セキュリティエキスパート（デジタルフォレンジック）

コンピュータやネットワークの情報漏洩、情報改ざん、運用妨害等、また、これらに至る未遂行為に対して、デジタルデータを保全し、調査・分析を行う。分析結果からこれら行為や事象への対応を検討することもある。係争や訴訟において、デジタルデータの改ざん等の証拠が必要な場合、それについての調査、分析を行う。

フォレンジック調査士と呼ばれることもあり、海外ではForensic Analyst, Forensic Investigatorと呼ばれる。デジタルフォレンジックをDFと短く表記することもある。フォレンジック(forensics)の意味は科学捜査、鑑識であるが、デジタルフォレンジックは、元々、欧米では企業会計での情報改ざんなどの不正を見つけるサービスとして始まっている。国内でも証拠のデータが改ざんされる事件などがあり、デジタルフォレンジックが注目された。

現在は犯罪捜査よりも、コンピュータやネットワークの情報漏洩、情報改ざん、運用妨害等の調査、分析の方が多く、顧客に対する情報セキュリティ・サービスの一つとして行われている。金融業、製造業をはじめ幅広い業界で行われている。監査法人のフォレンジックでは不正会計や書類の偽造等が調べられている。さらに、海外の訴訟に関連したものや、海外の当局への協力など、国際的なデジタルフォレンジックも行われている。

デジタルフォレンジックの対象は、コンピュータ、ネットワーク、モバイルデバイス等、様々であるが、情報化の進展に伴って広がっていくと考えられる。

デジタルフォレンジックの一般的な流れは次のようになる。

最初に分析対象や内容に関して顧客からヒアリングする。顧客が求める分析項目をリストアップし、分析の作業方針、実施内容等を顧客と確認する。この段階で所要時間と費用を顧客に提示し、顧客と秘密保持契約を締結し、調査・分析を開始する。情報漏洩やサイバー攻撃被害を受けた等、顧客は切迫した混乱状態であることもあり、そのような顧客を落ち着かせながら対応していくことも多い。

調査・分析では、まず、情報媒体の保全を行う。ハードディスク等デジタルフォレンジックの対象となる媒体を、専用機器で全体を複製する。この専用機器は元媒体への書込みができないようになっており、原本となる対象媒体のデジタルデータが改変されることなく複製される。デジタルフォレンジックの過程でデジタルデータが改変されていないことを証明するため、最初にオリジナルデータの保全を行うことは証拠を残す意味で重要である。

次に、この複製したデジタルデータに対して情報の抽出、解析を行う。例えば、媒体にあるファイルの確保、削除されたファイルの復元、削除されたものも含めインターネット閲覧履歴やメールの抽出等を行う。そして、確保あるいは復元したファイルに対して、キーワードや特定文字列による検索を行う。分析対象の期間中に作成・更新されたと考えられるファイルに関してはファイルの作成日時、更新日時、アクセス記録を確認する。このような作業によって、コンピュータやネットワークに何が行われたか浮かび上がらせ、行為や事象を再現する。

その後、今回の問題の原因や過程、影響範囲など分析結果を文書としてまとめ、顧客に報告する。分析結果から必要な対策を顧客と検討することもある。そして、案件終了から一定期間後、調査対象データや顧客から預かっている機密情報を適切に破棄する。

よく使う道具、機材、情報技術等

フォレンジックデュプリケーター（情報媒体複製装置）、フォレンジック調査分析ソフトウェア・ツール、仮想化ソフトウェア（調査・分析対象のシステムを仮想システムとして作成）、Write Blocker（証拠保全用書込防止機器）、統計解析ソフトウェア、テキストエディタ、文書作成ソフト（Word、一太郎等）、表計算ソフト（Excel、Googleスプレッドシート等）、プレゼン資料作成ソフト（PowerPoint、Keynote等）、パソコン、大容量外部記憶装置、DVD‐R、USBメモリー

2000年に入ってから生まれた職業であり、まだ定型的な入職ルートはない。高専や専門学校で情報系を学んだ者も、大学卒や大学院卒も居る。理系をイメージするが文系も多い。セキュリティ・キャンプ(学生に対して情報セキュリティに関する高度な教育を実施し、次代を担う情報セキュリティ人材を発掘・育成するために情報処理推進機構が実施している事業)に参加した学生は、このような分野に関心があり知識があるとして採用されることもある。

システム開発、システムの運用、脆弱性診断を行ってきた者がデジタルフォレンジックの仕事に移ってくることもある。同業他社からの移動もある。

新卒採用の場合、社会人の基礎、コンピュータの基礎から始まり、デジタルフォレンジックを実践的に学ぶ半年程度の研修があることが多い。研修後、関係部門に配属され、デジタルデータの保全など基礎となる作業を行い、その後、先輩社員と一緒に実際の案件を調査・分析する。徐々に独り立ちできるよう、チームの中で仕事をしながら知識を広め、スキルを高めていく。２年目以降はプレゼンテーション等ビジネススキルを高める研修、より高度なデジタルフォレンジックに関係する知識・技術の研修、また、プロジェクトを進めていくための研修等がある。これら研修は社内で行うものと外部の研修に参加するものがある。中途採用は即戦力が求められ、得意な分野を活かし配属される。

関連する免許資格として国際的なデジタルフォレンジックのスキル認証があり、仕事をしながら資格取得を目指す人もいる。情報処理推進機構の試験の中では「情報処理安全確保支援士」（登録セキスぺ）が関係し、資格取得の支援制度がある会社もある。

新しい仕事ということもあり、社内のキャリアコースは固まっていないが、技術を磨いてチーム内の技術リーダー的な役割を担うようになる者もいれば、グループをまとめるマネジメント的な役割を担う者もいる。または、デジタルフォレンジックの経験を活かし、インシデントハンドラー（インシデント全体を担当する責任者）、EDR分析アナリスト（EDRはEndpoint Detection and Responseであり、ユーザーが利用するパソコン等における不審な動きを検知・分析し、対処する）、セキュリティコンサルタント、セキュリティ関連の講師等になる者もいる。

コンピュータ、ネットワーク、クラウドの構築・運用の知識、マルウェア解析、攻撃手法の知識、スレットインテリジェンス（Threat Intelligence：セキュリティの脅威について収集・分析した情報とそれに対する洞察）、また、ペネトレーションテスト、脆弱性診断などに関する知識とスキル、そして、エンドポイント、ネットワーク、クラウドなどのセキュリティ対策の知識とスキルが求められる。情報セキュリティに関する最新情報は海外発信が多いことから、英語の記事を読む力も求められる。新しいシステムや新しい攻撃手法等が次々に登場する中、常に探求心、向上心を持つことも求められる。不正会計に関するデジタルフォレンジックの場合は公認会計士の専門知識が必要になることもある。

この仕事では調査・分析のスキル以上に、高い倫理観と使命感が求められる。顧客の機密情報や個人情報を扱い、分析結果は顧客企業のその後に影響したり、裁判の行方に関係したりと、大きな社会的な影響がある。