第１ 結論
本記事は，令和８年９月９日を調査の基準日として，デジタル証拠を受領した弁護士が解析又は形式変換の前に残す記録を，法令，裁判所資料，技術資料及び裁判例をAIで照合して整理したものである。
端末，スマートフォン及びクラウドでは最初の操作による影響が異なるため，個別の取得手順を一律に示すものではない。
本記事では，最初の実務対応を，受領時点の状態，取得元，取得者，取得日時，取得方法及び対象範囲の記録と，解析に使わない保全用複製の確保とする。
重要なデータでは，解析又は形式変換の前にSHA-256のハッシュ値を外部ツールで計算し，対象ファイルとは別の安全な場所にも記録した上で，解析は作業用複製に対して行うのが基本形である。
もっとも，ハッシュ値が一致することから分かるのは，比較した二つのビット列が同じであることにとどまる。
ハッシュ値だけで，取得前に編集されていなかったこと，記録内容が真実であること，作成者，作成日時又は操作した人物まで証明できるわけではない。
本記事では，データの保管管理という技術上の意味で「原本保全」という表現を用いる。
これは，裁判所があらかじめ証拠調べをする民事訴訟法２３４条の「証拠保全」とは別のものである。
第２ 「原本」を媒体，データ及び来歴に分けて考える
１ デジタルデータでは同じ内容の複製を作ることができる
紙の契約書では，署名又は押印のある物理的な一通を原本と呼びやすい。
これに対し，デジタルデータは同一のビット列を複製できるため，「原本」という語だけでは，元の端末，その端末から最初に取得したファイル，記録媒体全体のイメージ又は解析前に固定した保全用複製のどれを指すのかが明らかにならない。
デジタル証拠については，①どの機器，アカウント又はサービスに存在したデータか，②誰がどの権限で取得したか，③どの方法で何を取得したか，④取得後にどの複製を保全し，どの複製を解析したかという来歴を一体として記録する。
本記事では，このうち解析に使わず保存する基準データを「保全用複製」，実際の閲覧，検索，変換又は解析に使うものを「作業用複製」，裁判所へ提出する形式に変換又は切り出したものを「提出用複製」と呼ぶ。
２ ファイルコピーと物理イメージは同じではない
NIST IR 8387６頁は，フォレンジックにおけるイメージを，利用者から見えないデータ，書式情報，削除された文字及び日時等を含むビット単位の正確な複製と説明している。
通常のファイルコピーは，必要な個別ファイルを取得する方法として有用であるが，未割当領域，削除データ，ファイルシステムの構造又は一部のメタデータまで取得できるとは限らない。
そのため，削除の有無，USB接続履歴，ファイルの作成・変更・アクセス時刻，アクセス権限又は記録媒体全体の利用状況が争点になり得る事件では，個別ファイルだけをコピーしてから専門家へ相談しても，必要な情報が既に失われていることがある。
他方で，あらゆる案件で端末全体を物理イメージ化すればよいわけではなく，本記事では，取得権限，調査目的，個人情報の範囲，費用及び業務停止の影響を踏まえて取得範囲を決めることを基本形とする。
第３ 解析前に端末を操作する危険
１ 単に接続又は起動しただけでも変化し得る
NIST IR 8354３１頁～３２頁は，記録媒体をコンピュータに接続すると，OSがファイルを確認してアクセス時刻を変更することがあると説明している。
書込み防止装置は変更を生じさせるコマンドを抑制するために用いられるが，媒体自身の内部処理による変化まで一切生じないことを保証するものではない。
デジタル・フォレンジック研究会「証拠保全ガイドライン第１０版」２４頁～２８頁も，原本への書込み防止，対象物全領域の複製，同一性検証及び作業ログを証拠保全機器に求められる主要機能として挙げている。
弁護士が自ら簡易ツールを使う場合も，本記事では，ツールを差し込む前に，その操作が対象端末へ何を書き込み，どのログ又は時刻を変える可能性があるかを確認することを基本形とする。
会社PCへUSB型の解析ツールを接続する場面の取得権限，個人情報及び労務上の論点は，USB型フォレンジックツールを労務管理で利用する場合の法的注意点で説明している。
２ 電源を切ることも常に正解ではない
稼働中の端末では，電源を維持すればOSやアプリによる書込みが続く一方，電源を切ればメモリ上の情報，通信状態又は復号に必要な鍵を失うことがある。
