重要なポイント： Microsoft 365（M365）でのファイルダウンロードは、即座に懸念を引き起こす可能性があり、監査ログだけでは全容を把握することはほとんどできません。知的財産、機密データ、または内部関係者によるリスクが関わる場合、クラウドの記録のみに頼っていると、重要な疑問が未解決のまま残ってしまいます。監査ログとエンドポイントの証拠を組み合わせることで、重要な証拠が消失する前に何が起きたかを明らかにし、より確信を持って、かつ説得力のある判断を下すために必要な文脈を提供します。

従業員が退職または解雇された際、組織が真っ先に確認するのは、その個人が退職する前に、会社の情報にアクセスしたり、情報を保持したり、不適切に転送したりしていなかったかという点です。組織がクラウドベースのコラボレーションプラットフォームの導入を進めるにつれ、Microsoft 365（M365）は、潜在的な内部者リスク、データ流出、および知的財産に関する懸念を調査するための主要な証拠源となっています。

多くの場合、調査担当者はまずM365の監査ログを確認し、どのような活動が行われたかを把握することから調査を開始します。これらの監査ログは、ファイル、電子メール、コラボレーションプラットフォームに対するユーザーの操作状況に関する貴重な情報を提供します。しかし、監査ログはあらゆる調査において不可欠な要素である一方で、多くの場合、全体像の一部に過ぎないこともあります。

監査ログの長所と限界の両方を理解しておくことは、退職した従業員に関する調査において、説得力のある結論を導き出す上で役立ちます。

Microsoft 365 監査ログから得られる情報

M365の監査ログは、SharePoint、OneDrive、Teams、Exchange Onlineなどのクラウドサービス内で発生する幅広いユーザーアクティビティに関する洞察を提供します。ライセンス、保存期間の設定、テナントの構成に応じて、組織は次のようなアクティビティを特定できる場合があります。

• SharePointおよびOneDriveに保存されたファイルへのアクセス
• ファイルの取得およびダウンロードのアクティビティ
• Teamsを通じて共有されたファイルとのやり取り
• 電子メールおよび添付ファイルのアクティビティ
• ユーザー認証およびアカウントへのアクセスイベント

これらの記録は、タイムラインを明確にし、特定の活動に関連するユーザーを特定し、M365環境内で発生したアクションに関する貴重な背景情報を提供します。

データ損失や知的財産権に関する懸念を調査している組織にとって、監査記録は多くの場合、重要な出発点となります。

課題：監査記録には完全な文脈が欠けている

退職した従業員に関する調査において、最もよくある誤解の一つは、単一の監査イベントだけで、特定のファイルに何が起きたのかが確実に解明できるという考え方です。

例えば、調査担当者は、従業員の退職直前にファイルがダウンロードされたことを示すイベントを特定する場合があります。この情報は確かに重要ですが、監査記録だけでは、いくつかの重要な疑問に答えられない可能性があります：

• そのファイルは実際に開かれたのでしょうか？
• そのファイルはその後、リムーバブルメディアにコピーされましたか？
• 別のデバイスに転送されましたか？
• その動作は、自動同期プロセスの結果だったのでしょうか？
• ファイルがエンドポイントに到達した後、さらなる動作は発生しましたか？

これらの質問に対する答えを導き出すには、多くの場合、クラウドの監査記録以外の追加的な証拠源が必要となります。

最新のコラボレーション・プラットフォームは複雑さを増す

マイクロソフトの M365 サービスが相互に連携しているという性質も、監査アクティビティの解釈において課題をもたらしています。

例えば、ユーザーは Teams を通じてドキュメントにアクセスする一方で、その基盤となるファイルは SharePoint 内に保存されている場合があります。同様に、OneDrive を通じて同期されたファイルは、従来のブラウザベースのダウンロードではなく、同期サービスに関連するアクティビティを生成する場合があります。

これらのサービスがどのように相互作用しているかを理解していなければ、調査担当者は個々の監査イベントの重要性を意図せず誤って解釈してしまう可能性があります。

これは、監査ログの価値を損なうものではありません。むしろ、関連するテクノロジーのより広い文脈の中で監査記録を評価することの重要性を浮き彫りにするものです。

欠けていたピース：エンドポイントの証拠

クラウド監査ログは M365 サービス内で発生しているアクティビティを可視化しますが、エンドポイントシステムには、クラウドからファイルが取得された後に何が起きたかを説明する証拠が含まれていることがよくあります。

状況によっては、エンドポイントのアーティファクトから、次のような情報が得られる場合があります。

• ローカルファイルへのアクセス
• ダウンロードのアクティビティ
• アプリケーションの使用状況
• 最近のドキュメント操作
• リムーバブルストレージデバイスの使用状況
• ファイルシステムのアクティビティ

これらの証拠資料により、調査担当者は、クラウド監査ログ内で特定されたファイルが、その後、ローカルデバイス上で開かれたり、転送されたり、あるいはその他の方法で操作されたりしたかどうかを判断することができます。

多くの調査において、エンドポイントの証拠は、クラウドの監査記録だけでは得られない重要な背景情報を提供します。

より説得力のある調査を構築する

最も効果的な退職者調査は、単一の証拠源のみに依存することはほとんどありません。

クラウド監査記録は、M365 サービス内で活動が行われたことを立証します。エンドポイントのアーティファクトは、情報がユーザーデバイスに到達した後、どのように扱われたかについての洞察を提供します。これらの証拠源を総合的に評価することで、ユーザーの活動をより包括的に把握でき、孤立した事象に基づいて結論を導き出すリスクを軽減できます。

組織は、以下の要素を取り入れた調査アプローチを検討すべきです。

• 関連する M365 監査記録の保存
• エンドポイントデバイスの特定と保存
• クラウドとエンドポイントの証拠の照合
• 技術的およびビジネス的な文脈における活動の評価
• 調査結果および調査手法の文書化

このアプローチにより、調査結論の正確性と説得力の両方が向上します。

監査イベントから立証可能な結論へ

M365の監査ログは、退職した従業員や内部関係者によるリスクに関する調査において、不可欠な証拠源となっています。これらは、クラウドサービス内で発生したユーザー活動に関する貴重な洞察を提供し、調査のタイムラインや結論の基礎となります。

しかし、監査記録だけでは、ファイルがクラウドから取得された後にどのように扱われたかに関する完全な文脈を把握することはできません。最も効果的な調査では、クラウド上の証拠とエンドポイントシステムから回収されたフォレンジック証拠を組み合わせることで、調査担当者はユーザー活動についてより包括的な理解を深めることができます。

組織がクラウドコラボレーションプラットフォームの利用を拡大し続ける中、データ流出の懸念、知的財産権に関する紛争、その他の内部者リスクのシナリオに対応する際、複数の証拠源を相互に関連付ける能力はますます重要になっていきます。

Epiqのフォレンジックおよび証拠収集サービスについて詳しくはこちらをご覧ください。

アーウィン・ライシャー、シニア・フォレンジック・コンサルタント

アーウィンは、デジタル調査、eディスカバリー、内部者リスク、データ保護を専門としています。人事、法務、データプライバシーの各チームと緊密に連携し、内部者による脅威への対応や機密データの保護に取り組んでいます。これまでの経験には、大規模なフォレンジック調査、民事・刑事事件の対応、および軍属の調査官や弁護士への研修指導などが含まれます。