フォレンジック調査ユースケース 番外編⑥

先日ある弁護士から「フォレンジック調査において削除データの復元はどれくらい可能なのか」という質問をもらいました。今回はパソコン上でデータを削除した場合にどのような処理が行われていて、削除データの復元はどのように行うのかということを解説したいと思います。

Windowsのパソコンにおいての削除の流れとしては、まずファイルやフォルダの削除を行うと「ごみ箱」に移動します。ゴミ箱に移動した後に、「ごみ箱を空にする」を実行するとPC上ではファイルやフォルダが削除されるので、ユーザーからはそのファイルやフォルダは見えなくなります。

しかし、HDD内ではどのような処理が行われているのかというと、そのファイルやフォルダのレコード（目次情報のようなもの）が削除されただけであり、実際のデータそのものはHDD内にはそのまま残っています。（分かりやすく解説すると、膨大な荷物を保管している巨大な倉庫の中で、どのフロアの、どこの棚に、どんな荷物が保管されているかという目次情報だけが消えてしまい、実際に荷物は存在しているのだが目的の荷物を見つけに行けないという状態のようなものです。）

削除データの復元作業とは、上記のようなレコード情報は無くなってしまったがデータだけが残っているものを探しに行き、データとして読み出せるようにする作業といえます。

ただし、上記はHDDの場合の話となり、最近多くのパソコンで利用されているSSDの場合はデータの記録方式がHDDとは異なるため、削除データ復元のやり方も異なってきます。

さらにSSDにはTrim機能というものがあり、削除を行うとデータそのものが消えてしまうため、削除データを復元できる可能性はHDDよりも低くなっています。

またよくあるケースとして、以前のコラムお話した、退職時のパソコンデータ削除です。

退職する従業員が使用していた会社貸与PC内のデータを完全削除（アンインストール）して、新たにOSをインストールして他の従業員へパソコンを使いまわすということを行っている企業が多いと思いますが、このようにソフトウェア等で完全削除をしてしまうと削除データの復元は不可能となります。

退職時にパソコンデータを削除してしまっていたからフォレンジック調査ができないという事態を防ぐためにも、パソコンのデータ保全だけでも行っておくことをおススメしています。

他にも突然パソコンが動かなくなったなど、物理的な故障が原因でデータを読み込めなくなるというケースもあります。

その場合は何度も電源を入れ直したりするとHDDは動き続けてしまいさらに物理的な障害が発生してしまう危険性もありますので、むやみやたらにPCを動かすことはせずに、すぐにフォレンジック業者へデータ復元の依頼をすることが望ましいです。物理的な故障の場合にはHDDを解体して、可能な限りデータの復元を試みることもできます。

以上のように、削除の方法と削除データの復元の方法には様々な方式があり、削除の方法により復元できる可能性も変わってきます。

削除データの復元は実際に行ってみないとどれくらいのデータが復元できるか分からないということもありますが、何もせずにあきらめるのではなく一度TMIP&Sフォレンジックへご相談いただければと思います。