暗号化されたPC，スマートフォン，サーバ又はクラウドが関係するときは，「まず電源を切る」「まずネットワークを切る」という一律の手順を採らず，画面，接続状態，表示時刻及び周辺機器を撮影して，操作前に専門家へ相談するのが安全である。
第４ 弁護士が解析前に残すべき記録
１ 取得対象と権限
最初に，案件管理番号，取得目的，取得範囲及び取得権限の根拠を記録する。
会社貸与PCであることだけから全データを無限定に取得できるとは限らないため，就業規則，調査規程，委任，同意，管理権限及び目的との関連性を確認する。
対象物については，機器のメーカー，型番，製造番号，資産番号，SIM又は記録媒体の識別情報，アカウント，サービス名及び保存場所を記録する。
ファイルについては，元のファイル名，拡張子，バイト数，表示上の作成・更新日時及び取得元のフォルダ又はURLを記録する。
２ 取得作業
取得記録には，少なくとも取得者，取得開始・終了日時，タイムゾーン，取得場所，取得方法，接続方法，使用機器，ツール名・版，書込み防止の方法及び発生したエラーを含める。
SWGDEの取得実務指針１０頁は，対象物の一意な識別，取得元，事件番号，取得方式，ツールと版，ハッシュ値，写真，取得者，タイムゾーンを含む日時及びエラーを記録項目として挙げている。
取得不能領域，不良セクター，暗号化，タイムアウト又は例外操作があった場合は，成功した部分だけでなく失敗を記録する。
ハッシュ値が一致しなかったときも，本記事では，値を消してやり直すのではなく，対象，取得ログ，読取りエラー及び再取得の結果を保存する運用を基本形とする。
３ 写真及び画面
端末の画面，表示時刻，接続中のネットワーク，ケーブル，周辺機器，設置場所，製造番号及び封印状態は，必要な範囲で写真又は動画に残す。
もっとも，画面撮影には依頼者以外の個人情報，通信内容又は営業秘密が写り込むことがあるため，調査目的に必要な範囲を超えて撮影又は共有しない。
４ 受渡し
保管者が変わるたびに，対象物の一意な識別子，渡した者，受領者，日時，場所，目的及び受渡し時の状態を記録する。
ファイルをオンラインで渡す場合も，送信手段，送信元，送信先，権限，ファイル名，バイト数及び送受信後のハッシュ値を記録すれば，物理媒体と同様に来歴を説明しやすくなる。
第５ ハッシュ値の計算方法と記録方法
１ SHA-256を実務上の基準にする
SHA-256は，任意の長さの入力から２５６ビットの値を生成するSHA-2ファミリーのハッシュ関数であり，令和８年９月９日現在，NISTが承認アルゴリズムとして掲げるものに含まれている。
証拠保全ガイドライン第１０版２６頁も，MD5よりSHA-2等の衝突耐性の高いアルゴリズムを選び，可能であれば二種類のハッシュ値を取得することが望ましいとしている。
法律事務所で一般的なファイルを受領する場合は，まずSHA-256を計算して基準値とする方法が分かりやすい。
既存システム又は専門家が別のアルゴリズムも併用する場合は，アルゴリズム名を明記し，異なるアルゴリズムの値を相互に比較しない。
２ Windowsで外部ツールを使う例
Windows PowerShellでは，例えば「Get-FileHash -Algorithm SHA256 -LiteralPath “C:\案件\証拠\元データ.mp4″」と実行し，表示されたHash欄の値を記録できる。
計算記録には，①対象の完全なファイル名，②バイト数，③アルゴリズム名，④ハッシュ値，⑤計算者，⑥計算日時及びタイムゾーン，⑦使用したOS・コマンド又はツールの版を含める。
解析ソフト自身が表示するハッシュ値だけに依存せず，取得又は保全の基準値はOS標準機能その他の独立した手段でも計算するのが安全である。
コピー後に同じアルゴリズムで再計算し，基準値と一致することを確認した後，保全用複製を解析権限のない場所に置く。
３ ハッシュ記録を別に保存する
NIST IR 8387の７頁は，デジタルイメージ等をNIST承認アルゴリズムでハッシュ化し，得られた値を対象ファイルとは別の安全な場所に保存することを推奨している。
対象ファイルとハッシュ一覧を同じ書換え可能なフォルダだけに置けば，両方が同時に変更される余地が残るため，本記事では，事件管理システム，アクセス制御された別媒体又は改変履歴が残る記録へも保存することを基本形とする。
第６ ハッシュ値で分かることと分からないこと
１ 同一性を検証するための基準値である
同じ対象について同じアルゴリズムで計算したハッシュ値が一致すれば，通常は二つのビット列が同じであることを強く裏付ける。
