証拠パッケージとイベントレポート

このページで解決すること

調査の範囲にある証拠を外へ渡します。成果物は二種類あります。 イベントレポートは何が起きたかを述べるもので、押せばそのままファイルが手に入ります。 証拠パッケージは証拠そのもの（録画を含みます）を収め、バックグラウンドで作り、終わったらダウンロードセンターで受け取ります。 どちらにもマニフェストとパッケージ全体の署名が付き、ファイルごとの内容のハッシュをオフラインで検証できます。

必要なもの

監査の閲覧権限です。この確認は無条件に効き、どの導入設定でも迂回できません。

出しかた

監査調査ビューで調査の範囲を整え、 「イベントレポートを書き出す」または「証拠パッケージをダウンロード」を押します。ダイアログにはいまの軸となる主体、時間の窓、区分の選択が引き継がれます。

六つの区分を個別に選べます。接続、コマンド、操作ログ、ファイル転送、クリップボード、アラートです。 選ばなかった区分はまるごと入らず、マニフェストの対応する件数の項目も出ません。0 を書いて調べたふりをすることはありません。

同時に進められる証拠パッケージのジョブには上限があります。ひとり 3 件、全体で 10 件です。 成果物は 24 時間保存し、ジョブ自体の記録は別に 30 日保存します。

ダウンロードセンター

「ダウンロードセンター」には「自分のエクスポート」「ローテーションレポート」「レポート」の三つのタブがあります。「レポート」にはコンプライアンス対照から作成した共有レポートが並びます。

証拠パッケージは申請者本人だけがダウンロードできます。コンプライアンスレポートは共有成果物で、監査閲覧権限がある別のアカウントも取得できます。 成果物の期限が切れたときや作成に失敗したときは、状態がはっきり示されます。行には成果物の内容のハッシュが出るので、受け取る側が突き合わせられます。

作成の途中で、システムは申請者の身元と権限がまだ有効かを確かめ直します。権限を失っていれば取り消し、成果物を消します。

パッケージの中身

イベントレポート

区分ごとに CSV が一つずつ入ります。各行の最初の項目は記録への参照で、区分と番号を並べた形です。タイムラインのイベントと同じ出どころです。 接続の CSV には録画の状態の項目（利用できる、削除済み、録画なし）が入りますが、録画そのものは入りません。 クリップボードの CSV には方向と内容の長さが入り、内容は入りません。

証拠パッケージ

イベントレポートに証拠そのものを足します。操作ログの完全な内容、コマンドと文の十七の項目、 クリップボードの内容、そしてセッションごとの録画ファイルです。クリップボードの内容が取れないときは、その行をはっきり失敗と示します。空文字を渡すことはありません。

操作ログを含む証拠パッケージには、AI agent の台帳をマスク済みで記した agent_tool_calls.json を含められます。ツール呼び出し台帳を参照してください。

マニフェスト

manifest.json はパッケージの中で最後に書くファイルです。ですからパッケージにマニフェストが無ければ、作成が途中で失敗していて、証拠には使えません。 内容は次のとおりです。

• 成果物の種類、書き出した人とその識別子、発起の時刻と実際に作成した時刻。
• 絞り込みの条件、ジョブの識別子、選んだ区分。
• ファイルごとの名前、サイズ、SHA-256。
• 区分ごとの収めた件数、範囲内の実際の件数、そして打ち切りの有無。
• 収録の状態：保持の期間内、ポリシーによる削除済み、一度も削除していない、の三つです。 削除がある場合は保持日数、削除の締め、直近の削除の時刻、対応する封印の単位の区間も付きます。
• 署名の状態。署名の機能が使えないときは、このパッケージが署名されていないこととその理由をマニフェストに書きます。署名ファイルを黙って省くことはありません。
• 開示の項目。たとえば CSV の数式のエスケープの規則です。

manifest.sig はマニフェストのバイト列に対する Ed25519 の署名です。検証が通れば、マニフェストとその中の各ファイルのハッシュが書き出し以降変わっていないことが示せます。 公開鍵はシステムから取得でき、鍵管理のページでも見られます。

マニフェストに散文は入りません。収録の説明も開示の項目も、機械可読なコードとパラメーターだけです。

上限

証拠パッケージは操作ログとコマンドをそれぞれ 50000 件、録画を 100 ファイル収めます。 イベントレポートは区分ごとにそれぞれ 50000 行で、合計の枠を共有しないようにしてあります。 上限に達したときは、マニフェストの打ち切りのフラグと実際の件数がそのことを示します。

CSV の数式のエスケープ

先頭の文字が等号、プラス、マイナス、アットマーク、タブ、復帰のセルには、前に単一引用符を付けます。 数値だけのものは影響を受けません。表計算ソフトが内容を数式として実行しないようにするためです。 規則はひとつだけで、システムの他の CSV の書き出しと共通です。JSON のファイルには適用しません。 一字一句の原文を見たいときは、記録への参照からシステムに戻って照合します。

監査で見えること

• 書き出しの発起そのものが記録に残ります。
• ダウンロードのたびに記録が残ります。ダウンロードした人、時刻、どのパッケージか、そのファイルの内容のハッシュが入ります。
• 成果物は完成と同じトランザクションの中でオフサイトへのアップロードの列に入ります。ローカルの成果物が無くオフサイトの複製が残っている場合は、 バックエンドが取り戻し、ハッシュとサイズが合うことを確かめてから渡します。
• 送信元アドレスを軸に調査しているときは書き出しを出しません。画面のボタンは使えない状態になり、どの軸に切り替えるかを示します。
• 人や資産を軸にしたときのアドレスの絞り込みは、書き出しの範囲には入りません。発起の前に画面がそのことを示します。