デジタル・フォレンジックの原理・実際と証拠評価のあり方
吉峯耕平 弁護士

よしみね・こうへい
1977年、千葉県生まれ。2002年、東京大学経済学部卒業。司法研修所第58期修了。2005年、弁護士登録。田辺総合法律事務所所属。主な著作に「従業員 が逮捕された場合には企業はどう対応すべきか」（共著、Lexis企業法務19号〔2007年〕69頁）、『病院・診療所経営の法律相談』（編集共著、青林書院、2013年）、「転嫁拒否の禁止に関する実務ポイントＱ＆Ａ」（旬刊経理情報1362 号〔2013年〕46頁）がある。

倉持孝一郎 弁護士

くらもち・こういちろう
1982年、神奈川県生まれ。2004年、東京大学卒業。司法研修所第60期修了。2007年、弁護士登録。田辺総合法律事務所所属。主な著作に『実践！ 営業秘密管理 企業秘密の漏えいを防止せよ！』（共著、中央経済社、2012年）、「法務担当者のための企業年金入門（第１回〜第４回）」（共著、BUSINESS LAW JOURNAL 2013.7-10 No.64-67）がある。

藤本隆三 AOSリーガルテック株式会社フォレンジック調査員

ふじもと・たかみ
1957年、福岡県生まれ。1979年、防衛大学校卒業。

新井幸宏 AOSリーガルテック株式会社フォレンジック調査員

あらい・ゆきひろ
1956年、埼玉県生まれ。1989年、東京工業大学総合理工学研究科博士課程修了。

Ⅰ はじめにことができた。今日、白紙部分は狭まりつつある。客１ デジタルデータと刑事裁判立ち始める程度に達したということであろう。

観的証拠の密度が、供述証拠が覆される事例が目

今日、われわれの日常生活のあらゆる側面は、不そうすると、不可逆的な趨勢として、客観的証拠

断にデジタルデータによって記録され続けている。日を重視する傾向は進展していくものと予想される。デ常的な取引の、そのほとんどがコンピュータにより処

ジタルデータも、客観的証拠の一種と理解できるとこ

理され、記録される。コンビニのPOSデータ、
クレジッ

ろ、今後はさらに存在感を増していくことになろう。

トカード、交通系ICカード、ETC、ビルの入退館記録、
防犯カメラ、Ｎシステム……。また、近年著しく普及した携帯電話やスマートフォンには、かつては考えら

デジタル・フォレンジック（コンピュータ・フォレン

れなかったほどの密度の記録が、時々刻々と、長期

ジックとも呼ばれる）は、「コンピュータから有用な情間にわたって蓄積されている。

報を抽出し、法的手続のために証拠化する技術」と

一方、刑事裁判に目を向けると、供述証拠偏重か134

２ デジタル・フォレンジックとは１定義できる２。

ら脱する方向に舵を切りつつあるように見える。裁判

デジタル・フォレンジックの対象は広く、様々な応員裁判の影響や捜査機関への協力意識の減衰など、用分野にまで発展している。主な応用的分野を挙げ

様々な要因が理解できるが、技術的要因により客観ると、以下のようなものがある。

的証拠が利用できる場面が増え、客観的証拠と供述① モバイル・フォレンジック

証拠が矛盾すれば供述証拠が覆されるという、当た

携帯電話（いわゆるガラケー）、スマートフォン

り前の現象が生じているに過ぎないとも考えられるの等の携帯端末を対象としたデジタル・フォレンジッ

ではないか。かつて捜査機関は、供述証拠という絵ク。ＰＣを対象とする場合と比べ、ハードウェアと筆を自由に操り、白紙のキャンバスに好きな絵を描く

ソフトウェアの両面にわたって、解決しなければな

Quarterly Keiji-Bengo no.77 Spring 2014

デジタル・フォレンジックの原理・実際と証拠評価のあり方

らない独自の問題が多い３。
②

認定にいかなる影響を与えるかを想像してみれば容ｅディスカバリー対応４

易にわかるように、その影響のおよぶ範囲は、一部の米 国 訴 訟 に お ける 電 子 証 拠 の 開 示 手 続

特殊なサイバー犯罪に限られるものではない。冤罪（e-Discovery）への対応。

であるという依頼者の主張を証明しようと考えたときネットワーク・フォレンジック５に、利用可能なデジタルデータは様々なところに散在

ネットワーク環境における通信データのログやしているだろうし、その可能性を仔細に検討できない

サーバ上のデータの取得・分析により、サイバー弁護人は、常に弁護過誤の危険を冒していると言っ攻撃の実態を解明する手法。

ても過言ではない。

③

本稿では、単独で動作しているコンピュータ（ＰＣ）

デジタル・フォレンジックは、デジタルデータの確を念頭に置き、ハードディスクからデータを保全し、保というテーマに対するひとつの回答であり、常にそ解析するという、いわば古典的なデジタル・フォレン

れが必要になるとは限らない。データを保持する事

ジック６を対象に論を進める。なお、モバイル・フォ

業者に照会して回答を得れば足りるような事案も多レンジックについては、別稿を予定している。

いだろう。それなりにコストもかかることもあり、最大限の情報を、最も厳密な形で確保する必要があるか、

３

捜査機関の対応と弁護人の能力捜査機関は、近時、デジタル・フォレンジックに関する体制整備・人材育成を強力に推進している。
いわゆる厚労省 FD 改竄事件では、デジタル・フォ
レンジックの手法により、データ改竄が証明された７。

事案により様々であろう。しかし、デジタル・フォレン
ジックを利用しない事案においても、コンピュータの動作原理とデジタルデータの処理についての基礎知
識は、確保すべき証拠の「アタリ」をつけるためには重要である。

「検察の在り方検討会議」の提言８を受け、最高検
察庁は、デジタル・フォレンジックも扱う法科学専門

４ デジタル・フォレンジックと法律家の役割

委員会を設置した。もっとも、厚労省 FD 改竄事件はデジタル・フォレンジックは、自律的で完結したひ

非違行為への対応という側面が強く、デジタル・フォ

とつの技術体系となっており、局外者である法律家

レンジックの必要性が正面から問題になったものでが口を挟む余地は比較的少ない。とはいえ、
デジタル・

はない。

フォレンジックの入口と出口において、法律の世界とFD 改竄事件以上のインパクトを与えたのが、PCの接点があり、法律家の果たすべき役割もそこにある。

遠隔操作事件といわれる、2012（平成24）年６〜９

まず、フォレンジック調査の開始は、法律家の判月に発生した、４件の冤罪・誤認逮捕事件である９。

断にかかっている場合が多い。FD 改竄事件では、ＦPC 遠隔操作事件の発覚以降、現場から上層部まで、Ｄの解析は弁護人の判断を待って開始された。筆者

捜査機関のデジタル・フォレンジックに関する意識は（吉峯）が控訴審から関与した否認事件にも、原審

大きく変わってきたように思われる10。

弁護人の調査不足により有罪無罪を決する決定的な捜査機関の姿勢の変化が、供述証拠偏重を排す

データが保全されないまま消去され、復元できなかっ

方向に向かうのであれば、それ自体は積極的に評価た事例がある。初動対応を失敗すると、データの喪されるべきことである。しかし、他方で、デジタルデー

失により取り返しのつかない事態となりかねない。法

タを理解し、処理する能力（それはパワーポイントで律家には、デジタル・フォレンジックの概要や、どの見栄えのよいスライドを作る能力とはイコールではな

ような結果が出る可能性があるのかについて理解し、い）において、捜査機関と弁護人に大きな格差が生じ調査の必要性とコストについて依頼者に助言する責つつあるのではないかという危惧を感じざるをえない。

務があるといえよう。

今日の刑事弁護において、客観的証拠――とりわ

次に、デジタル・フォレンジック調査の結果は、最けデジタルデータの収集・確保の重要性は、強調し終的には裁判所の判断に供されるのだから、その証てもし過ぎることはない。また、日々の商取引に関す拠としての評価について、法律家が詰めた検討を行るデータやモバイル機器に蓄積された情報が、事実う必要がある。捜査機関がデジタル・フォレンジック
Quarterly Keiji-Bengo no.77 Spring 2014135

を使いこなすにつれ、「動かぬ証拠」によって事実認
定を誤る事案が生じることが予想される。PC 遠隔操作事件（とくに少年法上の保護処分にまで至った神ならない。
この観点を、「証拠性の確保」と呼ぶことができる11。

奈川事件）は、「動かぬ証拠」を弁護人が弾劾できな
かった事案でもあり、我々には重い課題を突きつけられていると言えよう。

２ デジタルデータ12
デジタル・フォレンジックは、コンピュータに記録されたデジタルデータを対象とするので、デジタル

５

本稿の目的と構成

データの特質をまず理解する必要がある。

本稿では、法律家と専門家の双方の視点を踏まえ

現在実用的に利用されているコンピュータは、デて、基本的なデジタル・フォレンジックを対象に、そジタルデータ、すなわち２進数で表記される数字をの枠組みを示したい。

処理する。２進数を読み取り、計算し、記録するのまず、必ずしもコンピュータに詳しくない法律家をがコンピュータといえる。２進数とは何かというと、０想定して、デジタル・フォレンジックの基礎を支えると１を並べたものと理解すればよい。一例を挙げると

原理と実務の概要を解説する（Ⅱ・Ⅲ）。

「1101」である。

そして、デジタル・フォレンジックの特質を踏まえ

この２進数をわれわれが通常使う10進数の数字にて、証拠に対する法的な評価（証拠能力および証明

変換するためには、各桁に１、２、４、８……と、２力）のあり方を検討する（Ⅳ）。
デジタル・フォレンジックの実務では様々な専用機
器や解析ソフトが利用されるが、本稿では、個別ののｎ乗を乗じて合計すればよい。２進数の「1101」
は、
１×８＋１×４＋０×２＋１×１＝13なので、10進数で書けば「13」ということになる。

商品の紹介までは立ち入らない。法律家が詳細を把コンピュータは、文字、画像、音楽、動画、メール、握している必要は大きくないうえ、相当のスピードで

ワープロ文書といった様々な情報を扱うことができる

情報が陳腐化するからである。

が、内部的にはすべて２進数の数字（＝デジタルデー
タ）を操作している。また、コンピュータの動作を指Ⅱ デジタル・フォレンジックの原理
１ デジタル・フォレンジックの目的

ている。
たとえば、
「Forensic」という文字列は「0100011

デジタル・フォレンジックには、以下の２つの目的

0011011110111001001100101011011100111がある。後述する具体的な手順は、２つの目的を達

00110110100101100011」という数字として処理さ成するために構成されているといえよう。

れている（図表１）13。

⑴

図表１ デジタルデータの正体

有用性確保

まず、調査対象のコンピュータから、可能な限り有用な情報を引き出すことが、第一の目的となる。
「有用な」というのは、情報を最大限引き出すだけでは十分ではなく、得られた情報を整理して絞り込
むことも必要である。
⑵

