何のための記録か

取扱いの記録は、その資料が集めたときと同じもので、これまでどこにあったかを説明するためのものです。

英語では Chain of Custody（証拠保全の一貫性）と呼ばれています。

最低限そろえるもの

取り込んだ日時と、そのときのハッシュ値
誰が取り込み、誰が保管しているか
その後に誰が開き、何をしたか
複製を渡した先と、渡した日時

証拠保全命令との関係

裁判所を通じた証拠保全命令の申立ては法的な手続です。弁護士の領域になります。

当社が担当するのは、手元にある資料を、変えずに保全し、取扱いを記録する部分です。

よくある崩れ方

整理のつもりでファイルの名前を変える
切り抜いて保存し直す
元の端末を使い続ける
誰が開いたかを記録していない

出典

Scientific Working Group on Digital Evidence (SWGDE), SWGDE Best Practices for Digital Evidence Collection (18-F-002). https://www.swgde.org/documents/published-complete-listing/18-f-002-swgde-best-practices-for-digital-evidence-collection/

Legal Information Institute, Cornell Law School, Federal Rule of Evidence 901 — Authenticating or Identifying Evidence. https://www.law.cornell.edu/rules/fre/rule_901

Legal Information Institute, Cornell Law School, Federal Rule of Evidence 902 — Evidence That Is Self-Authenticating. https://www.law.cornell.edu/rules/fre/rule_902

U.S. District Court for the District of Maryland (Grimm, M.J.), Lorraine v. Markel American Insurance Co., 241 F.R.D. 534 (D. Md. 2007). https://www.ediscoverylaw.com/2007/12/01/lorraine-v-markel-am-ins-co-241-f-r-d-534-d-md-2007/

International Organization for Standardization, ISO/IEC 27037:2012 — Guidelines for identification, collection, acquisition and preservation of digital evidence. https://www.iso.org/standard/44381.html