この記事の結論
- 結論漏えいの多くは「処理が終わったことを記録で確認できない」状態で起きる
- 経路委託先での転売／初期化のみでの譲渡／保管中の紛失／破壊の不足の4つ
- 初期化通常のフォーマットが消すのは管理情報が中心。データ本体は残りうる
- SSDウェアレベリング・予備領域・TRIM のため上書きが全体に及ぶとは限らない
- 対策記録面そのものを壊し、媒体ごとの証跡を残すことで説明できる状態にする
使用済みのパソコン・サーバー・外付けドライブを手放すとき、多くの企業が気にするのは「データは消えているか」という一点です。しかし実際に報じられる情報漏えいは、消し忘れそのものよりも、手放したあとの工程で何が起きたかを誰も確認していなかったことに起因する例が目立ちます。公的機関が委託した廃棄業者による記録媒体の転売事案が報じられ、廃棄時の確認手順が見直される契機となったのも、まさにこの構図でした。
この記事は、ハードディスク（HDD）の処分にともなう情報漏えいの発生経路を整理する解説記事です。当社のサービス内容や料金には踏み込まず、リスクの構造と、社内で決めておくべき確認事項に絞って書いています。当社に依頼する場合の具体的な進め方は情報漏えい対策としてのHDD破壊（内部統制・証跡管理）に、破壊方式そのものの選び方はHDD・SSDの処理方式の比較（物理破壊・消去・磁気）にまとめています。
廃棄した記憶媒体から情報が漏れる4つの経路
廃棄・入替にともなう情報漏えいは、大きく4つの経路に整理できます。どれも「悪意ある高度な攻撃」ではなく、通常の業務手続きの延長線上で起きるという点が共通しています。自社のどの工程にどの経路が潜んでいるかを、まず棚卸ししてみてください。
経路①：委託先での転売・横流し
もっとも被害が大きくなりやすいのが、処理を委託した先で媒体が破壊されず、そのまま市場に流れる経路です。委託した側から見ると、機器を引き渡した時点で手続きは終わったように見えます。しかし、引き渡し先が実際に破壊したかどうかを確認する仕組みがなければ、その後どう扱われたかは把握できません。公的機関が委託した廃棄業者による記録媒体の転売事案が報じられ、廃棄時の確認手順が見直される契機となったのも、この「引き渡し後が見えない」という構造が背景にありました。
この経路が怖いのは、漏えいが発覚するまでに時間がかかることです。中古市場に出た媒体からデータが読み出され、第三者の指摘で初めて判明する、という順序になりがちで、そのときには何台が流出したのかを自社で特定できない状態になっています。データ消去業者へデータ消去の委託を行う場合は、引き渡した後の工程まで含めて記録が残るかどうかを、契約前に確認しておく必要があります。
経路②：初期化のみで譲渡・売却する
次に多いのが、初期化やフォーマットだけを済ませて、機器を中古売却・下取り・社内転用・従業員への払い下げに回す経路です。画面上はデータが見えなくなるため「消えた」と判断してしまいますが、後述するとおり、通常のフォーマットが書き換えるのはファイルの管理情報が中心です。市販の復元ソフトで読み出せる状態のまま第三者の手に渡ることになります。
特に注意したいのが、リース満了に伴う返却です。返却先で消去が行われる取り決めになっていても、その工程を自社で確認できなければ、経路①と同じ構造になります。返却前の処理をどう設計するかはリース返却・ITADでのデータ消去と返却前処理で整理しています。
経路③：保管中の紛失・盗難
「処分する予定の機器」を居室の隅やサーバールーム、倉庫に積んだまま数か月・数年が経過している状態も、立派な漏えい経路です。すでに資産管理の対象から外れているため員数が把握されておらず、1台なくなっても気づけません。持ち出しの敷居も低く、退職時の持ち出しや、移転作業の混乱に紛れた紛失が起こりえます。
この経路への対策は技術ではなく運用です。処分待ちの媒体を台帳で管理し、保管期間そのものを短くするのがもっとも効果があります。移転や閉鎖で一度に大量の機器が出る場合は、保管期間が延びやすいので特に注意が必要です。急な入替で処分を先送りにしそうな場合は、即日・スポット対応（急ぎのHDD破壊）のような短納期の選択肢も検討してください。
経路④：破壊が不十分で復元される
自社で壊してから捨てる、という方針にも落とし穴があります。ケースをへこませただけ、基板だけを割っただけ、記録面を1箇所だけ突いただけ、といった処理では、記録面の大部分が無傷のまま残ります。専用の設備を持つ復旧事業者であれば、そこから読み出せる可能性が残ります。SSDの場合は、基板上の記録チップが割れていなければ、チップ単位でデータが残ります。
