持ち出しが疑われた日 ― 保全とデジタルフォレンジックの初動

「退職した営業担当者が、辞める直前に大量のファイルへアクセスしていた」といった兆候がある場合、端末やログが上書き・消去される前の証拠保全が重要です。初動を誤ると後から復元できない情報もあるため、事案の緊急度と証拠の保存期間を確認して対応します。

初動の原則：本人に確認する前に保全する

本人へ直ちに問い合わせると、事案によってはデータ削除や関係者への連絡によって証拠保全が難しくなることがあります。そのため、証拠隠滅のおそれがある場合は、まず会社が適法に保全できる端末・ログ・メール等を確保し、その後の聴取・警告の時期を検討します。ただし、全ての事案で本人への連絡を一律に遅らせるべきという意味ではありません。

保全すべき証拠

（1）退職者が使用していたPC・端末：再配布・初期化・通常利用によって記録が変化するおそれがあるため、必要な証拠保全が終わるまで使用を止めます。電源を切る・入れるべきかは、揮発性データの有無、端末の状態、暗号化等によって異なるため、通常操作をせず現状を記録し、必要に応じてフォレンジック専門家の指示を受けます。保管者・日時等も記録します。

（2）各種ログ：ファイルサーバー、メール、プロキシ、クラウド、USB、印刷、VPN、認証、入退室等のログについて、保存期間と上書き条件を確認し、必要な範囲を保全します。保存期間はシステム・会社ごとに異なるため、「数週間〜数か月」を前提にせず、実際の設定を直ちに確認します。

（3）メール・チャットの内容：退職者のメールボックス、社内チャットのアカウント。退職と同時に削除する運用の会社が多いため、削除を止めます。

（4）人的証拠：退職者の言動を見聞きした従業員、引き抜きの働きかけを受けた従業員からの聴取。時間の経過とともに記憶は薄れ、証言の意欲も低下します。

デジタルフォレンジック

フォレンジック調査では、必要に応じて記録媒体の証拠保全用複製（イメージング）を作成し、削除ファイル、USB接続、クラウドアクセス、ファイル操作等の痕跡を解析します。民事訴訟で電子データの証拠能力が形式的なチェーン・オブ・カストディ要件によって一律に決まるわけではありませんが、同一性・真正性・解析の信頼性を争われないよう、ハッシュ値、保管経緯、解析方法等を記録することが重要です。社内担当者が触れる場合も、通常操作によるデータ変更を避け、作業記録を残します。

フォレンジック報告書によって、退職直前の大量コピー、USB接続、外部クラウドへのアップロード等の具体的な痕跡が確認できれば、差止・損害賠償・刑事手続の判断における重要な資料になり得ます。ただし、痕跡だけから「営業秘密を不正使用した」とまで直ちに断定できるとは限らず、情報の内容、取得目的、転職先での使用等の立証を組み合わせます。

フォレンジック調査の範囲・費用・期間は、端末数、OS・クラウド環境、調査対象期間、復元の必要性等によって大きく異なります。業者を選定する際は、保全手順、作業記録、ハッシュ値等の同一性確認、報告書の内容、訴訟・捜査対応の経験、秘密保持・再委託等を確認します。

裁判所を使った保全 ― 証拠保全

退職者の私物端末や転職先のサーバーは、会社が自力で任意に調査できません。民訴法234条以下の証拠保全その他の裁判上の手続が利用できる場合がありますが、要件・対象・実効性は事案ごとに異なります。営業秘密侵害罪の要件を満たす可能性がある場合には刑事手続も選択肢となりますが、捜索差押えは捜査機関・裁判所の判断によるもので、会社が証拠取得の手段として当然に利用できるものではありません。

発覚直後の対応例

初動では、①端末・ログ・メール等の保存状況を確認して必要な保全措置をとる、②社内関係者から必要最小限の事実確認を行う、③持ち出された可能性のある情報と法的保護の根拠を整理する、④フォレンジック、警告、仮処分、刑事手続等の要否を検討します。日程はログの消失時期や相手方の行為によって変わり、固定的な「1週間」の進行表を機械的に当てはめないことが重要です。

実務ポイント

・証拠隠滅のおそれがある場合は、本人への連絡より先に適法に保全できる端末・ログ等を確保する。

・端末は通常利用・初期化を止め、電源状態は専門家と相談。ログは保存期間と上書き条件を直ちに確認する。

・フォレンジックは同一性・真正性・解析の信頼性を意識する。社内で扱う場合も通常操作によるデータ変更を避け、記録を残す。