営業時間 10:00 〜 19:00 (月〜金)

パソコン・スマホを廃棄／リース返却するときのデータ消去は？「初期化しただけ」が危ない理由とNIST基準の3段階・消去証明書の見方【中小企業向け】

先に結論をお伝えします。業務で使ったパソコンやスマホを手放すとき、「初期化した」「ゴミ箱を空にした」「フォーマットした」だけでは、データは消えていません。
市販の復元ソフトで読み出せる状態のまま、社外に出ていきます。

そして、これは「気をつけましょう」という心構えの話ではありません。
個人情報保護法のガイドラインは、機器を廃棄するときは「復元不可能な手段で行わなければならない」と義務として定めています。
つまり、消し方を間違えたまま外に出すことは、法令上の安全管理措置を満たしていない状態です。

一方で、良いニュースもあります。
あらかじめパソコンを暗号化しておけば、手放すときの作業は「鍵を捨てるだけ」で済み、時間も費用もほぼゼロになります。
Windows 10/11 Proに標準搭載されているBitLockerを有効にしておくだけで、廃棄時の負担が劇的に下がります。

この記事では、2025年9月に改訂された国際的な基準（NIST SP 800-88 Rev.2）と国内のガイドライン、そして実際に起きた大規模な流出事件をもとに、どこまで消せば「消した」ことになるのか／リース返却は誰が消すのか／消去証明書の何を見るべきか／複合機やスマホはどうするのかを、中小企業の実務に落として整理します。

パソコンやスマホを手放すとき、何が起きている？

会社の機器は、いつか必ず手元から離れます。手放し方は主に4つですが、どのパターンでも「中身が入ったまま社外の人の手に渡る」瞬間が発生します。

手放し方	どこへ行くか	起きやすい問題
廃棄する	産廃業者・リサイクル業者	消したつもりで消えていない／転売される
リース返却する	リース会社（さらにその委託先）	自分では消せない／誰が消すのか曖昧
売却・下取りする	買取業者・中古市場	再利用前提なので物理破壊できない
社内で転用する（他部署・別の社員へ）	社内	前の担当者のファイルや履歴が残ったまま

注目すべきは、4つのうち3つが「社外の第三者に渡す」パターンだという点です。
自社のネットワークは1バイトも破られていないのに、機器を渡した先で情報が漏れる。これは委託先管理の問題とまったく同じ構図です。

なぜ「初期化した」「ゴミ箱を空にした」では消えていない？

パソコンでファイルを削除しても、その瞬間に消えているのは「そのファイルがどこにあるかを示す目次（管理情報）」だけです。
本体のデータは、上から別のデータが書かれるまでディスク上に残り続けます。

これは図書館で「本の背表紙のラベルを剥がした」状態に近いです。
目録から消えたので普通に探しても見つかりませんが、棚を一冊ずつめくれば本そのものは残っています。復元ソフトがやっているのは、まさにこの「棚を一冊ずつめくる」作業です。

よく行われる4つの操作が、実際にはどこまでしか消していないのかを整理します。

よく行う操作	実際に起きていること	復元される？
ファイルを削除してゴミ箱を空にする	管理情報だけ消え、データ本体は残る	される
ドライブをクイックフォーマットする	管理領域を作り直すだけ。データ本体は残る	される
Windowsの「このPCを初期状態に戻す」	「ファイルを削除する」だけの設定なら残る	される場合がある
スマホを「すべてのコンテンツと設定を消去」	暗号化が有効なら鍵が破棄され読めなくなる	されにくい

要注意：Windowsの初期化には「ファイルの削除のみ」と「ドライブを完全にクリーンアップする」の2つの選択肢があり、前者を選ぶと復元できる状態のまま初期化が完了します。手放す機器で初期化を使うなら、必ず後者（完全なクリーンアップ）を選んでください。

▶ 関連記事：社内の古いPCがサイバー攻撃の入り口になる理由

どこまで消せば「消した」ことになる？──世界標準は3段階

「消す」には強さの段階があります。世界的に使われている基準が、米国国立標準技術研究所（NIST）の「SP 800-88 Guidelines for Media Sanitization（記憶媒体の無害化に関するガイドライン）」です。
国内のデータ消去業界もこの3段階を共通言語として使っています。

2025年9月に改訂されています。長く使われてきた Rev.1（2014年）は、2025年9月に Rev.2 へ改訂されました。
3段階の枠組み（Clear／Purge／Destroy）は維持されていますが、後述するように「何回上書きすべきか」「どう検証すべきか」「クラウド上のデータはどうするか」の扱いが大きく変わっています。
Rev.1 だけを前提にした解説記事がまだ多く残っているため、以下では Rev.2 の記述を基準にし、Rev.1 由来の内容はその旨を明記します。

段階	どこまで守れるか（Rev.2の定義）	媒体は再利用できる？	向いている場面
Clear （消去）	利用者がアクセスできる全領域を論理的に処理し、利用者が使えるのと同じ接続口から行う「単純で非侵襲的な復元手法」に対して保護する	できる（通常、使い勝手に影響しない）	社内で転用する／機密度が低い
Purge （除去）	「最新の実験室レベルの技術をもってしても復元が不可能」な状態にし、なお媒体を再利用できる状態に保つ	できる	売却・下取り／リース返却
Destroy （破壊）	同じく復元不可能にし、さらにその媒体を記憶装置として使えなくする	できない	機密度が高い／媒体が故障・旧式で他の方法が使えない

