データ消去証明書と各種認証の見方｜記載項目と消去方式で確認したいこと
「証明書あり」「国際基準準拠」と書かれていたら、何を見ればよいか
「証明書あり」だけでは判断できない
IT機器の廃棄・買取を依頼する業者のサイトには、「データ消去証明書発行」「NIST準拠」「ISO取得」といった表現が並びます。ただ、これらは中身が業者によって異なることがあります。
担当者として確認しておきたいのは、次の3点です。
- 証明書に何が書かれているか
- どの方式で消去したのか
- その業者がどのような認証を持っているのか
確認ポイント1：証明書の記載項目
社内監査や取引先への説明で使える証明書かどうかは、記載項目で決まります。一般に、次の項目が含まれていると、後から追跡しやすくなります。
| 項目 | 確認したい理由 |
|---|---|
| 依頼企業名・作業日 | いつ、誰の依頼で行った作業かを特定するため |
| 機器の種類・シリアル番号 | 台帳と1台ずつ突き合わせるため |
| ストレージの種類・容量 | HDD・SSDなど、対象媒体を特定するため |
| 消去方式（ソフト消去・磁気消去・物理破壊） | どの水準で消去したかを示すため |
| 使用した消去ソフトとバージョン | ソフトウェア消去の場合の再現性のため |
| 作業結果（成功・失敗） | 消去が完了したことを確認するため |
| 破壊前後の写真（物理破壊の場合） | 破壊の事実を視覚的に示すため |
「台数分の証明書が一括で1枚」という場合と、「シリアル番号ごとの一覧」の場合とでは、後から確認できる範囲が大きく異なります。機器台帳と突き合わせる前提であれば、シリアル番号入りの証明書が適しています。
また、証明書の発行が有料か無料か、追加項目で費用が変わるかも、あらかじめ確認しておくと見積もり後の食い違いを防げます。
確認ポイント2：消去方式の違い
データ消去には、大きく3つの方式があります。
ソフトウェア消去（上書き消去）
専用ソフトでストレージ全体に無意味なデータを上書きします。機器を再利用（買取・再販）する場合に向いており、消去結果をレポートとして残せます。
- NIST SP 800-88：米国標準技術研究所が示すメディア消去のガイドライン
- NSA方式・DoD方式：上書きの回数やパターンを定めた方式
どの方式を指すのかは、証明書やレポートの記載で確認できます。なお、SSDは構造上、HDDと同じ上書きでは完全に消えにくいため、SSDに対応した消去方法かどうかも確認ポイントです。
磁気消去
強力な磁気でHDDの記録を破壊します。HDDには有効ですが、SSDには効きません。
物理破壊
ストレージを穿孔・破砕します。再利用はできませんが、最も確実性が高く、故障して消去ソフトが使えない機器にも対応できます。
| 方式 | 再利用 | 向いているケース |
|---|---|---|
| ソフトウェア消去 | 可能 | 買取・再販を前提とした機器 |
| 磁気消去 | 不可 | 廃棄予定のHDD |
| 物理破壊 | 不可 | 故障機・機密性の高いデータを含む機器 |
リサイクル・ポケットでは、ソフトウェア消去（Blancco Drive Eraser）・磁気消去・物理破壊の3方式に対応しており、お客様のセキュリティポリシーに合わせて選択いただけます。詳しくはデータ消去サービスをご覧ください。
確認ポイント3：認証・認定は何を示すのか
| 認証・認定 | 何を示すか |
|---|---|
| ISO/IEC 27001 | 組織として情報セキュリティを管理する仕組みを備えていること |
| プライバシーマーク | 個人情報の取り扱い体制が一定基準を満たしていること |
| ADEC認定 | データ適正消去実行証明協議会が、消去ソフトや消去の実行体制を認証していること |
| R2 | 電子機器のリサイクル・再生に関する国際的な認証 |
| ISO 14001 | 環境マネジメントの仕組み |
ここで大切なのは、認証は「組織」に対するものであり、個々の作業の品質を直接保証するものではないという点です。認証の有無とあわせて、次の点も確認すると判断しやすくなります。
- 作業場所の入退室管理・監視体制
- 運搬時のセキュリティ対策（施錠、追跡など）
- 作業の証跡（レポート、写真、シリアル番号一覧）
リサイクル・ポケットはISO/IEC 27001認証を取得しており、運用面でも情報管理に配慮した体制を整えています。
数字や実績の見方
「実績○社」「情報漏洩0件」などの表現を見かけることがあります。参考になる情報ですが、次の点はあわせて確認しておくとよいでしょう。
- 集計の対象期間や条件は示されているか
- 漏洩が起きた場合の責任や補償はどう定められているか（契約書・約款）
- 実績ではなく、自社の要件を満たす体制かどうか
最終的には、御社のセキュリティ基準を満たしているかで判断することになります。
よくあるご質問
Q. 証明書にシリアル番号が必須なのはなぜですか？ A. 資産台帳の機器と1台ずつ突き合わせて、消去したことを示すためです。監査や取引先への説明で求められることが多くなっています。
Q. SSDは上書き消去で十分ですか？ A. SSD向けの消去方法（ATAセキュアイレースなど）に対応した消去ソフトを使うか、物理破壊を選ぶのが確実です。使用する方式は依頼先に確認してください。
Q. 故障していてソフトが動かないHDDはどうなりますか？ A. 消去ソフトが動作しない場合は、物理破壊で対応するのが一般的です。破壊前後の写真付き証明書の発行が可能か、確認しておくと安心です。
データ消去の方式選びや証明書の記載項目のご相談はこちら
無料でお見積もりを依頼する