中小企業の機器廃棄で情報漏洩を防ぐ：データ安全消去の手順と廃棄証明書の取得方針

使い終わったPCやサーバーを「ただゴミとして捨てた」だけで、取引先の情報が流出し、会社の信頼が失われる事案が後を絶ちません。機器廃棄時のデータ消去は、ITに詳しくない経営者でも経営判断として押さえておくべき重要課題です。

この記事では、中小企業が機器廃棄の際に行うべきデータ安全消去の方法と、廃棄証明書の取得・保管方針について、実践的な手順とともに解説します。社内規程の整備から業者選定まで、決裁者が知っておくべき内容を網羅しました。

機器廃棄時のデータ消去を怠ると何が起きるか

使用済みの機器には、業務データ・顧客情報・経理データ・内部メールなど、膨大な機密情報が残っています。「初期化した」「フォーマットした」という認識でもデータは残ることが多く、市販の復元ソフトで容易に読み取れます。

実際に起きた事例として、官公庁が廃棄したPCのハードディスクがネットオークションに転売され、数万件の住民情報が流出したケースが報告されています。中小企業でも同様の事例は頻繁に発生しており、「うちの規模では狙われない」という考えは危険です。廃棄された機器はリサイクル業者を経由し、不特定多数の手に渡ります。その過程で意図せず情報が流出するリスクは常に存在します。

情報漏洩が発覚した場合のリスクは多岐にわたります。

・個人情報保護法違反による行政指導・罰則： 2022年の改正で個人情報保護法の罰則が強化され、法人への課徴金は最大1億円に引き上げられました。廃棄手順の記録がなければ、適切な管理を怠ったとみなされる可能性があります。
・取引先・顧客からの損害賠償請求： 情報漏洩によって生じた損害について、民事上の賠償責任を問われるケースが増加しています。廃棄証明書があれば過失の有無を立証しやすくなります。
・事業継続への影響： 情報漏洩を起こした企業が取引先から契約を打ち切られ、売上が大幅に減少した事例も報告されています。信頼回復には数年単位の時間がかかります。
・社会的信用の毀損： インターネット上に情報漏洩の事実が拡散すると、採用・融資・新規受注にまで悪影響が及びます。

士業事務所（税理士・社労士・弁護士など）では、顧客の機密情報を日常的に扱うため、廃棄機器の管理は守秘義務遵守の観点から特に重要です。廃棄手順を文書化し、証跡を残すことが求められます。士業では一件の情報漏洩が事務所の存続に直結する可能性があります。

また、情シス兼任の担当者にとっても、廃棄証明書の取得は後でトラブルが発生した際の免責証拠として機能します。廃棄手順を標準化しておかないと、担当者が変わるたびに属人的な対応が繰り返され、いつかリスクが顕在化します。今回の機会に、廃棄手順を会社のルールとして明文化することを強く推奨します。

データ消去の3つの方法と選定基準

機器廃棄時のデータ消去には、大きく3つの方法があります。それぞれに特徴があり、機器の種類や機密性のレベルに応じて使い分けることが重要です。中小企業では一律に高コストな方法を選ぶ必要はありませんが、機密情報を扱う機器については確実性の高い方法を選択します。

・方法1：ソフトウェアによる上書き消去： 専用のデータ消去ソフトを使い、ストレージ全域をランダムデータで繰り返し上書きする方法です。HDD（ハードディスクドライブ）に対して有効で、上書き回数を増やすほど復元困難になります。米国国防総省の規格「DoD 5220.22-M」では3回上書き、ドイツのBSI標準では7回上書きが推奨されています。代表的なツールとしては「DBAN（Darik’s Boot and Nuke）」「Eraser」「KillDisk」などがあります。いずれも無料または低コストで利用でき、中小企業でも導入しやすい選択肢です。ただし、SSD（ソリッドステートドライブ）に対してはこの方法の効果が限定的です。SSDはウェアレベリング機能により書き込み先を分散させるため、上書きしても復元可能なデータが残る場合があります。SSDには後述の物理破壊または専用の「ATA Secure Erase」コマンドの使用を推奨します。
・方法2：物理破壊（穿孔・破砕・溶解）： ストレージメディア本体を物理的に破壊する方法です。専用ドリルで穿孔する、シュレッダーで裁断する、溶解炉で溶かすなどの手段があります。コストはかかりますが、データ復元が原理的に不可能になるため、最高機密情報を扱う場合や故障したHDD・SSDの廃棄に最適です。廃棄業者に依頼する場合、破壊作業を立ち会い確認できるサービスを選ぶと安心です。
・方法3：暗号化消去（Cryptographic Erase）： ストレージ内のデータを事前に暗号化しておき、廃棄時に暗号化キーのみを削除する方法です。キーが失われれば、残ったデータは意味をなさない暗号文となり、実質的に読み取り不能です。SSDや自己暗号化ドライブ（SED）に特に有効で、高速かつ確実に消去できます。ただし、事前に暗号化設定をしていない機器には適用できないため、購入時から暗号化を有効にしておく運用設計が前提です。