ここで、Rev.2 が明確に打ち出している方針を押さえてください。

NIST SP 800-88 Rev.2 より引用（意訳）：
「可能な場合には、Clear（消去）ではなく Purge（除去）の方法を使うべきである。」
「Purgeの論理的な手法は媒体の種類によって異なるため、許容される手法を判断するには IEEE 2883 を参照すべきである。手法には、上書き、ブロック消去、暗号化消去が含まれ、通常の読み書きコマンドに内在する抽象化を回避する、専用の標準化された『デバイス消去コマンド』を用いる。」

もうひとつ、Rev.2 の Clear の定義には見逃せない一文があります。
Clearの手法は「標準的な読み書きコマンドを通じて適用されるのが一般的で、新しい値で上書きするか、（上書きに対応していない場合は）メニュー操作で工場出荷状態に戻す方法による」と書かれています。

つまり「工場出荷状態に戻す（＝初期化する）」という操作は、NISTの基準では最も弱いClear止まりだと明記されています。
売却・返却・廃棄のように第三者の手に渡る場面で求められるのは、その一段上のPurge以上です。

Destroy（物理破壊）が「唯一の選択肢」になる場面もある

Rev.2 は、Destroyを選ばざるを得ないケースも明示しています。
「媒体が故障している、または旧式である（例：その媒体の接続方式がもう対応されていない）ために、ClearやPurgeの手法を効果的に適用できない場合、破壊的な手法が唯一の選択肢になりうる」という記述です。

これは実務でよく起きます。読み込めなくなったディスクには、消去コマンドを送ることすらできません。
「壊れたから捨てる」機器こそ、中身が消せない状態のまま社外に出ていく危険があります。故障した機器は物理破壊のルートに回してください。

では、どの機密度でどの段階を選べばよいのでしょうか。国内の業界団体であるデータ適正消去実行証明協議会（ADEC）が公開している「データ消去技術ガイドブック（第2.4版・2024年5月）」は、次のような選び分けを示しています。

情報の機密度	選ぶ段階	具体的な方法	対象の例
高い	Destroy（破壊）	物理的破壊	機密性の高いサーバー等
中程度	Purge（除去）	ANSIデータ抹消コマンド、暗号化、外部磁界等による抹消	個人情報データベース、企業秘密、知財情報、経営情報
低い	Clear（消去）	上書き（複数回を含む）	通常業務用PC、暗号化ソフト使用PC

この表で見落としてはいけないのは、いちばん下の行に「暗号化ソフト使用PC」が入っていることです。
あらかじめ暗号化しておいた端末は、機密度が高い情報を扱っていても、手放すときの負担がClearレベルまで下がります。この理屈は後ほど詳しく説明します。

「3回上書きすれば安心」は本当？

データ消去といえば「米国国防総省の規格（DoD 5220.22-M）に基づく3回上書き」という説明を、いまでも多くの業者サイトや解説記事で見かけます。
しかし、その規格はもう存在しません。

NIST SP 800-88 Rev.2 の脚注より引用（意訳）：
「米国国防総省（DoD）のマニュアル5220.22、すなわち国家産業セキュリティプログラム運用マニュアル（NISPOM）は、現在は連邦規則集第32編第117部となっている。2006年、DoDはNISPOMから上書きに関する仕様を削除した。」

さらにRev.2は、改訂内容の一覧のなかで次のように明言しています。

「Clearの方法は、複数回の上書きが不要であることが明確化された。これは、一定の上書き回数とパターンを義務づける、時代遅れとなったDoD 5220.22-Mの記述に反論するものである。」

つまり「3回上書き」は、20年前に本家が取り下げた仕様が、業界の慣習として残っているだけだということです。
国際的な標準を作っている機関自身が「時代遅れ（obsolete）」と書いているものを、消去方式の根拠にする必要はありません。

では、なぜ回数を増やしても意味がないのか。国内のADECのガイドブックが、その理由をはっきり説明しています。

ADEC「データ消去技術ガイドブック」第2.4版より引用：
「OS 経由でアクセス可能な範囲の全てに対して上書き処理が実行されるが、OS では認識できないシステム占有使用領域、製造時欠陥セクタ、HPA、DCO や代替処理による『再割り当て済セクタ』、未使用領域には書き込み処理は行われない。これは、複数回の上書きを実行しても変化することは無い。」

「回数」の問題ではなく「届く範囲」の問題だということです。
OSから見えない領域は最初から対象外なので、10回やっても100回やっても同じです。

具体的にどの領域に上書きが届かないのかを整理します。

上書きが届かない領域	何が入っている可能性があるか
システム占有使用領域	ドライブのファームウェアなどの制御情報
製造時欠陥セクタ	製造時に不良と判定され、アクセス範囲から除外された部分
HPA（Host Protected Area）	工場出荷状態に戻すためのリカバリ情報
DCO（Device Configuration Overlay）	容量を意図的に小さく見せるために隠した領域
再割り当て済セクタ	読み取りエラーが起きたときに退避された、実際の業務データの断片
未使用（余剰）領域	公称容量に割り当てられていない余りの部分

このうち実務上いちばん怖いのは「再割り当て済セクタ」です。
使っているうちに読み取りエラーが起きたセクタのデータは、予備領域にコピーされて元のセクタは切り離されます。
このとき元データの抹消は行われません。つまり「調子が悪くなったことがあるディスク」ほど、上書きの届かない場所に業務データの断片が残っている可能性が高いのです。

