何に答えるための仕組みか
証拠の取扱いの記録は、一つの問いに答えるためのものです。
この資料は集めたときと同じものか、そしてこれまでどこにあったかを説明できるか、という問いです。
ここでは、この種の仕組みが備えるべきものと、ふつうの保管場所では足りない理由を述べます。
取扱いの記録とは
収集から保管、閲覧、加工にいたる資料の履歴を、同一性を説明できる程度まで詳しく残したものです。
英語では Chain of Custody（証拠保全の一貫性）と呼ばれ、フォレンジックの手引きはこれを土台に組み立てられています。
実際に効く三つの要素
- 取り込み時の改ざん検知ハッシュ値。あとで一バイトでも変われば値が合わなくなります。
- 追記のみの操作記録。誰がいつ何をしたかを、時刻とともに消せない形で残します。
- 持ち出せる形式。取扱いの記録を伴ったまま外部に出せることが必要です。
ふつうの保管場所では足りない理由
共有の保管場所はファイルを置けますが、同一性を示しません。
名前を変えられ、上書きされ、気づかないうちに保存し直されることがあり、説明できる履歴も残りません。
