ログは何日分残すのか｜1年という目安と、消えてしまう3つの理由

2026年9月10日 16:11

被害に気づいて、機器をネットワークから切り離した。
次に出てくる問いは、どこから入られたのか、何を持っていかれたのか、です。

この問いに答えられるかどうかは、被害が起きたあとの努力ではほとんど決まりません。
被害が起きる前に、何を記録していたかで決まります。

先に数字を出します。
警察庁が令和8年上半期にランサムウェア被害の企業へ行ったアンケートで、ログを全て保全できていた組織は、有効回答48件のうち10件でした。
そして、ログが使えなくなっていた原因のうち最も多かったのは、保存期間の経過でも、うっかり消してしまったのでもなく、犯人による削除です。
この記事では、何のログをどこで取り、何日残し、いざというとき誰に何を頼むのかを、一次資料で確かめながら並べます。

この記事は、警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月）、JPCERT/CC、IPA、デジタル・フォレンジック研究会の公表資料をもとに、2026年9月時点の内容にしています。

調べられるかどうかは、被害の前に決まっている

調査は、残っているものからしか始められない

サイバー被害の調査は、現場の空気を読んで犯人を当てる作業ではありません。
機器に残された記録を突き合わせ、時系列を組み立てる作業です。

だから、記録が残っていなければ調査は成立しません。
経験を積んだ調査会社に高い費用を払っても、そこにないものは出てきません。
技術の問題ではなく、材料の問題です。

JPCERT/CCの「高度サイバー攻撃への対処におけるログの活用と分析方法」には、こう書かれています。

インシデントが発生して専門家が調査に入っても、鍵を握るログが採取されていなかったために、十分な解明に到らなかった例も少なからずある。

調査の限界は、調査を始める前に決まっているということです。

全て保全できていたのは、5件に1件

これは実感の話ではなく、数字で確かめられます。

警察庁が令和8年上半期のランサムウェア被害企業に行ったアンケートでは、ログの保全状況が次のように報告されています。
有効回答は48件です。

全て保全できていた 10件
一部が利用できなかった 32件
利用できなかった 2件
そもそもログを取得していなかった 4件

全て保全できていたのは、5件に1件ほどです。
逆に言えば、7割以上が、調べたい時期のログを完全には持っていなかったことになります。

過去5年を合算した数字も出ています。
合計560件のうち、全て保全が143件、一部利用不可が316件、利用不可が72件、ログ取得無が29件です。
合算値は同じ資料の統計編に載っているもので、各年版から集計されています。

電源を切ると消えるものと、残るもの

初動の記事でも触れましたが、警察庁は、パソコンやネットワーク機器等の電源は落とさないでください、と呼びかけています。
理由は、感染原因等の調査に必要なログ等が消失する場合があるためです。

ここで言うログには、性格の違う2種類があります。

1つは、ファイルとして保存されているログです。
これは電源を切っても残ります。

もう1つが、メモリ上にしか存在しない情報です。
稼働中のプロセス、開いている通信、復号された状態の一時データ。
これらは電源を切った瞬間に消えます。
攻撃者が使ったツールの痕跡が、ここにしか残っていないことがあります。

電源を切るという操作は、ファイルのログは残しつつ、メモリ上の証拠だけを狙って消す行為に近い、ということになります。

ログが使えなくなる、3つの理由

いちばん多いのは、犯人による削除

同じ警察庁のアンケートに、ログが使用できなくなっていた原因の内訳があります。
設問ごとに有効回答の数は違っていて、こちらは28件です。

犯人による削除 15件
暗号化 4件
保存期間経過 6件
その他 3件

「その他」を除くと、理由は3つに絞られます。
犯人による削除、暗号化、保存期間の経過です。

そして半分以上が、犯人による削除です。
暗号化と合わせると、攻撃者の手によるものが19件を占めます。

過去4年の合算では、合計289件のうち、犯人による暗号化が108件、犯人による削除が75件、保存期間の超過が69件、誤削除が8件、その他が29件です。
合算で見ると暗号化のほうが多くなりますが、いずれにせよ上位2つは攻撃者の手によるものです。

これは、攻撃者の行動として資料に明記されている内容とも一致します。
警察庁は、ランサムウェア攻撃の代表的な流れを説明したうえで、最後の段階をこう書いています。
攻撃者は身代金の支払を要求したあと、ログや使用したツール等の痕跡を消去して攻撃を終了する、と。