NIST Rev.2 も同じ現象に触れており、「媒体は完全に機能しているように見えても、エラーや性能上の状態により、その一部が媒体の接続口からアクセスできなくなっている可能性がある」ため、消去の有効性が疑わしくなる場合があると述べています。

では、どうすればここに届くのか。答えはドライブ自身が持つ専用の消去コマンド（デバイス消去コマンド）を使うことです。
ADECは、この方式ならLBAが割り当てられた範囲すべてと再割り当て済セクタまで処理が及ぶとしています。これがPurgeに相当します。

SSDは特に注意が必要です。SSDは書き込み位置を内部で自動的に散らす仕組み（ウェアレベリング）を持つため、OS経由の上書きでは「どこに書かれるか」を制御できません。
SSDでは上書きではなく、ドライブ自身のブロック消去コマンドか、暗号化消去を使うのが正解です。

物理破壊なら安心？──穴あけ・粉砕・磁気破壊の限界

「上書きが不確かなら、物理的に壊せば確実だろう」と考えるのが自然です。
実際、国内の消去業者がもっとも安く提供しているのがHDDへの穴あけで、1台1,500〜3,000円程度が相場です。
ところがNIST Rev.2は、この方法に明確な注意を書いています。

NIST SP 800-88 Rev.2 より引用（意訳）：
「曲げる、切る、あるいは緊急時の手段（例：記憶装置を撃つ、穴を開ける）といった手法は、媒体を部分的に損傷させるだけにとどまり、最新の実験室レベルの技術を用いればアクセス可能な部分が残る場合がある。」

つまり「穴を開けた」ことはNISTの基準ではDestroyを達成した証明になりません。
穴の位置を外れた記録面は物理的に残っており、専門的な設備があれば読み出せる可能性があるという指摘です。

粉砕・裁断についても、Rev.2は条件を付けています。

「媒体上のデータ密度と構成材料の硬さが増すにつれて、特定の破壊手法は効果を失いうる。媒体に対する粉砕（Pulverize）および裁断（Shred）の手法は、機密度がもっとも低い区分のデータ以外には用いるべきではない。」

理由は単純です。記録密度が上がるほど、小さな破片1つに入っているデータ量が増えるからです。
Rev.2がDestroyの手法として挙げているのは、分解（Disintegrate）・焼却（Incinerate）・溶融（Melt）・粉砕（Pulverize）・裁断（Shred）ですが、粉砕と裁断には上記の制限が付いています。

磁気破壊（消磁・デガウス）はSSDに効かない

もうひとつ広く売られているのが磁気破壊（消磁・デガウス）です。強い磁力で磁気記録を壊す方法です。
Rev.2は、これについて4点を指摘しています。

磁気を使わない媒体（フラッシュメモリ、SSDなど）には使うべきではない
媒体の記録技術が進んで磁力への耐性（保磁力）が上がったため、既存の消磁装置の多くは十分な力を持たない
消磁は媒体を使用不能にしてしまうことがある一方で、肝心の対象データの無害化には失敗する場合がある
本書執筆時点では、消磁はDestroy（破壊）の承認された手法とはみなされていない

まとめると：「物理的に壊した」は、直感的には最も安心に見えて、実は方法によって達成できる段階がまったく違います。
穴あけは部分的な損傷、粉砕・裁断は機密度が低いデータ向け、消磁はSSDに効かず承認手法でもありません。
だからこそ、次に説明する暗号化消去（先に暗号化しておいて、手放すときは鍵だけを捨てる）が、中小企業にとってもっとも確実で、もっとも安い方法になります。

法律は何を求めている？──「復元不可能な手段で行わなければならない」

ここまでは技術の話でした。次は義務の話です。
個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、事業者が講じなければならない物理的安全管理措置のひとつとして、機器の廃棄を明記しています。

個人情報保護法ガイドライン（通則編）より引用：
「（4）個人データの削除及び機器、電子媒体等の廃棄
個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は、復元不可能な手段で行わなければならない。
また、個人データを削除した場合、又は、個人データが記録された機器、電子媒体等を廃棄した場合には、削除又は廃棄した記録を保存することや、それらの作業を委託する場合には、委託先が確実に削除又は廃棄したことについて証明書等により確認することも重要である。」

ここには3つのことが書かれています。そして3つの法的な強さが違います。これは限られた時間で何から着手するかを決める材料になります。

求めていること	法的な強さ	中小企業が最初にやること
復元不可能な手段で行う	義務（〜しなければならない）	初期化で済ませるのをやめる
削除・廃棄した記録を保存する	重要（〜も重要である）	Excel1枚で台帳を作る
委託先の証明書で確認する	重要（〜も重要である）	業者に消去証明書を必ず求める

つまり「復元不可能な手段で行う」だけが義務で、記録の保存と証明書の確認は「重要」という位置づけです。
ただし後述する事故の構図を見ると、実務で会社を守るのは記録と証明書のほうだということが分かります。

さらにガイドラインは、具体的な方法の例と、従業員100人以下の中小規模事業者向けの例を分けて示しています。

対象	ガイドラインが示す方法の例
紙の書類	焼却、溶解、適切なシュレッダー処理等の復元不可能な手段
情報システム上でデータを削除する場合	容易に復元できない手段を採用する
機器・電子媒体等を廃棄する場合	専用のデータ削除ソフトウェアの利用、又は物理的な破壊等の手段
中小規模事業者における手法の例示	削除・廃棄したことを、責任ある立場の者が確認する

注目してほしいのは、中小規模事業者の例示が「高価な機械を買え」ではなく「責任ある立場の者が確認しろ」だという点です。
費用のかかる設備ではなく、確認する人を決めることが求められています。

