情報漏えい・不正アクセスが疑われる場合のデータ復旧と証拠保全

本当に信頼できるデータ
復旧業者3選をチェック

2026年10月、IDCフロンティアが提供するクラウドサービスでランサムウェア攻撃による障害が発生し、495の企業・自治体に影響が及びました。同社は管理ポータルの停止やネットワーク遮断によって被害拡大を防ぎながら、外部のセキュリティ専門企業と連携し、侵入経路や情報流出の有無を調査しました。

10月27日の公式発表では、顧客の仮想サーバー内のデータについて外部流出はなかったと報告されています。一方、管理ポータルでは最大71社の登録情報に対する不正な照会が確認されています。

この事例が示すように、サイバー攻撃が発生した場合は、システム障害からの復旧だけでなく、攻撃者がどのように侵入し、どの情報にアクセスしたのかを調査することも重要です。

しかし、業務を早く再開しようとしてサーバーを初期化したり、バックアップで既存データを上書きしたりすると、不正アクセスの原因や被害範囲を調べるための証拠が失われるおそれがあります。

本記事では、情報漏えいや不正アクセスが疑われる法人の情報システム担当者に向けて、証拠保全の必要性、保存すべきデータ、データ復旧との優先順位、専門業者への相談、報告・通知の判断について解説します。

なお、実際の対応方法は被害状況やシステム構成によって異なります。被害拡大が進行している場合は封じ込めを優先し、証拠保全とデータ復旧については社内CSIRTや外部の専門会社と連携して判断してください。

情報漏えい・不正アクセスが疑われたときの初動対応

情報漏えいや不正アクセスが疑われる場合、最初に重要なのは、被害の拡大を防ぐことと、原因調査に必要な情報を失わないことです。

特に、ランサムウェアの感染、不審なログイン、大量のデータ取得、管理者アカウントの不正利用などが確認された場合は、通常のシステム障害とは異なる対応が必要になります。

以下の4つを基本的な初動対応として確認しましょう。

① 被害拡大を防ぐため、影響が疑われる機器や接続を隔離する

不正アクセスが疑われる場合は、攻撃者による操作や情報の持ち出しが継続している可能性があります。

そのため、状況に応じて感染が疑われる機器をネットワークから隔離し、不正利用された可能性がある認証情報やアクセス経路を制限します。

具体的には、次のような対応が考えられます。

• 感染が疑われるPCやサーバーのネットワーク接続を遮断する
• 不審な通信先や外部からのアクセスを制限する
• 不正利用が疑われるアカウントを無効化する
• 管理者権限の利用状況を確認する
• 共有ストレージやクラウドサービスへの被害拡大を防ぐ
• 関連するシステムの監視を強化する

ただし、影響範囲が分からない状態で全システムを停止すると、重要な業務に大きな影響が生じる可能性があります。

被害拡大の危険性と業務への影響を踏まえ、社内CSIRTやセキュリティ専門会社と連携して隔離範囲を判断しましょう。

② システムの初期化・再起動・ログ削除を安易に行わない

不正アクセスによる障害が発生すると、システムを早く復旧させるために、再起動や初期化を行いたくなるかもしれません。

しかし、これらの操作によって原因調査に必要な情報が失われる場合があります。

例えば、以下のような影響が考えられます。

• 再起動によってメモリ上の一時的な情報が失われる
• OSの再インストールによって不正プログラムや操作履歴が上書きされる
• ログを削除すると侵入経路や操作内容の調査が難しくなる
• バックアップの復元によって障害発生時点の状態が失われる
• 不審なファイルを削除すると攻撃手法の分析が難しくなる

一方、攻撃が進行している場合には、被害拡大を止めるために機器の停止や接続遮断を優先すべき状況もあります。

電源を切らないことが常に正解というわけではなく、被害拡大防止と証拠保全の両面から判断することが重要です。

原因が不明な段階では、安易な初期化や上書きを避け、必要に応じて専門家に相談しましょう。

③ 発生日時・症状・実施した操作を記録する

不正アクセスの調査では、どのような異常がいつ発生し、誰がどのような対応を行ったかという記録が重要になります。

次のような情報を整理しておきましょう。

• 異常を発見した日時
• 最初に異常を発見した担当者
• 表示された警告やエラーメッセージ
• 影響が疑われる機器やサービス
• 確認された不審なログインや通信
• ネットワーク遮断やアカウント停止を実施した日時
• 調査や復旧のために行った操作
• 社内外の関係者へ連絡した日時