証拠性確保

デジタル・フォレンジックの調査結果は、最終的には訴訟等の法的手続に、報告書等の証拠として提出されることを予定されている。したがって、その目的
は調査結果が裁判所の事実認定に採用されることで136定したプログラムも、デジタルデータとして記録され

テキストデータ
Forensic

コンピュータ内部では01000110011011110111001001100101
01101110011100110110100101100011

２進数で64桁= 64 Bit= 8 Byte

16進数表記：46 6F 72 65 6E 73 69 63
10進数表記：507京5401兆0850億4015万9075（5,075,401,085,040,159,075）

３ デジタルデータの特質
デジタルデータには、物証や書面といった物理的ある。すなわち、当該証拠が、証拠能力と高い証明実体を持った証拠（以下、「物理的証拠」という）と力を持つと評価されるように、調査を実施しなければ比べると、以下のような特質がある。

Quarterly Keiji-Bengo no.77 Spring 2014

デジタル・フォレンジックの原理・実際と証拠評価のあり方①

完全一致性――完全なコピーを作成することができ、完全に一致していることを容易に確認できる②

改変可能性――容易に、かつ、痕跡を残さずに改変・消去14できる

Ⅲ デジタル・フォレンジックの実際
１

保全作業17

デジタルデータは改変が可能であり、また、システ

もっとも、②については、あくまで原理的に妥当す

ムが動作するに従って時々刻々とデータは実際に書る性質である。現代のコンピュータは、巨大なシステ

き換えられていく。情報を最大限に確保し、かつデー

ムとして動作していることから、一部のデータを改変

タを改変していないことを立証できるようにするためすると、他のデータとの一貫性が崩れる等、その痕に、ある時点のコンピュータの状況を固定化する必跡が残ることが多い。また、データを消去しようとし要がある。そのために実施されるのが、保全作業でても、あらゆる痕跡を全て消去することは、困難なこある。

とが多い15。

具体的な作業としては、対象となるコンピュータから、ハードディスクを取り出して、コピーするというの４が、保全作業の概要である。対象となる外部記憶装手順の概観

デジタル・フォレンジックのプロセスを理解するた

置はハードディスクに限らず、SSDやUSBメモリ等

めには、①保全作業、②解析、の２つの段階に分けも考えられるが、以下、とくに断らない限り、ハードディ

ることが便宜である16。

スクで代表させる。

図表２

保全作業自体はハードディスクのコピー作業で手順の概観あって、コンピュータや原本ディスクといった有体物

原本メディアの確保とは別の問題である。保全作業は、コンピュー

原本データ

タの差押等の法的な証拠収集手続と密接に関連す①保全作業

典型的には以下のようなパターンが考えられる。

保全データ① コンピュータの捜索・差押の後、捜査機関にお

抽出

抽出データ

いて保全作業が実施される。
②解析

解釈

結論間接事実⑴

るが、これとは別に実施されることも多い。たとえば、保全作業

ある時点で調査対象コンピュータから、ハードディ② コンピュータの任意提出・領置の後、捜査機関において保全作業が実施される。
③

記録命令付差押（刑訴法99条の２、218条２項）

により、対象ハードディスクをコピーし（保全作業）、
コピーを差し押さえる。
④

企業が従業員の使用させているコンピュータに

スク等の外部記憶装置（以下、「原本ディスク」という）つき保全作業を実施し、コンピュータは従前の通のデータをコピーして、ハッシュ値を計算する。保全り利用を継続する。

作業の結果、得られたすべてのデジタルデータを「保保全作業の主なポイントは、ハードディスクを丸ご

全データ」と呼ぶ。

とコピーすること、ハッシュ値を計算すること、の２点⑵であるが、前提として、ハードディスクがどのように解析
保全データを解析して意味のあるデータを抽出しデジタルデータを記録するのか、という点から論を進（以下、得られたデジタルデータを「抽出データ」とめる。

いう）、抽出データを解釈することで、「特定内容の⑵

ハードディスクの仕組み

メールが受信された」、「ある操作が特定の時点に実⒜

物理ドライブ行された」といった間接事実（以下、「結論間接事実」という）を認定する。

ハードディスクは、莫大な数の記録素子を並べたものである。１個の記録素子は、０か１のどちらかの状態を取ることができ、すなわち、１ビットの情報をQuarterly Keiji-Bengo no.77 Spring 2014137

記録できる。

並んでいるが、そのごく一部200個だけを書いている。

たとえば100ギガバイトのハードディスクは、約

ここに０から始めて番号を振っていく。

8600億個の記憶素子をまとめたものであり、２進数「Forensic」という文字列をここに記録することを考で約8600億桁（8600億ビット）を記録できる（10進

えよう。この文字列（仮に、文字列①と呼ぶこととする）

数で約2600億桁相当）18。

は、前述のとおり「0100011001101111011100100

ハードディスクの場合は、ディスク表面の極小の1100101011011100111001101101001011000

磁石を記憶素子として使っている。SSDは半導体を11」という64桁の数字として処理される。図表４では、記憶素子として使う。

文字列①を20番から84番の記憶素子に記録していこのように、ハードディスクは、莫大な桁数（たとる。同様に、「forensic」という文字列（文字列②）をえば8600億桁）の２進数を記録する方眼紙のような記録してみよう。文字列①との違いは先頭の「f」であものである。その方眼紙のマス（記憶素子）に１からり、
ここが「01100110」に変わっている。図表４では、8600億まで順番に番号を振って、必要に応じて書き

124 〜188番に文字列②が記録されている。

変えて情報を蓄積することになる。
図表３

図表５

1 Bit の情報を記録する記憶素子0

記録されたデータの読み出し

100GByte のハードディスクの概念図

1

0

0

0

1

ここが
０番
0

1

1

0 …… 10

約8600億個⒝ ファイルシステム19
しかし、単に数字を並べて、読み書きすることができるというだけでは、非常に不便なので、ファイ
ルシステムという仕組み（決まり）が用意されている。
ファイルシステムには、Windowsで使われるFAT や

ここを読めば
文字列①が取り出せるはず
メモ
文字列①
20〜84
文字列②
124〜188

ここが199番

NTFS、Macで使われるHFS+など、様々なものが記録したデータを読み出すためには、そのデータがある。ファイルシステムの役割は、ファイルシステム

どこに記録されているかという情報が必要となる。たがなければどうなるのかを考えればよく理解できる。

とえば、文字列①は20 〜84番、文字列②は124 〜

図表４

ハードディスクにデータを記録する

ここが
０番

ここが
100番

0000000000
0000000000
0100011001
1011110111
0010011001
0101101110
0111001101
1010010110
0011000000
0000000000
0000000000
0000000000
0000011001
1001101111
0111001001
1001010110
1110011100
1101101001
0110001100
0000000000⁝

188番、というメモを持っていれば、いつでも文字列①＝「Forensic」、文字列②＝「forensic」を取り出すことができる。逆にメモがなければどの場所を見れ

文字列①
を記録

ばよいのかわからない。
このように、ハードディスクを利用するためには、
ハードディスクのどの位置に目的のデータが記録されているのかというデータ（以下、「位置データ」という）が必要になる。位置データを紙のメモで持ってい

文字列②
を記録
ここが
199番

図表４は、ハードディスクの先頭から記憶素子が

138

ここが
100番

??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
??????????
?????????
?????????
?????????
⁝

るのは不便なので、ハードディスクの特別な場所に記録しておくことになる。
また、位置データ以外にも、データを管理するために様々な情報を記録しておくことが便利である。そこで、ファイルシステムは、管理するデータ＝「ファイ並んでいる状況を表している。実際のハードディスク

ル」ごとに、「メタデータ」（データを管理するためのは、膨大な数の記憶素子（たとえば約8600億個）がデータ）を記録することにしている。また、メタデータ

Quarterly Keiji-Bengo no.77 Spring 2014

デジタル・フォレンジックの原理・実際と証拠評価のあり方と対比して、管理の対象となるデータ（上記の例ではなければならないかが定まるので、位置データの「Forensic」というデータ）を「実データ」という。

一部とも考えられる。

ファイルシステムは、このようなメタデータを保存⑤ タイムスタンプ――ファイルが作成された日時、するための「特別な場所」をハードディスクに確保す更新された日時、最後に読まれた日時等の情報

る、これを「管理領域」と呼んでいる。また管理領域⒞以外の、実データを保存する領域は、「データ領域」

論理ドライブ

さらに、１つのハードディスクを複数の領域（パーと呼ばれる20。

ティション）に分けて使うことも可能である。たとえ

図表６ば、１つのハードディスクを２つの領域に分けると、管理領域とデータ領域に分ける
ハードディスク

Windows 等のOS からは、あたかも２つのハードディ
スクがあるように表示される。
この仮想的なハードディ
スクには、
「C:」
「D:」などと名前がついており22、そ

管理領域

データ領域

れぞれを論理ドライブという。また、PCのメーカーが準備した初期化用のツールなどが使用する、ユー

メタデータを記録
・位置データ ・タイムスタンプ・ファイル名 ・その他
・フォルダ情報

実データを記録

ザーからは見えない隠し論理ドライブも存在する。
図表７

パーティションを含んだ物理ドライブ全体の構成

メタデータの種類はファイルシステムにより差異がC:ドライブD:ドライブC: のデータ領域

D: のデータ領域

あるが、概ね以下のようなものである。
①

位置データ――ファイルが物理ディスクのどの箇所に記録されているかという情報21② ファイル名――ファイルを利用者が認識するための情報③フォルダ情報――ファイルのハードディスク上にお

C: の管理領域

D: の管理領域

物理ドライブ全体の管理領域⑵

物理コピーと論理コピー

ける物理的な位置は、位置データが記録している

保全作業では、原本ディスク上のデータのコピー

が、それとは別に、抽象的な階層的フォルダ構造を作成するが、物理コピーと論理コピーという２つのにおける位置を記録している。

方法がある。

④ サイズ――ファイルの実データのサイズ。サイズ

物理コピーは、ハードディスク（物理ディスク）にによってハードディスク上の領域をどの程度確保し記録されたデジタルデータ（以下、「原本データ」と

図表８

物理コピーと論理コピーの概念図
管理
領域

論理コピー

通常見えるファイルのみをコピー管理
領域
管理領域・データ領域の双方が完全に一致する

物理コピー

全セクタを順番通りにコピー管理領域
通常ファイルが存在するセクタ

削除ファイルが存在するセクタ

未使用セクタQuarterly Keiji-Bengo no.77 Spring 2014

139いう）を、先頭から末尾まで全てそのままコピーするを実施する。多くの場合、１個のハードディスクからことをいう。前述した100ギガバイトのハードディスク

２個のコピーを一度に作成する。また、ノートパソコの例では、約8600億桁の０と１が原本データである。

ンを分解してハードディスクを取り出すことが難しい

これをそのままコピーするのである。

場合などには、ソフトウェア方式で物理コピーを取得

これに対し、論理コピーは、通常のコピーであり、ファイルシステムによって管理されているファイルごとにコピーを実行する。

することもある24。
なお、原本データと関係のないデータが混入することを防止するため、コピー先のハードディスクは、

物理コピーは、「イメージコピー」、「フォレンジック
コピー」とも呼ばれるが、原本ディスクに記録されてあらかじめデータを完全に消去する措置をとる。
⒞

ハッシュ値の計算・確認いたすべての情報を保全することができるのに対し、論理コピーでは、情報の一部が失われてしまう。具体的には、論理コピーでは、2⑵で後述する削除ファ
イル復元ができなくなってしまうのである。
つまり、なるべく多くの情報を確保するという有用性確保の観点から、物理コピーを取得する必要があるといえる。
また、物理コピーは、原本データをそのままの形でコピーするものだから、証拠性確保の観点からも有利である23。
⑶

