令和7年度秋期 プロジェクトマネージャ 午前Ⅱ 問25

証拠保全の判断条件を整理する

証拠の保全を考える際は、判断の前提となる条件に注目しましょう。用語の印象だけで結論を急がず、対象が置かれた状況と、検討の中で仮定している条件がそろっているかを確かめることが大切です。

この問題で問われていること

この問題では、判断に使う条件を一つずつ明確にすることに意識を向けましょう。与えられた情報から分かる条件と、自分で補った仮定を分け、同じ前提の下で考えられているかを確認すると、検討の筋道を整理できます。

視点

判断の前提を明確にすると、根拠と推測を区別しやすくなります。対象の名称から条件を決めつけず、与えられた情報に基づく条件だけを整理し、その条件を検討の途中で変えていないか確かめましょう。

確認ポイント

• 判断の前提となる条件を明確にできているか
• 明示された条件と自分で補った仮定を区別できているか
• 検討の途中で前提条件を変えていないか

正解

エ

解説

正解はエのd→c→a→bです。変化・消失しやすいルーティングテーブルの状態を最初に保全し、侵入されたサーバ上のファイル、遠隔ログサーバ上のログ、インストール用CDの順に保全します。

ルーティングテーブルを先に保全する理由

証拠は、変化・消失しやすいものから先に保全します。dのルーティングテーブルの状態は、稼働中の経路更新や再起動によって変化・消失する可能性があります。ディスクやCDに保存された情報より、その時点の状態を失いやすいため、最初に保全する対象となります。

サーバ上のファイルと遠隔ログの比較

cの表計算ファイルは侵入されたサーバのハードディスク上にあり、攻撃者の操作や調査作業によって変更・削除されるおそれがあります。一方、aは遠隔ログサーバに保存されたログであり、調査対象サーバ上の操作による直接の影響を受けにくいため、本問ではcをaより先に保全します。遠隔ログも更新・削除され得ますが、両者の保存場所と変化する要因の違いが比較の根拠です。bのインストール用CDは電源を切っても内容が保持されるため、最後に保全します。したがって、順序はd→c→a→bです。

選択肢ア

これは不正解だよ。順序はa→c→d→bです。ルーティングテーブルの状態dは、通信や再起動で変化・消失しやすいため、aやcより先に保全します。また、侵入されたサーバ上のファイルcは、攻撃者の操作や調査作業で変わるおそれがあり、遠隔ログサーバ上のログaより先に保全するのが適切です。

選択肢イ

これは不正解だよ。順序はb→c→a→dです。インストール用CDのbは、電源を切っても内容が保持される媒体であり、最初に保全する対象として適切ではありません。一方、ルーティングテーブルの状態dは稼働中に変化し、再起動で失われる可能性があります。これを最後に回すと、保全前に証拠を失うおそれがあります。

選択肢ウ

これは不正解だよ。順序はc→a→d→bです。侵入されたサーバ上のファイルcを遠隔ログサーバ上のログaより先に扱い、インストール用CDのbを最後に扱う点は適切です。しかし、ルーティングテーブルの状態dは、ディスク上のファイルや保存済みのログより変化・消失しやすいため、三番目ではなく最初に保全します。

選択肢エ（正解）

これは正解だよ。順序はd→c→a→bです。稼働中に変化・消失しやすいルーティングテーブルの状態dを最初に保全します。次に、攻撃者の操作や調査作業で変わるおそれがあるサーバ上のファイルcを、遠隔ログサーバ上のログaより先に保全します。電源を切っても内容を保持するインストール用CDのbは最後です。

学習のポイント

情報の保存場所と変化・消失のしやすさを比較し、揮発性が高い証拠から保全する考え方を理解しましょう。