異常が発生した時刻と、それを発見した時刻は異なる場合があります。

また、システムごとに時刻設定やタイムゾーンが異なる可能性もあるため、時刻情報の取得元を記録しておくことが大切です。

④ 社内CSIRT・保守会社・専門家へ連絡する

不正アクセスが疑われる場合、データ復旧だけでなく、侵入経路の調査や情報漏えいへの対応が必要になることがあります。

そのため、以下のような関係者と連携しましょう。

• 社内CSIRTや情報システム責任者
• 経営層や事業責任者
• システムの開発・保守会社
• セキュリティ対応会社
• デジタルフォレンジック調査会社
• データ復旧専門業者
• 法務・個人情報保護担当部門

特に個人情報の漏えいが疑われる場合は、法令上の報告や本人通知が必要になることがあるため、調査部門だけで判断せず、法務・管理部門とも連携することが重要です。

ランサムウェア被害時の初動対応については、以下の記事でも詳しく解説しています。

ランサムウェア被害時のデータ復旧初動｜復旧・調査・再感染防止の進め方

不正アクセスの調査に必要な証拠とは？保全すべきデータ一覧

不正アクセスの原因や被害範囲を調査するためには、システム内に残されたさまざまな情報が必要になります。

証拠となるデータは、感染したPCやサーバーだけでなく、ネットワーク機器、認証システム、クラウドサービスなどにも保存されている場合があります。

ここでは、主な証拠の種類と保全時の注意点を整理します。

アクセスログ・認証ログ・操作ログ

ログは、不正アクセスの経緯を調査するための重要な情報です。

例えば、以下のようなログが調査対象になります。

• Webサーバーやアプリケーションのアクセスログ
• VPNやファイアウォールのログ
• Active Directoryなどの認証ログ
• 管理者アカウントの操作ログ
• データベースへのアクセスログ
• クラウドサービスの監査ログ
• プロキシやDNSのログ

これらのログから、不審なログイン、管理者権限の利用、不正なデータ取得、外部通信などを調べられる場合があります。

ただし、ログの保存期間はシステムによって異なります。

一定期間が経過すると自動的に削除・上書きされる場合があるため、必要なログは早期に保全することが重要です。

感染端末・サーバー・ストレージのデータ

感染が疑われる機器には、攻撃者が設置した不正プログラムや、侵入・操作の痕跡が残っている場合があります。

例えば、次のようなものが調査対象になります。

• ディスク内のファイルや設定情報
• OSのイベントログ
• 不審なプログラムやスクリプト
• 実行履歴や設定変更の痕跡
• 暗号化されたファイル
• 削除されたファイルに関する情報
• 不正アクセス前後のファイルシステムの状態

こうした情報を調査する場合、必要に応じてディスクイメージなどを取得し、原本を保全した状態で解析を進めることがあります。

ただし、ストレージに物理障害が発生している場合は、通常のコピー作業によって状態が悪化する可能性があります。

媒体の状態に応じて、適切な保全方法を専門家と相談しましょう。

メモリ上の情報や一時的な記録

パソコンやサーバーのメモリには、実行中のプログラムや通信状態など、一時的な情報が残っている場合があります。

これらは揮発性情報と呼ばれ、再起動や電源断によって失われる可能性があります。

調査対象になる情報の例は次のとおりです。

• 実行中のプロセス
• 不審なネットワーク接続
• メモリ上に存在する不正プログラムの痕跡
• 実行中の処理に関する情報
• 一時的に保持されている認証関連情報

ただし、メモリ情報の取得には専門的な知識が必要であり、取得作業自体がシステムの状態に影響する場合があります。

重要な証拠を保全する必要がある場合は、フォレンジック調査の専門家に相談しましょう。

クラウド・SaaS・外部委託先に保存されている記録

不正アクセスの調査では、社内で保有している機器だけでなく、クラウドサービスや外部委託先が管理する情報も重要になる場合があります。

例えば、次のような情報が考えられます。

• クラウドの管理操作ログ
• APIの利用履歴
• クラウドストレージのアクセス履歴
• 認証サービスのログイン履歴
• 委託先が管理するサーバーのログ
• サービス提供者が保有する監査記録