保全作業の具体的手順⒜

電源が入っている場合

図表９

物理複製装置を使用した物理コピー

正確に物理コピーが完了したことを確認し、証明するために、原本ディスク、コピー先についてハッシュ

保全作業の具体的手順のイメージ

原本ディスク
HDD

値を計算し、それぞれ一致することを確認する。ハッ

コピー①
物理コピー

HDD
ハッシュ値

ハッシュ値
2428E2683E8626C3BB15
70715129378244B9E2D4

イメージ
ファイル
作成
解析へ

2428E2683E8626C3BB15
70715129378244B9E2D4

シュ値とは、デジタルデータの「指紋」となる短いデー
タで、これが一致すれば全く同じデータであることが確認できる（Ⅳ2⑵で後述する）。
フォレンジック用の物理複製装置は、ハッシュ値を自動的に計算して一致を確認し、ログを出力する機
能がある。

コピー②
HDD

ハッシュ値の一致を確認⒟ イメージファイルの作成

ハッシュ値
2428E2683E8626C3BB15
70715129378244B9E2D4１個を保管用とすることが多い。また、解析用のハードディスクについても、ハードディスクにアクセスしての対象とはせず、イメージファイル（ハードディスクに調査対象コンピュータの電源が入っている場合、記録されたすべてのデータを記録したファイル）に変

ハードディスクだけでなく、メモリ上のデータ等を取換して、解析の対象とすることが多い。イメージファ

得することがある。ただし、その操作によって、ハーイルを利用したほうが、誤ってデータを変更してしま

ドディスクのデータが変更され、場合によっては消う可能性が低く、また、解析用コンピュータに複数失するリスクもあるため、慎重な判断を要する。

のイメージファイルを保存することができて、便利だ⒝からである。

物理コピーの取得

コンピュータを分解してハードディスクを取り出し、専用の物理複製装置（写真）に接続して、物理コピー
140

物理コピーしたハードディスクは、１個を解析用、保管

Quarterly Keiji-Bengo no.77 Spring 2014⒠

記録
保全作業については十分な記録を残すことが、証デジタル・フォレンジックの原理・実際と証拠評価のあり方

拠性確保の観点から、極めて重要である。実務上、⒜ ファイル削除≠データ消去①保全作業の全過程をビデオで撮影する、② CoC

1⑵⒝で前述したとおり、ハードディスクは管理領と呼ばれる書類25に作業内容等を逐一記録する、と域（メタデータを記録）とデータ領域（実データを記いった措置が取られている。

録）に区分けされ、管理領域には、ファイルがデー

とくに、原本データのハッシュ値は、証拠性確保の起点となるので、確実に記録しておく必要がある。

タ領域のどこに記録されているのかをあらわす位置
データが記録されている（図表10①）。
Windowsで、ファイルを「ごみ箱」に入れると、今

２
⑴

解析

まで「デスクトップ」となっていたメタデータ（フォルダ

解析ソフト

位置）が、
「ごみ箱」に書き換えられる（②）。

保全作業により保全データが得られるが、ここかそし て「 ご み 箱 を 空 に する 」を 実 行 すると、

ら必要な抽出データを絞り込み、これを解釈するのが、Windowsはそのファイルを削除する。しかし、削除「解析」の過程である。

の具体的な動作は、ファイルのメタデータの先頭に実際の作業は、解析ソフトを利用することになり、 「削除マーク」を記録するだけである。これにより、可能な限り自動化されている。以下の説明の多くは、そのファイルはWindows からは見えなくなり、当該解析ソフトがどのような作業を実施しているのかとい

ファイルの使っていた管理領域・データ領域は、未う説明である。

使用領域として、別のデータを書き込むことができる⑵

ようになるが、メタデータ・実データは、消去されず削除ファイルの復元26
デジタルデ ータは、原 理 的には、痕 跡を残さに残っているのである（③）28。したがって、この段階ずに改 変・ 消 去 できる（ 改 変 可 能 性 ）。しかし、であれば、「削除マーク」を元に戻すだけで、削除ファ

Windows 等の操作でファイルを「削除」しても、それイルがそのまま復元できる。

だけではデジタルデータは消去されないことが多く、⒝ データは上書きにより失われる

一定の操作で削除データを復元することができる。しその後、管理領域・データ領域がそれぞれ再利用

ばしば、削除したはずのデータから意外なほど大量され、別のデータが上書きされていき、以前のファイの情報が得られることがあり27、削除データの復元は

ルに関する情報は次第に消去されていく。データ消重要な位置を占める技術である。

去の態様は、どの位置に新しいデータが書き込まれ図表10 ファイルの削除とデータの消去

①通常時

②ごみ箱

管理領域

データ領域

ファイルＸのメタデータ

ファイルＸの実データ

ファイルＸのメタデータ

ファイルＸの実データ

フォルダ情報が変更されただけ←削除マークがつく③削除直後

ファイルＸのメタデータ

ファイルＸの実データ

メタデータ・実データは残っているが上書き可能となる④削除後

別ファイルのメタデータ

ファイルＸの実データ
実データが残っているが、行方不明⑤削除後ファイルＸのメタデータ

別ファイルの実データ

メタデータのみ残っている⑥削除後

ファイルＸのメタデータ

別ファイルの実データ
ファイルＸの実デー
実データの一部が残っている

Quarterly Keiji-Bengo no.77 Spring 2014141

るのかという偶然に左右され、新しいデータが多く上れている。

書きされるほど、復元の可能性は低くなっていく。と

一般に、アプリケーションソフトは、データファイ

くに、ハードディスクの高速化のために行われるデフ

ルの中に、作成者情報、タイトル、タイムスタンプ等

ラグ（データの再配置）が実行されると、復元が難しの管理情報を記録することが多い。これは、前述のくなることが多い。

管理領域に保存されているメタデータとは異なり、実管理領域が先に上書きされた場合は、位置データ

データの中に、ファイルを管理するためのデータが記が失われるので、実データがどこにあるのか、行方録されているのである（以下、「ファイル内メタデータ」

不明の状態となる（④）。この場合、データ領域からという）。

ヘッダ情報や特定のテキストを検索することで、残存した実データを探し出し、復元することになる。

たとえば、画像データに書き込まれているExif 情報も、このようなファイル内メタデータの一種であり、逆に、データ領域の実データが先に上書きされる

撮影機材、カメラの設定、日時等の詳細な情報が記場合もある。ファイル名、サイズ、タイムスタンプ等録されている。カメラによっては、GPSによる場所情のメタデータを持つファイルが存在していたのはわか

報も記録されている30。

るが、その中身（実データ）はわからない（⑤）、ある⒞

いは一部しか残っていないという状態になる（⑥）。
解析ソフトは、ある程度の削除ファイルの復元は、暗号化とパスワード解析31

ファイルの中には暗号化されているものもあり、パスワード解析によって暗号化を解除することがある。

自動的に実行する。④の実データの探索は、手動で暗号化の強度は、暗号化の形式やパスワードの長さ

キーワードを指定して検索することもある。

によって様々である。

⑶ その他の情報収集手段⑷

情報の絞込み・整理
近年のハードディスクの大容量化やシステムの複⒜ ログデータWindows 等のOS や、アプリケーションソフトは、雑化の影響で、大量の（数千件、数万件もの）デー

様々なログ（履歴）をハードディスクに記録している。

タが抽出できることが多い。そこで、調査の目的から

たとえば、Windowsでは、レジストリというデータ

有用な情報をどのように絞り込み、整理するのかといベースで設定やシステムの状況を集中的に管理してう観点が重要になる。

いる。レジストリには例えば以下のような事項が記録解析ソフトは、情報の整理、絞込みのために、検されている。

索機能32、フィルター機能（特定の日付やサイズ等の• Explorer から起動したプログラム

条件を設定し、これに該当するファイルを抽出する機•ログインユーザー名能）、時系列での整理機能といった、多様な機能を• 最近使ったドキュメント

用意している。大量の既知のファイルを排除して、現• USBに接続したUSBメモリやハードディスク等の在調査中のシステム特有のファイル（それはユーザーデバイスの記録（日時やUSB 機器を特定するシリが作成したファイルか、そのシステム特有の情報を含

アル番号）んでいるかもしれない）を抽出する機能もある33。

また.pfファイルと呼ばれるファイルにも、実行したプログラムの履歴情報が含まれている。
以上は、Windows（OS）レベルで管理されている履歴だが、アプリケーションも様々なログを記録

膨大な情報の中から、調査目的との関係で有用な情報をいかに絞り込んでいくのかということであり、解析ソフトの機能もさることながら、調査員の経験・技術に依存する部分も大きいといえる。

している。特に重要なのは、ウェブブラウザのログだろう。大きく分けると、アクセスログと、ウェブアク

Ⅳ

証拠評価

（Temporary Internet Files）がある29。

１

総論

⒝

⑴

セスの高速化のための仕組みであるキャッシュデータ
様々なファイル形式の解析

ハードディスクには様々な形式のファイルが保存さ
142

Quarterly Keiji-Bengo no.77 Spring 2014

証拠能力と証明力
法的な観点から証拠を評価する場合、証拠能力とデジタル・フォレンジックの原理・実際と証拠評価のあり方

証明力の２つの視点から検討する。

⑷

証拠構造と証明力の判断過程

証拠能力は、証拠として用いることのできる法的Ⅱ4で前述したとおり、フォレンジック報告書にお許容性であり、証明力は、証拠が事実認定に役立ちける証拠の構造は、原本データ→保全データ→抽うる実質的価値をいう（刑訴法318条、民訴法247

出データという過程を経て、抽出データを解釈して、条）34。

結論間接事実を認定することになる。

民事訴訟では、原則として証拠能力が否定されることはなく、証明力のみが問題となる35。
刑事訴訟では、証拠能力の要件が法律の明文上、ここで「結論間接事実」40とは、フォレンジック解析の結果直接認定できる事実であって、たとえば、「当該コンピュータに、脅迫文と同じ文面、メールアドレ

または、解釈上、厳格に規制されている。証拠能力

ス、パスワードが記載されたテキストファイルが保存をクリアしてはじめて、証明力を評価することになる。

された」というような事実である。結論間接事実から、⑵

さらに事案との関係で証明が必要な事実（要証事

証拠の形態

フォレンジック調査は、裁判所の鑑定、捜査機関

実）が推認される。たとえば「当該コンピュータの所からの嘱託による嘱託鑑定、弁護人その他の私人の有者Ｘが、脅迫文をメールで送信した」といった事実

依頼による私的鑑定として実施される。その調査結である。

果は、鑑定書、嘱託鑑定書や報告書等の書証（以下、

このような、原本データを起点に、結論間接事実、あわせて「フォレンジック報告書」という）として裁判所要証事実に至る事実認定の構造は、DNA 鑑定などに提出されるのが通例である。

