情報漏えいのフォレンジック報告書をどう読むか―調査範囲，ログ欠落及び「痕跡なし」の限界（AI作成）

第１　報告書の結論と調査の限界を一緒に読む

１　対象と結論

サイバー事故の調査報告書に「情報の持出しは確認されなかった」と記載されていても，その一文だけで漏えいがなかったとは判断できない。
どの機器・サービスを，どの期間のどの記録で調べ，何が確認できずに残ったのかを併せて読む必要がある。
逆に，ログが不足していることだけで漏えいが実際に起きたと断定することもできない。

本記事は，企業の法務担当者，顧問弁護士及び法律・税理士事務所が，調査会社又はクラウド事業者の報告を受け取る場面を扱う。
個人情報保護委員会の「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」を中心に，報告書への質問と法的判断へのつなぎ方を整理する。
基準日は令和８年１０月１３日であり，以下の質問表は法定の様式ではなく，事案に応じて使う運用上の提案である。

２　フォレンジック調査と法的判断の役割

フォレンジック調査は，端末，サーバー，ログ等を保全・解析して，侵入経路や影響を調べるための技術的な調査である。
調査の結論と，個人情報保護法上の報告対象事態への該当性，契約違反，過失，損害及び懲戒等の判断は区別する。
技術的な評価語が，そのまま法律上の要件を満たすとの意味で使われているかも確認する必要がある。

第２　調査対象と対象外の理由を確かめる

１　機器名だけでなく業務上の役割を見る

報告書を読む担当者は，調査対象の端末・サーバー・クラウドを，業務上のデータの流れと対応付ける。
ファイルサーバーを調べても，メール，バックアップ，共有リンク，管理用アカウント又は別のクラウドが対象外であれば，その領域の影響まで調査済みとはいえない。
機器が多いという理由で全てを同じ深さで調べる必要があるとは限らないが，対象を絞った理由と，そこから説明できる範囲は必要である。

２　除外理由と未調査の範囲を残す

PPC資料３１・３２頁は，対象機器や保全データの詳細に加え，調査対象として選定した理由及び選定しなかった理由を明らかにすることを勧めている。
費用，ログ不足又は簡易調査の結果に基づき対象を絞った場合にも，調査範囲と被害が生じ得る範囲が同じとは限らない。
調査依頼時と結果受領時に，対象の追加・変更とその理由を記録すると，後日の説明に役立つ。

第３　ログの有無，期間及び偏りを点検する

１　取得できたログと失われたログ

PPC資料３３頁は，調査の前提となったログの詳細と，重要なログを保存していなかった又は消失していた事情を明らかにすることを勧めている。
接続成功だけを記録するログ，操作を記録しないサービス，暗号化されて読めないログ，攻撃者が削除したログは，それぞれ説明できる内容が異なる。
報告書の「ログなし」を，保存設定なし，保存期限切れ，消去，取得不能又は対象外に分けて確認する。

２　直近のログから過去全体を推定しない

例えば，直近９０日のログを確認した結果に痕跡がなかったとしても，それ以前の記録がなければ，過去３年間の侵入不存在まで説明したことにはならない。
この例は調査範囲の限界を示す仮定であり，特定の企業又はサービスの被害を認定するものではない。
時刻がUTCか日本時間か，機器の時計にずれがないかも確認し，記録間の時系列を合わせる。

ログの保存は事故後に始めても，過去に取得されなかった記録を作り出すことはできない。
PPC資料１４頁は，調査に必要なログを少なくとも１年程度保管することが望ましいとするが，一律の法定義務を定めたものではなく，法令上許容される範囲を超える保存を推奨するものでもない。
平時の保存・分析の設計は，個人情報保護委員会が示した不正アクセス９類型を参照されたい。

第４　閲覧，取得及び外部送信を分けて評価する

１　確認された事象と技術上の可能性

不正なログイン，個別ファイルへのアクセス，圧縮・複製又は外部との通信は，相互に関連し得るが，同じ事実ではない。
PPC資料３８頁は，外部送信の可能性と閲覧の可能性という二つの経路から，漏えいの可能性の有無・程度を評価する視点を示している。
悪用された権限で何にアクセスできたか，実際にどの記録が残っているか，ログ消去が評価にどう影響するかを確認する。

外部送信の明確な記録がないことだけで，不正な閲覧の可能性まで否定しない。
反対に，技術的にアクセスできる設定だったことを，直ちに全ファイルが閲覧・取得されたという事実に置き換えない。
対象データの一覧と，確認済みの操作を対応付ける必要がある。

