データ消去証明書の必須項目｜法人の確認点
2026/8/3
受け取ったデータ消去証明書に、台数と日付しか書かれていない。監査で「どの機体を、どの水準で消したのか」と聞かれて、答えられない。この状態に気づくのは、たいてい聞かれた後です。証明書は受け取ることが目的ではなく、示せることが目的です。何が書かれていれば示せるのか、そして書かれていないと何が言えなくなるのか。実際の項目に沿って見ていきます。
証明書が必要になる理由：初期化では消えていない
そもそもなぜ証明書という書類が要るのか。作業した本人が「消しました」と言えば済む話ではないからです。まず、初期化という操作が何をしているのかを整理します。
削除は「見えなくする」操作にすぎない
ファイルを削除すると、多くの場合は管理情報から該当箇所への参照が外れるだけです。記録そのものは媒体に残り、上書きされるまでそのまま置かれます。復元用のソフトが成立するのは、この仕組みがあるためです。
通常のフォーマットも同様です。領域を使える状態に戻す操作であって、記録内容を消す操作とは限りません。「初期化しました」という報告と「復元できない状態です」という報告は、同じ意味になりません。
SSDでは上書きすら届かないことがある
さらに厄介なのがSSDです。SSDは同じ場所への書き込みが偏らないよう、内部で書き込み先を分散させています。予備の領域も持っています。
そのため、利用者から見える論理的なアドレスに上書きしても、実際の記録素子に同じ回数だけ書き込まれるとは限りません。古い内容が予備領域に残ったままになることがあります。パソコン向けの消去ソフトを走らせただけでは、この部分に手が届かないのです。
磁気消去はSSDに効かない
HDDには磁気を使った消去装置があります。磁性層の向きを乱して読めなくする方法です。ただしSSDは電荷の状態で記録しているため、磁界をかけても消えません。
「磁気消去済み」という報告書がSSDに対して出されていた場合、その報告は水準を満たしていない可能性があります。媒体の種類ごとに手法を書き分けているかどうかは、業者を見極める材料になります。
証明書に書かれる消去水準の3区分
証明書を読むうえで最初に確認するのが、到達水準の表記です。感覚ではなく、国際的に共有された区分で会話したほうが早く進みます。
Clear・Purge・Destroy
米国国立標準技術研究所（NIST）が2025年9月に公表した「SP 800-88 Rev. 2」は、消去の到達水準を3段階で定義しています。
- Clear：通常の読み書き機能で全領域を消去し、一般的な復元手段では戻せない状態にする
- Purge：研究所レベルの技術を用いても復元を実行不可能にする
- Destroy：復元不能にしたうえで、その媒体を記録用途に使えない状態にする
重要なのは、これが製品名でも上書き回数でもなく、達成すべき結果の区分だという点です。何回上書きしたかではなく、どの水準に届いたかで会話すると、業者との認識がずれにくくなります。
媒体によって手法が変わる
同じPurgeでも、媒体ごとに取るべき手法が違います。HDDであれば全領域の上書き、専用の消去コマンド、あるいは十分な強度の磁気消去が該当します。SSDでは装置側の消去コマンドや、暗号鍵を確実に破棄する暗号消去が現実的な選択肢になります。
USBメモリやSDカードは、そもそも消去機能や結果を報告する機能を備えていない製品が多くみられます。機密度の高いデータを扱った媒体では、物理破壊まで進めるほうが確実でしょう。
「DoD方式」という表記の落とし穴
サービス説明で「DoD 5220.22-M準拠」という表記を見ることがあります。3回または7回の上書きを指す通称として広まった呼び方です。
ただし、この文書自体は2021年10月に取り消されており、現行の米国標準ではありません。もともと磁気ディスクを前提とした手法なので、SSDの予備領域には対応していません。準拠先の名前だけでは、どの水準に届いたかを説明できないことになります。
データ消去証明書に必須の記載項目
ここが本題です。作業を依頼して終わり、とはいきません。示せることまでが求められます。
台数と日付だけの証明書では足りない理由