廃棄の失敗は「漏えい」として報告対象になりうる

見落とされがちですが、ガイドラインは「滅失」の説明の脚注で、帳票等が適切に廃棄されていない場合は個人データの漏えいに該当する場合があると明記しています。

漏えいに該当すれば、個人情報保護委員会への報告義務が発生します。
しかも不正の目的による行為（転売や持ち出し）が絡む場合は、1人分の情報でも報告対象です。「捨てたつもり」が報告義務につながる、という接続を知っておいてください。

マイナンバーを扱っているなら、要求はさらに具体的

給与計算をしている会社は全社が該当しますが、マイナンバー（特定個人情報）には別のガイドラインがあります。
ADECのガイドブックはその内容を次のように紹介しています。

「機器及び電子記憶媒体等に記録されたマイナンバーは、必要なくなった段階で速やかなデータの削除を行い、機器及び電子記憶媒体を廃棄する場合は専用のデータ消去ソフトウェアの利用又は物理的な破壊により復元不可能になる手段を採用し、『個人番号若しくは特定個人情報ファイルを削除した記録を保存する。作業を委託する場合には、委託先が確実に削除又は廃棄したことについて、証明書等により確認する。』とされています。」

マイナンバーでは、記録の保存と証明書の確認がより明確に求められていると読めます。
「うちは個人情報なんて大量に持っていない」という会社でも、従業員のマイナンバーを扱っている以上、この対象から外れることはありません。

実際に何が起きた？──2019年の大規模なHDD転売事件

この分野でもっとも有名な事故が、2019年12月に発覚した神奈川県のHDD転売・情報流出事件です。
この事件の構図は、中小企業にそのまま当てはまります。「自社は何も破られていないのに、委託した先で情報が出た」という形だからです。

項目	内容
流出したもの	ファイルサーバーで使われていた3TBのHDD 18個（最大54TB分のデータが流出した可能性）
含まれていた情報	個人名や企業名が記載された納税通知書、税務調査後の通知、自動車税の納税記録、企業の提出書類、県職員の業務記録や名簿など
委託の連鎖	神奈川県 → 富士通リース（リース契約） → ブロードリンク（処分を外部委託）
何が起きたか	データ消去作業を担当していた委託先の社員が、HDDを持ち出してオークションサイトで転売した
発覚のきっかけ	購入した人が復元ソフトで中身を確認し、公文書らしきデータを見つけて報道機関に情報提供した
刑事処分	元社員は窃盗の罪で起訴され、2020年6月、懲役2年・執行猶予5年の判決

しかし、この事件の本当の怖さは18個という数ではありません。
ブロードリンク社の独自調査により、この元社員が2016年以降に転売していた情報機器は7,844台に及んでいたことが公表されました。

転売された記憶媒体の種類	個数
HDD	1,286個
SSD	1,224個
USBメモリ	742個
SDカード類	558個
スマートフォン	75台
タブレット	19台
記憶領域があるものの合計	3,904個（転売総数7,844台のうち）

この内訳から、実務的に重要なことが2つ読み取れます。

USBメモリとSDカードで合計1,300個を占めている。数として最も多いのは「小さくて台帳に載っていない媒体」である
スマートフォンとタブレットも94台含まれている。「廃棄＝パソコンの話」ではない

いちばん重い事実：報道によると、転売された記憶媒体3,904個のうち、同社が回収できたのは（自治体や警察が独自に回収した分を除いて）わずか29個にとどまりました。
つまり一度社外に出た媒体は、事実上ほとんど戻ってきません。お金を払って調査しても、盗まれた情報が戻ってくるわけではないという点で、これは他のセキュリティ事故と同じ性質を持っています。

さらに、この件では長野県や熊本市も同社に機器の処分を委託していたことが報じられました。
「大きな会社に任せているから安心」は、この事件では成り立ちませんでした。問題は会社の規模ではなく、その現場で誰が何をしたかを確認する仕組みがあったかどうかです。

業者に頼めば安心？──マニフェストと消去証明書は別物

パソコンを産廃業者に引き渡すと、多くの場合産業廃棄物管理票（マニフェスト）が発行されます。
これがあるので「証明書はもらっている」と考えている会社は少なくありません。しかし、この2つはまったく別の書類です。

項目	産業廃棄物管理票（マニフェスト）	データ消去証明書
何を証明するか	廃棄物が適正に処理されたこと	データが確実に消えたこと
対象の単位	廃棄物のロット（まとめて）	1台ごと（製造番号・シリアル番号単位）
データの消去方法は書かれるか	書かれない	書かれる（方式・使用ソフト・結果）
どちらの目的か	廃棄物処理法の遵守	個人情報保護法の安全管理措置

ADEC「データ消去技術ガイドブック」より引用：
「PC の廃棄は、通常委託した産業廃棄物の処理が適正に実施されたかどうかを確認するための産業廃棄物管理票（マニフェスト）が作成されますが、その内容に関しては規定や法的な制約はなく、作業ミス、不正な処分、不法投棄が行われた場合には依頼元に責任が課せられる可能性があります。そのため第三者機関による PC 製造番号、HDD シリアル番号等が記録された『消去証明書』を発行することは極めて重要となります。」

言い換えると、マニフェストは「モノを適正に捨てた証明」であって「データを消した証明」ではありません。
そして事故が起きたときに責任を問われるのは、依頼した側です。