痕跡を消すのは、攻撃の一部だということです。

だから、ログは別の場所に置く

ここまでの内容から、対策の方向は1つに絞られます。
ログを、攻撃を受けた機器の中だけに置かない、ということです。

警察庁も、ランサムウェア被害防止対策のページで、感染原因等の調査には各種機器のログが重要になるとしたうえで、ログはバックアップデータと同様に適切に保管することを推奨する、と記しています。

バックアップと同様に、という一文は実務上かなり重い意味を持ちます。
バックアップの記事で扱った論点が、そのままログにも当てはまるからです。

同じネットワーク上にあるバックアップは、一緒に暗号化される。
ログについても同じです。
サーバーのログが、そのサーバーの中にしかなければ、そのサーバーがやられた時点でログも失われます。

同じアンケートのバックアップの結果も、これを裏づけます。
令和8年上半期にバックアップを取得していた組織は50件中44件ありましたが、復元を試みた40件のうち29件は戻せませんでした。
理由は、バックアップの暗号化・消去が14件、運用の不備が8件、その他が7件です。
取っていても、同じ場所にあれば一緒にやられる。
ログもこれと同じです。

3つ目の理由である保存期間の経過については、あとの「何日分、残すのか」の章で扱います。
消せない形で置く方法も、時刻と置き場所の章でまとめて扱います。

何のログを、どこで取るのか

JPCERT/CCが挙げている主な機器

まず、教科書的な整理から見ます。
JPCERT/CCの報告書は、主な機器で採取できるログとして次の5つを取り上げ、それぞれ何が分かるかを説明しています。

メールサーバ。受信メールのログでは、組織外からのなりすましメールや実行ファイル添付メールを検知できる可能性がある。送信メールのログでは、疑わしい宛先に送信されたメールを検知できる可能性がある
Firewall。ネットワーク境界の通過を許された、もしくは拒否した通信が記録される。外部から内部を遠隔操作している通信の痕跡が残っている可能性がある
Webプロキシサーバ。組織内からインターネットへのアクセス記録が残る。マルウェアと指令サーバとの通信については、Firewallのログよりも多くの情報を得られる可能性がある
DNSサーバ。組織内向けのキャッシュサーバのログに、感染した端末が指令サーバと通信する際の名前解決の記録が残る可能性がある
認証サーバ。誰がいつログオンしたか、権限の昇格が行われたかが記録される

入口はどこか、中で何が動いたか、外へ何が出ていったか。
この3つを、それぞれ別の機器のログで裏付ける、という構造になっています。

なお、この報告書は標的型攻撃を念頭に置いたものです。
ただ、追いかける対象という点では、ランサムウェアの調査でも考え方は変わりません。

中小企業が、現実に確認する5か所

とはいえ、メールサーバもプロキシサーバも自社で持っていない、という会社は多いはずです。

ここで方針を決めておきます。
ログ管理を網羅的にやろうとすると、まず続きません。
機器ごとに設定が違い、形式が違い、見方が違うからです。
順番は、いま何が取れているかを知る、消えてしまう設定になっているものを直す、足りないものを足す、の3段階で考えます。
多くの会社は1つ目をやっていません。
そして1つ目をやると、たいてい「思ったより取れている」と「思ったより早く消えている」の両方が見つかります。

そこで、確認先を実物に置き換えます。

UTMやルーター、ファイアウォールの通信ログ
Windowsのイベントログ（サーバーと、可能なら業務端末）
クラウドサービスの監査ログ（グループウェア、ストレージ、業務システム）
NASや共有フォルダのアクセスログ
VPN機器の接続ログ

確認の方法は難しくありません。
保守を委託している業者に、この5つについて「ログは取れていますか、何日分残りますか」と聞くだけです。
聞かれれば答えられる業者がほとんどです。
裏を返せば、聞かれなければ設定を見直す機会がありません。

VPN機器を最優先にする理由

5つのうち、VPN機器の優先度が高いと考えたほうがよいでしょう。

警察庁の令和8年上半期の資料によれば、ランサムウェアの侵入経路はVPN機器が約5割を占めています。
同じ資料の統計編に内訳が載っていて、有効回答36件のうちVPN機器からの侵入が18件、リモートデスクトップからの侵入が9件、その他が9件です。

