には触れず複製上で解析することで完全性と保全を担保します。さらに、誰がいつどの証拠をどう扱ったかをchain of custodyとして記録しなければ、法廷で「途中で差し替えられていないか」を証明できません。同時に技術対応だけで完結させず、ステークホルダー——法的措置の可能性があるなら法務、対外的な影響があるなら広報、内部関与者がいるなら人事——を早期に巻き込む判断も必要です。ここで問われているのは、「速く止めたい」という技術的衝動と、「証拠を壊さず正しく残す」というフォレンジックの規律を、どちらも満たす順序で動けるかという現場判断です。順序を一つ間違えるだけで、後から取り返せない証拠が失われる——それがフォレンジックの厳しさです。

5.3.3この節のまとめ

• ステークホルダーは影響区分（NIST IRカテゴリ）に応じ経営/法務/広報/人事/法執行機関を適切な役割で動員。CMMCは成熟度の認証枠組み
• NIST SP800-86の証拠収集は揮発性の高い順（メモリ→ディスク）。電源断で揮発証拠は消えるためライブで収集する
• 完全性はハッシュ値、保全はビットイメージ上での解析、取り扱いはchain of custodyで担保する