クラウドサービスでは、契約内容や設定によって取得できるログの種類や保存期間が異なります。

自社で取得できない記録については、サービス提供者や委託先へ早期に保全を依頼することも検討しましょう。

証拠保全の対象と確認ポイント一覧

証拠の種類	主な調査目的	保全時の注意点
アクセス・認証ログ	侵入経路や不正ログインの確認	保存期限、タイムゾーン、時刻同期の状態を確認
操作ログ	不正な設定変更や管理者操作の確認	管理者アカウントの利用履歴も確認
ディスクイメージ	ファイル、設定、削除痕跡などの調査	原本への書き込みを抑え、取得方法を記録
メモリ情報	実行中の処理や通信状態の確認	電源断による消失に注意
ネットワークログ	外部通信やデータ送信の調査	ログが残っていない場合は調査に限界がある
クラウド監査ログ	API操作やクラウド上のアクセス確認	取得権限と保存期間を確認
バックアップ	復旧、障害前後の状態比較	復旧用と証拠用のデータを区別

すべての事案で同じ種類の証拠を取得する必要があるわけではありません。

システム構成、被害状況、調査目的、法的な対応の必要性などに応じて、取得対象と優先順位を判断します。

データ復旧前に行う証拠保全の進め方

不正アクセスが疑われる場合は、データを復旧する前に、調査に必要な情報をどのように残すか検討する必要があります。

特に、障害が発生したサーバーを初期化したり、バックアップを上書きしたりする場合は、復旧前の状態が失われる可能性があります。

原本を保全し、可能な限り複製で調査・復旧する

証拠保全では、調査対象となるデータの原本をできるだけ変更しないことが重要です。

例えば、ディスクの状態を記録したイメージファイルを取得し、その複製を使って解析や復旧を進める方法があります。

必要に応じて、調査用とデータ復旧用の複製を分けて管理することも考えられます。

ただし、ディスクイメージを取得できれば必ず証拠として十分というわけではありません。

取得方法、対象範囲、取得日時、保存方法などを記録し、取得物の完全性を確認できる状態にすることが大切です。

また、物理障害が発生している媒体では、読み取りによって状態が悪化する場合があるため、専門業者と保全方法を相談しましょう。

証拠を取得した担当者・日時・方法を記録する

取得した証拠については、誰が、いつ、どのような方法で取得し、その後どのように管理したかを記録します。

例えば、次のような情報です。

• 取得した担当者
• 取得日時
• 対象となる機器・データ
• 使用した取得方法やツール
• 取得したファイルの保存先
• 取得物のハッシュ値などの確認情報
• 取得後にアクセスした担当者
• 複製・移動・受け渡しの履歴

こうした証拠の取得・管理・受け渡しの履歴は、チェーン・オブ・カストディ（Chain of Custody）と呼ばれます。

証拠がどのように扱われたかを説明できる状態にしておくことで、調査結果の信頼性を高めることにつながります。

ただし、ハッシュ値の記録や管理履歴が存在するだけで、法的な証拠能力が自動的に保証されるわけではありません。

訴訟や刑事事件への対応が想定される場合は、法務担当者や専門家と連携して保全方法を判断しましょう。

保管中の証拠の改ざん・紛失・漏えいを防ぐ

取得した証拠には、顧客情報、社内の機密情報、認証情報などが含まれる場合があります。

そのため、証拠を保全する際は、内容を変更しないことだけでなく、適切に管理することも重要です。

• 証拠へのアクセス権限を必要な担当者に限定する
• 安全な保管場所を利用する
• 必要に応じて暗号化する
• 原本と複製を区別して管理する
• 取得・移動・閲覧の履歴を記録する
• 外部委託先に渡す場合は受け渡し方法を確認する
• 保存期間や廃棄方法を適切に管理する

