第34章 時計の証言

午前七時二十五分。

三枝涼真は、前夜に作成した EvidenceChain_Initial をもう一度開いた。

時系列表。判断記録。証跡一覧。拒否ログ。許可ログ。AI要約隔離記録。正式議事録。取締役会資料。攻撃者メール。

それぞれにハッシュがある。作成者がいる。確認者がいる。外部受領がある。前版ハッシュがある。

鎖は、つながり始めていた。

だが、三枝の胸には小さな不安が残っていた。

ハッシュは、内容が変わっていないことを示す。

では、そのハッシュを取った時刻は、誰が保証するのか。

証跡には、必ず時刻がある。

検知時刻。受信時刻。保存時刻。承認時刻。失効時刻。拒否時刻。送信時刻。復帰時刻。

時刻がずれれば、物語は変わる。

攻撃者が前夜に送ってきた言葉が、まだ耳に残っていた。

Time can be lied about.

時刻は嘘をつける。

三枝は、時系列表の右端に追加した列を見た。

時刻基準

JST。UTC。サービス時刻。端末ローカル時刻。メール受信時刻。NTP同期確認。補正有無。

列を追加しただけでは足りない。

時計そのものが信頼できるのか。

三枝は、社内のログ基盤設定を開いた。

中央ログ基盤。SIEM。端末管理。設備管理。PublicNoticeHub。MinutePilot AI。ComplyVault。SafetyBoard。

それぞれに、イベント時刻と取り込み時刻がある。

イベント時刻。発生したとされる時刻。

取り込み時刻。ログ基盤が受け取った時刻。

三枝は、ふと手を止めた。

この二つが、わずかにずれているログがある。

それ自体は珍しくない。ネットワーク遅延、サービス側処理、タイムゾーンの違いで数秒から数分の差は出る。

だが、ある系列だけ、ずれ方が大きい。

SafetyBoard設備管理システムPublicNoticeHub

三枝は、三つのログを並べた。

SafetyBoardの偽訓練通知。設備管理システムの火災警報トリガー。PublicNoticeHubの偽公表試行。

いずれも、攻撃者が会社の行動を揺さぶろうとした場面だった。

イベント時刻は、実際の取り込み時刻より数分早い。

最大で七分二十秒。

三枝は、背筋に冷たいものを感じた。

「時計を触っている……？」

その声は、自分でも驚くほど小さかった。

その時、第三会議室の扉が開いた。

山崎行政書士事務所の山崎が入ってきた。

「おはようございます」

三枝は、画面から目を離さずに答えた。

「おはようございます。先生、時刻がおかしいです」

山崎は、鞄を置く前に三枝の画面を覗いた。

「どのログですか」

「SafetyBoard、設備管理、PublicNoticeHubです。イベント時刻と取り込み時刻の差が大きい。全部、攻撃者が使った経路です」

山崎は、しばらく画面を見た後、ホワイトボードへ向かった。

黒いペンで、こう書いた。

時計の証言

そして、その下に三つの項目を並べた。

イベント時刻取り込み時刻外部受領時刻

「今日は、時計を確認しましょう」

三枝は、ゆっくり頷いた。

記録の次は、時刻。

攻撃者は、会社の記憶だけではなく、記憶の順番を攻撃しているのかもしれなかった。

午前八時。

朝の対策会議が始まった。

望月社長、黒崎課長、秋山、大石、久我真琴、山崎。全員が、三枝の時刻差分表を見ていた。

久我が最初に言った。

「イベント時刻と取り込み時刻の差が、特定サービスで大きくなっています。これは、必ずしも攻撃とは限りません。サービス側のキュー遅延、タイムゾーン設定、ログ転送遅延でも起こります」

山崎が頷いた。

「断定しません」

久我は続けた。

「ただし、差が出ている対象が、攻撃者の主要経路と重なっている。そこが問題です」

黒崎が腕を組んだ。

「どこから見ますか」

久我は答えた。

「まず、時刻同期です。各システムが何を時計として使っているか」

三枝は、一覧を作った。

中央ログ基盤：標準NTP端末管理：クラウドサービス時刻ComplyVault：サービス側UTCMinutePilot AI：サービス側UTCSafetyBoard：社内TimeSync Proxy経由設備管理システム：施設管理ネットワークNTPPublicNoticeHub：Web公開基盤TimeSync Proxy経由