の科学的証拠と共通する。司法研究は、結論間接

保全データそのものを提出することは、ほとんど意

事実を「スモールアイｉ

ラージアイ

事実」、要証事実を「 Ｉ 事実」と味がない。裁判官が、保全データから直接、意味の呼び、それぞれの範囲を厳密に区別する必要性を指ある事実を認定することは不可能であり（たとえるな

摘している41。

ら、DNAのATCGの塩基配列をそのまま提出し、そ

図表11

事実認定の構造

れ自体を事実認定の根拠とすることを求めるようなも原本メディアのである）、コンピュータを利用した解析を経ることが原本データ不可欠だからである。

保全データは原本データと同一か？

したがって、デジタル・フォレンジックに関する証
議論するのではなく36、フォレンジック報告書の証拠

信用性

拠の証拠能力は、デジタルデータそのものについて能力を論じることになる。
⑶

保全データ
抽出データは保全データに由来しているか？

フォレンジック報告書は、犯罪事実（または民事

解釈は正確か？

上の紛争）に関する資料を対象に科学的分析を実施

拠については、足利事件や東電 OL 事件を契機にして、司法研究37が発表される等、議論が活発化して推認力

ら、科学的証拠の一種と位置づけられる。科学的証

抽出

抽出データ

科学的証拠としての観点し、その結果を報告するものと考えることができるか①保全作業

結論間接事実から要証事実が推認できるか？

②解析

解釈

結論間接事実推認

要証事実

いる38。従前あまり意識されてこなかったところであフォレンジック報告書の証明力については、この事

るが39、フォレンジック証明書の評価も、科学的証拠

実認定の構造を踏まえて、証拠提出者が主張する要の評価という視点を欠かすことはできない。

証事実が、原本データまで遡ることができるのかを

他方、フォレンジック報告書は、他の科学的証拠評価する必要がある。具体的には、後述するとおり、と比べて、かなり特殊な点がある。保全作業完了後①保全データの同一性、②解析過程の信用性、③は完全な再現可能性があること、立証対象が不定形

結論間接事実の推認力の３点を評価することになる。

であることの２点である。

このうち、①②は、フォレンジック報告書の内容が正Quarterly Keiji-Bengo no.77 Spring 2014143

確かという「信用性」の問題であり、③は、解析結果たものであり、これに附随して米国法の概念が直輸からどのような事実がどの程度の蓋然性をもってある入的に紹介されたことはやむをえない面があるが、日と言えるかという「推認力」の問題である42。

本法にこれら米国法の概念を導入する必要性の検討

上記①〜③を、本稿では「証明力評価の３要素」と呼ぶこととする。

が十分になされたとは言いがたいように思われる47。
⑹⒜ ガイドラインと証拠評価の関係
保全作業の手順については様々なガイドラインが小括
以下、まずは①保全データの同一性、②解析過⑸ デジタル・フォレンジックに関する従前の議論

程の信用性、③結論間接事実の推認力、という、証明力判断のための３要素について検討した上で（2〜策定されており43、実務的には、保全作業はこれら

4）、司法研究で示された科学的証拠の評価基準とガイドラインに準拠して実施されている。

の関係を確認する（5）。それを前提として、証拠能

これらのガイドラインは、有効性確保と証拠性確力についての個別論点に若干の検討を加える（6）。

保の両方の目的を達成するために構成されており、有効性確保の観点から定められたルールも多い。し２

保全データの同一性たがって、ガイドライン違反が直ちにフォレンジック⑴

保全データの同一性とは報告書の証拠能力や証明力に影響するとは限らな

デジタル・フォレンジックでは、保全データを対い。これらガイドラインはフォレンジック調査員にとっ

象に解析を実施する。解析の対象となった保全デーての行為規範であるが、事実認定者にとっての裁判

タは、保全作業時に原本ディスクに記録された原本

規範ではないのである。

データと、同一でなければならない。これを保全デー⒝

タと原本データの同一性ということができる48。

米国証拠法上の概念について

デジタル・フォレンジックの文献において、しばしここでいう「同一」とは、デジタルデータとしての同ば、証拠性の確保のために「保管の連続性」（Chain一性である。デジタルデータの特徴のひとつとして、of Custody）が必要であるとされることがある44。

完全なコピーを作ることができることが挙げられるが保管の連続性は、米国法に由来する概念である。 （完全一致性）、そのような「完全なコピー」であるこ
物証の証拠能力について、同一性が必要とされているところ、物証に顕著な特徴があればそれだけで同より具体的に言うと、以下のとおりである。２個の一性が認定され、そうでない場合には、証拠物の保デジタルデータについて、2進数の桁数が同じで、か管の連続性を証明しなければならない、というものでつ、対応する桁の０と１がすべて同じである場合、こある45。

れらは同一であるといえる。同一のデジタルデータ

保管の連続性は、米国法の物証に関する規律では、コンピュータ処理において、まったく同じように振あるから、日本法におけるデジタル・フォレンジック

る舞い、区別ができない。このような意味のデジタルの規律においてこれを参照する必然性はまったくな

データの同一性を、物証における同一性（物理的同い46。有体物としてのハードディスクの保管が連続し一性）と区別するために、論理的同一性と呼ぶこととているよりも、ハッシュ値の確実な記録によりデジタする。

ルデータとしての論理的同一性を立証することの方

たとえば「0100」と「0100」
は論理的に同一である。

が、デジタルデータの証拠性確保のためには重要でどちらも４桁であり、すべての桁の０と１が一致する

あることは論を俟たない。

からである。大きな桁数（bit 数）のデジタルデータもまた、デジタルデータ自体の証拠能力につき、最同様に考えることができる。

良証拠法則（Best Evidence Rule）を参照して原本

保全データは、原則として49、原本データと同一性が議論されることがあるが、⑵で前述したとおり、でなければならないし、証拠提出者は、同一性を証

デジタル・フォレンジックの手法が適用されている限明する必要がある。

り、実際に問題となることはないだろう。

⑵

デジタル・フォレンジックは主に米国で発展してき144とが求められるのである。

Quarterly Keiji-Bengo no.77 Spring 2014

ハッシュ値

それでは、保全データの同一性は、どのように認識・

デジタル・フォレンジックの原理・実際と証拠評価のあり方

証明すればよいだろうか。
ここで使われる技術が「ハッは、必ず同じ数字となる。逆に、異なるメッセージでシュ値」である。ハッシュ値は、「フォレンジック技術

SHA-1を計算すると、たとえそれが1bitの違いであっの中核」50ともいうべき重要な概念である。

ても、違うハッシュ値が計算される。厳密には、異なハッシュ値51については、「ハッシュ値とは、
電子ファるメッセージから同じハッシュ値が計算されることが、イル等の電子データを一定の計算式（ハッシュ関数）

極めて小さな可能性で起こりうるが、適切なハッシュにより演算し、文字列に変換した値であり、電子デー

関数を利用している限り、⑶⒜で後述する性質から、

タの一部でも変更されていると、異なるハッシュ値をそのような可能性は事実上無視して差支えない。

示すため、電子ファイルの特定手法としても利用されしたがって、以下のように判断できる。

るものである」と説明した裁判例がある（東京地判平①ハッシュ値が同一→メッセージが同一

16・６・８判タ1212号297頁）52。

②ハッシュ値が異なる→メッセージは同一ではない⒜

上記の例では、データ①とデータ②で、同じハッ具体例
ハッシュ関数（ハッシュ値の計算の仕方）にはい

シュ値が計算されているので、実データを見なくとも、

ろいろな種類があるが、有名なものとしてMD5や実データは同一であると判断できる。なお、ファイル

SHA-1がある。SHA-1を利用した論理的同一性の判のハッシュ値を計算する場合、実データを対象とす

断について、具体例を示す。

るので、ファイル名やタイムスタンプ等のメタデータ

まず、テキストファイルを３つ用意する。それぞれのファイル名と実データは、以下のとおりとしよう。
ファイル名

実データ

はハッシュ値に影響しない。データ①とデータ②で、ファイル名は異なるが、ハッシュ値は変わらない。
また、データ①とデータ③は、ファイル冒頭の「F」① large.txt

Forensicと「f」の一文字が違うだけだが、まったく異なるハッ② large - コピー .txt

Forensic

シュ値となっており、論理的同一性がないこと（違う③ small.txt

forensic

デジタルデータであること）が、実データを見なくともこの３つのファイルについて、フリーソフト53を利用してハッシュ値を計算した結果が、図表12である。

判断できるのである。
⒝「SHA1」と書いてある欄にハッシュ値が表示されて
いる。
図表12

ハードディスクのハッシュ値
保全作業でハッシュ値を計算するときは、前述の例とは異なり、ファイルではなく、ハードディスク
SHA-1ハッシュ値を計算した画面全体に対するハッシュ値を計算する。ハードディス
クには、膨大な桁数のデジタルデータ――たとえば100GByteのハードディスクであれば、約8600億桁の２進数――が記録されているのは、Ⅲ1⑵⒜で前述したとおりだが、その約8600億桁の２進数をメッセージとして、ハッシュ値を計算するのである。
ハードディスク上の全データであっても、ファイルの実データであっても、有限桁数の２進数という点

このように、あるデータに対するSHA-1ハッシュ値

では変わらないので、同じようにハッシュ値が計算でを計算すると、それは元のデータ（これを「メッセージ」

きるのである。

と呼ぶ）の大きさに関係なく、16進数で40桁（２進⒞ハッシュ関数の種類

数で160桁＝160ビット）の数字が出てくる。図表12

ハッシュ関 数 には 様々な 種 類 があり、MD5とで、「日本国憲法 .htm」は、大きなサイズのデジタル

SHA-1が有名である。しかし、MD5は安全性に疑問

データであっても、ハッシュ値は同じ長さとなることが生じてきており（⑶⒜参照）、SHA-1もそれほど遠を示すために、あわせてハッシュ値を計算したものでくない将来に同様の問題が起こると考えられている。

ある。
同じメッセージから計算したSHA-1ハッシュ値

今後は主に、電子政府推奨暗号リスト54で推奨されている、SHA-255と呼ばれる、より強い安全性をQuarterly Keiji-Bengo no.77 Spring 2014145