不正アクセスの調査に使用する情報自体が新たな情報漏えいの原因にならないよう、管理体制にも注意しましょう。

証拠保全とデータ復旧はどちらを優先する？判断フロー

不正アクセスが発覚した場合、企業は早急な業務再開を求められることがあります。

しかし、原因調査が完了していない状態で復旧を進めると、攻撃者の侵入経路や操作履歴を確認できなくなるおそれがあります。

一方、証拠保全を重視するあまり、被害拡大防止や必要な業務再開が遅れることも避けなければなりません。

そのため、被害の封じ込め、証拠保全、安全な復旧環境の確保を、状況に応じて並行して進めることが重要です。

証拠保全とデータ復旧の判断フロー

判断段階	確認すること	対応方針
STEP1	不正アクセスや情報漏えいの疑いがあるか	被害範囲を確認し、必要な関係者へ連絡する
STEP2	現在も攻撃や被害拡大が進行しているか	進行している場合は隔離・接続遮断などの封じ込めを優先する
STEP3	原因調査に必要なログや機器の状態を保全できているか	必要な証拠を特定し、適切な方法で保存する
STEP4	安全なバックアップや代替環境が利用できるか	利用できる場合は別環境での復旧を検討する
STEP5	復旧作業によって未保全の証拠が失われないか	上書き・初期化の影響を確認し、関係者で判断する
STEP6	復旧環境の安全性とデータの正常性を確認できたか	必要な監視を行いながら段階的に業務を再開する

この判断フローは一般的な考え方です。

実際には、攻撃の進行状況、証拠保全の必要性、業務停止による影響などに応じて、対応順序を変更する場合があります。

原本の初期化や復元前に確認すべきこと

サーバーやPCを初期化したり、バックアップから既存環境へ復元したりする前に、以下の項目を確認しましょう。

• 必要なログや証拠の取得が完了しているか
• ディスクやメモリの情報を保全する必要があるか
• 復旧操作によって上書きされる情報がないか
• 取得した証拠を適切に保管できているか
• 復旧に利用するバックアップが安全か
• 復旧先の環境に攻撃者のアクセス経路が残っていないか
• セキュリティ担当者と復旧担当者が対応方針を共有しているか

特に、原因調査が継続している機器をそのまま初期化する場合は、事前に専門家と相談することが重要です。

業務停止が深刻な場合は調査と並行して復旧を進める

基幹システムや受発注システムなどが停止した場合、調査が完全に終了するまで業務再開を待てないことがあります。

その場合は、必要な証拠を保全しながら、別のサーバーやクラウド環境でシステムを再構築する方法を検討できます。

例えば、正常なバックアップを安全な代替環境へ復元し、データやシステムの正常性を確認したうえで、段階的に業務を再開する方法です。

この場合も、復旧した環境が攻撃者に再侵入されないよう、認証情報やネットワーク接続、脆弱性などの確認が必要です。

また、復旧前のシステムについては、調査に必要な情報が残るよう適切に保全しましょう。

復旧したいデータの優先順位を決めるチェックシートを見る

情報漏えいの有無はどう判断する？データ復旧だけでは確認できないこと

不正アクセスやランサムウェアによる障害が発生した場合、データを復旧できたとしても、情報が外部へ持ち出されていないとは限りません。

情報漏えいの有無を判断するには、アクセスログや操作履歴、ネットワーク通信などの調査が必要になります。

不正アクセスがあっても情報漏えいが確定したとは限らない

不正アクセスが確認された場合でも、攻撃者が必ずしも情報を取得したとは限りません。

例えば、管理者アカウントへの不正ログインが確認されても、その後にどのような操作が行われたかによって被害範囲は異なります。

また、情報へのアクセスが確認されたことと、実際に情報が外部へ持ち出されたことも区別する必要があります。

調査時には、以下の3つを分けて整理しましょう。

• 不正アクセスや不正操作が確認された事実
• 情報へのアクセスや外部持ち出しが疑われる状況
• 調査時点では確認できていない事項

2026年10月のIDCフロンティアの事例でも、管理ポータル上で最大71社の登録情報への不正照会が確認された一方、仮想サーバー内のデータについては外部流出がなかったと公表されています。

