証拠品質基準（ページ原稿）
最終更新: 2026-10-28 対象: Habilis Security が提供する調査・診断レポート全般
なぜ基準が必要か
セキュリティ調査の価値は「見つけた」ことではなく、第三者が同じ結論に到達できるかで決まります。 とくに公開情報・アーカイブ・暗号資産を扱う調査では、次の失敗が起きます。
- 事実と推測が混ざり、捜査・監査・取引先審査に使えない
- 出典・取得時刻が無く、後から検証できない
- ウォレットアドレスやドメインを「犯人」と結び付けたが、帰属の根拠が無い
- 被害者・従業員の個人情報をレポートに混入させた
- AIの要約をそのまま判定として出した
Habilisは、この失敗を避けるために、レポートの最低基準を公開します。
6つの原則
1. 事実と推定を分離する
レポートの全項目に Observed（観測）または Inferred（推定）を付ける。
推定には確度・手法・反証可能性（caveat）を必ず併記する。
- Observed: 取得したデータから直接確認できる
- Inferred: ヒューリスティクス、相関、統計、専門家の判断
2. すべての所見に「出典・取得時刻・ハッシュ」を付ける
- 出典URL（一次ソース優先）
- 取得時刻（UTC、秒まで）
- 取得物の SHA-256（証拠の同一性）
- 取得方法（API名、アーカイブのタイムスタンプ等）
集計値には「何件のトランザクションを元にしたか」を添える。単独の数値だけを出さない。
3. 再現手順と限界を書く
- 再現手順（第三者が同じ結果を得るための最小手順）
- 誤検知の可能性
- カバレッジ（取得できた範囲／できなかった範囲）
- 前提条件（バージョン、設定、権限）
- 未検証事項（「未取得」「未実施」と明記）
4. 非破壊・最小証拠
- データの持ち出し・大量取得をしない
- 到達証明は最小限（1行、1画面、ハッシュ）
- 証拠は暗号化して保管し、契約終了後に削除
- 本番停止・破壊・DoS・ソーシャルエンジニアリングをしない
5. 被害者データを取らない
- 被害者の氏名・連絡先・口座ID・パスワードをレポートに載せない
- やむを得ず確認した場合は、マスクし、件数だけを記録する
- 公開情報であっても、被害者データの転載はしない
- 漏えい情報の購入・拡散をしない
6. AIは補助、確認は人が行う
- AIの用途は、探索、整理、一次トリアージ、下書きに限定
- 顧客データをモデル学習に使わない
- 機微情報を外部LLMに送らない
- AIの出力は人が検証し、根拠と再現性を確認
- 利用モデルは案件ごとに開示
Habilisは現在、資格保有者による判定レビューおよび提携パートナー契約・賠償責任保険・法務レビューを取得していません。 本基準は「Habilisが提出するレポートの書き方」を定めたもので、有資格者による鑑定・法的評価を提供するものではありません。
レポートの標準構成
- 要約（非技術者向け。何が分かり、何が分からないか）
- 対象と範囲（スコープ、除外、前提）
- 観測された事実（出典・時刻・ハッシュ付き）
- 推定（確度・手法・caveat付き）
- 影響と優先度
- 再現手順
- 修正チェックリスト（担当・期限）
- 限界・未検証事項
- 付録（生データのハッシュ一覧、取得ログ）
確度の定義
| 確度 | 意味 |
|---|---|
| High | 一次ソースで直接確認でき、代替説明が考えにくい |
| Medium | 複数の独立した証拠が一致するが、反証の余地がある |
| Low | 単一の証拠、または構造的なヒューリスティクスのみ |
| Unverified | 未確認。結論に使わない |
公開情報調査の限界（重要）
公開情報・アーカイブだけでは、次のことは証明できません。
- ウォレットアドレスの所有者
- ドメインの登録者・運営者
- 同一人物が複数アドレスを管理していること
- 犯罪行為への関与
帰属には、取引所の入金記録・KYC、レジストラの決済情報、認証プロバイダのログ、捜査機関の照会が必要です。 Habilisは、公開情報だけで「犯人」を断定するレポートを提出しません。
禁止事項
- 公開情報の転載だけを「調査結果」として提出する
- 根拠のない個人・組織・国の名指し
- 被害者情報の掲載・拡散
- 攻撃者への接触、独自交渉、金銭の支払い
- 違法なアクセス、マルウェア使用、データ購入
- AIの出力を未検証のまま判定として採用する
適用
本基準は、VPS診断、Web/API診断、AIエージェント診断、インシデント初動、公開情報調査のすべてに適用します。 契約時に、レポートの証拠項目・確度表記・削除方針を個別に合意します。