三枝は、そこで手を止めた。

SafetyBoardとPublicNoticeHubは、同じ TimeSync Proxy を使っている。

設備管理システムは、施設管理ネットワークNTP。

だが、施設管理ネットワークNTPも、社内TimeSync Proxyから時刻を取っている可能性がある。

三枝は設定ファイルを確認した。

time-sync-proxy-old

黒崎が、画面を見て顔をしかめた。

「old？」

三枝は、嫌な予感を覚えながら詳細を開いた。

作成日。

四年前。

用途。

旧オンプレシステムからクラウド移行期の時刻同期中継。

状態。

Active。

管理者。

旧インフラ担当グループ。

最終設定変更。

三週間前。

三枝は、喉の奥が乾いた。

また、三週間前。

山崎が静かに言った。

「記録してください」

三枝は入力した。

08:07　SafetyBoard、PublicNoticeHub等がtime-sync-proxy-oldを時刻同期元として利用していることを確認。同プロキシは四年前作成、クラウド移行期の時刻同期中継用、状態Active、最終設定変更は三週間前。管理者は旧インフラ担当グループ。

望月が聞いた。

「このプロキシが触られると、ログ時刻がずれるのですか」

久我が答えた。

「可能性があります。全部のログではなく、このプロキシを参照するシステムに影響します。数分の時刻ずれがあれば、イベントの順序が変わって見えることがあります」

秋山が、静かに言った。

「攻撃者が、当社の時系列の信用を揺さぶるために？」

久我は頷いた。

「それも可能性の一つです。ほかに、予約処理、訓練通知、証明書有効期限、承認期限にも影響します」

山崎は、ホワイトボードに新しい行を書いた。

時計は、記録だけでなく承認も動かす。

三枝は、その言葉を見た。

時刻がずれれば、ログだけではない。

二時間限定の権限。訓練計画ID。証明書期限。PIM有効時間。復帰指示時刻。公開文の配信予定。

すべて、時計に依存している。

時計は、会社の見えない基盤だった。

午前八時三十五分。

time-sync-proxy-old の設定変更履歴が開かれた。

三週間前、午前二時四分。

操作アカウント。

infra-maint-legacy

旧インフラ保守アカウント。

変更内容。

upstream time source modifiedoffset tolerance changed: 30 sec → 600 secalert threshold disabled

三枝は、思わず声を出した。

「許容ずれが十倍以上に広げられて、アラートが無効になっています」

久我が眉をひそめた。

「かなり悪いですね」

黒崎が言った。

「infra-maint-legacyって何だ」

三枝はアカウント台帳を検索した。

旧オンプレ時代のインフラ保守用。クラウド移行完了後に廃止予定。状態。

Active。

MFA通知先。

旧インフラ共有メール。

契約関係。

日向システムサービス旧インフラ支援。

黒崎は、深く息を吐いた。

「また日向か」

山崎はすぐに言った。

「日向の責任と断定しません。旧インフラ支援アカウントが残っていた事実です。実行者の実体は未確認」

三枝は入力した。

08:38　time-sync-proxy-old設定変更履歴を確認。三週間前02:04、infra-maint-legacyにより上位時刻同期元変更、offset tolerance 30秒→600秒、alert threshold disabled。infra-maint-legacyは旧インフラ保守用アカウント、クラウド移行後廃止予定、状態Active。実行者実体は未確認。

望月が、低い声で言った。

「時計のアラートを無効にしてから、他の攻撃準備をした」

久我は慎重に答えた。

「時系列上は、その可能性があります。Asterシナリオ、偽管理先、前島探索、NotifyBridge、ComplyVault。三週間前の午前二時台に多くの動きがあります」

山崎が言った。

「攻撃準備期間のタイムラインに追加しましょう」

三枝は、攻撃準備期間シートを開いた。

三週間前02:04　time-sync-proxy-old設定変更02:06　Aster Scenario Stress 04変更02:08　Scenario Stress 04実行02:18　ComplyVault export request02:19　ComplyVault approval API02:22　ops_notify_archive_export download02:24　端末管理関連下見前後　前島アカウント探索

線が、またつながった。

攻撃者は、攻撃準備の前に時計を緩めた。

午前九時十二分。

Blue Heronからメールが届いた。

件名は、Before and after。

本文は短かった。

If time moves, truth moves.

