令和3年度秋期 情報処理安全確保支援士 午前Ⅱ 問12

午前II 問12：証拠保全は“消えやすいもの”から先に集めよう

証拠保全では、まず“電源を切ったり時間がたったりすると消えやすい情報”から先に取るのが基本だよ。たとえば、稼働中のサーバのメモリ情報や通信状態は、料理中の湯気みたいにすぐ消えてしまう。一方で、遠隔ログやインストールCD、ハードディスク上の表計算ファイルは比較的残りやすい証拠なんだ。だから、そうした消えにくいものは、より揮発性の高い稼働中サーバの情報を保全した後に回そう。

この問題で問われていること

この問題では、「証拠は消えやすいものから順番に保全する」という原則を理解しているかが問われているよ。

証拠保全の順序

メモリや現在状態の情報は停止すると失われる。一方、遠隔ログや媒体、ディスクファイルは後でも残りやすい。

揮発性高\n-> 先に保全\n揮発性低\n-> 後で保全

確認ポイント

• 保全順序は重要で、揮発性の高いものから先に取る。
• 遠隔ログやインストール CD は比較的後でも残りやすい。
• ハードディスク上ファイルはより揮発性の高い情報の後に保全する。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

アは不正解だよ。a→c→d→b だと、遠くのログサーバの記録を先に取りに行っていて、いちばん消えやすい d のルーティングテーブルが後回しになっているんだ。事件現場で、足跡が雨で消えそうなのに、先に倉庫の書類を見に行くような順番だからまずいよ。

選択肢イ

イは不正解だよ。b のインストール用CDは、棚に置いてある説明書や予備キーみたいに、すぐ中身が変わるものではないんだ。それを最初に保全して、d のルーティングテーブルみたいな今この瞬間に変わる情報を最後にするのは、消えやすい証拠を放置する順番だよ。

選択肢ウ

ウは不正解だよ。c のハードディスク上の表計算ファイルも大事だけど、d のルーティングテーブルよりは変わりにくいんだ。ルーティングテーブルは、今どの道を通って通信しているかという交通案内板みたいなもので、状況が変わるとすぐ変わるよ。だから c から始めるのは少し遅いんだ。

選択肢エ（正解）

エは正解だよ。d→c→a→b は、消えやすいものから順に押さえる並びになっているんだ。まず d のルーティングテーブルのような“今だけの足跡”を確保し、次にサーバ内のファイル、次に別サーバにあるログ、最後にほぼ変わらないCDを確認する。泥棒の足跡や開いた窓を先に写真に撮って、あとで棚の中の書類を見るイメージだよ。