ISMSでパソコンを廃棄・返却するときは？データ消去と証明書の確認ポイント
リース会社へパソコンを返したのに、情報資産台帳ではまだ使用中。消去証明書は届いているものの、どのPCの記録なのか分からない。廃棄・返却では、機器を引き渡す作業と、データ消去の完了を確かめる作業をつなげる必要があります。
対象を特定し、機器に合う消去方法を確認し、結果を記録して管理を閉じる。その流れを、ISOトラストがIT企業で手順と台帳を整えた実例とともに説明します。
▼目次
1. 廃棄・返却するPCと記憶媒体を、管理番号で特定する
最初に、手放すPCの管理番号、メーカー・型番、製造番号、使用部署、使用者、現在の保管場所を確認します。自社所有かリース品か、廃棄・売却・返却のどれに当たるかも整理しましょう。台帳に載っている台数と、実際に回収した台数を照合します。
PC本体だけでなく、交換して取り外したSSD・HDD、増設した記憶媒体が残っていないかも確かめます。PCと媒体を別々に処理するなら、どの媒体がどのPCに搭載されていたかを記録します。破壊後や搬出後に番号を調べようとしても、照合できなくなる場合があります。
社外で使う端末は、利用者から管理担当者への回収状況も確認します。回収できていないPCを、廃棄予定の一覧へ入れただけで処理済みにしてはいけません。
2. データ消去の前に、残す情報と返却条件を確認する
業務データの引き継ぎや保存の必要性を、利用部署の責任者に確認します。必要なファイルが別の承認済み保存先へ移され、利用できることを確かめてから消去へ進みます。保存義務や顧客との約束がある情報まで、担当者の判断だけで消さないようにします。
クラウドを使っていても、ダウンロードした資料、メールの保存データ、同期フォルダ、ブラウザーの認証情報などが端末側に残る可能性があります。『社内データはクラウドにあるから、このPCには何もない』と決め付けず、用途から確認します。
リース品は、消去を自社と返却先のどちらが行う契約か、媒体の取り外しや破壊が認められるか、返却期限や返却時の状態を事前に確認します。所有者の了解なく記憶媒体を破壊すると、契約上の問題につながるため、返却条件に合う方法を協議します。
端末の消去と、クラウドの利用権限や端末登録の解除は別の作業です。必要に応じて端末管理の登録、ライセンス、セッションなども整理し、引き継ぎや消去に必要な管理機能まで先に使えなくしないよう、順番を決めます。
3. HDD・SSDの種類と状態に合うデータ消去方法を選ぶ
通常のファイル削除やごみ箱を空にする操作だけで、廃棄・返却に必要な消去が済んだとは判断できません。初期化も、選んだ機能と設定、実行範囲によって内容が違います。名称だけを見ず、その機種と保存媒体でどこまで処理されるかを確認します。
HDDとSSDでは情報を記録する仕組みが違います。SSDにHDD向けの上書きを繰り返せば十分とは限らず、磁気による消去もSSDへそのまま適用できません。媒体の仕様、対応する消去機能、扱う情報の重要性、再利用するかどうかを踏まえ、社内の技術担当者や委託先と方法を決めます。
暗号化していたPCも、ログインできなくしただけで消去済みと扱わないようにします。暗号化を利用した消去では、対象情報が適切に暗号化されていたか、関連する鍵をどう扱うかなど、方式の前提を確認する必要があります。
起動しないPCや、消去処理がエラーになった媒体は、データがなくなったと考えず、未完了として管理します。専門業者による対応など、機器の状態に合う処置を決めましょう。NISTのガイドも、媒体と方法の適合、処理結果の確認を重視しています。
4. 委託先への引き渡しから消去完了まで、担当と期限を決める
外部へ依頼する場合は、対象一覧、作業する場所、方法、再委託の扱い、消去できなかった機器への対応、完了報告の期限をすり合わせます。証明書の有無だけでなく、機器の製造番号や作業結果を、どの形式で受け取れるかも依頼前に確認します。