持つハッシュ関数への移行が進むものと思われる56。

い偽造保全データのハッシュ値はこれとは異なるＹに⒟ ファイル・コンペア

なることが一般的である（このようにハッシュ値が異な

２つのデジタルデータの最初から最後まで、０と１る場合、保全データの同一性が証明できない）。しが同じように並んでいるのかを一桁ずつ確認していく

かし、原本データと異なるが、同一のハッシュ値を有という方法があり、ファイル・コンペア（比較）と呼ばする別のメッセージ（データ）は存在し、これを計算れている57。

することは、時間が無尽蔵にあれば可能である。ただ、コンペアはわかりやすい手法だが、ハッシュ値と比あまりに膨大な時間がかかるので、現在利用できる

べると２つの欠点がある。同時に存在するデジタル技術では、そのような別メッセージを計算することはデータ同士についてしか論理的同一性を判断できな

事実上不可能なのである。これはハッシュ関数の「弱いことと、コンペア結果を偽ることが容易であり、虚衝突困難性」という性質である59。

偽の可能性を完全には排除できないことである。ハッ逆に、弱衝突困難性を満たさないハッシュ関数は、シュ値に代えてコンペアを利用することに、合理的な同一のハッシュ値であるからといって、メッセージが理由はないと考えられる58。

同一であるとは限らない。たとえば、偽造保全データ⑶

保全データの同一性の認定と弁護人の対応のある領域をランダムに書き換えてハッシュ値を計算

保全データの同一性を主張する検察官としては、していき、原本データのハッシュ値Ｘと同じハッシュⓐ保全作業時、原本データのハッシュ値はＸだっ

値を持つ偽造保全データを得るという方法が考えらた、ⓑ解析の対象とした保全データのハッシュ値はれる60。

Ｘだった、という２つの事実を主張し、これが認めらしたがって、ハッシュ関数に脆弱性が存在し、現れると、原本データと保全データの論理的同一性が実的な方法で弱衝突困難性を突破できるのであれ

極めて強く推定されることになる。

ば、上記推定を覆す事情となる可能性がある。捜査

これに対して考えられる反論は、①ⓐの事実を否機関側としては、このような主張への予防策として、認するか、②上記事実上の推定を覆すかである。

十分な安全性のあるハッシュ関数を利用する必要が

図表13

ある。

保全データの同一性と弁護人の主張②同じハッシュ値Ｘとなる別データが計算可能か？

保全データ

同じデータ？

原本データ⒝

ハッシュ値は保全作業時に計算されたものか
証拠偽造を達成する手段として、上記の弱衝突困

難性の突破より簡単なのは、偽造保全データのハッ
シュ値を計算して、事後的に、原本データのハッシュ値とすり替えることである。たとえば、保全作業経緯

推認

ハッシュ関数を記載した捜査報告書を、日付を遡及して事後的にハッシュ関数作成し、後日計算した偽造保全データのハッシュ値を記載する、といった方法が考えられる。

同じハッシュ値Ｘ

Ｘ①本当にＸだったのか？

⒜

ハッシュ関数の脆弱性

まず、推定を覆す事実について検討する。

146

したがって、弁護人としては、保全作業の当日に計算されたハッシュ値が適切に記録化されていたかどうかを検討する必要があり、場合によってはこれを否認することになるだろう。
捜査機関としては、そのような争点が生じないよう

仮に捜査機関側が解析結果を偽造することを考えに、確実な方法で（捜査機関がその気になっても偽ると、偽造保全データを作成し、これを対象に解析造が不可能だったと証明できる方法で）ハッシュ値をを実施して、フォレンジック報告書を作成することに証拠化しておく必要がある。フォレンジック業者の保なる。

全作業では、その全過程をビデオ撮影することが多

原本データのハッシュ値（＝真実の保全データのく、そこにハッシュ値が撮影されていれば、これを後

ハッシュ値）がＸであるとすると、論理的同一性のな日偽造することは事実上不可能であろう。また、被Quarterly Keiji-Bengo no.77 Spring 2014

デジタル・フォレンジックの原理・実際と証拠評価のあり方

疑者・弁護人（民事訴訟の場合は対立当事者）にハッ害の大きさも留意されるべきである。

シュ値を通知しておくことも考えられる61。
⑷

改変可能性の評価

他の科学的証拠は、その証明の対象が一定の事項に限られるが（たとえば、DNA 検査は、個人の識

このように、保全データの同一性に疑義が生じな

別・同定のみを対象とする）、デジタル･フォレンジッ

いようにするためには、捜査機関（あるいはフォレン

クは、コンピュータに記録されている事項はすべて証

ジック業者）がハッシュ値を確実な手段で証拠化して明の対象となりうる。したがって、万が一恣意的な介おき、保全データのハッシュ値と照合すればよい。

入がなされた場合は、極めて重要かつ広範な影響を

この点について必要な措置が取られなかった場合

与えうるのである。

――たとえば、① MD5によるハッシュ値しか取得していない、②原本データのハッシュ値について改変

３

解析過程の信用性

可能な信用性の低い証拠（捜査報告書等）しか存在

解析過程においては、保全データから意味のある

しない、③保全データが開示されない（保全データ

データ（抽出データ）を抽出し、これに解釈を加えるが消滅した場合を含む）といった場合には、デジタルことで、結論間接事実（ｉ事実）を認定する。

データは改変可能だったということになり、少なくとここで必要な条件は、①抽出データが保全データも抽象的には改竄の疑義が生じる。そして、具体的に由来し、かつ、②抽出データの解釈が正確なことに改竄が行われた証拠までは存在しない場合、裁判の２点である。

所は困難な判断を迫られることになる62。

⑴

抽出データと保全データの関連性

これは、デジタル・フォレンジック特有の問題では抽出データは、保全データに何らかの論理的操作

なく、デジタルデータのプリントアウトを証拠として提を加えてその結果得られたものでなければならない。

出するような場合と共通する問題で、要はデジタル

これを、抽出データと保全データの関連性と呼ぶこ

データの改変可能性を、証拠評価においてどの程度とができる。

考慮するかということに帰着する。

たとえば、削除データの復元は、削除ファイルの従前の考え方としては、改竄の抽象的な疑念が生

実データが保全データのどの領域に存在するのかをじたに過ぎない場合に、デジタルデータが改変可能（可能な限り）特定して、並び変える作業である。多だからといって証拠能力や証明力を否定するという

くの場合、保全データに加えられる操作は、保全デー

判断がなされることはなかったと思われる63。このようタのうち特定領域の抽出であり、抽出された断片デーな判断は、デジタルデータに関する証拠を提出する

タの結合ということになろう。また、圧縮ファイルや弁護士や企業が、そのようなデータの改竄に及ぶこ暗号化されたデータのように、一定の計算式に従っとはないだろう――ましてや捜査機関の客観的証拠て変換を実施している場合もある。

の偽造などありえない――という、一定の信頼感に基づく判断だったといえよう。

保全データの関連性を示すためには、一般的な、恣意的ではない操作によって抽出データが生成されとすると、現時点においては、厚労省 FD 改竄事ていることを示せば足りる。これは、一般的な解析ソ件という、検察官の客観的証拠偽造が明白に立証さフトを利用している限り、容易に立証できることが通れた事例が出現したとしても、なお、この信頼感が常であろう。

維持できるのかということが検討される必要があるだ⑵

解釈の正確性ろう。これを、ごく例外的な、個人的な非違行為で抽出データの解釈は、様々なデータ形式で記録さしかないと評価すれば、改竄の可能性を無視するこれた抽出データの意味するところを、明らかにする作とになろうし、今後類似の事例が起きる可能性が否業である。PCで利用されるデータ形式は、多くの場定できないと考えるのであれば、安易に信用性を認合、一般的な形式であり、かつ、仕様が公開されてめるべきではないことになる。

いるので、解釈の正否が問題になることは少ないと

また、フォレンジック報告書の特殊性として、上記考えられる。ソフトによっては仕様の公開されていなの改変可能性の観点のほか、改竄された場合の弊い独自の形式でデータを保存することがあり、データ
Quarterly Keiji-Bengo no.77 Spring 2014147

形式の解析が必要になる場合もある。
解釈の正確性についても、保全データの関連性とンプが記録されており、ファイル内メタデータに改変の痕跡が残っていたとされている65。フロッピーディ

同様に、解析ソフトの問題に帰着することが多い。

スクという、容量の小さい原始的な記録メディアにお⑶

いても、データの一貫性を保ちながら一部のデータ

弁護人の対応解析過程は、保全データがそのまま（原本データを改変することは困難を伴うことがわかる。

との同一性を保ったまま）記録されている限り、何度

PC 遠隔操作事件のうち、神奈川県警の事例66ででも再現可能である。これは、分析の対象となる試は、対象 PC から、神奈川県のウェブサイトにアクセ料が限られている他の科学的証拠と顕著に異なる特スしたキャッシュが発見されており、その結論間接事徴である。

実のみを考慮すると、PC 所有者が脅迫文を送った

また、抽出データの抽出と解釈という実際の作業という要証事実が推認されうる状況だった。しかし、は、解析ソフトが自動的に実行する。したがって、通ⓐキャッシュによるとメール送信フォーム画面と送信

常、⑴および⑵の評価は、適正な解析ソフトが正しくメール確認画面のキャッシュのタイムスタンプの差が用いられているかという点に帰着する。

１秒である、ⓑ前述のキャッシュは残っているが、同以上から、解析過程の信用性について検討するに

内容のアクセス履歴は残っていなかった、ⓒ直前には、保全データ（ハッシュ値で特定される）の開示を

内容不明のURLにアクセスしたアクセス履歴が存在

受け、解析ソフトで、解析過程が再現できるかどうかする、といった結論間接事実を考慮すると、要証事を確認することが最も直截な方法ということになろう。

実の推認に疑いを入れる余地があったといえよう67。
デジタルデータは、ごく狭い範囲のみを考えると、

４

結論間接事実の推認力

痕跡を残さずに容易に改変が可能であるが（改変可⑴

現実世界との接点能性）、システム全体（あるいは、ネットワークで接続

抽出データから解釈される結論間接事実は、すべされるサーバ等に残るデータ）の整合性を保ち、改て当該コンピュータ内の出来事であり、これと現実世変の痕跡も残さないことは容易ではない。これを、証界の事実を区別する必要がある。

拠評価の観点から見ると、単独の結論間接事実のたとえば、特定のデータが保存されていた場合、推認力には限界があり、別の抽出データ（結論間接原則として、そのデータはコンピュータの利用者の操事実）
・間接事実の存否を検討する必要があるという作によって作成されたものと考えられるだろう（ただことになるのである。

し、遠隔操作プログラムのような例外もある）。次に問題となるのは、潜在的な利用者の特定と、操作した者の識別であり、この点は基本的に通常の事実認

科学的証拠としての信頼性（６段階・８項目）

司法研究では、科学的証拠の証明力評価の一般定の問題である64。

的枠組みとして、「６段階・８項目」を挙げている68。

⑵

ここまで本稿で検討した証明力評価の３要素が、こ複数の結論間接事実による認定
図表13は、事実認定のあり方としては、やや単の司法研究の枠組みにおいてどの項目に相当するの

純化しており、実際には、多数の抽出データから多かにつき、簡単に検討する。

数の結論間接事実が認定され、複数の結論間接事⑴

基礎となる科学的原理・知見の信頼性

実（○○の痕跡がないという消極的事実も含む）や、デジタル・フォレンジックの基礎となっている原理

コンピュータ外の間接事実をも総合して要証事実がないし知見としては、①デジタルデータの特質やコン認定される。

ピュータの仕組みに関する知見、②ハッシュ関数にそもそも保全作業が実施されておらず（したがっ関する数学的知見の２点が挙げられるだろう。いずて、保全データの同一性が担保されておらず）、改れも確度は高く、この項目について問題が生じること