3つの方法は組み合わせて使うことも可能です。たとえば「ソフトウェア消去を実施した上で物理破壊する」という二重対策を最高機密機器に適用する企業もあります。自社の機密レベルと予算に応じて方針を決め、社内規程に明記することが重要です。

中小企業が実践する機器廃棄の具体的な手順

実際の廃棄手順を3ステップで解説します。担当者が変わっても同じ品質で実施できるよう、手順書として文書化することを強く推奨します。

1. 廃棄対象機器の棚卸しと分類

まず社内に存在する全機器を把握します。管理台帳（資産台帳）がある場合はそれを参照し、ない場合は今回を機に作成します。台帳には機器名・シリアル番号・使用期間・記録されているデータの種類・最終使用者を記録します。スマートフォン・タブレット・外付けHDD・USBメモリも忘れずに含めてください。

次に機密レベルで分類します。

・高機密（最優先対応）： 顧客情報・個人情報・契約書・経理データを扱っていた機器。物理破壊または専門業者への委託を推奨します。
・中機密（標準対応）： 社内業務データ（スケジュール・議事録・設計資料等）を扱っていた機器。ソフトウェア消去で対応可能です。
・低機密（簡易対応）： インターネット閲覧・社外公開資料のみを扱っていた端末。ソフトウェア消去後に廃棄可能です。

2. データ消去の実施

機密レベルに応じた消去方法を選択し、実施します。ソフトウェア消去を社内で行う場合は、まず機器のストレージ情報（製品名・シリアル番号）を記録し、消去ソフトを起動、設定した方法（上書き回数・規格）で消去を実行、完了後に消去証明ログ（ソフトが自動生成するもの）を保存します。消去に要する時間はHDDの容量によって異なり、500GB換算で1～3時間程度が目安です。業務時間外に実施するか、複数台を並行処理できる体制を整えると効率的です。

物理破壊を依頼する場合は、業者に持ち込む前にストレージのシリアル番号を記録しておきます。破壊後に業者から発行される「廃棄証明書」「消去証明書」が、このシリアル番号と一致していることを確認します。

3. 廃棄業者の選定と依頼

機器の処分は専門の廃棄業者（産業廃棄物収集運搬業の許可業者）に依頼します。データ消去と廃棄を合わせて請け負う業者を選ぶ場合は、以下の点を確認します。

・認定・資格の確認： 産業廃棄物収集運搬業許可証を持っているか。JIIMA認定やAMS認定を取得している業者はより信頼性が高い。
・消去証明書の発行有無： 機器ごとにシリアル番号が記載された証明書を発行してもらえるか。一覧形式ではなく機器単位での発行が理想です。
・データ消去方法の明示： どの規格・方法でデータを消去するかを事前に書面で確認できるか。
・セキュリティ輸送の対応： 機器の回収から廃棄までの間、情報漏洩が生じない管理体制があるか。施錠車両・GPS管理・回収記録などの対応を確認します。

データ消去方法の比較表

機器の種類や機密レベルに応じて、最適な消去方法は異なります。以下の比較表を参照してください。

方法	対象メディア	コスト	確実性	証明書取得
ソフトウェア上書き消去	HDD（主体）	低（無料ツールあり）	中～高	自動生成ログを保存
ATA Secure Erase	SSD	低（コマンド操作）	高	実行ログ保存が必要
物理破壊（穿孔・破砕）	HDD / SSD 両対応	中～高（業者費用）	最高	業者発行の証明書
暗号化消去（Crypto Erase）	SSD / SED	低（事前設定が前提）	高	設定記録の保管が必要
専門業者委託（一括）	全種類対応	高	最高	業者発行の証明書