「作業を待っている間」がいちばん危ない

もうひとつ、ADECのガイドブックが指摘している論点があります。
これは競合するどの解説記事にも出てこない、しかし神奈川県の事件の核心そのものです。

「データ消去作業は委託元企業および委託先業者の施設のセキュリティ管理が万全でないと、作業待ちの一時保管段階や作業場所での盗難やデータ持ち出しが可能となり、データ漏えいのリスクが高まります。保管場所の厳重な施錠はもちろんのこと、各エリアへの入退室管理や防犯・監視等の物理的セキュリティシステムによる管理が徹底されていることを認証することが必要です。」

神奈川県の事件で持ち出しを行ったのは、まさに「データ完全消去作業の担当者」でした。
消去技術がどれだけ高度でも、消去される前の機器が置かれている場所が守られていなければ意味がありません。
業者を選ぶときは「どう消すか」だけでなく「消すまでどこに置いておくか」を聞いてください。

「ISMSを取得している業者だから安心」も成り立たない

もうひとつ、同じガイドブックの重要な指摘です。
ISMS（ISO/IEC 27001）は絶対的な管理手法を定めているわけではなく、リスクを完全に除去できない場合は「残留リスク」として最高責任者が認知・承認すればよい仕組みだと説明されています。

つまり「ISMSを取っている」ことは「あなたのデータをPurgeレベルで消してくれる」ことを意味しません。
認証の有無ではなく、どの段階（Clear／Purge／Destroy）で消すのかを書面で確認するのが正解です。

消去証明書には何が書かれているべき？

では、業者からもらう消去証明書は何を見ればよいのでしょうか。
NIST SP 800-88 Rev.2 は、記載すべき項目を具体的に挙げています。全部そろっていなくても構いませんが、「どこまで書いてある証明書か」を見る目安になります。

分類	証明書に記録すべき項目（Rev.2）
対象機器を特定する	製造元／型番／シリアル番号／社内で割り当てた資産管理番号／媒体の種類／その媒体がどこから来たか（利用者・コンピューター）
どの段階で消したか	消去の方法（Clear／Purge／Destroy）
どの手法で消したか	消去の技術（消磁・上書き・ブロック消去・暗号化消去等）／使用したツール名とバージョン
確認したことを特定する	検証の方法／消去前の機密度区分（任意）
誰がやったかを特定する	検証と妥当性確認を行った者の氏名／役職／実施日／場所／連絡先／署名

ここで注目してほしいのは、Rev.2が「消去の方法（method）」と「消去の技術（technique）」を分けて書かせている点です。
つまり「上書きをしました」だけでは足りず、「それはClearなのかPurgeなのか」まで書く必要があるということです。
業者から受け取った証明書に「上書き3回」しか書かれていなければ、それはClear相当の可能性が高いと読めます。

国内のADEC基準では、証明書に「HPA、DCO や再割り当て済セクタ、リカバリ領域／区画に関する情報を含む抹消作業の結果、及び残留するリスク等の特記事項」を含めることとされています。
先に説明した「上書きが届かない領域」をどう扱ったのかが書かれているか、という意味です。

「全部読み直して確認」は必須ではなくなった

ここはRev.1から大きく変わった点なので、古い解説と混同しないよう注意してください。
Rev.1では「アクセス可能な全領域を読み出して確認するのが最も高い確証」とされていましたが、Rev.2は検証に関する記述をほぼ削除し、次のように整理し直しました。

NIST SP 800-88 Rev.2 より引用（意訳）：
「組織の方針で明示的に求められている場合を除き、ClearまたはPurgeの手法を適用した後に、媒体の内容を（全数または代表抽出で）綿密にサンプリングすることは必要ではない。」

代わりにRev.2が求めているのは、次の2段階です。

段階	何をするか
検証（Verification）	破壊した場合は、破壊後の残骸を検査し、使用した装置を特定する。ツールで消去した場合は、ツールの完了状態を確認し、エラー・異常・媒体の健全性を確認する
妥当性確認（Validation）	検証の結果を踏まえ、この消去を「有効」として承認するか、「不十分」として却下するかを判断する。却下する場合は、別の手法でやり直すか、より強い段階へ引き上げる

これは中小企業にとって、むしろ現実的になった変更です。
高価な検証ツールで全領域を読み直す必要はなく、「消去ツールが正常終了したか」「エラーが出ていないか」を確認して、承認・却下を人が判断するという運用で足ります。
そしてこの「承認する人」は、個人情報保護法ガイドラインが中小企業向けの手法として挙げた「責任ある立場の者」と同じ役割です。

全件に証明書は必要か？Rev.2は「組織の方針に従って」消去した媒体ごとに証明書を作成すべきとしており、全台に詳細な証明書をつけることを一律に求めてはいません。
現実的な運用は、個人情報や設計情報が入っていた端末に絞って証明書を取得し、それ以外は台帳への記録＋責任者の承認で足りるという形です。ただしマイナンバーを扱っていた機器は、記録の保存と証明書の確認がより明確に求められているため、優先して残してください。

業者を選ぶときに確認する6つのこと

ここまでの内容を、見積りを取るときの質問リストにまとめます。この6つを聞けば、価格だけの比較から抜け出せます。

どの段階で消しますか（Clear／Purge／Destroy）。「上書き3回」ではなく段階で答えてもらう
どの手法ですか（上書き／デバイス消去コマンド／暗号化消去／物理破壊）。SSDが含まれる場合は、上書きでない方法かを確認する
穴あけの場合、それはDestroyとして扱えますか。NISTは部分的な損傷にとどまる可能性を指摘しています
シリアル番号が記載された証明書を1台ごとに発行できますか。ロット単位のマニフェストとは別物です
引き取りから消去までの間、機器はどこで、どう保管されますか。施錠と入退室管理があるか
作業は自社設備で行いますか、それとも再委託しますか。再委託する場合は、その先も同じ条件かを確認する