加えて、自分で壊す作業には割れた金属片やプラッタ（プラッター／記録円盤）の破片による怪我のリスクもあります。工具でHDDを壊す際に何が起きるかはHDDを自分で壊す方法とその危険性で詳しく説明しています。
なぜ「初期化した」では不十分なのかフォーマット・SSD・故障機
経路②と④の根っこにあるのが、「初期化＝データが消えた」という理解のずれです。ここを技術的に整理しておくと、社内の説明もしやすくなります。
フォーマットが消しているのは管理情報
ファイルシステムは、実データの本体とは別に「どのファイルがどこに記録されているか」という索引を持っています。Windows のクイックフォーマットやファイル削除で書き換えられるのは、主にこの索引の側です。実データは記録面に残ったままで、上書きされるまで読み出せる状態が続きます。復元ソフトが動作するのはこの仕組みによるものです。
いわゆる「通常フォーマット」では領域のチェックが行われますが、全領域を意味のないデータで確実に上書きする処理とは目的が異なります。データを読み出せない状態にすることを目的とするなら、専用の上書き消去（サニタイズ）を行うか、記録面そのものを壊す必要があります。消去と破壊の位置づけの違いはデータ消去と物理破壊の違い（どちらを選ぶか）で比較しています。
SSDで上書きが効きにくい理由（ウェアレベリング・予備領域・TRIM）
SSDでは、上書き消去がHDDほど素直に働きません。理由は3つあります。第一にウェアレベリングです。フラッシュメモリは書き換え回数に上限があるため、コントローラが書き込み先を内部で分散させます。利用者が「同じ場所を上書きした」つもりでも、実際には別のブロックに書かれ、元のデータが残ったブロックが解放されずに残ることがあります。
第二に予備領域（オーバープロビジョニング領域）です。SSDには表示容量に含まれない予備のブロックが確保されており、外部からは直接アクセスできません。上書きコマンドはこの領域まで届かないため、過去のデータが残る可能性があります。第三にTRIMです。削除された領域を事前に消去して書き込み性能を保つ仕組みですが、実行されるタイミングはOS・接続方式・コントローラの実装に依存し、必ず即座に消えるとは限りません。
これらの事情から、SSDでは記録チップ自体を壊す処理が確実性の高い方法とされています。SSD特有の構造と処理の考え方はSSD・M.2・NVMeの破壊対応を、ソフトによる消去の限界はデータ消去ソフトの限界（どこまで消せるか）をご覧ください。
故障した機器はソフト消去そのものが実行できない
見落とされやすいのが、故障して起動しない機器です。消去ソフトは対象のドライブをOSやツールから認識できることが前提のため、基板が壊れている、通電しない、認識はするが応答しないといった状態では、そもそも消去処理を走らせられません。「壊れているから読めないだろう」と判断して廃棄に回されがちですが、記録面自体は無傷であることが多く、部品を交換すれば読み出せる場合があります。
動かない媒体こそ、記録面を物理的に壊す処理が現実的な選択肢になります。故障機の扱いは壊れて動かないHDDのデータ消去と処分で解説しています。
漏えい経路別のリスクと対策の対応表
4つの経路を、起きやすい場面・有効な対策・後から残る証跡の観点で並べると、対策の優先順位が見えやすくなります。
| 漏えい経路 | 起きやすい場面 | 有効な対策 | 残る証跡 |
|---|---|---|---|
| ①委託先での転売・横流し | 廃棄・リース返却・下取りで媒体を社外へ引き渡したとき | ◎ 引き渡す前に破壊する／媒体を社外に出さない出張オンサイト破壊（立会いのもとで破壊） | ◎ 立会い記録・作業写真・媒体ごとの証明書 |
| ②初期化のみで譲渡・売却 | 中古売却・下取り・社内転用・従業員への払い下げ | ◎ 記録面／記録チップを壊す物理破壊（穿孔・せん断の仕組み）まで行う | × ソフト消去のみでは実施記録が残らないことがある |
| ③保管中の紛失・盗難 | 処分待ちの機器を居室・倉庫に長期間置いているとき | ◎ 台帳で員数を管理し、施錠保管のうえ処分までの期間を短くする | △ 社内の資産台帳と引き渡し時の受領記録のみ |