過去5年の合算では、合計485件のうちVPN機器が293件、リモートデスクトップが105件、不審メールやその添付ファイルが24件、その他が63件です。
メールからの感染は、いまや少数派になっています。

入口として最も多い場所のログが取れていなければ、入口の特定は難しくなります。

何日分、残すのか

目安は1年分

JPCERT/CCは、インシデント対応支援や高度サイバー攻撃の調査等の結果から、ひとつの参考値として1年分のログを保存することを推奨しています。

1年という数字には、根拠が並べられています。
中心は、攻撃が続く期間の長さです。
Mandiant社の「APT1」レポートを引いて標的型攻撃は平均で1年程度、最長では4年10か月継続しているとし、IPAの報告から標的型攻撃メールが9組織に対して31か月にわたり送られた例を挙げています。
内閣サイバーセキュリティセンターが平成24年に1年以上を推奨していること、PCI DSSがオフライン保存で1年間を要件としていることも併記されています。

そのうえで、ログ保存期間は1年以上にすることが望ましい、と結論づけています。

つまり、攻撃者は入ってすぐ暴れるとは限らないということです。
静かに居座り、ときどき動く。
被害が表面化したときには、最初の侵入から1年が経っている、ということが起こり得ます。

このとき、ログが1か月分しか残っていなければ、最初の侵入は追えません。
どこから入られたか分からないまま復旧することになり、同じ経路がふさがれないまま再開することになります。

初期設定のままだと、古いものから消えている

ここが、確認してみるといちばん多く見つかる問題です。

多くの機器やソフトは、ログの保存容量に上限があり、いっぱいになると古いものから上書きします。
設定を変えていなければ、通信量の多い会社ほど早く消えているということです。

Windowsのイベントログも、既定では容量で回ります。
UTMの通信ログも、機種によっては数日から数週間で一巡します。

先ほどの1年分という目安と、実際に残っている日数を並べてみると、その差がそのまま自社の課題になります。

対応の方向は3つです。

保存容量の上限を引き上げる
外部のストレージやログ収集サービスに転送する
定期的に書き出して、別の場所に保管する

最後の書き出しは原始的ですが、費用をかけずに始められます。
月に1回、UTMのログを書き出して外付けディスクに保存する。
それだけでも、何も残っていない状態からは大きく前進します。

クラウドサービスのログは、契約内容で変わる

グループウェアやクラウドストレージの監査ログは、プランや契約内容によって、取得できる範囲と保持される期間が変わります。
上位プランでは長期間残るが、下位プランでは短い、という設計は珍しくありません。

そしてこの保持期間は各社の仕様であり、変更されることもあります。
ここで具体的な日数を挙げることは避けます。
自社が使っているサービスの、現在の契約における仕様を、提供元の公式資料で確認してください。

確認すべきことは3つです。

監査ログは取得されているか
何日分保持されるか
書き出して自社側に保管できるか

3つ目ができるなら、契約上の保持期間より長く持っておくことができます。
被害の発覚が数か月後だった場合、この差が効いてきます。

時刻と、置き場所

時刻が合っていないログは、使えない

見落とされやすいのが時刻です。

調査は、複数の機器のログを時系列に並べる作業です。
機器ごとに時刻がずれていると、この並べ替えができません。
5分ずれていれば、因果関係が逆に見えることすらあります。

対応は単純で、すべての機器でNTPによる時刻同期を有効にすることです。
確認しておきたいのは次の3点です。

時刻同期が有効になっているか
タイムゾーンの設定が揃っているか
ログに記録される時刻が、日本時間なのか協定世界時なのか

記録される時刻の基準は、クラウドサービスの監査ログでよく問題になります。
画面上は日本時間で表示されていても、書き出したファイルは協定世界時で記録されている、ということがあります。
9時間ずれた表を突き合わせて、話が噛み合わなくなる。
これは実際に起きます。

1か所に集めて、消せない形にする

機器ごとにログを見に行く運用は、平常時は回っても、被害が起きたときには回りません。
その機器自体が止まっているかもしれないからです。

JPCERT/CCの報告書も、各機器で採取したログを集約し、長期保存に適したサーバに保存することが望ましい、としています。

中小企業では、まず次の水準でも意味があります。

重要な機器のログを、別のサーバーやNASに転送する
そのNASは、業務用の共有フォルダとは分けておく
書き込みはできるが、あとから消せない設定にできるなら、そうする

