証拠保全の連鎖(チェーン・オブ・カストディ).

チェーン・オブ・カストディ(CoC)は、デジタルおよび物理証拠の完全性と証拠能力を維持する仕組みです。すべての受け渡しはタイムスタンプ、識別子(事件番号、証拠 ID、ハッシュ値)、署名とともに記録され、改ざん検知容器に保管し、入退室管理された場所で取り扱います。ISO/IEC 27037、NIST SP 800-86、ACPO/SWGDE などのガイドラインに沿い、ライトブロッカで取得し、複製前後に暗号学的ハッシュ(SHA-256)を算出し、ワーキングコピーを保持するのが標準です。

この分野は複数の標準で成文化されています。RFC 3227(「Guidelines for Evidence Collection and Archiving」、2002 年)は揮発性の順序を定めました。最も揮発性の高いデータが先に失われるため、ディスクやアーカイブ媒体より前に RAM、キャッシュ、ネットワーク状態を取得します。ISO/IEC 27037/27041/27042/27043 シリーズは識別・収集・取得・保全・分析を扱い、NIST SP 800-86 は「収集—検査—分析—報告」のサイクルを詳述します。米国の法廷では、証拠は**連邦証拠規則第 901 条(FRE 901)**に基づいて真正性を立証し、Daubert 信頼性基準を満たす必要があります。途切れのない立証可能な保管連鎖こそが、陪審に提示された物証が押収されたものと同一であり改ざんされていないことを証明します。連鎖が途切れる(記録欠落、ハッシュ不一致、封印破損、あるいは物証の所在が不明な空白)と、相手方は証拠排除を申し立てることができ、決定的な証拠でも採用されなくなり、訴訟・保険請求・規制対応を崩壊させかねません。対策として、二者署名による受け渡し、ハードウェアライトブロッカ、同時ハッシュ計算、暗号学的にタイムスタンプされた監査ログが挙げられます。

flowchart LR
  A[押収 / 識別] --> B[取得<br/>ライトブロッカ + ハッシュ]
  B --> C{ハッシュ一致?}
  C -- 不一致 --> X[完全性の失敗<br/>証拠が危険に]
  C -- 一致 --> D[改ざん防止保管<br/>アクセス制御]
  D --> E[ワーキングコピーで<br/>分析]
  E --> F[受け渡しごとに記録:<br/>誰 / いつ / なぜ / 署名]
  F --> G[法廷提出<br/>FRE 901 真正性立証]
  G --> H[最終処分 /<br/>返却または廃棄]