よくあるのが「ノートパソコン20台、2026年7月1日、消去完了」とだけ書かれた1枚です。これでは資産台帳と突き合わせができません。20台のうちどれが消えたのか、そもそも自社が渡した20台と同一なのかを、書類の上で追えないからです。
監査や事故調査で問われるのは「消したか」ではなく「この機体を消したと示せるか」です。個体を特定できない証明書は、その問いに答えられません。
証明書に含まれているべき7項目
監査に耐える証明書には、次の項目が含まれます。
- 対象機器の型番と資産管理番号、媒体のシリアル番号（個体の特定）
- 消去の実施日時と作業場所（オンサイトかオフサイトか）
- 作業者と検証者の氏名（実施と確認が分離されているか）
- 到達した水準（Clear・Purge・Destroyのいずれか）
- 適用した手法と使用したツール名・バージョン
- 処理結果（正常終了か異常終了か）
- 消去できなかった媒体の有無とその扱い
このうち最初の1つ、媒体のシリアル番号が最重要です。ここがあれば資産台帳と1対1で照合できます。ここがなければ、他の6項目が揃っていても個体を追えません。
「すべて正常終了」の証明書はかえって疑う
見落とされやすい観点をひとつ。エラーで処理できなかった媒体がある場合、その事実が記載されているかを見てください。
一定台数を扱えば、故障して消去コマンドが通らない媒体は必ず出ます。にもかかわらず全件が正常終了と書かれた証明書は、検証していないか、異常を報告していない可能性があります。未処理の媒体を隔離・物理破壊した記録まで載っている証明書のほうが、実務としては信頼できます。
委託しても監督責任は残る
外部に依頼した場合でも、個人データを管理していた側の責任は消えません。個人情報保護委員会は、機器を廃棄する際に復元不可能な手段で消去することと、委託先に対する必要かつ適切な監督を求めています。
監督は証明書を受け取ることだけではありません。選定時に自社と同等の安全管理措置が取れるかを確認し、契約で対象と水準と再委託の可否を定め、完了時に個体単位で照合する。この一連が揃って監督になります。
リース返却と回収サービスの落とし穴
リース物件やレンタル品を返却する場合、消去の責任は原則として使用していた側にあります。物件の所有者はリース会社なので、無断で内蔵ストレージを取り外せないこともあります。契約時に処理方法を決めておく必要があります。
回収サービスも同様です。一般社団法人パソコン3R推進協会の見積書サンプルには、使用済みパソコンに残存するデータの消去は排出者の責任であると明記されています。回収を依頼したから消去も込み、とは限りません。アスクライトのデータ消去サービスは、買取と処分のどちらの案件でもご利用いただけます。
【法人PCのデータ消去のご相談はこちら】
アスクライトは1台からのご依頼に対応し、関東1都6県は出張査定に伺います。専門技術者が媒体の種類に応じた手法で作業し、対象機器を特定した証明書を発行します。買取と処分が混在していてもまとめてお引き受けします。
まとめ：消したかどうかではなく、示せるかどうか
社内で確認すべきことは3つに絞れます。どの水準まで消したのか。媒体の種類に応じた手法だったのか。それを個体単位で示せるのか。
このうち最初の2つは業者の技術の問題ですが、3つめは書類の問題です。そして監査や事故の場面で問われるのは、たいてい3つめです。消したという事実と、消したと示せる状態は、社内での価値がまったく違います。
パソコンを手放すタイミングは、更新やオフィス移転と重なることがほとんどです。忙しい時期に慌てて決めると、確認が甘くなります。入れ替えの計画を立てる段階で、出口の設計も一緒に決めておく。買取査定の流れを早めに把握しておくと、判断が楽になります。
【法人PCの売却・処分はアスクライトへ】
- 1台から大量案件まで柔軟に対応
- 関東1都6県は出張買取・無料集荷／全国は無料宅配
- 専門技術者によるデータ消去と証明書の発行
- 市場動向の分析にもとづく高価買取
オフィス移転、事業縮小、PC更新、リース満了など、どのタイミングでもご相談ください。
よくある質問
Q1. 初期化だけでは本当に不十分ですか？
用途によります。社内で再利用する場合と、社外へ出す場合ではリスクが違います。外部へ手放す機体については、復元不可能な水準まで到達させることが求められます。