時が動けば、真実も動く。

その下には、time-sync-proxy-oldの設定画面の一部が貼られていた。

offset tolerance: 600 sec

三枝は、保全した。

「相手は、時刻同期設定を見ています」

久我が言った。

「もしくは、過去に取得した設定画面を持っています」

山崎が頷いた。

「記録しましょう。攻撃者がtime-sync-proxy-old設定を把握している可能性」

三枝は入力した。

09:12　不明差出人より件名“Before and after”のメール受信。time-sync-proxy-oldのoffset tolerance 600 sec設定画面を提示。“時が動けば真実も動く”と記載。攻撃者が時刻同期設定を把握している可能性。証跡保全。

望月は、画面を見つめた。

「真実は動きません」

山崎は答えた。

「はい。ただし、真実の順番を見せる記録は動かされ得ます。だから、複数の時計で支えます」

ホワイトボードに書く。

単一時計に依存しない。

久我が続けた。

「イベント時刻だけでなく、取り込み時刻、外部受領時刻、メールサーバ時刻、端末単調増加カウンタ、NTPログ、タイムスタンプサービスを組み合わせます」

三枝は、時刻基準表に新しい列を追加した。

補助時刻

メール受信。SIEM取り込み。外部受領。タイムスタンプ。端末起動後経過時間。クラウドサービスUTC。人間記録時刻。

時刻にも冗長性が必要だった。

午前九時四十分。

日向システムサービスとの緊急確認が始まった。

高瀬は、画面に映るなり深く頭を下げた。

「infra-maint-legacyについて確認しました。弊社旧インフラ支援時のアカウントです。クラウド移行完了後に削除予定でしたが、駿河ML様側のtime-sync-proxy-old保守に残っていた可能性があります」

黒崎が、抑えた声で聞いた。

「三週間前の設定変更は御社作業ですか」

高瀬は首を横に振った。

「違います。弊社では実施していません」

久我が聞いた。

「MFA通知先は」

高瀬は、苦い顔で答えた。

「旧インフラ共有メールです。現在は使っていませんが、メールボックスは残っています。転送設定も確認中です」

山崎は、淡々と確認した。

「いつもの項目です。旧メール管理状態、転送設定、MFA受信・クリック履歴、資格情報保管場所、退職者アカウント、再委託先、作業手順書。一次回答は一時間以内にお願いします」

高瀬は頷いた。

「承知しました」

三枝は入力した。

09:43　日向システムサービス一次確認。infra-maint-legacyは同社旧インフラ支援時アカウント。三週間前のtime-sync-proxy-old設定変更は同社作業ではない旨。MFA通知先は旧インフラ共有メール。管理状態・転送設定・クリック履歴・資格情報保管場所を確認依頼。

保存。

また、旧メール。

攻撃者は、どこまでも同じ型を使っている。

ただし、今回は時計だった。

午前十時十五分。

time-sync-proxy-oldの影響範囲が調査された。

参照していたシステムは、想像より多かった。

SafetyBoard。PublicNoticeHubの一部。設備管理システム。古いBIバッチ。一部の品質管理クラウド連携。現場簡易通知グループのアーカイブタイムスタンプ。倉庫の古いラベルプリンタ監視。

大石が顔をしかめた。

「ラベルプリンタまで？」

三枝は頷いた。

「古い監視エージェントが、時刻同期に使っていました。印字時刻は別系統ですが、監視ログが影響を受ける可能性があります」

山崎が聞いた。

「業務影響は」

久我が答えた。

「現時点で、出荷ラベルそのものの時刻が改ざんされた証拠はありません。ただし、監視ログの時刻差異は確認が必要です」

秋山が言った。

「取引先へ説明すべきですか」

山崎は慎重に答えた。

「まず、影響範囲を確定します。現時点で対外説明が必要なのは、時刻同期設定が攻撃準備に関係していた可能性と、当社記録真正性対策の一環として時刻基準を確認していることです。出荷時刻や配送記録に影響があると断定しないでください」