竄が介入した例であるが、厚労省 FD 改竄事件では、はないと言ってよいだろう。

管理領域に記録されたメタデータと、データ領域に記録されたファイル内メタデータの双方にタイムスタ
148

５Quarterly Keiji-Bengo no.77 Spring 2014

デジタル・フォレンジックの原理・実際と証拠評価のあり方⑵

科学的原理・知見を実用化する理論・技術のなお、司法研究では、⑸⒜評価に関する原理・基信頼性

準の信頼性、⑸⒝当該ケースへの当てはめの信頼性⑴①の原理・知見の実用化に関しては、主に解析の２項目に分けて論じている。

ソフトの信頼性が問題となり、これは⑶⒝と重なる。

⑹

検査資料の適正（資料の収集、移動、保管過

また、⑴②に関しては、ハッシュ関数の種類が問題

程の適切さ）となりうるだろう。

デジタル・フォレンジックで「検査資料」に相当す⑶

具体的な検査に関する信頼性

るのは、原本データからコピーされた保全データで⒜

試料化の信頼性ある。したがって、
この項目は、「保全データの同一性」

DNA 鑑定や薬理鑑定等の科学的証拠と異なり、の問題である。物理的な資料では、「資料の管理過

前処理の過程は存在しないと言ってよいだろう69。

程」72が問題になるが、デジタル・フォレンジックでハッ⒝

シュ値による論理的同一性の確保・立証がこれに対

具体的検査方法、過程の適格性
証明力評価の３要素のうち、「解析過程の信用性」

応する。

に相当し、現実的には、解析ソフトの信頼性に帰着することが多い。解析ソフトの信頼性は⑵の問題と捉えられることは、前述したとおりである。

６

証拠能力

まず、刑事訴訟法においても、弁護人・被告人がなお、有益な情報が得られる可能性のある解析項

同意をすれば、証拠能力が肯定される（刑訴法326

目がもれなく実施されているか、という点が問題とな条）。証明力の３要素について検察官から十分な開るが、これは後記⑸の問題と把握するべきであろう。

示と説明がなされるのであれば、同意によって証拠⑷能力が付与されることがほとんどであろう。

検査者の技術水準、技量70
有用性確保の観点からは、フォレンジック調査員

同意がない場合、以下のような観点から証拠能力の技術水準は極めて重要である。保全作業の手順をの有無が問題になるが73、概ね、証明力の３要素の誤れば、得られるべき情報が失われることも多いし、立証に帰着すると言えよう。

解析においても、どの程度の情報が取得できるかは、

⑴

伝聞法則

調査員の技術（および解析ソフトの機能）によるところ

フォレンジック報告書は、伝聞証拠であるから、原が大きい。これに対し、証拠評価の観点からは、フォ則として証拠能力がない。伝聞例外と呼ばれる証拠

レンジック調査の結果が正しいかどうかは、調査員能力を取得する特別の条件を満たす必要があるが、の技術とは関係なく検証することができるので、調査

刑訴法321条４項により、書面作成者が「真正に作員の技術水準を問題とする場面は限られる。

成されたもの」であることを証言することが必要にな

調査員の技術水準が問題になる場合として考えらる74。これは①名義の真正および②記載の真正の両れるのは、後記⑸の結論間接事実の推認力を評価者を含むとされている。①は、当該書面を証人が作する場面である。経験豊富で、技術水準の高い調査成したことであり、②は、鑑定した内容を正しく記載

員であれば、当該事案で調査すべき項目について調したことを指し、この両方を、フォレンジック報告書

査していない可能性は低いと評価される可能性があの作成者が証言することになる。

る。

②記載の真正について、作成者は、フォレンジッもっとも、デジタル・フォレンジックの歴史が浅い

ク調査の作業内容を、そのまま正確に書面化したとこともあり、専門知識の体系化や人材育成の制度化いう点について証言し、反対尋問を受ける。この証は不十分な段階にとどまっており71、裁判所が調査

人尋問の手続は、実質的には、証明力の３要素の審員の技術水準を正しく評価することは極めて困難と思理とほぼ重なると思われる。しかし、書面作成者のわれる。

証人尋問は、保全データの事前開示や解析過程の⑸再現といった、法廷外での事実確認と比べると、３

検査結果の評価に関する信頼性「結論間接事実の推認力」として論じたところが、要素を解明する手段としては迂遠であり、補助的な本項目に相当する。

役割にとどまると考えられる。
Quarterly Keiji-Bengo no.77 Spring 2014

149

⑵

科学的証拠の許容性（関連性）
証拠能力の要件として、関連性が必要と解釈されきな違いがあるように思われる。
⒜

結論間接事実の認定ているところ、科学的証拠については、関連性を認

結論間接事実の立証（上記①②）は比較的容易でめるためには特別の要件が必要となるという見解がああり、紛れが少ないと言えよう。①は、適切なハッシュる75。

関数によるハッシュ値を確実に記録するということに

たとえば、成瀬論文は、科学的証拠の関連性を認めるために、図表14左欄の項目が必要とする76。これは、項目としては、司法研究の「６段階・８項目」

尽きるし、②は、一般的なの解析ソフトを用いる限り、問題が生じることは稀であろう。
この段階における課題は、まず、捜査機関（あるいにほぼ対応していることは明らかだろう（図表14右はフォレンジック業者）がやるべきことをやるというこ

欄）。

とである。そして、捜査機関の手続に問題があった

図表14

成瀬論文と司法研究の判断枠組み
成瀬論文

司法研究
⑴ 基礎となる科学的原理・知見⑴ 原理・方法の信頼性⑵ ⑴を実用化する理論・技術⑵ 当該事案における検査過程
ａ 専門家の知識・経験
ｂ 検査機器の正確性
ｃ 具体的な検査方法の適切性
ｄ 検査資料の真正性・同一性⑶ 導出された結論の評価⑷ 検査者の技術水準、技量⑶ 具体的な検査に関する信頼性⑹ 検査資料の適正⑸ 検査結果の評価に関する信頼性場合にのみ、裁判所がそれをどう評価するかという問題が生じることになる（①保全データの同一性については、2⑷で前述した）。
⒝

要証事実の認定

これに対し、要証事実の認定、すなわち③結論間接事実の推認力の評価は、困難な作業となる可能性がある。
解析の結果、ある結論間接事実が得られ、そこから要証事実を容易に推認できるように見えても、保全データの中に、かかる仮説を否定するデータが埋成瀬説と司法研究の違いは、司法研究が原則としもれていたり、仮説が成立するのであれば当然あるて証明力の問題とするのに対し77、成瀬説は証拠能べき痕跡が存在しないということがあり、その確認を力（関連性）の問題と把握するところにある。つまり、怠ると、誤判を招く危険性がある。このような観点か

成瀬説に従うと、フォレンジック報告書の証明力の３

ら間接事実の推認力を評価するためには、コンピュー要素に問題がある場合、証明力を低く評価されるにタのシステム全体の挙動について広範な知識が必要

留まらず、証拠能力を欠く場合もあるということにな

となる。

ろう78。
証拠能力の問題として把握することの当否につい保全データの持つ情報は膨大であり、千差万別でありうる。したがって、結論間接事実の推認力評価て、本稿は立ち入らない。この問題は、証拠評価をの段階においては、具体的なデータのありように応じ証明力と証拠能力でどのように切り分けるかという大て様々な問題が生じうるが、現時点においてはそのきな問題の一場面であると言えるが、7⑵で後述する

輪郭を明らかにすることさえ困難である79。PC 遠隔

点は、デジタル・フォレンジック独自の着眼点として、操作事件は、いくつかの検討素材を提供したもので検討の余地があろう。

あるが、それで問題が尽きていると考える理由はな
い。

７ まとめ
⑴

150

証拠評価のポイント

もし、刑事弁護において、デジタル・フォレンジッ
クにより決定的な証拠があると捜査機関が主張して前述した証明力の３要素のうち、①保全データのいるが、被疑者はまったく身に覚えがないとしている

同一性と②解析過程の信用性の立証までは、結論事案があったとする。弁護人は、まず、保全作業や間接事実（司法研究の「ｉ事実」）の認定にかかる部

解析過程に問題がないかを確認する必要があるのは分であり、③結論間接事実の推認力は、要証事実（司もちろんであるが、結論間接事実の推認力評価とし法研究の「Ｉ事実」）の認定に関する。この２つの段て、いかなる仮説が成り立ちうるのか、専門家の助階に応じて、証拠評価で考慮すべき事項の性質に大力を得ながら幅広く検討しなければならないだろう。

Quarterly Keiji-Bengo no.77 Spring 2014

デジタル・フォレンジックの原理・実際と証拠評価のあり方

仮に被疑者が嘘をついていないのであれば、そこに活路があるはずである。
⑵

証拠開示の重要性

司法研究は、科学的証拠の証拠開示を重視し、開示の範囲として「鑑定経過を含め、科学的証拠に関する再現可能性の検討が可能な程度のデータが開示されるべきである」としている80。
フォレンジック報告書に関しては、①保全作業の過程の記録、②解析の対象となった保全データ自体、③解析過程の記録の３点が開示の対象となる81。
そして、一般的に上記のような事項を開示することは、容易であり、少なくとも公判段階においては、
開示の支障となる事情はほとんど考えられないであろう82。一般的な科学的証拠においては、分析の対象となった試料（たとえば DNA 鑑定における細胞片）
そのものを開示することは困難な場合が多いが、デジタル・フォレンジックでは容易である83。保全作業が完了した後の解析過程については、完全に再現可能であることが、デジタルデータを対象とするデジタ
ル・フォレンジックの大きな強みである。
したがって、デジタル・フォレンジックでは、他の科学的証拠と比べても、証拠開示の必要性は高く、その障碍もほとんどないと言える。そして、証拠開示
がなされなかった場合には、証明力の３要素の立証が困難となり、証明力に影響することはもちろんであるが84、さらに、証拠能力についても検討の余地があ

拠保全及び調査・分析を行うとともに、電磁的記録の改竄・毀損等についての分析・情報収集等を行う一連の科学的手法・技術」という、デジタル・フォレンジック研究会の定義がある（事典４頁）。なお、「インシデント・レスポンス」とは、コンピュータ・
セキュリティ分野の用語で、不正アクセス等のセキュリティ上の脅威への対応を指す。
３ 白石陽ほか「フォレンジック技術を利用した携帯端末のための証拠保全手法」情報処理学会論文誌54巻１号（2013年）
91頁が、概略を説明している。また、問題点を指摘し、メーカーとの協力等の方針を概説した文献として、野本靖之「ネットワー
ク利用形態の多様化とデジタルフォレンジックの課題」警察政策12巻（2010年）227頁を参照。
４ 町村泰貴ほか編著『実践的ｅディスカバリ――米国民事訴訟に備える』（ＮＴＴ出版、2010年）。
５ 特定非営利活動法人デジタル・フォレンジック研究会「証拠保全ガイドライン〔第３版〕」（http://www.digitalforensic.
jp/eximgs/20130930gijutsu.pdf）（以下、「ＩＤＦガイドライン」という）60頁参照。同ガイドラインは、主にネットワークフォレン
ジックに対応するために改訂された。
IDFガイドライン60頁参照。

