会社のパソコン監視 フォレンジックでメール復元、不倫も発見

　会社のパソコンの監視はどこまで見てる？　答え：ほぼ全部ですでやっているように、会社のパソコンを監視しようと思えば、かなりのことができます。また、デジタルフォレンジックという技術において、削除されたデータもかなり復元できますよ…という話をやっています。

　ある不正調査なんかでは、ついでに浮気が発見されてしまう…ということも起きていました。会社のパソコンでは秘密にするようなことはできないという例になっています。

2014/10/16：
●パソコンデータは「削除」を選んでも削除されていない
●デジタルフォレンジックとはどのような意味か？
●会社のパソコン監視の類型データ復元、なぜ必要か？
●真夜中にこっそり…フォレンジックの調査の流れ
●フォレンジックでメール復元、不正調査の副産物で不倫も発見
●企業側が本気になれば、わりとなんでもできてしまう
2019/12/05：
●パソコンで悪いことできない…は部下だけ？幹部の不正は見逃し


●パソコンデータは「削除」を選んでも削除されていない

2014/10/16：ベネッセ事件で注目、知られざる社員監視の実態：日経ビジネスオンライン 宗像　誠之　2014年7月23日（水）というタイトルの記事を発見。会社のパソコンの監視はどこまで見てる？　答え：ほぼ全部ですの補足になるかな？と思って、読んでみました。

　知っている人は当たり前に知っている話なのですけど、記事では、一部のシステムでは、「削除データはハードディスク内から完全に消えているように見えるが、実は目次のような部分が消されてユーザーから見えなくなっているだけ」（セキュリティー会社幹部）なのだというといった話を掲載しています。

　これは、「ゴミ箱に移ってゴミ箱に残っている」という意味ではありませんよ。このようなシステムの場合、意図的にデータの上書きを大量に繰り返していない限り、かなりの確率で削除済みのデータの中身やかすは、復元できるレベルで残っていると説明しています。

(2019/04/28追記：その後、私も「削除」されたデータを復元する機会ができました。大事なデータをごっそり「削除」して、なおかつ「絶対に消していない。おかしい」と言い張る駄目社員がいたためです。結果、9割程度は復元できました)


●デジタルフォレンジックとはどのような意味か？

　会社のパソコンの監視はどこまで見てる？　答え：ほぼ全部ですではなかった話もありました。上記がデータの復元という話であることからもわかるように、前回とは着目している点が異なります。

　前回は「モニタリング」であり、「監視」や「観察」といった感じ。リアルタイムに近いイメージです。一方、今回は後から発掘するという形。記事では出てきませんでしたが、データの復元では「サルベージ」という言葉もよく使われます。また、この記事で出てきたのは、「フォレンジック」という言葉です。私は初めて聞きました。

デジタルフォレンジックとは 〔 コンピュータフォレンジック 〕 〔 フォレンジック 〕 - 意味/解説/説明/定義 ： IT用語辞典

　不正アクセスや機密情報漏洩などコンピュータに関する犯罪や法的紛争が生じた際に、原因究明や捜査に必要な機器やデータ、電子的記録を収集・分析し、その法的な証拠性を明らかにする手段や技術の総称。"forensics" には「法医学」「科学捜査」「鑑識」といった意味があり、分かりやすく意訳すれば「デジタル鑑識」。

●会社のパソコン監視の類型データ復元、なぜ必要か？

　デジタルフォレンジックが行われる場合というのは、常に監視しているようなものではなく、わざわざ特定のパソコンを調べるケースですので、何らかの問題が生じたというのがわかります。

　上では不正アクセスや機密情報漏洩などと例示されていましたが、最初の記事によると情報漏洩関連が圧倒的に多く、6割近くであるとのこと。そして、そのような場合、犯人は証拠を消そうと試みているわけですので、データの復元が必要となる…とおいうわけです。

　情報漏洩関連以外だと、不正会計やカルテルの調査、社内怪文書の作成者特定、盗撮者の追跡など。うちの全体タイトルに取り上げた「不倫発見」の場合は、こちら側のケースです。


●真夜中にこっそり…フォレンジックの調査の流れ

　不倫発見は当初の目的ではありませんでした。この調査案件は、とある商社の男性部長が、取引先とグルになり、請求書の金額を不正に操作したというものです。現場の社員からの密告により経営層がこの部長への疑いを強め、証拠を掴むためということで、フォレンジック調査の依頼が来ました。