三枝は、影響整理表を作った。

時刻同期影響整理

対象システム利用時刻源影響するログ業務記録への影響可能性補助時刻での突合可否対外影響対応状況

SafetyBoard。復帰指示・訓練通知時刻。補助時刻あり。

設備管理。警報発報時刻。現場記録・設備業者記録あり。

PublicNoticeHub。投稿試行時刻。クラウドUTC・署名タイムスタンプあり。

品質管理。API操作ログ。クラウド取り込み時刻あり。

ラベルプリンタ監視。監視ログのみ。出荷ラベル時刻は別系統。

三枝は入力した。

10:20　time-sync-proxy-old利用システムを確認。SafetyBoard、PublicNoticeHub一部、設備管理、BIバッチ、品質管理連携、現場通知アーカイブ、ラベルプリンタ監視等。現時点で出荷ラベル時刻改ざん証拠なし。各システムの補助時刻と突合を開始。

保存。

時計は、思ったより多くの場所につながっていた。

午前十一時。

久我は、time-sync-proxy-oldの上位時刻同期元を確認した。

設定変更前。

社内標準NTP。

設定変更後。

ntp-backup-lab.local

三枝は、聞き覚えがなかった。

「ntp-backup-lab.local？」

黒崎が眉をひそめた。

「旧検証環境のNTPサーバかもしれない」

三枝はDNS履歴を開いた。

ntp-backup-lab.localは、四年前のクラウド移行検証で使われた仮想サーバ名だった。

状態。

削除済み。

だが、同名のDNSエントリが三週間前に再作成されている。

作成者。

infra-maint-legacy

IPアドレス。

国内クラウド環境。

久我が言った。

「攻撃者が、旧検証NTP名を再作成して、time-sync-proxy-oldをそこへ向けた可能性があります」

黒崎が低く言った。

「偽の時計か」

山崎が、ホワイトボードに書いた。

偽NTP

そして言った。

「会社の時計を、攻撃者の時計へ向けた」

三枝は、入力した。

11:04　time-sync-proxy-oldの上位時刻同期元が、三週間前の設定変更で社内標準NTPからntp-backup-lab.localへ変更されていたことを確認。ntp-backup-lab.localは旧検証環境名で削除済みだったが、三週間前にinfra-maint-legacyによりDNS再作成。IPは国内クラウド環境。偽NTPの可能性。

望月が、静かに言った。

「攻撃者は、当社の時計を持っていた」

久我は頷いた。

「少なくとも、一部システムの時計を誘導していました」

山崎は、すぐに判断を確認した。

「標準NTPへ戻す前に、現在状態、DNS、設定、時刻差分、利用システムを保全します。その後、time-sync-proxy-oldを隔離し、対象システムを標準NTPへ切替える判断でよろしいですか」

望月は頷いた。

「はい。業務影響は？」

黒崎が答えた。

「一部システムで再同期が必要です。短時間のログ遅延が出る可能性があります」

望月は言った。

「記録して進めてください」

三枝は入力した。

11:08　time-sync-proxy-oldおよびntp-backup-lab.localの現在状態を保全後、旧プロキシを隔離し、対象システムを標準NTPへ切替える判断。理由：偽NTP利用可能性によりログ時刻・承認期限・通知時刻の信頼性へ影響するため。判断者：望月社長。

保存。

午前十一時三十分。

切替作業が行われた。

time-sync-proxy-oldの設定保全。DNS履歴保全。NTP応答サンプル取得。偽NTPサーバとの時刻差確認。対象システム一覧保存。

久我が言った。

「偽NTPと思われるサーバは、標準時より約七分遅れています」

三枝は頷いた。

「ログ差分と一致します」

黒崎が標準NTPへ切替える。

SafetyBoard。PublicNoticeHub一部。設備管理。BIバッチ。品質管理連携。現場通知アーカイブ。ラベルプリンタ監視。

再同期後、各システムで時刻差分が収束していく。

Time sync restored

三枝は、画面を見ながら入力した。

11:34　偽NTP疑いのntp-backup-lab.localは標準時より約7分遅延。SafetyBoard等のイベント時刻・取り込み時刻差分と整合。対象システムを標準NTPへ切替え、時刻同期復旧を確認。

保存。

時刻が戻った。

だが、過去のログは補正が必要になる。

午後零時二十分。

Blue Heronからメールが届いた。

件名は、Clock back。

本文は、短かった。

You set the clock back.But the past is still late.

