デジタル・フォレンジック（）は、法科学（フォレンジック・サイエンス）の一分野で、主にコンピュータ犯罪に関連して、デジタルデバイスに記録された情報の回収と分析調査などを行うM Reith; C Carr; G Gunsch (2002). "An examination of digital forensic models". International Journal of Digital Evidence. CiteSeerX 10.1.1.13.9683.Carrier, B (2001). "Defining digital forensic examination and analysis tools". International Journal of Digital Evidence. 1: 2003. CiteSeerX 10.1.1.14.8953.ことを指す。コンピューター犯罪以外の犯罪捜査や違法行為の調査、法執行機関ではない民間企業が不正調査のため消去データの復元を試みる場合などを指しても使われる【New門】データ消しても悪事は消せず『読売新聞』朝刊2020年5月13日。
デジタル・フォレンジックという用語は、元々は「コンピュータ・フォレンジクス」の同義語として用いられていたが、 現在は調査の対象が拡張され、デジタルデータを保存することのできる全てのデバイスの調査を表す用語となった。1970年代後半から1980年代初頭のPC革命を発端に、この分野は1990年代の間に漠然としたまま発展し、国際的な政策が登場したのは21世紀初頭になってからである。
用語
「フォレンジック」という言葉は、もともとラテン語の「forēnsis」（フォーラム、つまり「広場」を意味する言葉）に由来している。ローマ帝国時代では、訴訟はローマの中心にあるフォロ・ロマーノという広場で、聴衆の前で訴状を読み上げる形で行われていた。被告と原告がそれぞれの主張を述べ、より説得力のある主張が広く受け入れられた方が勝訴した。このような歴史から、「フォレンジック」という言葉には「法的に有効である」「公の場で発表する」という2つの意味を持つようになった。
現在では、法科学を意味するフォレンジック・サイエンス（forensic science）の代わりに単にフォレンジクス（forensics）と表現しても同様の意味を持つ。これは、「フォレンジクス」が科学と密接に結びついていると認識されているため、多くの辞書で「フォレンジクス」が「法科学」という意味も持つとされている。
立命館大学の上原哲太郎教授よると、2000年頃、「デジタル・フォレンジック」という言葉は、米国連邦捜査局（FBI）によって使い始められた。デジタル・コンピュータの分野においては、「デジタル・フォレンジクス」という語尾を省略した形が使われている。
概要 デジタル・フォレンジックの調査には様々な用途が考えられている。 最も一般的なのは、刑事裁判または民事裁判において、立証または反証するための証拠を得るためのものである。刑事事件には、警察によって逮捕され、検察当局などに起訴される窃盗や暴力事件などの法律違反がある。一方、民事訴訟では個人の権利と財産を保護する目的で行われる（家族間の紛争など）ことが多い。また、企業間の契約上の紛争に関連して、デジタル・フォレンジックが用いられる事もある。
デジタル・フォレンジクスは、法廷外の民間セクターでも有効活用されるケースもある。企業の内部調査や侵入調査（不正なネットワーク侵入検知や程度を専門的に調査するものなど）などである。
調査の技術的側面としては、関連するデジタル機器の種類に応じて、次のようないくつかの小分野に分けられている。コンピュータ・フォレンジクス、 ネットワーク・フォレンジック、、およびモバイルデバイス・フォレンジックなどである。 典型的な法科学的プロセスは、デバイスの差し押さえ、（元データを改変せずに行われる）データ抽出、分析、ならびに収集された証拠についての報告書の作成である。
デジタル・フォレンジックを使用して、犯罪の直接的な証拠を特定するだけでなく、証拠を特定の容疑者に帰属させるのも役割のひとつである。例えば、容疑者のアリバイや過去の発言を確認し、その意図を判断し、出典を特定する（著作権侵害の場合など）Various (2009). Eoghan Casey (ed.). Handbook of Digital Forensics and Investigation. Academic Press. p. 567. .といったことである。調査は複雑な時系列や仮説を伴うことが多く、他の法科学分析（通常は単純な質問に対する回答を導き出す）よりもはるかに広い範囲に渡る場合が多いCarrier, Brian D (7 June 2006). "Basic Digital Forensic Investigation Concepts". Archived from the original on 26 February 2010.。