消せない設定というのは、バックアップの記事で扱ったイミュータブルの考え方と同じです。
前に見たとおり、ログが使えなくなる原因の上位は、犯人による削除と暗号化でした。
消せないログがある、という状態を作れれば、調査の材料は守られます。

調査を頼むとき、何が起きるのか

フォレンジックは、調べるより先に保全する

被害の範囲が社内では分からない。
そうなったとき、外部の専門会社に調査を依頼することになります。
この調査を、デジタル・フォレンジックと呼びます。

フォレンジックという語は、法廷で通用する、という意味合いを持ちます。
単に原因を知るためだけの作業ではなく、あとから第三者に示せる形で事実を確定させるための作業だということです。

そのため、最初にやるのは分析ではありません。
証拠保全です。
対象のディスクやメモリを、書き換えずにそのまま複製する。
複製したものが元と同一であることを確認できるようにしておく。
分析は、その複製に対して行います。

この順番には理由があります。
稼働中の機器を触ると、その操作自体が記録を上書きしてしまうためです。
ファイルを開けば最終アクセス日時が変わります。
ウイルス対策ソフトを走らせれば、証拠となるファイルが隔離されます。
善意でやった確認作業が証拠を壊す、ということが普通に起こります。

証拠保全ガイドラインという指針がある

この分野には、実務の指針が公開されています。
デジタル・フォレンジック研究会の「証拠保全ガイドライン」で、現行は2025年3月15日付の第10版です。
Webでの公開は2025年4月でした。

本編の章立てを見ると、この作業の全体像が分かります。

本ガイドラインについて
用語の定義
インシデント発生前の準備
インシデント発生直後の対応
対象物の収集・取得・保全
証拠保全の機器
証拠保全の実施
アウトソーシングサービスおよびコミュニケーションツール
クラウドサービス

注目したいのは、3章の「インシデント発生前の準備」が独立した章として置かれていることです。
活動プロセス及び体制の確立、情報収集、資器材等の選定及び準備、資器材等の使いこなし、という節が並んでいます。
証拠保全は、事故が起きてから考える作業ではない、という位置づけです。

9章にクラウドサービスが独立して置かれている点も、いまの実務を反映しています。
自社のサーバーであればディスクを複製できますが、クラウド上のデータは同じようにはいきません。
研究会は、このガイドラインとは別に「クラウドフォレンジックについての参考情報」も公開しています。

自分でやってはいけない、というより、やると戻れない

ここまで読めば、なぜ社内で先に触ってはいけないのかが分かると思います。

電源を切れば、メモリ上の情報が消える
ファイルを開けば、日時が書き換わる
駆除すれば、何が入っていたかが消える
再インストールすれば、すべてが消える

いずれも、やり直しが効きません。

とはいえ、被害が起きた直後に完璧な保全ができる会社は多くありません。
現実的な線引きは、次のようになると思います。

通信を切る操作までは、その場の人がやってよい
それ以降、機器の中身に触れる操作は、相談してから

相談先は、保守業者、警察、IPAの企業組織向け相談窓口です。
どこがどこまでやってくれるのかは、相談先と届出先の記事にまとめています。

何が分かって、何が分からないのか

依頼する前に、期待値を合わせておく必要があります。

分かることが多いのは、次のような事柄です。

侵入がいつ、どの経路で起きたか
どの端末やサーバーに影響が及んだか
攻撃者がどのような操作を行ったか
外部への通信が発生していたか

一方で、しばしば断定できないのが、何が持ち出されたかです。
外部へ通信した記録があっても、その中身が何だったかまでは、暗号化されていれば分かりません。
逆に、通信の記録そのものが残っていなければ、持ち出されていないと言い切ることもできません。

調査報告書に「持ち出された可能性は否定できない」という表現が並ぶのは、事実としてそこまでしか言えないからです。

この点は、報告義務とも関係します。
漏えいが確定していなくても、おそれがあれば報告対象になる。
調査で断定できないことと、報告しなくてよいことは別だということです。