時計を戻した。だが、過去はまだ遅れている。

三枝は、保全した。

山崎が言った。

「その通りです。過去ログは、時刻補正が必要です」

久我が頷いた。

「時刻補正表を作ります。どの期間、どのシステムで、何秒ずれていた可能性があるか」

三枝は、時刻補正表を作成した。

時刻補正ID対象システム対象期間推定ずれ根拠補助時刻補正方法注意事項

SafetyBoard。対象期間、三週間前から本日十一時三十四分。推定ずれ、最大約七分二十秒。根拠、NTP差分、取り込み時刻差分。補助時刻、社内チャット、メール受信、SIEM取り込み。

設備管理。同期間。推定ずれ、最大約七分。補助、消防設備業者記録、現場記録、監視カメラ。

PublicNoticeHub。一部投稿ログ。補助、署名タイムスタンプ、外部公開時刻。

山崎が言った。

「補正した時刻と、元ログ時刻を両方残してください」

「はい」

「元ログを上書きしないこと」

「分かっています」

久我が補足した。

「補正列を追加します。元イベント時刻、補正後推定時刻、取り込み時刻。全部残します」

三枝は入力した。

12:24　不明差出人より件名“Clock back”のメール受信。標準NTP復旧後も過去ログの時刻遅延が残ることを示唆。対応方針：過去ログを上書きせず、元イベント時刻、補正後推定時刻、取り込み時刻、補助時刻を併記する時刻補正表を作成。

保存。

過去を消してはいけない。補正する。

それも、記録の真正性を守る方法だった。

午後一時四十分。

日向システムサービスから、infra-maint-legacyに関する追加回答が届いた。

旧インフラ共有メールは、廃止予定だった。MFAメールは、三週間前に受信。転送先は、旧クラウド移行プロジェクトの共有メール。その共有メールは、日向、駿河ML、当時のクラウド移行支援会社の三者で使っていた。現在も残存。三週間前に、MFAリンククリック履歴あり。クリック元は、不審クラウドレンジ。

山崎は、静かに言った。

「クラウド移行プロジェクトの亡霊ですね」

三枝は、入力した。

13:43　日向追加回答。infra-maint-legacyのMFAメールは旧インフラ共有メールへ送信され、旧クラウド移行プロジェクト共有メールへ転送。日向・駿河ML・当時のクラウド移行支援会社で利用。現在も残存。三週間前にMFAリンククリック履歴あり。

黒崎が言った。

「クラウド移行支援会社？」

秋山が契約管理表を検索した。

会社名。

CloudBridge Partners

契約終了。

三年前。

また、終了済み。

山崎が、未了事項台帳に追加した。

U-161　クラウド移行プロジェクト共有メール・NTP関連権限削除未了

責任者。

黒崎・三枝・秋山

関係者。

日向システムサービス、CloudBridge Partners

期限。

本日中に保全・停止、七日以内に終了証明確認

状態。

緊急対応中

保存。

三年前のクラウド移行。

その時の共有メールが、今、会社の時計を曲げた可能性がある。

過去の移行作業が、現在の事件に戻ってくる。

午後二時三十分。

時刻補正作業が進むと、偽訓練通知の時刻が少し変わった。

元ログでは、七時二十二分。補正後推定では、七時二十九分前後。

総務への社長なりすまし電話。PublicNoticeHub偽投稿試行。SafetyBoard再送信ブロック。

いくつかのイベントの順番が、数分単位で入れ替わる可能性がある。

三枝は、時系列表を慎重に更新した。

元時刻を消さない。補正推定時刻を追加。根拠を入れる。

山崎が確認する。

「良いです。時刻補正は、透明にしてください」

「はい」

「後で、なぜ時刻が変わったのかを説明できるように」

三枝は、補足欄に記載した。

当該時刻はSafetyBoardイベント時刻。time-sync-proxy-oldが偽NTP疑いサーバへ同期していた期間のため、補正後推定時刻を併記。元ログ時刻は保持。