歴史 1970年代以前、コンピュータ犯罪は既存の法律を使って対処されていた。 最初のコンピュータ犯罪に対する法律は1978年「フロリダ州コンピュータ犯罪法」で制定され。この法律では、コンピュータシステム上で許可されていないデータの変更や削除を違法とする内容が含まれていた "Florida Computer Crimes Act". Archived from the original on 12 June 2010. Retrieved 31 August 2010. Casey, Eoghan (2004). Digital Evidence and Computer Crime, Second Edition. Elsevier. .。その後の数年間でコンピュータ犯罪の範囲が拡大し、著作権違反、プライバシー/嫌がらせ（例： サイバーいじめ、ハッピー・スラッピング、サイバーストーキング）および児童ポルノや、ネットを通じての未成年の性的虐待を取り締まる法律が可決された Aaron Phillip; David Cowen; Chris Davis (2009). Hacking Exposed: Computer Forensics. McGraw Hill Professional. p. 544. . Retrieved 27 August 2010. M, M. E. "A Brief History of Computer Crime: A" (PDF). Norwich University. Archived (PDF) from the original on 21 August 2010. Retrieved 30 August 2010.。ただ、アメリカにおいて、州法ではなく、連邦法としてコンピューター犯罪についての規定を取り入れたのは1980年代になってからである。1983年に最初の法案を可決した国はカナダである。これに続き、1986年に米国連邦法「コンピュータ詐欺と虐待法」、1989年にオーストラリアの「犯罪法」の改正、そして1990年にイギリスの「コンピュータ濫用法」の制定が行われた 。
1980年代 - 1990年代：成長期 1980年代から1990年代にかけてコンピュータ犯罪の増加により、法執行機関は犯罪捜査における技術的側面に対応していくため、全国レベルの専門組織を設立した。1984年にFBIは「コンピュータ分析対応チーム」を立ち上げ、翌年にはイギリスの警視庁詐欺部隊の中にコンピュータ犯罪部門が設置された。これらのグループの初期のメンバーは、法執行機関の専門家であるだけでなく、元々コンピュータ愛好家でもあり、この分野の初期の調査と指導を担当することになったMohay, George M. (2003). Computer and intrusion forensics. Artechhouse. p. 395. . Peter Sommer (January 2004). "The future for the policing of cybercrime". Computer Fraud & Security. 2004 (1): 8–12. doi:10.1016/S1361-3723(04)00017-X. ISSN 1361-3723.。
デジタル・フォレンジックの最初に使用された（または少なくとも公表されている）例の一つは、1986年のクリフ・ストールによるハッカー、マルクス・ヘスの追跡である。 ストールは、コンピュータとネットワークのフォレンジック技術を使って調査を行った。彼は法執行機関や法科学の専門の分析官ではなかったSimson L. Garfinkel (August 2010). "Digital forensics research: The next 10 years". Digital Investigation. 7: S64–S73. doi:10.1016/j.diin.2010.05.009. ISSN 1742-2876.。このように、初期の頃は、専門の分析官や捜査官が行うものとはされていなかったのである Linda Volonino; Reynaldo Anzaldua (2008). Computer forensics for dummies. For Dummies. p. 384. .。
1990年代を通じて、これらの新しい分野における専門の捜査員の需要が高くなった。例えば、2001年に英国ハイテク犯罪部隊は、コンピュータ犯罪のための全国的なインフラを提供するために設立された。ロンドンの中心部に位置しながらさまざまな地域の警察と協力する体制を取っていた。（2006年に重大組織犯罪庁（SOCA）に統合） Peter Sommer (January 2004). "The future for the policing of cybercrime". Computer Fraud & Security. 2004 (1): 8–12. doi:10.1016/S1361-3723(04)00017-X. ISSN 1361-3723.