このように、不正アクセスと情報流出を区別して調査・説明することが重要です。

外部へのデータ送信を調査する主な材料

情報が外部へ持ち出されたかどうかを調べる際には、次のような情報が役立つ場合があります。

• ネットワーク通信ログ
• ファイアウォールやプロキシのログ
• データベースへのアクセス履歴
• クラウドストレージのダウンロード履歴
• APIの利用履歴
• 大量のファイル取得や転送の痕跡
• 不審な外部送信先との通信記録
• 攻撃者による情報公開の有無

ただし、通信が暗号化されている場合や、詳細なログが保存されていない場合は、送信された情報の内容を確認できないこともあります。

そのため、複数の記録を組み合わせて被害範囲を調査することが重要です。

「流出の痕跡が見つからない」と「流出していない」は同じではない

情報漏えいの調査では、確認できた証拠の範囲によって結論が異なります。

例えば、通信ログに外部送信の記録が見つからなかったとしても、すべての通信が記録されていたとは限りません。

また、保存期間を過ぎたログが削除されている場合や、攻撃者がログを改ざんしている可能性も考えられます。

そのため、「調査した範囲では流出の痕跡を確認していない」という判断と、「流出していないことを十分な根拠で判断できる」という判断は区別する必要があります。

調査結果を社内外へ説明する場合は、確認できた事実、調査範囲、残された不確実性を明確にしましょう。

情報漏えいが疑われる場合の報告・通知・社内対応

不正アクセスや情報漏えいが疑われる場合、被害の調査やデータ復旧と並行して、関係機関への報告や本人への通知が必要になることがあります。

報告義務は、取り扱っている情報の種類や漏えい等の状況、適用される法令によって異なります。

個人情報保護委員会への報告が必要になる場合

個人情報保護法では、個人データの漏えい等が発生し、または発生したおそれがある場合で、一定の要件に該当するときは、個人情報保護委員会への報告や本人への通知が必要になります。

報告対象には、例えば次のような事態があります。

• 要配慮個人情報を含む個人データの漏えい等
• 財産的被害が生じるおそれのある個人データの漏えい等
• 不正の目的をもって行われたおそれのある個人データの漏えい等
• 1,000人を超える個人データの漏えい等

これらは、実際に漏えいが確定した場合だけでなく、漏えい等のおそれがある場合も対象になります。

個人情報保護委員会の案内によると、報告対象事態については、速報と確報の二段階で報告する仕組みとなっています。

報告区分	期限の目安
速報	報告対象事態を知った後、速やかに報告。概ね3〜5日以内が目安
確報	原則として報告対象事態を知った日から30日以内
不正の目的による行為のおそれがある場合の確報	原則として報告対象事態を知った日から60日以内

速報時点で原因や被害人数が完全に判明していなくても、その時点で把握している内容を報告することが求められます。

2026年10月からは、ランサムウェア事案などの報告に利用できる共通様式に関する案内も行われています。実際の報告時には、最新の手続きと対象要件を公式サイトで確認してください。

なお、特定の業種では、別途監督官庁などへの報告が必要になる場合があります。

参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」

警察・監督官庁・取引先への連絡

サイバー攻撃や不正アクセスが確認された場合は、必要に応じて警察への相談・通報を検討しましょう。

また、業界によっては監督官庁への報告や、取引先への通知が必要になる場合があります。

例えば、外部委託を受けて顧客情報を取り扱っている企業では、委託元との契約に基づく連絡義務が定められていることがあります。

報告や公表の要否は、被害状況、法令、契約条件などを踏まえて、法務担当者や専門家と判断することが重要です。

社内で記録・共有すべき情報

事故対応では、調査や復旧の状況を社内で共有できるようにしておくことが重要です。

例えば、以下のような情報を整理しましょう。

• 事故の発覚日時と概要
• 影響を受けたシステムとデータ
• 確認された不正アクセスの内容
• 被害拡大防止のために実施した対応
• 取得・保全した証拠
• 調査結果と未確認事項
• 復旧状況と業務への影響
• 関係機関への報告・相談状況
• 顧客・取引先への対応状況
• 再発防止策