久我が頷いた。

「これなら、技術的にも説明できます」

三枝は思った。

時刻を直すことは、過去を書き換えることではない。

過去がどう記録され、どの時計で測られたかを説明することだ。

午後三時二十分。

Blue Heronからメールが届いた。

件名は、Transparent correction。

本文は、短かった。

You correct without erasing.Annoying habit.

消さずに補正する。厄介な習慣だ。

三枝は、保全しながら少しだけ笑った。

攻撃者が嫌がる習慣が、また増えた。

山崎が言った。

「良い習慣です。補正は透明でなければなりません」

秋山が頷いた。

「法務文書でも、訂正履歴を残すのと同じですね」

大石が言った。

「現場記録も、消しゴムで消すな、訂正線を引けと言います」

山崎は頷いた。

「同じです。サイバーでも、現場でも、記録訂正の原則は似ています」

三枝は入力した。

15:20　不明差出人より件名“Transparent correction”のメール受信。元ログ時刻を保持し補正後推定時刻を併記する方針に反応した可能性。“消さずに補正する”と記載。証跡保全。

保存。

午後四時半。

山崎は、時刻真正性の方針をまとめた。

時刻真正性方針

一　ログのイベント時刻と取り込み時刻を分けて管理する。

二　システムごとに時刻基準を明示する。

三　NTP設定、上位時刻源、許容ずれ、アラート閾値を台帳管理する。

四　時刻補正が必要な場合、元時刻を保持し、補正後推定時刻と根拠を併記する。

五　重要判断の時刻は、複数の補助時刻で支える。

六　時刻同期設定変更は、重要変更として二名承認・ログ保全対象にする。

七　旧時刻同期プロキシ、旧NTP、検証環境名のDNS再作成を禁止または承認制にする。

八　Evidence Chainに時刻基準を含める。

望月は、それを読んで言った。

「時計まで統制対象になるとは思っていませんでした」

山崎は答えた。

「時計は、すべての記録の土台です」

久我が言った。

「攻撃者が時刻をずらすと、証明書期限、PIM、訓練計画、拒否ログ、時系列、全部が揺らぎます」

三枝は、ノートに書いた。

時計は、すべてのログの床である。

床が傾けば、すべての記録が傾く。

だから、時計を守る。

午後五時四十五分。

CloudBridge Partnersとの緊急確認が始まった。

担当者は、当時のクラウド移行プロジェクト責任者だった相沢。

相沢は、冒頭で言った。

「弊社との契約は三年前に終了しています。旧共有メールやNTP検証環境に関して、現行関与はありません」

山崎が聞いた。

「旧クラウド移行プロジェクト共有メールに、御社アカウントは残っていますか」

相沢は確認し、顔色を変えた。

「閲覧権限が残っています」

黒崎が、静かに息を吐いた。

相沢は続けた。

「ただし、三週間前のMFAリンククリックは弊社作業ではありません。弊社側でも、旧担当者アカウントの状態を確認します」

山崎は、いつものように言った。

「確認対象と期限をお願いします」

相沢は頷いた。

「旧プロジェクト共有メール、当時のNTP検証資料、DNS設定資料、旧担当者アカウント、アクセスログを保全し、二時間以内に一次回答します」

三枝は入力した。

17:48　CloudBridge Partners一次確認。旧クラウド移行プロジェクト共有メールに同社閲覧権限が残存。三週間前のMFAリンククリックは同社作業ではない旨。旧NTP検証資料、DNS設定資料、旧担当者アカウント、アクセスログ保全を依頼。