この年代では、趣味的なIT専門家の開発した技術アドホック・ツールによって、デジタル・フォレンジックの科学技術は発展した。これは、科学的なコミュニティから生まれた他の法医学分野とは対照的なことであるM Reith; C Carr; G Gunsch (2002). "An examination of digital forensic models". International Journal of Digital Evidence. CiteSeerX 10.1.1.13.9683.GL Palmer; I Scientist; H View (2002). "Forensic analysis in the digital world". International Journal of Digital Evidence. Retrieved 2 August 2010.。「コンピュータ・フォレンジクス」という用語が学術文献で始めて登場するのも、1992年になってからである（非公式には使用されていた）。CollierとSpaulは論文を発表し、新しい指針を法科学の世界に確立しようとしたWilding, E. (1997). Computer Evidence: a Forensic Investigations Handbook. London: Sweet & Maxwell. p. 236. . Collier, P.A.; Spaul, B.J. (1992). "A forensic methodology for countering computer crime". Computers and Law.。このような急速な発展は、技術の標準化と練度の欠如といった新たな問題を抱えることになった。K. Rosenblatt は、1995年の著書『 ハイテク犯罪：コンピュータが関係する事件の調査 』で次のように書いている。
2000年代：標準化の確立 2000年以降、技術の標準化の必要性に応え、様々な機関がデジタル・フォレンジックに関するガイドラインを発表する。デジタル証拠に関する科学ワーキング・グループ （SWGDE）は2002年に論文「コンピュータ・フォレンジックに関する最高の実例」という論文を発表し、続いて2005年には国際ISO規格（ISO 17025、試験機関および校正機関の適性に関する一般的な要求事項）が公開された Casey, Eoghan (2004). Digital Evidence and Computer Crime, Second Edition. Elsevier. . "Best practices for Computer Forensics" (PDF). SWGDE. Archived from the original (PDF) on 27 December 2008. Retrieved 4 August 2010. "ISO/IEC 17025:2005". ISO. Archived from the original on 5 August 2011. Retrieved 20 August 2010.。ヨーロッパの主要な国際条約である「サイバー犯罪条約」は、国内のコンピュータ犯罪法、調査技術および国際協力を調整する目的で2004年に発効した。条約は43カ国（米国、カナダ、日本、南アフリカ、英国、その他のヨーロッパ諸国を含む）によって署名され、16カ国によって承認されている。
研修の問題もまた注目を集めた。営利企業（多くの場合、法科学的ソフトウェア開発者）は認証プログラムを提供し始め、デジタル・フォレンジックの分析は英国の専門的な調査員の研修施設 ”Centrex” の研修テーマに含まれるようになった Casey, Eoghan (2004). Digital Evidence and Computer Crime, Second Edition. Elsevier. . Peter Sommer (January 2004). "The future for the policing of cybercrime". Computer Fraud & Security. 2004 (1): 8–12. doi:10.1016/S1361-3723(04)00017-X. ISSN 1361-3723.。
1990年代後半以降、モバイル機器がより広く利用されるようになり、進化して単純な通信機器ではなくなった。携帯電話が豊富な情報（証拠）となることが判明したSG Punja (2008). "Mobile device analysis" (PDF). Small Scale Digital Device Forensics Journal. Archived from the original (PDF) on 2011-07-28.。それにもかかわらず、携帯電話のデジタル分析は、主に機器のメーカーの独自性のために、従来のPC関連機器に遅れをとっているRizwan Ahmed (2008). "Mobile forensics: an overview, tools, future trends and challenges from law enforcement perspective" (PDF). 6th International Conference on E-Governance. Archived (PDF) from the original on 2016-03-03.。
この時代、インターネット犯罪、特にサイバー戦争とサイバーテロのリスクにも焦点が当てられた。2010年2月のアメリカ統合戦力軍報告書は、次のように結論づけている。