| ④破壊が不十分で復元される | 自社でへこませただけ・穴を1つ開けただけ・基板だけ壊した場合 | ◎ 専用機で記録面を複数箇所にわたり穿孔・せん断する | ◎ 破壊後の状態を写した写真付き証明書 |
4経路のうち①②④は「処理を確実に行う」ことで、③は「置きっぱなしにしない」という運用で抑えられます。そしていずれの経路でも、後から説明できるかどうかを決めるのは媒体ごとに何が記録されたかです。証跡の考え方は証明書・証跡（発行できる書類の一覧）にまとめています。
委託先を選ぶときに確認すべきこと
社外へデータ抹消を委託する場合、価格や納期の前に確認しておきたい項目が4つあります。いずれも見積書だけでは分からず、質問して初めて分かることです。
作業の受託範囲が明示されているか
「データ消去に対応」と書かれていても、その事業者が自社で行う作業が何なのかは別問題です。物理破壊・データ消去ソフトによる消去・磁気消去（デガウス）・裁断や溶解のうち、どれを自社設備で行い、どれを再委託するのかを確認してください。再委託がある場合、経路①のリスクは再委託先まで伸びます。自社に破壊機を導入する場合との比較検討をしているなら、破壊機の自社導入と外部委託の比較（費用と運用）もあわせてご覧ください。
証跡（証明書）に何が書かれるか
証明書は、あるかないかではなく何が書かれているかで価値が決まります。少なくとも、媒体ごとのシリアル番号・処理方式・実施日時が記載されている必要があります。「○台を処理しました」という総数だけの書面では、特定の1台について問われたときに答えられません。写真が付くのか、台数分の枚数が出るのか、電子データで受け取れるのかも、社内規程に合わせて確認しておきましょう。
保管と移動の管理（Chain of Custody）
Chain of Custody（管理の連鎖）とは、対象物が「いつ・誰の手元にあり・誰が何をしたか」を引き渡しから最終処理まで途切れなく記録し、後から追跡できる状態にしておく考え方です。媒体を社外へ運ぶ方式を選ぶ場合は、受領の確認方法、処理までの保管方法、作業者の限定、完了の通知という各段階で記録が残るかを確認してください。逆に、社外へ出さずにその場で処理してしまえば、この連鎖を管理する範囲そのものが短くなります。
許可の範囲が正確に開示されているか
もっとも見落とされやすいのがここです。「産廃も対応」「第三者認証も取得済み」といった説明は、実際の許可・認証の範囲と一致しているとは限りません。産業廃棄物の収集運搬には都道府県等の許可が必要で、許可を持たない事業者は管理票（マニフェスト）の交付を行えません。中古品として買い取る形をとる場合は古物商許可が必要です。委託先が何を持っていて何を持っていないかを正確に開示しているかどうかは、その事業者の姿勢を測る指標になります。当社が保有する許可の範囲は会社概要（許可・体制・監修者）に記載しています。
「何でも対応できます」には根拠を求める
処理方式・許可・証明の3点すべてに無条件で「対応可能」と答える事業者には、その根拠となる許可番号や設備を確認してください。当社の場合、保有しているのは古物商許可（東京都公安委員会 第305590806398号）で、産業廃棄物収集運搬業の許可は保有しておらず、管理票の交付は行っていません。破壊後の機器・媒体は古物商許可に基づく買取で対応しています。
排出事業者として残すべき証跡
漏えいが起きなかったことを積極的に証明するのは難しい一方で、「適正に処理したことを示す記録がある」状態はつくれます。監査・入札・取引先審査で問われるのは、まさにこの記録の有無です。
IT資産管理台帳との突合
証跡は、証明書を保管するだけでは機能しません。IT資産管理台帳の側に、機器の管理番号・機種・記憶媒体のシリアル番号・処理年月日・処理方式・証明書の番号を残しておくことで、証明書と1台ごとに突き合わせられる状態になります。この突合ができて初めて、「台帳上の資産Xは、いつ・どの方式で処理されたか」に即答できます。
逆に、台帳にシリアル番号が入っていないと、証明書が手元にあっても対応関係を再構成できません。処理を依頼する前に、台帳側の項目が揃っているかを点検しておくと手戻りがありません。法人での進め方は法人のPC・HDD廃棄の進め方（証明書・買取）、パソコン単位での処分手順はパソコンの処分方法とデータ消去の手順にまとめています。
監査で問われる点