リース返却は自社で消せない？──いちばん先に確認すべき1点

リースやレンタルのパソコンは、所有者が自社ではありません。
そのため「勝手に物理破壊できない」「勝手にディスクを抜けない」という制約が生まれ、ここで多くの会社の対応が止まります。

最初にやるべきことは技術の検討ではなく、契約書を読んで「データ消去の責任がどちらにあるか」を確認することです。ここが決まらないと、どの方法を選ぶかも決まりません。

パターン	誰が消すか	会社がやるべきこと	リスク
自社で返却前に消す	自社	消去ツールで処理し、実施記録を残す	原状返却の条件（OSの状態など）に反しないか要確認
リース会社が返却後に消す	リース会社（さらにその委託先）	どの段階で消すのか／証明書は出るのかを書面で確認	返却から消去までの間、誰が保管しているか分からない
専門業者に依頼する	消去専門業者	リース会社の承諾を得たうえで、証明書を取得	費用がかかる／リース会社が認めない場合がある

最も見落とされるのが2番目のパターンです。
神奈川県の事件は、まさにこの「リース会社が返却後に処分を委託する」経路で起きました。
返却してしまえば自社の責任は終わりだと考えたくなりますが、個人情報保護法の考え方では、そのデータの管理責任は元の事業者に残ります。

NISTは「契約書に守秘の定めがあるか」で線を引いている

この「返却したら自社の管理外になるのか」という論点について、NIST SP 800-88 Rev.2 は明確な整理を示しています。
Rev.2は「媒体の管理（Control of Media）」という節を設け、リース契約からの返却・寄贈・組織外への転売・リサイクル施設への送付によって、媒体の管理権が変わりうると述べています。

NIST SP 800-88 Rev.2 より引用（意訳）：
組織の管理下にとどまる例：「保守事業者へ引き渡された（かつ安全に輸送された）媒体は、組織と保守事業者の間に、その情報の機密性について具体的に定めた契約上の合意がある場合には、なお組織の管理下にあるとみなしうる。」／「組織の敷地内で、組織の監督のもと、保守事業者によって行われる保守も、組織の管理下にあるとみなされる。」
組織の管理外となる例：「保証交換、費用の払い戻し、その他の目的で交換に出され、組織に戻ってこない媒体は、組織の管理外とみなされる。」

この整理は、中小企業の実務にそのまま使えます。
ポイントは「渡したかどうか」ではなく「契約書に機密性についての具体的な定めがあるかどうか」で線が引かれていることです。
リース会社に渡すこと自体が問題なのではなく、契約書にデータの取り扱いが書かれていない状態で渡すことが問題なのです。

見落としがちな穴＝メーカー保証での交換です。故障したPCやディスクをメーカー保証で交換に出すと、その機器は戻ってきません。NISTはこれを「組織の管理外」と明記しています。
しかも故障品なので消去コマンドを送れないことが多く、「消せないまま、戻ってこない形で外に出る」という最悪の組み合わせになります。
対策は1つだけで、あらかじめ暗号化しておくことです。暗号化されていれば、故障して手が出せなくなっても中身は読めません。

リース会社に確認する質問は3つで足ります。

データはどの段階（上書きのみ／ドライブの消去コマンド／物理破壊）で消しますか
返却してから消去するまでの間、機器はどこで、どう保管されますか
シリアル番号が記載された消去証明書を、1台ごとに発行してもらえますか

返却前に必ずやること：物理破壊ができなくても、自社でできることは残っています。
クラウドサービス（Microsoft 365・Google Workspace・各種SaaS）から必ずサインアウトし、ブラウザに保存したパスワードとCookieを消してください。
サインインしたままの端末は、ディスクの中身が読めなくてもアカウントそのものへの入口になります。

スマホ・タブレットはどうする？──リモートワイプは「Clear」止まり

社用スマホの回収では、MDM（モバイル端末管理）からのリモートワイプ（遠隔でのデータ削除）に頼るのが一般的です。
これは非常に便利な機能ですが、NIST SP 800-88 は重要な注意を書いています。

以下は Rev.1（2014年）の付録にあった記述です。Rev.2ではこの「媒体ごとの手法を示した付録」が文書の寿命を延ばすために削除されたため、機器ごとの具体的な手順を知るにはRev.1が今なお有用です。

NIST SP 800-88 Rev.1 「Table A-3: Mobile Device Sanitization」より引用（意訳）：
「リモートワイプによって実施された無害化は、Clear（消去）操作として扱われるべきであり、その結果を検証することはできない。」

これは実務にとって決定的な意味を持ちます。

紛失時の緊急対応としてのリモートワイプは、今後も最重要の機能です。手元にない端末に対して打てる唯一の手だからです
しかし手元に戻ってきた端末を「手放す」場面では、リモートワイプを実施記録の根拠にはできません。結果を検証できないからです

では、手元にある端末はどうすればよいのか。NISTは同じ表で、iPhone／iPadについて本体の「すべてのコンテンツと設定を消去」を実行すればPurgeに相当するとしています。
理由は、この操作が暗号化消去（Cryptographic Erase）に対応しているため、数分で完了するからです。ただしこれは「暗号化が有効で、すべてのデータが暗号化されていること」を前提にしています。