２　対外説明は根拠と留保を合わせる

次の表は，断定の範囲を点検するための記載例である。
実際の文案は，調査結果，法律上の報告要件及び本人が取るべき行動に合わせて作成する。

第５　調査完了を待たず報告対象と期限を検討する

１　個人データと報告対象事態への当てはめ

民間事業者については，個人情報保護法２６条及び施行規則７条により，要配慮個人情報，財産的被害のおそれ，不正目的の行為又は本人の数１０００人超という各類型を確認する。
漏えい等が発生した場合だけでなく，発生したおそれがある場合も対象となる。
ログ欠落という事情は判断材料の一つであり，それだけで全ての事案を報告対象にするものではない。
高度な暗号化等の措置による除外を含め，各号の要件を具体的なデータと事実に当てはめる。
第３号では，個人データとして取り扱われることが予定されている取得済み又は取得予定の個人情報も含まれるため，個人データを既に保存したサーバーの侵害だけに限定しない。

侵害された環境にどの個人データがあったか，どの権限が悪用され，どの操作が可能又は確認済みかを，調査担当者と法務担当者が対応付ける。
漏えいの有無に加え，滅失・毀損も別に確認し，復旧できたことだけで報告の検討を終了しない。
クラウド利用者と事業者の義務主体は，クラウド事業者がランサムウェア被害を受けたときの利用者の報告義務で整理している。

２　速報，確報及び本人通知

通則編３－５－３は，報告対象事態を知った後の速報を速やかに行い，その目安を概ね３～５日以内とする。
法人では，いずれかの部署が当該事態を知った時点を基準とし，経営者への報告日や調査報告書の完成日まで起算点を遅らせない。
速報はその時点で把握している内容を報告すれば足りるため，未知の事項を確認済みと装う必要はない。

確報は原則３０日以内，不正目的の行為による事態は６０日以内であり，知った時点を１日目とする。
合理的努力を尽くしても一部が判明しない場合は，期限内に把握した内容を報告し，判明次第追完する。
本人通知は確報と同じ固定期限ではなく，状況に応じて速やかに行う必要があるため，調査の進行とは別に判断する。

第６　調査会社・クラウド事業者への質問を記録にする

１　回答の根拠，担当及び更新を残す

依頼元の担当者は，質問，回答者，回答日時，根拠資料及び回答の対象範囲を一つの記録にまとめるとよい。
未判明事項については，追加取得の担当，ログの保存期限，次回回答予定及び法定報告への影響を記録する。
保存期限が迫る資料は，最終報告書の完成を待たず，権限と保全方法を調整して保存を依頼する。

法律事務所では事件・依頼者ごと，税理士事務所では顧客・データ区分ごとに，影響を判断した根拠を対応付ける。
提供者全体の公表件数やアカウント数を，個々の依頼者・顧客の漏えい確定人数に置き換えない。
調査資料の受渡しは必要な範囲と権限を確認し，保全用データと解析用複製の関係を記録する。

２　専門会社への依頼と再調査の必要性

PPC資料７・８頁は，必要な調査を自ら実施することが困難な場合には専門会社の活用が有用であるとし，法令に基づく報告の場面でも，専門会社によるフォレンジック調査が義務付けられているものではないと説明している。
全ての事案で専門会社への依頼が一律に必要となるわけではない。
重要な環境が対象外，ログ消去が疑われる，調査の結論とデータ一覧が対応しない，又は説明が更新されない場合には，追加調査や独立した専門家への相談を検討する。

費用の回収可能性や責任制限条項の適用は，調査の必要性とは別に，契約と個別事実から判断する。
報告書の不足だけから，調査会社又は委託先の賠償責任が直ちに成立するとはいえない。

第７　関連する実務と出典

１　関連する実務

解析前のデータ取得と同一性の記録は，デジタル証拠の原本保全とハッシュ値を参照されたい。
事故当日の隔離・保全・期限確認は，法律事務所のサイバー事故初動チェックリスト，委託元の対応は，外部委託先で個人情報が漏えいした場合の委託元の対応で扱っている。

２　出典

①個人情報保護委員会「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」（令和８年１月１６日）７・８・１４・３０～３９頁。
https://www.ppc.go.jp/files/pdf/260116_forensics_keypoints.pdf

②個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」３－５－１，３－５－２，３－５－３及び３－５－４。
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/

③e-Gov法令検索「個人情報の保護に関する法律」２３・２５・２６条及び同法施行規則７～１０条。
https://laws.e-gov.go.jp/law/415AC0000000057
https://laws.e-gov.go.jp/law/428M60020000003