そして、ここでログの有無が効いてきます。
個人情報保護法施行規則が定める報告事項には、漏えい等が発生し、又は発生したおそれがある個人データの項目と、それに係る本人の数が含まれています。
ログがなければ、この2つは埋まりません。
報告する時点で把握しているものに限る、という規定があるので報告自体はできますが、いつまでも分からないままでは、本人への通知も、取引先への説明もできません。

ログを取るという地味な作業は、最終的に、説明できる会社であり続けるための作業だということです。

依頼先の探し方と、費用の規模感

公的な入口が2つある

知り合いの業者がいなければ、どこに頼めばよいか分かりません。
公的な手がかりが2つあります。

1つは、IPAが公開している「情報セキュリティサービス基準適合サービスリスト」です。
経済産業省が策定した情報セキュリティサービス基準に適合するサービスの提供状況を調査し、利用しようとする者が参照できるように結果を公開しているものです。

サービス区分は、情報セキュリティ監査、脆弱性診断、ペネトレーションテスト、デジタルフォレンジック、セキュリティ監視・運用、機器検証の6つです。
2026年6月11日掲載のデジタルフォレンジックサービスのリストには、41のサービスが並んでいます。

ただし、注意書きがあります。

以下の各リストに掲載された事業者及びサービスについて、IPAによるいかなる保証等をも意味するものではありません。

適合するかどうかの審査・判定は日本セキュリティ監査協会（JASA）が行っており、IPAは審査・判定に関与していません。
掲載に際して適合性の再確認・検証等も行っていないと明記されています。
つまりこのリストは、品質の保証書ではなく、探し始めるための入口です。

もう1つが、デジタル・フォレンジック研究会、日本データ復旧協会、日本ネットワークセキュリティ協会、日本コンピュータセキュリティインシデント対応チーム協議会、ソフトウェア協会の5団体が合同編集した「データ被害時のベンダー選定チェックシート」です。

背景として書かれているのが、復旧事業者が提示する「復旧率」や「復元率」などの表記の解釈をめぐるトラブルが増えている、という指摘です。
合理的な根拠のないまま高い復旧率を提示して広告宣伝を行っている、分かりやすい説明のないまま契約を締結している、といった事情が挙げられています。

Excelのファイルで公開されているので、見積もりを取る前に一度開いておくと、何を聞けばよいかが分かります。

そのうえで、実際の選定では複数社を比べることになります。
比べる軸は、対応できる範囲、着手までの時間、報告書の形式、費用の見積もり方の4つです。
とくに報告書の形式は、あとで取引先や委員会に示す材料になるので、契約前に見本を見せてもらう価値があります。

費用は、公的な統計で規模感だけ言える

費用は、対象の台数、データ量、緊急度によって変わるため、相場を一律に示すことはできません。
ただし、調査と復旧を含めた全体の規模感については、公的な統計があります。

警察庁の令和8年上半期の資料によれば、調査・復旧費用の総額は次のように分布しています。
有効回答は35件です。

1億円以上 4件
5,000万円以上1億円未満 6件
1,000万円以上5,000万円未満 11件
500万円以上1,000万円未満 3件
100万円以上500万円未満 5件
100万円未満 6件

1,000万円以上が21件で、全体の6割を占めます。
資料本文も、調査費用・復旧費用が高額化しており、復旧に総額1,000万円以上を要した組織の割合は全体の6割を占める、と書いています。

復旧に要した期間も出ています。
有効回答48件のうち、即時から1週間未満が17件、1週間以上1か月未満が6件、1か月以上2か月未満が4件、2か月以上が8件、そして回答時点で復旧中が13件です。
1か月未満で復旧した組織は5割弱にとどまります。

この費用をサイバー保険がどこまで見るのかを確認しておく意味も、ここにあります。

2026年9月時点の最新状況

数字が更新されている。VPNは6割から5割へ

この分野の基礎データである警察庁の資料は、令和8年9月に令和8年上半期版が公表されました。
全187ページです。

前の版から変わった点を挙げます。

まず、ランサムウェアの被害報告件数は123件で、半期の件数としては統計を取り始めた令和2年下半期以降で最多となりました。
推移を見ると、令和4年上半期の114件から令和7年下半期の110件まで、おおむね100件台前半で横ばいだったところに、123件が乗った形です。