さらにNISTは、消去後の実務的な確認手順まで書いています。

消す前に、必要なデータを別の場所へバックアップする
本体の設定メニューから完全消去を実行する（リモートワイプではなく端末上で行う）
消去後にブラウザの履歴・ファイル・写真など複数の場所を実際に開いて、情報が残っていないかを目で確認する
取り外せるメモリカードがある場合は、抜き出して別に処理する（暗号化されているなら先に復号しておく）

SIMカードとSDカードを忘れないでください。本体を完全に消しても、差したままのSDカードには写真や書類が残ります。
ブロードリンクの事件で転売された媒体のうち、SDカード類は558個で、スマートフォン（75台）の7倍以上でした。

複合機・コピー機・プリンタは？──「本体にデータが残る」ことを知らない会社が多い

意外に見落とされているのが複合機です。
多くのオフィス複合機は内部にストレージを持っており、コピー・スキャン・FAX・プリントしたデータや、宛先の登録情報、ネットワークの設定が本体に残ります。

複合機の多くはリース契約で、期間満了時に業者が引き取っていきます。つまりPCと同じ経路で社外に出ていく機器なのに、消去の対象として意識されていないケースが目立ちます。

NIST SP 800-88 Rev.1 は、複合機を含むオフィス機器（コピー機・プリンタ・FAX・複合機）について次のように整理していました。この付録はRev.2で削除されたため、機器別の具体的な指針としてはRev.1の記述が今も参照されています。

段階	複合機での実施方法	NISTの注記
Clear	メーカーの完全リセットを実行して工場出荷設定に戻す	—
Purge	機種依存。メーカーに確認が必要	「ほとんどのオフィス機器はClearの機能しか持たず、Purgeの機能は持たない」と明記
Destroy	裁断・粉砕・溶解・認可された焼却施設での焼却	—

つまり複合機は「メーカーの初期化をしただけでは、NISTの基準ではいちばん弱いClear止まり」である可能性が高い、ということです。
メーカーに確認するときの質問は「初期化機能はありますか」ではなく、「その機能はファイルの目次を消すだけですか、それとも上書きやブロック消去、暗号化消去まで行いますか」です。

また、取り外せるストレージ（HDD／SSD）を持つ機種なら、それを抜き出してPCと同じ手順で処理するのが最も確実です。

トナーやドラムに印刷内容の痕跡が残る、という論点

NISTは複合機について、他ではほとんど語られない注意点を挙げています。

NIST SP 800-88 Rev.1 「Table A-4: Equipment Sanitization」より引用（意訳）：
「ClearおよびPurgeのいずれの場合も、インク、トナーおよび関連する消耗品（ドラム、定着器など）は取り外し、法令・環境・健康上の配慮に従って破壊または処分すべきである。これらの消耗品の一部には、その機械が印刷したデータの痕跡が残っている可能性があり、したがってデータ露出のリスクをもたらしうるため、それに応じた取り扱いが必要である。」

そして、NISTは対処法まで書いています。
「機器が動作するのであれば、リスクを下げる方法のひとつは、白紙のページ、次に全面黒のページ、さらにもう1枚の白紙のページを印刷することである」。

紙3枚を印刷するだけです。費用はほぼゼロです。
複合機を引き渡す前に、①宛先やアドレス帳・FAX番号の登録を削除、②ネットワーク設定を初期化、③メーカーの完全リセット、④白紙／全面黒／白紙を印刷という4手順を踏むだけで、リスクは大きく下がります。

複合機で確認すべきもうひとつのポイント：NISTは、リセット後に「保存されたFAX番号やネットワーク設定情報など、複数の場所を実際に開いて情報が残っていないかを目で確認する」ことを求めています。
引き取り業者に渡す前の10分間で終わる作業です。

USBメモリ・SDカード・NAS・外付けHDDはどう扱う？

ブロードリンクの事件で転売された記憶媒体の内訳を思い出してください。
USBメモリ742個・SDカード類558個で、合計1,300個。HDD（1,286個）を上回っています。数として最も多いのは、台帳にも載らず、誰の持ち物かも曖昧な小さな媒体です。

媒体ごとに、現実的な処理方法を整理します。

媒体	推奨する処理	注意点
ノートPC・デスクトップ（HDD）	ドライブの消去コマンド（Purge）／廃棄なら物理破壊	上書きだけでは届かない領域がある
ノートPC（SSD・NVMe）	暗号化消去またはブロック消去コマンド	上書きは効きにくい。物理破壊も粉砕が必要
スマホ・タブレット	端末上で完全消去（暗号化前提でPurge相当）	リモートワイプはClear止まり／SIM・SDカードを抜く
複合機・プリンタ	完全リセット＋登録情報削除＋白紙／黒／白紙を印刷	ほとんどの機種はClearまでしかできない
USBメモリ・SDカード	基本は物理破壊（数が多く単価が安いため）	小さくて紛失しやすい。台帳に載っていないことが多い
NAS・外付けHDD	ドライブを取り出してPCと同じ手順で処理	RAIDだと1本だけ抜いても他の本にデータが残る
光学メディア（CD・DVD）	裁断・粉砕	シュレッダーの対応可否を確認
紙の書類	焼却・溶解・適切なシュレッダー処理	ガイドラインが明示している唯一の方法群

NASでよくある失敗：複数台のディスクでデータを分散して保存している構成（RAID）では、1本だけ消しても他のディスクに断片が残ります。NASを手放すときは、必ず全本数を数えて、全部処理してください。