６

７ 鈴木一郎＝岩井博樹「事例報告⑨デジタルデータ（フロッピーディスク）分析

厚労省事件」本誌71号（2012年）60頁、

朝日新聞取材班『証拠改竄特捜検事の犯罪』（朝日新聞出版、2011年）。
平成23年3月31日「検察の再生に向けて 検察の在り方

８

検討会議提言」（http://www.moj.go.jp/kentou/jimu/kentou01̲00001.html）。
９ 2013（平成25）年２月には、これら事件の遠隔操作の実行犯とされる被疑者が逮捕され、現在、公判整理手続が続行中である。
10 たとえば、「科学的捜査への取組」法律のひろば66巻５号

ると考えるべきであろう。

（2013年）２頁、吉田久「研修の現場から」研修782号（2013

１ デジタル・フォレンジックについて詳細に論じた邦語文献と11 デジタル・フォレンジックに関する文献において、「証拠性

しては、マイケル・G・ソロモンほか（AOS 法務 IT 推進会訳、の確保」（たとえば事典５、24、110頁）、「証拠性保持」（守本

佐々木隆仁ほか監修）『コンピュータ・フォレンジック完全辞典』

正宏「危機管理とデジタル・フォレンジック」警察政策８巻（2006（幻冬舎ルネッサンス、2012年。以下、「辞典」という）と辻井

年）57頁〔68頁〕）といった言葉が、明確な定義が与えらないま

重男監修『デジタル・フォレンジック事典』（日科技連、2006年。

ま使われることがある。おおよそ、本文に述べたような意味で用

以下、「事典」という）が挙げられる。また、佐々木隆仁『デジタいられているようである。

年）91頁参照。

ルデータは消えない』（幻冬舎ルネッサンス新書、2011年）は、

12 法律上は、電磁的記録（刑法７条の２、電子署名法２条等）

入門書として好適であり、技術的な側面についてわかりやすくという概念が用いられるが、「電磁的記録とは、一定の記録媒解説した文献として大徳達也「捜査官のためのデジタル・フォレ

体上に情報あるいはデータが記録、保存されている状態を表す

ンジック入門0

第１回〜第６回」捜査研究744 〜749号（2013年）がある。
２

Mark Pollitt “Computer Forensics: an approachto evidence in cyberspace” (http://www.digitaleviden-00 0 0 0 0 0 0 0 0 0

0

0

0 0 0 0 0 0 0

0 0 0 00

概念であって、情報あるいはデータそれ自体や記録（記憶）媒体そのものを意味するものではない」（米澤慶治編『刑法等一部改正法の解説』〔立花書房、1988年〕61頁。傍点は引用者）とされており、デジタルデータとは一応区別された概念である。

cepro.com/Resources/Approach.pdf)は、「デジタル証拠に

13 ２進数でデジタルデータを表記すると長くなるので、短縮関する法的問題への科学と技術の適用」（日本語訳は筆者によのために16進数で表記することが多い。16進数は、０〜９、Ａる）と定義している。また、広く引用される定義として、「インシ〜Ｆまでの合計16個の数字を使う。16進数は、あくまで桁数を

デント・レスポンスや法的紛争・訴訟に対し、電磁的記録の証減らすために２進数の代用として用いられるもので、16進数のQuarterly Keiji-Bengo no.77 Spring 2014151

数字が出てきたら、これは２進数、０と１の羅列を縮めて書いて例タイムズ社、2009年）175頁［山浦善樹発言］。

いるのだと理解するとよい。文字とデジタルデータの対応を確認

28

しておくと、２進数で冒頭の8桁「01000110」、16進数で「46」メタデータの先頭（ファイル名が記録されている）にE5（16進という数字に、「F」という文字が割り振られている。以下、16数）を書き込むことになっている。したがって、ファイル名の先進数で「6F」が「o」、「72」が「r」というように続く。

頭の文字が失われる場合もある。

権限のない者による、あるいは不当な改変を指して「改竄」

29

大徳達也「捜査官のためのデジタル・フォレンジック入という場合が多い。本稿では権限の有無を区別する必要のな

門

第４回 ウェブの仕組みとアクセス記録」捜査研究747号

い場合は「改変」との用語を使う。なお、一般に、デジタルデー（2013年）49頁。

タの改変には、消去も含まれる。

30 これらの情報が事実認定に大きな影響を及ぼしうることは

14

15 佐々木・前掲注１書14〜21頁参照。
16

明らかである。他方、Exif 情報は容易に改変できるので、デジ守本・前掲注10論文は、⑴証拠保全、⑵解析、⑶報告、

タル・フォレンジックの手法を用いない場合には、裁判所の判としている。⑶については、独立した項目として検討するに足る断を誤らせる危険性もあり、注意が必要である。

デジタル・フォレンジック独自の問題がないことから、本稿では

31 辞典264 〜304頁。

省略した。IDFガイドライン２頁では、⑴収集、⑵検査、⑶分析、

32⑷報告、という４段階モデルを紹介している。本稿の立場と比て高速に検索を実行するインデックスサーチと、データをすべてべると、⑴が①保全作業、⑵⑶が②解析に対応する。⑵⑶を確認していくライブサーチがある（事典55頁）。

検索の種類としては、事前にインデックス（目次）を作成し区別する実益はあまりないように思われる。

33 ハードディスク中のファイルごとのハッシュ値を計算し、解17 辞典178 〜218頁、大徳達也「捜査官のためのデジタル・析ソフトのメーカが提供している既知のファイルのハッシュ値のフォレンジック入門

リストと一致するものを排除する、という仕組みである。

第６回 証拠保全の基礎知識」捜査研究749号（2013年）44頁。なお、しばしば用いられる「証拠保全」

34という用語は（たとえば、IDFガイドライン）、刑事訴訟法及び民

2009年）809頁、819頁、門口正人ほか編『民事証拠法大系

松本時夫ほか『条解刑事訴訟法〔第４版〕』（弘文堂、

事訴訟法上の証拠保全手続（刑訴法179条、180条、民訴法第１巻』（青林書院、2007年）218頁。

234 〜242条）と区別するためには、望ましくないといえよう。

35 当事者が依頼した私的鑑定の証拠能力を否定する見解が

18 １ギガバイトは、1024³＝1,073,741,824バイトであり、
ビッ

あるが、実務上は採用されていない。秋山幹男ほか『コンメントに換算すると約86億ビット（２進数で約86億桁）ということにタール民事訴訟法Ⅳ』（日本評論社、2010年）289頁参照。

なる。

36 デジタルデータやこれを出力した書面の証拠能力や原本

19 事典88 〜95、144 〜156頁、辞典82 〜87頁。
20

性が議論されることがあるが（たとえば、事典236頁、安冨潔『ハ厳密には不正確で、たとえば、FATでは、データ領域に

イテク犯罪と刑事手続』〔慶應義塾大学法学研究会、2000年〕

位置データの一部が記録される。事典144 〜156頁参照。

261頁、平野龍一ほか編『続刑事訴訟法』〔青林書院、1980年〕

21 ここまでの説明では割愛しているが、実際のファイルシステ

317頁「磁気テープの証拠能力」［原田國男執筆］、石井夏生利

ムでは、「セクタ」や「クラスタ」という単位でデータの位置が指「電磁的記録の法的地位」InfoCom REVIEW Vol.39〔2006定される。セクタは通常512バイトであり、クラスタは複数のセ

年〕86頁）、デジタル・フォレンジックの手法が利用されているクタから構成される。

場合は、問題にならない。

22 ドライブレターという。なお、
Ｃから始まっているのは、
フロッ

37 司法研究所編『科学的証拠とこれを用いた裁判の在り方』

ピーディスクに「A:」「B:」が使われていた名残である。

（法曹会、2013年。以下、「司法研究」とする）。

23 ただし、論理コピーの際にも、個々のファイルごとにハッシュ38

値を取得することで、原本ディスクに記録された情報（削除ファ

学的証拠の許容性基準を示した成瀬剛「科学的証拠の許容性

本稿では、とくに、英米法の詳細緻密な分析に基づき科

イルの情報を除く）がそのまま保存されていることを証明するこ㈠〜㈤」法協130巻１号〔2013年〕
１頁、２号〔2013年〕386頁、とはできる。

３号〔2013年〕573頁、４号〔2013年〕801頁、５号〔2013年〕

24

CD-ROM やUSBメモリを利用して対象コンピュータを専用のOSで起動し、USB 等でコンピュータに接続したハードディ

1025頁（以下、「成瀬論文」という）を参照した。
39 たとえば、司法研究４頁は科学的証拠の具体例を列挙しスクにデータをコピーする方式。専用OSを利用することで、ハーているが、デジタル・フォレンジックは挙げられていない。また、ドディスクに追加の書き込みが生じないような仕組みとなっていデジタル・フォレンジック関係の文献でも、従前の「科学的証

る。
25

152

Windowsで使われているファイルシステムFATの場合、拠の許容性」の議論を意識した論述はあまり見られないようであ
保全ガイドライン49頁。
「CoC」は「証拠保管の連続性る。これは、現実問題として、フォレンジック報告書の証拠能（Chain of Custody）」に由来する。後述Ⅳ1⑸⒝を参照。

力が争われる例が少なかったことを反映していると考えられる。

26 事典144 〜161頁、佐々木・前掲注１書21〜26頁、大徳40

達也「捜査官のためのデジタル・フォレンジック入門事実」と呼んでいる。しかし、これと対比される要証事実は、主

第１回

成瀬論文⑸1036頁では、結論間接事実を指して、「間接削除ファイルの復元」捜査研究744号（2013年）20頁。

要事実に限られず間接事実の場合もあることから、ここで「間27 たとえば、加藤新太郎編『民事事実認定と立証活動』（判接事実」と「要証事実」という用語を用いると、一般的な間接事

Quarterly Keiji-Bengo no.77 Spring 2014

デジタル・フォレンジックの原理・実際と証拠評価のあり方
実の用法と齟齬が生じうること、また、要証事実に間接事実がされていれば、それで十分であろう。IDFガイドライン24頁参照。

含まれることと整合しないと考えられることから、「結論間接事

50 町村ほか・前掲注４書92頁。

実」という言葉を用いることとした。

51 ハッシュ値およびハッシュ関数については、結城浩『新版41 司法研究19 〜20頁。また、成瀬論文⑸1036、1043頁

暗号技術入門――秘密の国のアリス』（ソフトバンククリエイティ

を参照。

ブ、2008年）176頁、盛合志帆「ハッシュ関数の安全性に関す

42

石井一正『刑事実務証拠法〔第５版〕』（判例タイムズ社、る技術調査報告書」（http://www.cryptrec.go.jp/estimation/

2011年）444頁、司法研究55、57頁、成瀬論文⑸1067頁脚rep̲ID0213.pdf）参照。

注⑿参照。石井および司法研究は、推認力を「狭義の証明力」

52 ファイル共有ソフト「WinMx」に関して、公開されたファイと呼ぶが、刑訴法318条の用語である「証明力」との混同を避ルと被告が主張する個人情報が含まれたファイルの同一性を肯けるため、成瀬論文の用語法に従った。
43

邦文のものとしてIDFガイドライン（前掲注１）がある。また、英文のガイドラインについては、関根廣行「警察における定した事例。東京地判平16・１・14判タ1152号134頁も参照。
53

様々なソフトが 利 用可 能だが、HashMyFiles v1.95（http://www.nirsoft.net）を利用した。

デジタルフォレンジック」警察政策10巻（2008年）242頁を参

54 「電子政府における調達のために参照すべき暗号のリス照。以下に、邦訳があるものを挙げておく。
「証拠収集とアート（CRYPTREC 暗号リスト）」の公表（http://www.soumu.