取得直後の基準値，保全用複製，作業開始前の複製及び提出用ファイルの各値を対応させれば，どの段階で同じであり，どの段階で変換又は加工されたかを説明できる。
変換，圧縮，切出し，墨消し，音量調整，ノイズ除去，字幕追加又はファイル形式変更をすれば，通常はハッシュ値が変わる。
これは直ちに不正な改ざんを意味するものではなく，元データを残し，変換の目的，使用ツール，条件，実施者，日時及び出力ハッシュを記録して，関係を説明する問題である。
２ 内容の真実性及び作成者は別の問題である
虚偽内容のファイル又は既に編集済みのファイルでも，その後に変更されなければハッシュ値は安定する。
したがって，ハッシュ値は「この基準時点以後に同じビット列が維持された」という説明には役立つが，「この出来事が実際に起きた」「この人物が作成した」「表示された時刻に作成された」という結論を単独で導かない。
作成者，取得日時及び内容の真実性は，端末・アカウントの管理状況，システムログ，送受信記録，電子署名，撮影状況，関係者の供述，他の記録との整合及び取得手続を合わせて評価する問題である。
ハッシュ値があることだけを理由として，これらの周辺証拠の確認を省略することはできない。
第７ ImHexは保全後の作業用複製に使う
１ ImHexは書込み可能な解析ツールである
ImHex公式文書のProvidersは，データを読み書きする共通インターフェースを備えると説明している。
Hex Editorの公式文書も，バイト値の変更，挿入，削除及びサイズ変更の機能を説明し，v1.34.0以降，128MiBを超えるファイルでは一部のサイズ変更操作がファイルへ直接適用されると警告している。
したがって，ImHexは，フォレンジック取得装置，書込み防止装置又は真正判定装置ではない。
本記事では，唯一の元ファイル又は保全用複製を直接開かず，外部ハッシュを確認した作業用複製を開き，元データの保存場所をImHexから書込み可能な状態にしない運用を基本形とする。
２ 解析結果は端緒と検証済み事実を分ける
ImHexの公式リポジトリは，バイナリ構造の表示，文字列・正規表現検索，Pattern Language，差分，ハッシュ，エントロピー，Data Processor及びYARA等の機能を掲げている。
これらは未知のファイル形式の構造，埋込みデータ又は不審箇所を探すために有用であるが，検索ヒット又はYARA一致だけで，マルウェア，改ざん，作成者，操作時刻又は故意を確定できるわけではない。
重要な所見については，ImHexの版，入力ファイルのSHA-256，使用したPattern又はYARAルールの取得元・版・SHA-256，検索条件，オフセット，表示形式及び出力ファイルのSHA-256を残す。
重要な所見は，公式仕様，別の解析ツール又は専門家による再解析で再現できるかを確かめ，端緒と検証済みの結果を分けて扱う。
第８ 裁判例に見る変換説明と同一性
１ 大阪地裁令和８年６月４日判決
大阪地方裁判所令和８年６月４日判決（令和７年（ワ）第１１１３９号，発信者情報開示命令の申立てについての決定に対する異議の訴え事件）は，原告株式会社オプテージと被告有限会社プレステージとの間で，発信者情報開示命令を認可し，訴訟費用を原告の負担とした。
同判決は，当初提出された圧縮動画，後に提出された非圧縮動画及びBitTorrentで取得されたピースファイルについて，バイナリデータ，インフォハッシュ，通信ログ，ファイルのプロパティ時刻及び検証結果報告書を検討した。
同判決１５頁～１６頁は，圧縮動画がピースファイルと一致しないことを当初明らかにせず，裁判所の求めで非圧縮動画を提出した対応について，問題がないとはいえないとした。
他方で，本件では手続上の信義則違反又は再提出動画の証拠価値否定までは認めず，同様の手続追行を繰り返した場合には異なる結論となる可能性があると付言した。
２ この判決から一般化できる範囲
この判決からは，提出用の圧縮又は形式変換が常に許されないとはいえない一方，元データとの相違，変換内容及び提出経過を明らかにしないことが証拠評価上の問題になり得ると分かる。
もっとも，同判決のインフォハッシュはBitTorrentのネットワーク及び目的ファイルを識別する事案固有の値であり，一般の証拠保全で用いるSHA-256と同じ役割を果たしたと理解してはならない。