Q2. データ消去ソフトを自社で使う方法でも問題ありませんか？
方法としては成立します。ただしSSDでは予備領域まで届かない場合があり、結果の検証も自社で行う必要があります。台数が多い場合は工数と確実性のバランスを検討してください。
Q3. 物理破壊すれば確実ですか？
記録素子まで確実に壊せていれば最も強い手段です。ただし機体は再使用できなくなるため、売却価値は失われます。機密度と資産価値のどちらを優先するかで選んでください。
Q4. 消去証明書には何が書かれていますか？
対象機器の型番とシリアル番号、実施日時、適用した手法、到達水準、処理結果を記載します。資産台帳との突き合わせや監査対応にご利用いただけます。
Q5. 1台だけでも消去を依頼できますか？
可能です。アスクライトは1台からのご依頼を歓迎しています。役員機の単体処理や、部門単位の少量案件も通常のフローで受け付けています。
Q6. 関東以外の地域でも対応していますか？
対応しています。関東1都6県は出張査定に伺い、それ以外の地域は宅配便での無料集荷をご利用いただけます。保管場所までお伺いするため、社内で運搬を手配する必要はありません。
Q7. リース返却する機体の消去も頼めますか？
ご相談ください。リース物件は所有者がリース会社のため、取り外しや破壊の可否をリース契約で確認する必要があります。契約内容に沿った方法をご提案します。
Q8. 消去してから買い取ってもらうこともできますか？
できます。社内で消去してから引き渡す運用でも査定に影響はありません。当社で消去する場合も、買取代金とあわせて条件をご提示します。
参考文献
1. タイトル：SP 800-88 Rev. 2, Guidelines for Media Sanitization
出典元：National Institute of Standards and Technology（NIST）
URL：https://csrc.nist.gov/pubs/sp/800/88/r2/final
2. タイトル：IEEE 2883-2022 - IEEE Standard for Sanitizing Storage
出典元：IEEE Standards Association
URL：https://standards.ieee.org/ieee/2883/10277/
3. タイトル：データの消去に関する注意喚起
出典元：個人情報保護委員会
URL：https://www.ppc.go.jp/news/careful_information/data_syokyo/
4. タイトル：個人情報の保護に関する法律についてのガイドライン（通則編）
出典元：個人情報保護委員会
URL：https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
5. タイトル：32 CFR Part 117 NISPOM Rule
出典元：Defense Counterintelligence and Security Agency（DCSA）
URL：https://www.dcsa.mil/Industrial-Security/National-Industrial-Security-Program-Oversight/32-CFR-Part-117-NISPOM-Rule/
6. タイトル：情報記憶媒体を有するリース終了物件の処理等について
出典元：公益社団法人リース事業協会
URL：https://www.leasing.or.jp/studies/docs/20200327.pdf
7. タイトル：御見積書（事業系パソコンリサイクル）
出典元：一般社団法人パソコン3R推進協会
URL：https://www.pc3r.jp/office/pdf/%E8%A6%8B%E7%A9%8D%E6%9B%B8%E3%82%B5%E3%83%B3%E3%83%97%E3%83%AB.pdf
8. タイトル：ハードウェアからの情報漏えいリスクとその対処法
出典元：総務省
URL：https://www.soumu.go.jp/main_content/000779670.pdf