ポイントは「確実性」と「証明書取得のしやすさ」のバランスです。士業事務所や顧客情報を多く扱う企業には、物理破壊または専門業者委託を強く推奨します。対応コストがかかるように見えますが、廃棄費用の相場はHDD1台あたり500円～2,000円程度（物理破壊込み）です。情報漏洩時の損害と比較すれば十分に見合う投資です。

なお、「初期化だけ済ませてリサイクル店に売却する」という方法は絶対に避けてください。業務用機器のデータ復元リスクは一般ユーザーが想像するより格段に高く、専門知識を持った第三者であれば短時間でデータを取り出せます。売却益と情報漏洩リスクは引き合いません。

廃棄証明書の取得と保管方針

廃棄証明書は、機器廃棄後に情報漏洩が指摘された際の「消去済み証拠」として機能します。証明書がなければ、適切な手順でデータを消去したことを外部に証明できません。取得と保管を組織的なルールとして定めておくことが重要です。

廃棄業者から発行される証明書には主に2種類あります。

・産業廃棄物管理票（マニフェスト）： 廃棄物の種類・数量・処分方法を記録した法定文書。A票（排出事業者保管用）は5年間保存が法律で義務付けられています。この書類だけではデータ消去の証明にはなりません。
・データ消去証明書（廃棄証明書）： 各機器のシリアル番号・消去日時・消去方法が記載された書類。法的義務はないものの、情報漏洩対策の証拠として取引先・監査機関に提示できます。このシリアル番号が廃棄前に記録した番号と一致していることを必ず確認します。

社内でソフトウェア消去を行った場合は、消去ソフトが自動生成するログファイルを印刷またはPDF保存し、管理台帳と紐づけて保管します。ログには機器シリアル番号・消去日時・使用ソフト名・上書き回数が含まれていることを確認してください。

廃棄証明書の保管期間については法律の明示的な定めはありませんが、個人情報保護に関する社内規程と合わせて「5年間保存」を標準とすることを推奨します。産業廃棄物管理票の5年保存と合わせて管理すると煩雑さが減ります。

保管場所はデジタル（PDF）とアナログ（紙）の両方を用意し、担当者が退職しても後任がすぐに参照できる体制を整えます。クラウドサービス上のフォルダに格納する場合は、アクセス権限を限定し、少なくとも情シス担当と経営者の2名が参照できる設定にします。

機器廃棄の証明書管理は、資産管理台帳の定期棚卸し（年1回以上を推奨）と連動させます。台帳上「廃棄済み」とした機器に対して証明書が揃っているか確認することで、証明書の欠落を早期に発見できます。この棚卸しを年次の情報セキュリティ点検の一環として実施すると、経営者への報告も一体化できます。

よくある質問

Q1. 「フォーマット」や「初期化」ではデータは消えないのですか？

A. 通常の意味での「フォーマット」や「工場出荷時設定への初期化」は、データそのものを消去するのではなく、ファイルを管理するインデックス（目次）を削除するだけです。実データはストレージ上に残っており、専用の復元ソフトを使えば短時間で元のデータが読み出せます。完全消去には専用のデータ消去ソフトによる上書き、または物理破壊が必要です。「削除した」「フォーマットした」という認識のまま廃棄することが、情報漏洩事故の最大の原因の一つです。

Q2. ストレージを外して廃棄すれば安全ですか？

A. 本体からストレージ（HDDやSSD）を取り外して廃棄することは一定の意味がありますが、それだけでは不十分です。取り外したストレージを別の機器に装着すればデータを読み取ることができます。ストレージ単体であっても、廃棄前に必ずデータ消去を実施するか、物理破壊してから廃棄してください。また、PCのマザーボード上に搭載されているeMMC（組み込みフラッシュメモリ）は取り外せない場合があり、その場合は物理破壊が唯一の選択肢です。