ISMS認証を取得している業者でも、自社が必要とする消去記録を必ず発行するとは限りません。認証の対象範囲と依頼する作業の関係、契約上の責任、輸送中や作業待ちの管理を具体的に確認しましょう。料金だけで消去の範囲を判断しないことが大切です。
消去前のPCは、使用中の機器や処理済み機器と区別し、管理担当者、保管場所、処理予定日を決めます。施錠や持ち出し制限などで、データが残る状態の機器を無断で持ち出されないようにします。引き渡す際も、日時、相手先、対象と台数、受領の記録を残します。
返却先が消去する契約なら、引き渡した後も『消去完了の報告待ち』として追跡します。期限までに記録が届かなければ担当者が照会し、消去完了と確認できるまで管理が途切れないようにします。
5. 消去証明書は、対象機器と結果を照合してから台帳へ反映する
届いた証明書や報告書は、依頼した台数、PCや媒体の製造番号、消去実施日、方法、結果を照合します。証明書の名称が『廃棄証明書』や『回収証明書』であっても、データ消去の内容まで記載されているとは限りません。どの作業の完了を示しているかを読みます。
番号の不一致、対象漏れ、失敗や確認不能の記載があれば、その機器は完了にせず、委託先へ確認します。社内で消去した場合も、対象媒体、実施者、実施日、方法、処理結果と確認者を残し、出力できるログなどと結び付けます。
台帳には、廃棄・返却の区分、引渡日、消去の実施日と確認日、証明書番号・保管先、最終確認者などを記録します。『返却日』と『消去完了確認日』を分けると、機器が社外にあっても確認が終わっていない状態を把握できます。記録の保管先、閲覧権限、保存期間は自社のルールや適用条件に合わせます。
個人情報保護委員会の通則編は、個人データの削除や機器等の廃棄で復元不可能な手段を用いることを示し、記録の保存や、委託先での確実な処理を証明書等で確認することも重要としています。『証明書が一枚あれば十分』とせず、対象と作業内容を確認しましょう。
照合の進め方の例（説明用）
台帳のPC管理番号から製造番号を確認し、引渡一覧と消去報告書の同じ番号を探します。成功の記録と依頼した処置がそろえば確認日・確認者を記入し、不一致なら未完了欄に理由と確認期限を残します。実際のお客様の個別作業記録ではなく、確認方法を示す例です。
6. IT企業の支援事例：返却後も消去完了を確認できる手順へ
ISOトラストがISO27001の運用を支援したシステム開発・ITインフラ保守業のお客様では、ノートPC、デスクトップPC、リースPC、交換済みのSSD・HDDを管理していました。購入・貸与時の台帳登録は行っていましたが、廃棄や返却時の更新方法が曖昧で、返却したPCが使用中のまま残るなどの課題がありました。
社内での消去と外部委託の分担、証明書を取得・保管するルールも統一されていませんでした。証明書を受領していても、製造番号が台帳の管理番号と結び付かず、どのPCの消去が完了したのかを確認するのに時間がかかっていました。
ISOトラストは業務の流れを聞き取り、廃棄・返却手順と台帳を見直しました。台帳に処理区分、消去実施日、実施者、方法、証明書番号、最終確認者などを加え、PCごとの記録を結び付ける管理方法を整備。返却先が消去する場合も、引き渡しだけで完了とせず、完了記録まで確認するルールにしました。
ISOトラストは手順・記録・委託先管理の整理と内部監査に向けた確認を支援し、お客様の情報システム担当者や情報セキュリティ管理責任者が、実際の回収、消去、業者への依頼、証明書取得、台帳更新、最終承認を担いました。
支援後は、PCごとの処分状況と消去完了を確認しやすくなり、内部監査や審査でも台帳、廃棄・返却記録、証明書を関連付けて説明しやすい仕組みになりました。自社でも、最近返却したPCを一台選び、消去の確認記録までたどれるか確かめてみてください。手順と台帳のつながりを整えたい場合は、ISOトラストへご相談ください。
著者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
コメント