法人のHDD・SSD廃棄方法｜データ消去と情報漏えい対策

HDD・SSDの廃棄で情報漏えいが起こる理由

企業で使用されていたHDDやSSDには、顧客情報、従業員情報、契約書、経理資料、社内システムの設定情報などが保存されている可能性があります。

パソコンとして使用できなくなった機器でも、記憶媒体が正常に動作する場合があります。また、OSが起動しなくても、内部のデータを読み出せる状態で残っていることがあります。

そのため、機器を廃棄することと、保存データを安全に処理することは分けて考える必要があります。

ファイル削除や初期化だけで大丈夫？

パソコンを手放す際に、ファイルの削除や初期化を行うことがあります。しかし、これらの操作が必ずしも安全なデータ消去を意味するわけではありません。

ファイルの削除

ファイルをごみ箱に入れて削除しても、記録されたデータそのものが直ちに消えるとは限りません。保存領域の状態によっては、以前の情報が復元できる場合があります。

フォーマット

クイックフォーマットなどでは、ファイルを管理する情報が初期化されても、元のデータが残る場合があります。

OSの初期化

Windowsなどには、データ削除を考慮した初期化機能も用意されています。ただし、機能や設定、装置の状態によって処理内容は異なります。

法人では「初期化した」という事実だけではなく、どの処理を実施し、正常に完了したかを確認することが重要です。

HDDとSSDでは適切なデータ消去方法が異なる

HDDとSSDはデータの記録方式が異なるため、同じ方法で処理すればよいとは限りません。

法人が検討する主なデータ処理方法

1．上書き消去

記録領域に別のデータを書き込む方法です。正常に処理できるHDDなどで利用される場合があります。

ただし、故障領域やアクセスできない領域がある場合は、十分な処理が行えない可能性があります。SSDでは内部制御の影響もあり、通常の上書き操作だけで全領域を処理できるとは限りません。

2．専用の消去機能・暗号化消去

記憶媒体が対応する専用の消去機能や、適切に暗号化されたデータの鍵を無効化する方法があります。

媒体の仕様や暗号化状態、消去機能の実装によって有効性が異なるため、対応状況と処理結果の確認が必要です。

3．物理破壊

記憶媒体の記録部分を物理的に破壊する方法です。再利用しない媒体や、正常にデータ消去できない媒体などで選択肢となります。

ただし、外装に穴を開けたり一部を変形させたりしただけでは、記録部分が十分に破壊されたとは限りません。媒体の構造に適した方式と、結果の確認が重要です。

4．消磁

強い磁力によって磁気記録を乱す方法です。対応するHDDなどで用いられる場合がありますが、装置の性能や媒体の特性を確認する必要があります。

消磁後のHDDは通常、再利用できません。また、SSDのようなフラッシュメモリには効果がありません。

外部業者へ依頼する場合は管理体制も確認する

法人がHDD・SSDの処理を外部に依頼する際は、処理方式だけではなく、引き渡しから処理完了までの管理が重要です。

2019年には、神奈川県が使用したサーバーのHDDが、破壊処理を委託された事業者の従業員によって処理前に持ち出され、転売された事件が発覚しました。

この事例からも、消去・破壊技術だけでなく、媒体の保管、運搬、作業場所への立ち入り管理などが重要であることがわかります。

データ消去証明書では何を確認する？

データ消去証明書や物理破壊証明書は、実施された処理の記録を残すための資料です。

法人では、次の情報を確認できることが望まれます。

• 処理対象となった媒体のメーカー・型番
• シリアル番号などの識別情報
• 処理台数と処理日時
• 実施した消去・破壊方式
• 処理の完了確認・検証結果
• 処理できなかった媒体の有無

証明書が発行されたことだけで安全性が保証されるわけではありません。実際の処理結果と、引き渡した媒体の照合が重要です。

パソコンを売却する場合はどうすればよい？

企業で不要になったパソコンやサーバーには、マザーボードやCPU、メモリなどの電子部品が使用されています。機器として利用しなくなっても、資源としての価値が残っている場合があります。

ただし、売却前にHDD・SSDなどの記憶媒体をどのように処理するか、社内の情報セキュリティ方針に基づいて決めておくことが重要です。

キバセンの買取後の処理ページでは、買取したパソコンに内蔵されたHDDの処理方法が案内されています。ただし、引き渡し前の消去・破壊、処理証明書などが社内規程上必要な場合は、依頼前に対応範囲を確認してください。

まとめ｜情報管理とIT機器の資源価値を分けて考える

HDD・SSDを廃棄・売却する際は、通常のファイル削除や初期化だけで判断せず、媒体の種類と情報の重要性に適した方法を検討することが大切です。

さらに、処理前の運搬・保管、処理結果の確認まで含めて管理することが、法人の情報漏えい対策につながります。

適切な情報管理を行ったうえで、不要になったパソコンや電子基板については、買取・リサイクルを検討することもできます。