対応履歴を時系列で記録することで、原因調査や社内報告、再発防止策の検討にも役立ちます。

データ復旧業者・フォレンジック調査会社に相談すべきケース

不正アクセスや情報漏えいが疑われる場合、必要な対応はデータ復旧だけとは限りません。

データを利用できる状態に戻すことと、侵入経路や被害範囲を調査することでは、必要な専門技術が異なります。

そのため、障害の状況と調査の目的に応じて、適切な専門会社へ相談することが重要です。

データ復旧業者へ相談したいケース

データ復旧業者への相談を検討したいのは、例えば次のような状況です。

• 重要なファイルやデータベースが破損・消失している
• NAS・RAID・サーバーなどに障害が発生している
• 正常なバックアップが利用できない
• 原本を保全したまま復旧可能性を確認したい
• 仮想ディスクやストレージからデータを取り出したい

ただし、すべてのデータ復旧業者が、フォレンジック調査や情報漏えいの原因分析に対応しているわけではありません。

フォレンジック調査会社への相談が必要なケース

次のような場合は、デジタルフォレンジック調査会社への相談を検討しましょう。

• 攻撃者の侵入経路を調査したい
• 情報が外部へ持ち出された可能性がある
• 管理者アカウントの不正利用が疑われる
• 原因調査に必要な証拠保全の方法が分からない
• 社内不正の可能性がある
• 訴訟や刑事事件への対応が想定される
• 不正アクセスによる操作範囲を確認したい

フォレンジック調査では、ログやディスク、メモリなどの情報を分析し、確認できる範囲で事故の経緯や被害範囲を明らかにします。

ただし、必要な記録が残っていない場合などは、調査によってすべてを明らかにできるとは限りません。

両方の対応が必要な場合は連携体制を確認する

法人のサイバー攻撃被害では、複数の専門会社による連携が必要になる場合があります。

相談先	主な対応目的
データ復旧業者	利用できなくなったデータの抽出・復旧
フォレンジック調査会社	証拠保全、侵入経路・被害範囲の調査
セキュリティ対応会社	被害の封じ込め、侵入経路の遮断、安全性確認
システム保守会社	システム再構築、バックアップ復元、業務再開
法務・個人情報保護担当	報告義務、本人通知、契約上の対応の判断

例えば、ランサムウェアによってサーバーのデータが暗号化され、同時に情報の外部持ち出しが疑われる場合は、データ復旧とフォレンジック調査の両方が必要になる可能性があります。

その際は、証拠保全の方法や復旧作業の順序について、関係する専門会社が連携できるか確認しましょう。

データ復旧とフォレンジック調査の違い・依頼先の使い分けを見る

依頼前に確認したいチェック項目

データ復旧業者やフォレンジック調査会社に相談する際は、以下の項目を確認しましょう。

• 証拠保全に対応できるか
• 原本を変更しない作業方法を検討できるか
• フォレンジック調査との連携が可能か
• 取得データの保管・管理体制が整っているか
• NDAや再委託に関する条件を確認できるか
• 作業報告書や調査結果の提出が可能か
• データ復旧と原因調査の対応範囲が明確か
• 初期診断・調査・復旧にかかる費用を確認できるか
• 緊急対応や業務再開に向けた支援が可能か