次に、侵入経路です。
令和7年の通年では、有効回答92件のうちVPN機器が61件で、6割以上を占めていました。
令和8年上半期は36件のうち18件で、ちょうど5割です。
割合としては下がりましたが、VPN機器が最大の入口であることは変わりません。
母数が半期で36件と小さいので、次の通年版まで様子を見る数字だと思います。

費用は上振れしています。
復旧に総額1,000万円以上を要した組織の割合は、令和7年通年の5割超から6割になりました。
1か月未満で復旧した組織の割合は、5割強から5割弱に下がっています。

被害企業の規模別では中小企業が約6割、業種別では製造業が約3割です。

「痕跡を消去して攻撃を終了する」と明記された

この記事にとって重要なのは、攻撃の流れの説明です。

資料は、攻撃者が侵入してから内部探索を行い、データを窃取したうえで暗号化を実行し、最後にランサムノートを置いて身代金を要求する、という流れを示したあと、こう続けています。
ログや使用したツール等の痕跡を消去して攻撃を終了する、と。

ログを消すことが、攻撃の最終工程として公的資料に書かれている。
統計編で犯人による削除が最多だったことと、これは同じことを別の角度から言っています。

JPCERT/CCの報告書は1.2版になっている

ログの取り方について最もまとまっている「高度サイバー攻撃への対処におけるログの活用と分析方法」は、初版が2015年11月17日に公開されたものですが、現在公開されているのは1.2版で、2022年5月10日付です。
全55ページ。
ページの最終更新は2022年5月23日です。

古い資料として敬遠する必要はありませんが、引用するときは版を確かめたほうがよいと思います。

証拠保全ガイドラインは第10版のまま

デジタル・フォレンジック研究会の証拠保全ガイドラインは、2025年3月15日付の第10版が最新です。
2026年9月時点で第11版は出ていません。

一方、別冊の「クラウドフォレンジックについての参考情報」が2025年5月に公開されています。
ガイドライン本編の9章と合わせて読む資料です。

明日から手を動かせること

1回だけ、ログの棚卸しをする

表を1枚作り、次の列を埋めます。

機器やサービスの名前
ログを取っているか
何日分残るか
どこに保存されているか
時刻同期が有効か

行に並べるのは、先に挙げた5か所です。
UTMやルーター、Windowsのサーバーと端末、クラウドサービス、NASや共有フォルダ、VPN機器。
自社で分からない項目は、保守業者に聞きます。

この表は、一度作れば数年使えます。
そして、この表がないまま被害に遭うと、調査の初日が「何が取れているのか探す」ことに費やされます。

消えている設定を、優先順位をつけて直す

表を埋めると、たいてい「何日分残るか」の欄に短い数字が並びます。
すべてを1年にできなくても、優先順位はつけられます。

VPN機器の接続ログ。侵入経路として最も多い
認証のログ。誰がいつ入ったかを追える
ファイアウォールやUTMの通信ログ。外部への通信を追える
共有フォルダのアクセスログ。どのファイルに触れたかを追える

上から順に、保存期間を延ばせないかを検討します。
機器の設定で延ばせるならそれで済みます。
容量が足りなければ、月に1回書き出して別の場所に保管するだけでも変わります。

時刻を合わせる

これは費用がかかりません。
すべての機器で時刻同期を有効にし、タイムゾーンを揃える。
それだけです。

作業自体は1日で終わりますが、これをやっていないと、集めたログの価値が大きく下がります。
あわせて、書き出したログの時刻が日本時間なのか協定世界時なのかを機器ごとに控えておくと、いざというときに迷いません。

1枚の紙に、1行足す

初動の記事で、A4で1枚の紙を作る話をしました。
その紙に、次の1行を足します。

「機器の中身に触れる操作は、相談してから行う」

具体的には、再起動、駆除、ファイルの削除、再インストール、初期化です。
これらを、その場の判断でやらないと決めておく。
決めておかなければ、良かれと思って実行されます。
そして、実行された操作は元に戻せません。

逆に言えば、通信を切るところまでは、その場の人がやってよい。
この線引きを紙に書いておくことが、証拠保全の第一歩になります。

依頼先を、先に決めておく

調査を頼む相手を、被害が起きてから探し始めると、比べる時間がありません。
平時にできることは3つです。

いまの保守業者に、事故が起きたときに調査までできるのか、できないなら誰を紹介してもらえるのかを確認しておく
IPAの情報セキュリティサービス基準適合サービスリストで、デジタルフォレンジックサービスの区分を一度眺めておく
5団体のベンダー選定チェックシートを開いて、何を聞くべきかを把握しておく