現在、デジタル・フォレンジックの分野は未解決の問題に直面している。PetersonとShenoiによる2009年の論文『デジタル・フォレンジックリサーチ：善、悪、そしてまだ知られていない問題』は、デジタル・フォレンジック調査におけるWindowsへの偏重に対し懸念を表明しているPeterson, Gilbert; Shenoi, Sujeet (2009). Digital Forensic Research: The Good, the Bad and the Unaddressed. Advances in Digital Forensics V. IFIP Advances in Information and Communication Technology. 306. Springer Boston. pp. 17–36. Bibcode:2009adf5.conf...17B. doi:10.1007/978-3-642-04155-6_2. .。2010年、Simson Garfinkelは、将来のデジタル調査における問題を列挙し、その中でデジタルメディアの容量の拡大、消費者への幅広い暗号化の普及、多様なOSとファイルフォーマット、複数のデバイスを所有する個人の増加、法的問題などを挙げた。また、この文書では、継続的な研修が必要なことや、この分野に参入するためには非常に高いコストがかかることも指摘された Simson L. Garfinkel (August 2010). "Digital forensics research: The next 10 years". Digital Investigation. 7: S64–S73. doi:10.1016/j.diin.2010.05.009. ISSN 1742-2876.。
日本での取り組み 日本でも2000年代から捜査で導入されるようになった。検察庁で大きな転機となったのは大阪地検特捜部主任検事証拠改ざん事件（2010年）で、2017年には東京地方検察庁と大阪地方検察庁に専門部署「DFセンター」（DF=デジタル・フォレンジック）が開設された）。
工藤會事件では、携帯電話の操作履歴や位置情報が間接的な証拠として採用された 藪正孝 (著)「暴力団捜査 極秘ファイル 初めて明かされる工藤會捜査の内幕 kindle版」 彩図社 (2023/6/27) 。
2024年に発覚した中居正広・フジテレビ問題では、証拠の保全と、削除されたSMSのチャットデータの復元に、フォレンジック調査が活用された。
警察庁では、2022年に関東地方の重大事案のサイバー事件を捜査するサイバー警察局を発足させた"警察庁HP - サイバー警察局とは"。 また、ポート探索などの攻撃者のハッキングのための探知活動について、統計資料を公開している"警察庁HP - サイバー空間をめぐる脅威の情勢等"。
デジタル・フォレンジックを請け負う民間企業もあり、研究・普及団体であるNPO法人「デジタル・フォレンジック研究会」会員数は400以上と2004年発足時の3倍超に増えた。人材育成コースを設ける専門学校もある）。
フォレンジックツールの開発
1980年代には、専門のデジタル・フォレンジック向けツールはほとんど存在せず、その結果、調査者は該当機器上で直に分析を行い、既存の管理ツールを使用して証拠を抽出していた。この方法では、誤って、または何らかの原因でディスク上のデータが変更されてしまう危険性があり、証拠が改竄されていると主張されることが起きていた。この問題に対処するために、1990年代初頭に幾つかのソフトウェアのツールが開発され始めた。
1989年に連邦法執行訓練センターは、このようなソフトウェアの必要性を認め、「IMDUMP （Michael White氏作）」および1990年には「SafeBack （Sydexによって開発された）」の作成に至る。同様のソフトウェアが他の国でも開発されており、「DIBS（ハードウェアおよびソフトウェアソリューション）」は、1991年に英国で商業的にリリースされ、Rob McKemmishは「Fixed Disk Image」をリリースし、オーストラリアの法執行機関に無料で提供した Mohay, George M. (2003). Computer and intrusion forensics. Artechhouse. p. 395. .。これらのツールは、検証のためにオリジナルのディスクを元の状態に保ったまま作業するためオリジナルの正確なコピーを作成することができた。1990年代の終わりまでに、デジタル証拠の需要が増大するにつれて、「EnCase」や「FTK」など、より高度な商用ツールも開発され、分析官は生のデータ分析をせずに、コピーを使って調べることができるようになったCasey, Eoghan (2004). Digital Evidence and Computer Crime, Second Edition. Elsevier. .。ごく最近では、「ライブメモリフォレンジック」への傾向が高まり、 「WindowsSCOPE」といったツールが利用できるようになっている。
ごく最近では、 モバイル機器についても同様のツールの開発が行われている。当初、PCの頃と同じく、デバイス上のデータに直接アクセスするものだったが、すぐに「XRY」や「Radio Tactics Aceso」などの専門ツールが登場したCasey, Eoghan (2004). Digital Evidence and Computer Crime, Second Edition. Elsevier. .。