業者によって対応できる内容は異なるため、価格や納期だけでなく、情報管理体制や調査・復旧の範囲も比較することが重要です。

法人向けデータ復旧会社を条件別に比較する

データ復旧業者への問い合わせテンプレートを見る

情報漏えい・不正アクセス時の証拠保全に関するよくある質問

不正アクセスされたPCは電源を切るべきですか？

一律に判断できるものではありません。

電源を切るとメモリ上の情報などが失われる可能性がありますが、攻撃が進行している場合は被害拡大防止のために停止が必要になることもあります。

ネットワーク隔離を優先しながら、機器の状態や攻撃の状況に応じて専門家と判断しましょう。

バックアップを復元すると証拠は消えますか？

バックアップの復元方法や復旧先によって異なります。

障害が発生した機器へ直接上書きすると、調査に必要な情報が失われる可能性があります。

一方、必要な証拠を保全し、別の安全な環境へ復元する場合は、調査と並行して復旧を進められることがあります。

ディスクを丸ごとコピーすれば証拠保全になりますか？

ディスクイメージの取得は証拠保全に用いられる方法のひとつですが、コピーするだけで十分とは限りません。

取得方法、取得日時、対象範囲、ハッシュ値などの確認情報、取得後の保管方法を記録することが重要です。

物理障害がある媒体では通常のコピーが適切でない場合もあるため、専門家に相談しましょう。

情報漏えいしていないことは証明できますか？

調査に利用できる証拠やシステム構成によって、判断できる範囲は異なります。

アクセスログや通信記録などから情報流出の有無を評価できる場合がありますが、必要なログが残っていなければ調査に限界が生じます。

「流出の痕跡を確認していない」と「流出していないと判断できる」は必ずしも同じではありません。

ログが残っていなくても不正アクセスの調査はできますか？

ログが不足している場合でも、ディスク内の情報や設定変更の痕跡、ほかのシステムに残された記録などから調査できる場合があります。

ただし、必要な証拠が失われていると、侵入経路や被害範囲を特定できない可能性があります。

そのため、不正アクセスが疑われた段階で、取得可能なログや情報を早期に保全することが重要です。

データ復旧業者だけで不正アクセスの原因調査までできますか？

業者の対応範囲によって異なります。

データ復旧とフォレンジック調査の両方に対応する会社もありますが、データの抽出・復旧を専門とする会社もあります。

依頼前に、証拠保全、侵入経路調査、情報流出調査への対応可否を確認しましょう。

情報漏えいが確定していなくても報告が必要ですか？

個人情報保護法では、一定の要件に該当する個人データの漏えい等について、漏えいが確定していない場合でも、漏えい等のおそれがあれば報告対象になることがあります。

報告の要否は、対象となる情報や事案の状況によって異なるため、個人情報保護委員会の最新情報を確認し、必要に応じて法務担当者や専門家に相談してください。

まとめ｜不正アクセス後は証拠保全と安全なデータ復旧を両立する

情報漏えいや不正アクセスが疑われる場合、重要なのはデータを早く復旧することだけではありません。

攻撃者の侵入経路や操作履歴、情報流出の有無を調査するためには、システム内に残された証拠を適切に保全する必要があります。

特に重要なのは、以下の3点です。

• 被害拡大防止と証拠保全を優先し、安易な初期化・上書きを避ける
• 調査に必要な証拠と復旧用データを分け、安全な環境で段階的に業務を再開する
• データ復旧、フォレンジック調査、セキュリティ対応の役割を区別し、必要に応じて専門家と連携する

また、不正アクセスが確認された場合でも、情報漏えいが確定したとは限りません。確認できた事実と未確認事項を区別し、調査結果に基づいて適切に判断することが重要です。

自社だけで証拠保全や復旧方法を判断できない場合は、データ復旧業者やフォレンジック調査会社などへ相談しましょう。

法人向けのデータ復旧会社を比較したい場合は、以下のページも参考にしてください。

法人向けデータ復旧会社を比較｜NDA・作業報告書・オンサイト対応を調査

法人対応できるデータ復旧業者の選び方を見る

参考資料・情報確認日

本記事は、以下の公的機関・企業の公開情報を参考に作成しています。

• IDCフロンティア「【第7報】不正アクセスに関する調査結果および今後の対応について」（2026年10月27日）
• JPCERT/CC「インシデントハンドリングマニュアル」
• NIST「SP 800-61 Rev.3：Incident Response Recommendations and Considerations for Cybersecurity Risk Management」
• IPA「インシデント発生時の緊急対応体制」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」

情報確認日：2026年10月28日

※本記事は、法人向けの情報漏えい・不正アクセス時の一般的な初動対応と証拠保全、データ復旧の考え方を解説するものです。実際の対応では、被害状況、システム構成、法令上の義務、訴訟・刑事手続の可能性などを踏まえ、セキュリティ専門家や法務担当者と連携して判断してください。

• その復元をあきらめない！本当に信頼できるデータ復旧Navi
• 法人・官公庁向けデータ復旧ガイド
• データ復旧を外部委託するときの確認ポイント
• 法人データ復旧の稟議書テンプレート
• オンサイト対応できるデータ復旧業者の選び方