あわせて、サイバー保険や、支援の付いたサービスを契約している会社は、その契約で調査費用がどこまで見られるのかを確認しておいてください。
費用の裏付けがあるかどうかで、調査を依頼する判断の速さが変わります。

ログの棚卸しと、機器に触れる前の相談を書面にするなら、書式があります。
事前準備チェックリストと初動72時間フローシートを含む6種です。

まとめ

調査は残っている記録からしか始められない。JPCERT/CCは「鍵を握るログが採取されていなかったために、十分な解明に到らなかった例も少なからずある」と書いている
令和8年上半期の警察庁アンケートで、ログを全て保全できていた組織は48件中10件。7割以上が、調べたい時期のログを完全には持っていなかった
ログが使えなくなった原因の最多は、犯人による削除。28件中15件。暗号化と合わせると19件
警察庁は攻撃の最終工程として「ログや使用したツール等の痕跡を消去して攻撃を終了する」と書いている。だからログは別の場所に、できれば消せない形で置く
取るのはメールサーバ、Firewall、Webプロキシ、DNS、認証サーバのログ。中小企業ならUTM、Windows、クラウド、NAS、VPN機器の5か所を確認する
保存期間の目安は1年分。侵入経路の約5割はVPN機器なので、そこを最優先にする
時刻同期がずれていれば、集めたログ全体が使えなくなる
フォレンジックは分析より先に証拠保全。社内で先に触ると、その操作自体が証拠を壊す
何が持ち出されたかは、調査をしても断定できないことがある。それでも報告義務は生じるが、施行規則が求める「個人データの項目」と「本人の数」は、ログがなければ埋まらない
依頼先の入口はIPAのサービスリストと、5団体のベンダー選定チェックシート。ただしIPAのリストは保証ではない
復旧に1,000万円以上を要した組織は6割。1か月未満で復旧したのは5割弱

ログを取るという作業は、平時には何の役にも立ちません。
売上も増えませんし、業務も速くなりません。
価値が出るのは、事故が起きた1回だけです。

そしてそのとき、ログがあるかないかで、会社が説明できるかどうかが決まります。
取引先に、顧客に、そして自分の社員に、何が起きたのかを説明できる会社であるために、記録を残しておく。

そう考えると、この地味な作業の位置づけが少し変わって見えるのではないかと思います。

皆さんの会社では、その記録は、いま何日分残っていますか。

参考・引用元

警察庁

警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月、全187ページ） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
同統計データ（Excel） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08kami_jousei_data.xlsx
警察庁「サイバー空間をめぐる脅威の情勢等」（各年版の一覧） https://www.npa.go.jp/publications/statistics/cybersecurity/index.html
警察庁「ランサムウェア被害防止対策」 https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html

JPCERT/CC

JPCERT コーディネーションセンター「高度サイバー攻撃への対処におけるログの活用と分析方法」（1.2版、2022年5月10日） https://www.jpcert.or.jp/research/apt-loganalysis.html

IPA

IPA「情報セキュリティサービス基準適合サービスリスト」 https://www.ipa.go.jp/security/service_list.html
IPA「デジタルフォレンジックサービス」リスト（2026年6月11日掲載） https://www.ipa.go.jp/security/ug65p90000019fc0-att/20260611_3.pdf

デジタル・フォレンジック研究会

特定非営利活動法人デジタル・フォレンジック研究会「証拠保全ガイドライン第10版」（2025年3月15日付。Web公開は2025年4月） https://digitalforensic.jp/home/act/products/df-guideline-10th/
同「クラウドフォレンジックについての参考情報」（2025年5月） https://digitalforensic.jp/wp-content/uploads/2025/05/reference_for_cloud_forensics_20250520.pdf
「データ被害時のベンダー選定チェックシート Ver.1.0」（IDF・DRAJ・JNSA・NCA・SAJ 合同編集） https://digitalforensic.jp/home/act/products/higai-checksheet/

法令

個人情報の保護に関する法律施行規則（第8条） https://laws.e-gov.go.jp/law/428M60020000003

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40