カイビングのためのガイドライン」（http://www.ipa.go.jp/se-go.jp/menu̲news/s-news/01ryutsu03̲02000038.html）。

curity/rfc/RFC3227JA.html）、「インシデント対応へのフォレ

55

ンジック技法の統合に関するガイド」（http://www.ipa.go.jp/

をSHA-2と総称する。これらは、SHA-1と同じ構造で、ハッシュ

ﬁles/000025351.pdf）。

SHA-256、SHA-384、SHA-512の３つのハッシュ関数

値の桁数を増やすことで安全性を高くしたハッシュ関数である。

44

IDFガイドライン27頁、辞典121、131頁、事典110頁。

5645

成瀬論文⑵403頁。ほかに証拠保管の連続性について

57 事典232頁。

IDFガイドライン23頁脚注22。

詳しく述べた文献として、野々村宣弘「刑事訴訟における証拠

58の真正性に関する一考察」法と政治43巻３号（1992年）173

いられることがあるが、ハッシュ値が法曹関係者に理解されなハッシュ値と併用することは、有害ではない。実務上も用頁、光藤景皎「証拠の関連性について」法学雑誌38号３・４号

い場合の保険としての意味合いが強い（事典232頁参照）。

（1992年）762頁（『刑事証拠法の新展開』〔成文堂、2001年〕

59

所収１頁以下）。

とハッシュ値が与えられた場合、同じハッシュ値を持つ別のメッ

弱衝突困難性（別原像計算困難性）とは、あるメッセージ

46 物証（有体物）について「保管の連続性」
を参照することは、セージを計算することが計算量的に困難なことをいう（結城・前別論である。司法研究61頁は、検査試料（物証）の「資料の管掲注51書170頁、盛合・前掲注51報告書８頁）。
「計算量的理過程」を検討している。

に困難」とは、現在の技術では天文学的な時間がかかり、事実47

民事・刑事を問わず、証拠法は、書証・物証といった物

上計算を完了させるのが不可能な状況を指す。

理的証拠を前提に発展してきた。デジタルデータを証拠法上ど60

一般に広く使われていたMD5ハッシュ関数については、のように扱うかという問題は、従前の証拠法と整合性を可能な

そのような攻撃が実際に可能であるとの報告もある。暗号技術

限り保ちながら、デジタルデータの特質を踏まえた解決を採用検討会「2009年度報告書」（http://www.cryptrec.go.jp/re-するという、困難な課題である。安易に米国法概念を援用する

port/c09̲kentou̲ﬁnal.pdf）19頁。

ことは、さらなる混乱の原因を持ち込むことにもなりかねず、避61 捜索差押時に保全作業を実施した場合は、押収物目録交けるべきであろう。

付書に、物件特定事項としてハッシュ値を記載すればよい。ま48 守本・前掲注10論文62頁は、Target Drive（TD）のデー

た、捜索差押後に保全作業を実施した場合も、ハッシュ値を記

タとEvidence Drive（ED）のデータの同一性の確保と証明が載した文書を被疑者または弁護人に交付することが考えられる

重要であるとしている。TDは、本稿のいう原本ディスクを指し、だろう。ハッシュ値からメッセージを復元することはできないため

本稿とほぼ同旨である。その他に、「同一性」という用語を使用（不可逆性）、これによって捜査の秘密が害されることはありえしている例として、事典111頁、IDFガイドライン37頁。一般ない。そのほかに、民間事業者が提供するタイムスタンプサー

的に、デジタルデータに改変がないことを「完全性」という（総ビス（電子計算機を使用して作成する国税関係帳簿書類の保務庁（現総務省）共通課題研究会「インターネットによる行政手存方法等の特例に関する法律施行規則３条５項２号ハ参照）や続の実現のために」〔平成12年３月〕）。したがって、保全データ

電子公証制度（公証人法62条ノ６〜62条ノ８。ただし、捜査と原本データの同一性を指して、「保全データの完全性」と言う機関は利用できない）を利用すること等が考えられる。

ことができる。

62

49

例外的な事例として、保全作業時に、不良セクタの影響

成瀬論文⑸1062頁は、科学的証拠の証拠能力の要件として、「検査資料の真正性・同一性」を挙げている。この見解

等により、原本データのハッシュ値と保全データのハッシュ値がによると、保全データの同一性に疑義が生じた以上、証拠能力一致しないことはありうる。この場合も、少なくとも、保全作業を否定することになる可能性がある。ただし、成瀬論文のいう「同時の保全データと、解析の対象とした保全データの同一性は、一性」は、物理的同一性のことであり、本稿の保全データの同ハッシュ値により立証可能であるし、保全作業の状況が証拠化

一性（論理的同一性）とは概念が異なる。

Quarterly Keiji-Bengo no.77 Spring 2014153

63 たとえば、東京地判平17・３・25判タ1213号314頁（ACCS

33を参照。

事件）では、検察官が提出したサーバのアクセス履歴の信用性

74

を被告人および弁護人が争ったが、裁判所は（第三者によるロ関の嘱託を受けた鑑定嘱託者や、それ以外の私鑑定の場合もグの不正作出の）「可能性をうかがわせる具体的な事情は何ら

刑訴法321条４項が準用ないし類推適用されると考えるのが一存在しない上、第三者が被告人のアクセス記録をことさらに作般的である。石井・前掲注42書201頁、安冨・前掲注36書

出する必要性もないことから、アクセスログは正確に被告人のア269頁。

クセスを記録していると認められる」と判断している。

75 司法研究23頁。

64 ログイン履歴などのコンピュータ内の記録が手がかりにな

76

ることもあるが、それでも当該 IDを誰が使ったのかは別途認定の評価は、⑴原理・方法の信頼性に吸収されるとしているが（同

成瀬論文⑸1043、1065頁。ただし、⑶導出された結論する必要がある。

1046頁）、ここでは別項目として記載した。

65 岩井・前掲注７論文65頁。

77 司法研究36 〜40頁。証拠調べの必要性によって規律す

66

神奈川県警察「横浜市立小学校に対する威力業務妨害被る立場を取るが、成瀬論文⑴60頁は、裁判所の自由裁量に委疑事件における警察捜査の問題点等の検証結果」（2012年12ねる危険性は大きいとして、このような立場を批判する。

月）。なお、本検証結果は、当初神奈川県警のウェブサイトで

78 前掲注59参照。

公表されたが、すぐに削除されてしまった。現在は季刊刑事弁

79 たとえば DNA 鑑定では、推認力の評価は、検出されたの

護73号（2013年）149頁に転載されているほか、高木浩光（セ特定のパターンの出現頻度の評価にほぼ収斂する。デジタル・キュリティ研究者）の個人ウェブサイトで入手できる（http://

フォレンジックでは、様々な事項が立証の対象となりうることかtakagi-hiromitsu.jp/diary/20130119.html）。なお、ＰＣ遠ら、そのような定形的なパターンは期待できない。

隔操作事件に関する事実認定を論じた文献として、森拓也ほか

80 司法研究45頁。

「遠隔操作ウイルス事件が裁判実務に与える影響について」情81

報ネットワーク・ローレビュー12巻（2013年）52頁があるが、とが多い。

CSRFを用いた神奈川県警の事例とトロイを用いた他の３件を82 ただし、対象となるコンピュータが第三者の所有物であり、区別しないで論じていること、個別の事件でコンピュータにいか

保全データに秘密情報が含まれるため、そのまま保全データを①③は、通常、フォレンジック報告書に記載されているこなる痕跡が残っていたのかを検討していない等、概括的な検討

開示することが難しいというケースはありうる。この場合、何らにとどまると言わざるをえない。

かの守秘義務を負わせて開示する、開示はしないで第三者機

67 神奈川県警察・前掲注63検証報告３頁②、４頁イ。詳論

関の鑑定に委ねるといった対処が考えられるが、被告人の防御する紙幅がないので割愛するが、同様の構造は、他の３件の事権確保や相手方当事者の手続保証に意を尽くす必要がある。

例においても見出せる。

民事訴訟における秘密保護に関し、新堂幸司監修『実務民事68 司法研究14頁。田淵浩二「『在り方』の意義と限界――証訴訟講座〔第３期〕第３巻――民事訴訟の審理・裁判』（日本

明論・冤罪防止の観点から」本誌76号（2013年）90頁は、「６

評論社、2013年）151頁以下［田邊誠執筆］参照。

段階・８項目」を「科学的証拠の信用性のチェック項目を網羅

83 すなわち、通常の科学的証拠では、再鑑定の問題としてするものと言ってよかろう」と評価している。

論じられる点が（司法研究47頁以下参照）、フォレンジック報告

69 イメージファイルの作成や、解析ソフトが自動的に実行す書では、証拠開示の問題に吸収されると言える。

る前処理（削除ファイルの復活、検索用インデックス作成等）が84 司法研究45頁は、一般の科学的証拠に関して「科学的証これに該当するようにも見えなくはないが、その適否によって信拠の再現可能性に関する疑問が十分解消されなかったという用性が損なわれる性格の作業ではない。

意味において、その事情を科学的証拠の信頼性を低下させる

70

民事訴訟における鑑定について、鑑定人の専門知識、中立性および独立性を検討する間接的検討と鑑定内容についての直接的検討の２つの検討手段があるとされている（中野貞一郎「鑑定の現在問題」『民事手続の現在問題』〔判例タイムズ社、
1989年〕163頁）。加藤新太郎ほか「鑑定結果の証拠価値」『新
裁判実務大系

不動産鑑定訴訟法Ⅰ』（青林書院、2002年）

22頁も参照。
71

現在、一般財団法人保安通信協会において、「デジタ

ル・フォレンジック分科会」を設置し、民間業者の参画を得て、人材育成カリキュラムの研究を進めているところであり、今後の進展が期待される（http://tech.hotsukyo.or.jp/seminar/
list/004/pdf/20130402̲h24̲digital̲forensic.pdf）。
72 司法研究61頁。
73

154

裁判所が依頼した鑑定人の場合の規定であるが、捜査機原本性を問題にする必要がないことについては、前掲注

Quarterly Keiji-Bengo no.77 Spring 2014

事情として考慮することは可能」としている。