　フォレンジックの調査の流れとしては、以下のような感じだそうです。

(1)不正が疑われる人物のパソコンのハードディスクを、本人に気が付かれないようにコピーする。具体的には、真夜中にセキュリティー会社の調査員が入り、目的の人物の会社パソコン内のデータをすべて抜き出しコピーする。
(2)このデータをセキュリティー会社のラボに持ち帰る。
(3)保存ファイルや消去されたデータとメール、ウェブ閲覧の履歴などを可能な限り復元。
(4)証拠を集めるためにデータ解析する。

　頼まれてやっているんだから仕方ないんですが、(1)は非常に怪しいです。業者の人が逆に不審者として通報されそうですね…。


●フォレンジックでメール復元、不正調査の副産物で不倫も発見

　商社部長の場合、削除済みのウェブメールを復元していったところ、特定の取引先企業と定期的に、実際の請求額と異なる金額で請求書を作るやり取りをしたメールがいくつも見つかりました。一部をキックバックとして懐へ入れていたらしいのです。

　加えて、詐称用に毎月のように使っていた偽造請求書ファイルのひな型も残っており、これらがすべて不正の証拠となりました。普通なら無事、お仕事完了です。

　ところが、メールを復元していたら不倫まで判明しちゃいました。これはセキュリティー会社の社員が興味本位で詮索したのではありません。ちゃんとお仕事の一貫。というのも、部長と不倫関係にあるとほぼ断定できた同じ部署の女性社員が、不正請求の共犯者だったためです。

　ということで、こちらの女性のパソコンも同じくフォレンジック調査。すると"部長の不正請求をサポートするメールやファイルを、次々と復元することができました。めでたしめでたしです。


●企業側が本気になれば、わりとなんでもできてしまう

　なお、冒頭の削除データの復元以外にも、手法や復元専用ツールが複数あり、さらにフォレンジックの技術も日々進化しているとのこと。解析手法は増え、復元精度もより高まっていく状況にあるということで、わかることは多くなっていく方向性のようです。

　今はフォレンジックや人工知能による調査や対策を実際に実施する企業は、相当悪質な社員がいると疑われる場合に限られ、まだ利用は少数派かもしれないとのこと。日常的に行われているようなものではありません。

　しかし、前回と同じでちょっと脅しておきます。「企業側が本気でやろうと思えば、社員監視はここまでできるようになっている」と言えますので、後ろ暗いことはやらないようにしておいた方が良いでしょう。


●パソコンで悪いことできない…は部下だけ？幹部の不正は見逃し

2019/12/05：削除データの復元関係での追記。ただし、もともと書いていた話と違って、機能として備わっているバックアップデータの復元の話です。なので、技術的に可能であることは間違いないでしょう。ところが、そうした復元をせず、なおかつそれを正当化してわけのわからんことを言い出した人がニュースになっていました。

　菅義偉官房長官は記者会見で、首相主催の「桜を見る会」を巡り、招待者名簿の電子データを内閣府が削除した後も一定期間、外部媒体に残っていたバックアップデータについて、「行政文書に該当しない」との見解を示しました。共産党議員が5月21日の衆院財務金融委員会で質問した際には、データが復元できた可能性があるものの、内閣府は対応しておらず、どうやらこれを正当化するために言っているようです。
(菅氏「バックアップデータは行政文書ではない」　桜を見る会名簿　毎日新聞2019年12月4日 12時23分(最終更新 12月4日 13時38分)より)

　いつも書いているのですけど、一般企業で置き換えるとたいへんひどい話だとわかりやすいでしょう。社長の不正疑惑を社員や株主などが指摘したら、疑惑関連データを復元できるのに復元せずに「データはすでに削除して存在しない」と言い張り、復元できたことについて指摘されると「復元できても削除したデータは会社の文書に該当しないから存在しなかったといえる」と正当化している形です。

　もともとこちらのページで書いていたのは、「会社のパソコンでは隠そうとしても隠せないから悪いことできないよ」というものでした。ただ、社長や首相などの権力者側だと、不正のやりたい放題になっているのかもしれません。不公平な世の中ですね。

　とはいえ、それでも、社長の場合は警察などの外部が動いてくれることがあるので、いくらかマシでしょうか。捜査する機関に影響力を及ぼす首相や与党政治家などになると、腐敗を是正する機能が働かない…ということになるようです。なんか発展途上国みたいな話ですね…。


【本文中でリンクした投稿】
　　■会社のパソコンの監視はどこまで見てる？　答え：ほぼ全部です

【関連投稿】
　　■5歳児がマイクロソフトXbox Oneをハッキング 天才ハッカー？
　　■同じだったら危険！よくあるパスワード500例 最新の推奨パスワードからすると、昔のパスワードはみな短すぎ
　　■アンチウイルスソフト、55％の攻撃を検知できず シマンテック幹部が発言
　　■ネット・コンピュータ・ハイテクについての投稿まとめ