ISMS（ISO/IEC 27001）やプライバシーマークの運用では、情報資産の廃棄が規程どおりに行われ、その記録が残っているかが確認されます。具体的には、①廃棄の判断は誰が承認したか、②どの方式で処理したか、③処理したことを示す第三者の記録があるか、④台帳と突合できるか、という順で問われることが多くなります。
処理方式の妥当性を説明する際によく参照されるのが、米国NISTの NIST SP 800-88（Guidelines for Media Sanitization）です。同文書は処理水準を Clear（通常の読み出し手段からの復元を防ぐ）・Purge（研究室レベルの手段に対しても復元を困難にする）・Destroy（媒体を物理的に破壊する）の3段階に整理しています。現行版は Rev. 2（2025年9月26日発行）で、Rev. 1（2014年12月発行）は同日付で廃止されています。版数まで仕様書に書かれている場合は、Rev. 2 を前提に確認してください。当社が行う物理破壊は Destroy に相当する水準です。各ガイドラインとの対応関係はガイドライン準拠（NIST・総務省の位置づけ）で整理しています。
なお、廃棄した媒体に個人情報が含まれていた場合、その取り扱いは個人情報保護の観点でも問われます。当社における個人情報の取り扱いはプライバシーポリシー（個人情報の取り扱い）に記載しています。
当社の対応物理破壊・証明書・立会い
ここまで整理した4つの経路に対して、当社が提供しているのは「記録面を壊す」ことと「壊したことを記録に残す」ことの2つです。
経路①と③に対しては、媒体を社外に出さずに処理できる出張オンサイト破壊（東京・神奈川・埼玉・千葉）が有効です。担当者様の立会いのもとで破壊まで完了するため、引き渡してから処理されるまでの空白時間が生じません。経路②と④に対しては、専用機で記録面を穿孔・せん断するHDDの物理破壊（穿孔・せん断の仕組み）により、復元が極めて困難な状態にします。
そして、いずれの方式でも媒体ごとにデータ消去証明書の発行（一般に「データ消去証明書」と呼ばれる書類に相当します）を発行し、シリアル番号・破壊方式・作業日時を記録します。発行できる書類の種類は証明書・証跡の一覧に、実際にご相談いただいた場面は導入事例（法人・官公庁のご依頼）に掲載しています。
なお当社が受託する作業は物理破壊と記憶媒体の有無確認で、データ消去ソフトによる消去やデガウス（磁気消去）の作業受託は行っていません。情報漏えい対策としての廃棄体制づくりの全体像は情報漏えい対策・内部統制のための廃棄体制を、そのほかのテーマ別の解説はガイド・お役立ち記事の一覧と特集（即日・大量・情報漏えい対策）をご覧ください。
廃棄時の情報漏えいについてのよくある質問
初期化やフォーマットだけで、HDDを廃棄しても大丈夫ですか？
通常のフォーマットが書き換えるのはファイルの管理情報が中心で、データ本体は記録面に残ったままになることがあります。市販の復元ソフトで読み出せる場合があるため、機密情報を扱っていた媒体では、上書き消去または記録面そのものを壊す物理破壊まで行うことをおすすめします。
廃棄した記憶媒体から情報が漏れるのは、どの段階が多いのですか？
大きく分けて、委託先での転売・横流し、初期化だけで譲渡・売却したケース、処分待ちの媒体を保管している間の紛失・盗難、破壊が不十分で復元されたケースの4つの経路があります。いずれも「処理が終わったことを記録で確認できない」状態で起きやすいという共通点があります。
SSDは上書き消去だけでは不十分と聞きました。なぜですか？
SSDはウェアレベリングにより書き込み先が内部で分散され、利用者からは見えない予備領域（オーバープロビジョニング領域）に古いデータが残る場合があります。TRIMも実行されるタイミングが環境に依存します。このため上書きが記録チップ全体に及ぶとは限らず、記録チップ自体を壊す物理破壊が確実性の高い方法とされています。
委託先を選ぶときに、最低限どこを確認すればよいですか？
受託している作業の範囲（物理破壊・ソフト消去・磁気消去のどれを自社で行うのか）、媒体ごとに何が記載された証明書が出るのか、引き渡しから処理完了までの保管・移動の管理方法、保有している許可の範囲、の4点です。許可の範囲があいまいなまま「何でも対応できる」と説明する事業者には注意が必要です。
この記事の監修
この記事の内容は、当社の破壊作業責任者（★監修者名）が確認しています。役職・保有資格・従事年数などのプロフィールは会社概要（監修者・作業責任者）に掲載しています。記載内容についてのお問い合わせも承ります。