保存。

また、終わったはずの移行。

終わったはずの共有メール。

攻撃者は、会社が終わらせなかった過去を、今日も歩いている。

午後七時。

その日の最終会議で、山崎はまとめた。

「今日は、時計が攻撃されていた可能性を確認しました」

ホワイトボードには、今日の言葉が並んでいる。

時計の証言システムは、時刻を信じる単一時計に依存しない偽NTP元時刻を消さずに補正する時計は、すべてのログの床

山崎は言った。

「記録の真正性には、内容、時刻、ハッシュ、行動が必要です。昨日はハッシュ。今日は時刻です」

望月が頷いた。

「攻撃者は、当社の過去の順番をずらそうとした」

久我が言った。

「しかし、取り込み時刻、外部受領時刻、メール時刻、現場記録、設備業者記録で補正できます」

秋山が言った。

「複数の時計で、真実を支える」

山崎は頷いた。

「はい。一つの時計が嘘をついても、他の時計が証言します」

三枝は、その言葉をノートに書いた。

時計にも、証人が必要。

午後八時十五分。

Blue Heronから、その日最後のメールが届いた。

件名は、Many clocks。

本文は、短い。

Too many clocks.Too many witnesses.

時計が多すぎる。証人が多すぎる。

三枝は、保全した。

会議室には、静かな安堵が広がった。

攻撃者が嫌がることを、また一つ見つけた。

山崎が言った。

「良い反応です」

望月が頷いた。

「証人を増やしましょう」

久我が言った。

「重要システムは、単一時刻源依存をなくします」

黒崎が続けた。

「NTP設定も、変更管理に入れます」

秋山が言った。

「証跡一覧に時刻基準を入れ続けます」

大石が言った。

「現場記録も、システム時刻だけでなく、責任者記録を残します」

三枝は入力した。

20:15　不明差出人より件名“Many clocks”のメール受信。複数時計・複数証人による時刻真正性対策に反応した可能性。“時計が多すぎる。証人が多すぎる”と記載。証跡保全。

保存。

午後十時。

三枝は、一人で時刻補正表を見ていた。

元イベント時刻。取り込み時刻。補正後推定時刻。補助時刻。根拠。

表は複雑だった。

だが、その複雑さが、会社を守る。

単純な時刻だけなら、攻撃者にずらされる。複数の時計を重ねれば、ずれが見える。

三枝は、自分のノートに書いた。

真実は、一つの時計では測れない。複数の時計が、順番を守る。

山崎が、背後から言った。

「今日も良いですね」

三枝は、振り返らずに笑った。

「もう、わざと見えるように書いています」

「それで良いです」

「先生」

「はい」

「時系列表って、ただの表じゃないですね」

山崎は、静かに答えた。

「はい。会社が自分の時間を取り戻すための道具です」

三枝は、その言葉を見つめるように、画面を見た。

会社の時間。

攻撃者は、会社の過去をずらそうとした。会社は、複数の時計でそれを戻そうとしている。

ハッシュの鎖。記録の錨。時計の証人。

三枝は、時系列表を保存した。

午前零時。

三枝は、時系列表の最後に入力した。

00:00　SafetyBoard、PublicNoticeHub、設備管理等でイベント時刻と取り込み時刻の差異を確認。time-sync-proxy-oldが三週間前にinfra-maint-legacyにより標準NTPからntp-backup-lab.localへ変更され、offset tolerance拡大・アラート無効化されていたことを確認。ntp-backup-lab.localは旧検証環境名を再作成した偽NTP疑い。対象システムを標準NTPへ切替え、過去ログは元時刻を保持し補正後推定時刻を併記する時刻補正表を作成。

保存。

画面右下。

保存しました。

三枝は、自分のメモにも最後の一行を追加した。

時計が嘘をついても、他の時計に聞く。記録が揺れたら、時刻の証人を増やす。

保存。

第三会議室の外では、夜の倉庫が静かに動いていた。

ラベルには時刻が印字されている。出荷記録にも時刻がある。現場責任者の確認にも時刻がある。ログにも、メールにも、証跡にも時刻がある。

一つの時計だけではない。

会社は、複数の時計で自分の過去を支え始めていた。

そして、その時計たちは、もう攻撃者だけのものではなかった。