電子証拠の完全性確認

証拠の取り扱い履歴を残し、取得時と調査用複製のハッシュ値を比較して改変の有無を確認する。原本は保全する。 原本の編集は証拠性を損ねる。 ファイル名の変更だけでは内容の同一性を示せない。 ハッシュ値は秘密鍵ではなく完全性確認に利用する。 参考資料： https://csrc.nist.gov/pubs/sp/800/86/final

インシデント調査で取得したディスクイメージの証拠保全として適切な方法はどれか。

出典IT資格ラボ作成・2026年SC午前Ⅱ予想問題
ア
調査のたびに原本を直接編集する
イ
取得日時・担当者・保管履歴を記録し、ハッシュ値で複製の同一性を確認する
ウ
取得後にファイル名を変更すれば内容の完全性が証明される
エ
ハッシュ値は秘密鍵と同じなので記録してはならない