フォレンジック・プロセス 右|サムネイル|220x220ピクセル| ハードドライブに接続されたポータブルTableau書き込みブロッカーデジタル・フォレンジック調査は一般的に、「収集またはディスクイメージのコピー」Adams, Richard (2013). "'The Advanced Data Acquisition Model (ADAM): A process model for digital forensic practice" (PDF). Murdoch University. Archived (PDF) from the original on 2014-11-14.、「分析」、「報告」という3つの段階から成るCasey, Eoghan (2004). Digital Evidence and Computer Crime, Second Edition. Elsevier. . "'Electronic Crime Scene Investigation Guide: A Guide for First Responders" (PDF). National Institute of Justice. 2001. Archived (PDF) from the original on 2010-02-15.。
データの収集またはコピーの段階で理想的なのは、コンピュータの揮発性メモリ（RAM）の「イメージ」を取り込む"Catching the ghost: how to discover ephemeral evidence with Live RAM analysis". Belkasoft Research. 2013.、またはセクタレベルの複製、メディアの複製、書き込みブロッキングを利用したオリジナルの変形を防止などの対策をとることである。ただ、近年のストレージメディアのサイズの拡大やクラウドコンピューティングなどの開発Adams, Richard (2013). "'The emergence of cloud storage and the need for a new digital forensic process model" (PDF). Murdoch University.により、物理的なストレージデバイスの完全なイメージではなく、データの「論理的な」コピーが取得される「生データ」の取得が増えた。改変がされていないか後に検証するために、取得したイメージ（または論理コピー）とオリジナルのメディア/データの両方がハッシュ化され（SHA-1やMD5といったアルゴリズムを使用し）、複製との値を比較し、同じであれば正確にコピーしたものとされるMaarten Van Horenbeeck (24 May 2006). "Technology Crime Investigation". Archived from the original on 17 May 2008. Retrieved 17 August 2010.。
分析段階では、調査員は様々な方法やツールを使用して証拠資料を回収する。2002年、International Journal of Digital Evidenceの記事はこのステップを「疑わしい犯罪に関連する証拠の詳細な体系的検索」と呼んでいるM Reith; C Carr; G Gunsch (2002). "An examination of digital forensic models". International Journal of Digital Evidence. CiteSeerX 10.1.1.13.9683.。2006年、法科学調査員のBrian Carrierは、「直感的な手順」で明白な証拠が特定され、次に「徹底的な調査が行われて穴が埋められていく」と説明した Carrier, Brian D (7 June 2006). "Basic Digital Forensic Investigation Concepts". Archived from the original on 26 February 2010.。
分析プロセスは、実際の調査によって異なる可能性があるが、一般的な方法論としては、デジタルメディア全体でのファイル検索（ファイル内、未割り当てスペース 、 空きスペース）、削除ファイルの復元、レジストリ情報の抽出などがある（USBデバイス含む）。
回収された証拠は、イベントを再構築し、分析しM Reith; C Carr; G Gunsch (2002). "An examination of digital forensic models". International Journal of Digital Evidence. CiteSeerX 10.1.1.13.9683.、通常書面による報告の形で一般の人間に理解できる表現でまとめられる。
応用 デジタル・フォレンジックは、刑事事件のみならず、一般の調査でも使用されている。 デジタル・フォレンジックは刑法に由来しており、裁判の前に仮説を支持または反対するための証拠を集めるために利用される。他の法科学分野と同様に、これは多くの分野にまたがる広範な調査の一部となる。場合によっては、収集された証拠は裁判手続以外の目的で、デジタル情報の収集の一形態として使用され、使用される（他の犯罪の特定、特定、停止など含む）。その結果、情報収集の手法は法廷で要求される基準ほど厳しくない法科学的基準に基づく場合もある。
民事訴訟または企業の問題では、デジタル・フォレンジックが電子情報開示プロセスの一部を形成する場合がある。法科学的手続きは刑事捜査で使用されるものと似たものではあるが、多くの場合、異なる法的要件と制限が存在する。民間におけるデジタル・フォレンジックの利用は、社内における調査などに利用される。