同判決の控訴の有無及び確定は，令和８年９月９日までの公開資料検索では確認できなかった。
裁判所ウェブサイト及び公開検索で見つからないことは，上訴がないこと又は同種裁判例が存在しないことの証明にはならない。
第９ 受領から提出までの実務フロー
１ 四つのデータを分ける
弁護士が扱うファイルは，次の四つに分けると管理しやすい。
①元端末又は受領時の元データ，②解析しない保全用複製，③検索・閲覧・解析に使う作業用複製，④圧縮・変換・切出し・墨消し等をした提出用複製である。
保全用複製と作業用複製のハッシュが取得時に一致していても，提出用複製は加工により異なる値になることがある。
その場合は，値の不一致を隠すのではなく，どの入力からどの処理で出力したかを変換記録で結ぶ。
２ 最小限の作業順序
通常の重要ファイルでは，①取得権限と対象範囲を固定する，②元の状態と識別情報を記録する，③書込みを防止又は最小化して取得する，④解析前に外部SHA-256を計算する，⑤保全用複製を隔離する，⑥作業用複製で解析する，⑦全ての変換・出力・受渡しを記録するという順序が基本となる。
スマートフォン，暗号化端末，稼働中サーバ，クラウド，削除データ又は記録媒体全体が問題となる場合は，この順序を機械的に実行せず，最初の操作前に専門家へ相談する。
取得方法を誤れば，後から高性能な解析ツールを用いても，失われた揮発性情報，変更されたメタデータ又は取得されなかった領域を復元できないことがある。
３ 提出段階の確認
令和８年５月２１日に全面施行された民事訴訟法２３１条の２は，電磁的記録に記録された情報の内容について，電磁的記録の提出又は提出命令の申立てにより証拠調べを申し出る仕組みを定めている。
民事訴訟規則１４９条の２は，電磁的記録の複製及び電子証拠説明書の事前提出を定めている。
最高裁判所の民事訴訟デジタル化の概要は，複製のファイル形式を原則としてPDF，MP4，MP3，JPEG又はPNGと説明している。
提出形式に合わせた変換をするときも，本記事では，変換前の元データを保存し，提出用複製との対応を証拠説明書又は別紙で説明できる記録を残すことを基本形とする。
音声・動画の提出用変換，反訳書及びハッシュ値については，音声・動画をmintsで提出する方法も参照されたい。
AIによる画像・動画のエンハンスを行う場合は，AIで作成・加工された証拠と民事訴訟の対応に加え，本記事では，加工前データ，使用ツール，設定及び入出力ハッシュを記録することを基本形とする。
第１０ 出典・参考資料
１ 法令・最高裁判所規則
①e-Gov法令検索「民事訴訟法」２３１条の２，２３１条の３及び２３４条（令和８年９月９日現在施行中の条文を確認）。
②最高裁判所「民事訴訟規則」１４９条の２～１４９条の４及び１５２条～１５４条（令和８年５月２１日施行版，資料上４０頁～４１頁・PDF４１頁～４２頁）。
２ 裁判例
①大阪地方裁判所令和８年６月４日判決（令和７年（ワ）第１１１３９号，裁判所ウェブサイト）１頁～１６頁。
３ 裁判所の解説・運用資料
①最高裁判所「改正民訴法等で変わる民事訴訟手続の概要」（令和８年９月９日確認）。
②最高裁判所事務総局民事局「民事訴訟フェーズ３に向けた準備の手引」令和８年６月１９日版，２頁～３頁及び２５頁～２９頁。
４ 官公庁の技術資料
①NIST「Digital Evidence Preservation: Considerations for Evidence Handlers, NIST IR 8387」２０２２年９月，６頁～８頁。
②NIST「Digital Investigation Techniques: A NIST Scientific Foundation Review, NIST IR 8354」２０２２年１１月，３１頁～４８頁。
③NIST CSRC「Hash Functions」（令和８年９月９日確認）。
５ 民間団体・ソフトウェア開発者の技術資料
①特定非営利活動法人デジタル・フォレンジック研究会「証拠保全ガイドライン第１０版」令和７年３月１５日，１頁～３頁，６頁～８頁及び２４頁～３０頁。
②SWGDE「Best Practices for Computer Forensic Acquisitions, Version 2.0」２０２３年６月１５日，９頁～１１頁。
③ImHex開発者の公式文書「Providers」及び「Hex Editor」並びにImHex公式GitHubリポジトリ（令和８年９月９日確認）。