令和7年度 春期 情報処理安全確保支援士試験 午前II 問15

デジタルフォレンジックにおける証拠保全では、電源を切ると失われてしまう揮発性の高いデータから優先して収集する必要があります（揮発性の原則）。

証拠保全の優先順位は一般的に以下のようになります。

1. レジスタ、キャッシュ
2. メインメモリ内のデータ（実行中のプロセス、ネットワーク接続状態、ルーティングテーブルなど）
3. 一時ファイル、スワップファイル
4. ディスクなどの不揮発性記憶媒体（HDD、SSD）内のデータ、ログファイル
5. 遠隔地のサーバなどのデータ

設問では「ARPキャッシュ（揮発性が高い情報）を取得した後」に優先すべきものを問われています。

各選択肢の解説

• ア（正解）：調査対象のPCで動的に追加されたルーティングテーブルは、メインメモリ上に保持されているため揮発性が高い情報です。電源を切断すると消失してしまうため、最優先で保全する必要があります。
• イ（誤り）：HDDに増設されたテキストファイルは、不揮発性の記憶媒体にあるデータです。電源を切っても消失しないため、揮発性の高いデータの保全後に対応します。
• ウ（誤り）：VPNサーバ内のログは、調査対象のPCとは別の機器に保存されている不揮発性のデータです。対象PCの電源切断による影響を受けません。
• エ（誤り）：システムログファイルは、通常PCのHDDやSSDなどのストレージに保存される不揮発性のデータです。電源を切ってもデータは保持されるため、ルーティングテーブルより優先度は低くなります。