Q3. スマートフォンやタブレットも同様の手順が必要ですか？

A. 必要です。業務用スマートフォン・タブレットには、メール・連絡先・クラウドサービスのアクセストークン・社内システムの認証情報などが保存されています。廃棄前には、①クラウドサービスからのアカウント削除、②MDM（端末管理システム）からの除外、③工場出荷時設定へのリセット（暗号化が有効な端末ではこれで実質的に消去完了）を実施します。廃棄証明書は端末管理台帳と紐づけて保管します。

Q4. 廃棄業者はどこで探せばよいですか？

A. 環境省が公開する産業廃棄物情報システム（JWNET）や各都道府県の産業廃棄物担当窓口で、許可業者を検索できます。データ消去証明書の発行実績と、JIIMA（日本イメージング情報マネジメント協会）などの業界認定を取得している業者を優先すると安心です。見積もりを複数社から取り、価格だけでなく消去方法・証明書内容・輸送管理の3点を比較して選定します。

Q5. 廃棄証明書はいつまで保管すればよいですか？

A. 法律上の明示的な定めはありませんが、個人情報保護法に基づく対応記録や産業廃棄物管理票（マニフェスト）の保管義務（5年）に合わせて、5年間の保存を社内ルールとして設定することを推奨します。取引先や監査機関から求められた際に即座に提示できるよう、デジタルと紙の両方で保管し、検索しやすいよう廃棄年月・機器名・シリアル番号でファイル名を付けておきます。

機器廃棄前チェックリスト

廃棄作業を始める前に、以下の項目を確認してください。担当者が変わっても同じ品質を維持するため、この一覧を社内手順書に組み込むことを推奨します。

・廃棄対象機器の台帳登録： 機器名・シリアル番号・使用期間・最終使用者を資産台帳に記録したか。
・機密レベルの分類： 顧客情報・個人情報・経理データ等を扱っていた機器を高機密として特定したか。
・データ消去方法の確定： 機密レベルと機器種別（HDD / SSD）に応じた消去方法を選定したか。
・ソフトウェア消去ログの保存： 自社消去を行った場合、消去ソフトのログ（日時・方法・対象機器シリアル番号）を保存したか。
・廃棄業者の許可証確認： 産業廃棄物収集運搬業許可証を書面で確認したか。
・消去証明書の受領確認： 業者からシリアル番号付きの廃棄証明書・消去証明書を受け取ったか。
・マニフェスト（産業廃棄物管理票）の保管： A票を受領し5年保管の管理体制に組み込んだか。
・資産台帳の廃棄ステータス更新： 台帳上の該当機器を「廃棄済み」とし、証明書の保管場所を記録したか。
・クラウドサービスのアカウント削除： 廃棄機器に紐づくクラウドサービスアカウント・デバイス登録を解除したか（スマートフォン・タブレットを含む）。
・担当上長への報告： 廃棄完了と証明書取得の結果を情シス担当者または経営者に報告し、承認を得たか。

まとめ

中小企業の機器廃棄において、データ消去と廃棄証明書の取得は「やった方がよい」ではなく、経営リスクを防ぐために「実施すべき」判断です。情報漏洩が発覚した際に証跡がなければ、善意の対応をしていても責任を問われます。

改めて要点を整理します。

・フォーマット・初期化はデータ消去にならない： 専用ソフトによる上書きまたは物理破壊が必要です。
・SSDには上書き消去が効きにくい： ATA Secure Eraseまたは物理破壊を選択します。
・廃棄証明書はシリアル番号が記載されたものを取得： 5年間保管し、資産台帳と紐づけます。
・廃棄手順を文書化して社内ルール化： 担当者依存をなくし、属人化を防ぎます。
・スマートフォン・タブレットも忘れず対象に含める： 端末管理台帳と廃棄証明書を一体で管理します。

廃棄手順を文書化し、廃棄証明書を5年間保管する体制を整えることで、取引先・監査機関・顧客に対して信頼の証明が可能です。今回の記事を参考に、まず自社の廃棄済み機器の証跡確認から始めてみてください。

機器廃棄を含むセキュリティポリシーの整備、社内規程の作成、廃棄業者選定のサポートが必要な場合は、お気軽にご相談ください。

情報セキュリティ・IT整備についてのご相談はこちら