いちばん安いのは「先に暗号化しておくこと」？

ここが、この記事でもっとも実務的な結論です。
手放すときに苦労するかどうかは、使い始めるときに決まっています。

NIST SP 800-88 は暗号化消去（Cryptographic Erase）という手法を説明しています。
あらかじめディスク全体を暗号化しておけば、手放すときに「暗号化に使った鍵だけを消せば、残るのは読めない暗号文だけになる」という考え方です。

NIST SP 800-88 Rev.2 より引用（意訳）：
「暗号化消去は、基本的には、データを暗号化するために用いた鍵を無害化するか、あるいはその鍵へのアクセスを防ぐことに基づいている。したがって暗号化消去では、他の無害化手法よりもはるかに速く、高い確証をもって無害化を実施できる。暗号化それ自体が、データを無害化する働きをする。」
Rev.2は、暗号化消去をPurge（除去）に分類される手法として位置づけています。

この違いを、実務の言葉に置き換えます。

項目	暗号化していない端末	あらかじめ暗号化していた端末
手放すときの作業	ドライブ全体に消去処理をかける	鍵を破棄する（＝暗号化消去）
作業にかかる時間	容量に比例して数時間〜数十時間	数分
大容量ディスクだと	時間がかかりすぎて手が回らない	容量に関係なく短時間
途中で紛失・盗難に遭った場合	中身が読める	読めない
費用	外注すれば1台ごとに費用が発生	OS標準機能なら追加費用0円

Windows 10／11のProエディションにはBitLocker、macOSにはFileVaultが標準で搭載されています。
どちらも追加のライセンス費用はかかりません。有効にしておくだけで、廃棄時の作業が「数時間の消去処理」から「数分の鍵破棄」に変わり、しかも在職中の紛失・盗難にも同時に効きます。

クラウド上のデータは、そもそも「消し方」を選べない

Rev.2でもっとも大きく変わったのが、クラウドの扱いです。
Rev.2は「ISM（情報記憶媒体）」という新しい用語を導入し、クラウドストレージのような論理的・仮想的な保存領域も対象に含めました。その上で、次のように述べています。

NIST SP 800-88 Rev.2 より引用（意訳）：
「論理的・仮想的なストレージ（例：クラウドストレージ）の形をとる媒体については、暗号化消去が唯一の実行可能なPurge手法の選択肢となる場合がある。通常、その下にある物理的な媒体は抽象化されており、データの所有者は物理媒体に直接アクセスできず、それを無害化することはできない。したがって組織は、そのような媒体に機密データを保存する前に、自らが取りうるPurge手法の選択肢と、その手法の有効性を明確に理解しておくべきである。」

これは中小企業にとって実務的に重い指摘です。
クラウドサービスに預けたデータは、こちらから物理的に消すことができません。「解約したのでデータは消えているはず」という前提は、契約と仕様で確認するしかありません。

だからRev.2は「預ける前に、どう消せるのかを理解しておくべき」と書いています。
クラウドサービスを選ぶときの確認項目は3つです。

解約したとき、データはいつ、どのように削除されるか（契約書・仕様書に書かれているか）
削除された記録や証明を出してもらえるか
自社側で暗号化して預けているか（そうであれば、自社が鍵を破棄することで実質的に読めなくできる）

▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？

ただし「鍵の管理」を先に決めておく必要がある

暗号化には落とし穴があります。回復キー（リカバリキー）を失うと、生きている端末のデータも取り出せなくなります。

個人情報保護法ガイドラインは、この状態を「毀損」の事例としてはっきり挙げています。「暗号化処理された個人データの復元キーを喪失したことにより復元できなくなった場合」です。
つまり鍵を管理できていない暗号化は、それ自体が事故になりうるということです。

だから中小企業がBitLockerを全社展開するときは、回復キーを人が手作業でメモするのではなく、管理ツールで自動的に収集しておくのが安全です。
後述するIT資産管理ツールの多くは、この機能を標準で持っています。

消す前に、残しておくべきものは？

急いで消してしまい、後から「あのデータが必要だった」となるのが実務でいちばん多い失敗です。
消去は元に戻せない作業なので、手を動かす前に「残すもの」を先に決めてください。

残すもの	なぜ必要か	どこに残すか
業務データ・ファイル	後で参照が必要になる。取引先からの問い合わせにも使う	ファイルサーバー／クラウドバックアップ
帳簿書類・請求書・契約書の電子データ	法令で保存年限が定められている	電子帳簿保存法に対応した保存先
ソフトウェアのライセンス情報	再インストール時に必要。二重購入の防止	IT資産管理台帳
アプリの認証・多要素認証の登録	消してからでは再登録できない場合がある	別端末へ移行してから消す
ローカルにしか無いメールやPST	見落としが最も多い	クラウドメールへ移行

法定の保存年限には注意してください。帳簿書類などは法令で一定期間の保存が求められており、税務や会計の要件は業種・状況によって異なります。
「不要になった端末」の中に、保存義務のある唯一のデータが入っていないかを、経理担当者と一緒に確認してから消してください。年限の判断は税理士等の専門家にご確認ください。

▶ 関連記事：バックアップの基本「3-2-1ルール」とは

中小企業がやるべき8つの手順は？

ここまでの内容を、着手できる順番に並べます。
1〜6は追加費用がほとんどかかりません。費用が発生するのは7以降です。

順番	やること	なぜ効くか	費用の目安
1	「どの機器に何が入っているか」の台帳を作る	台帳に無い機器は消し忘れる。USBやSDカードほど漏れる	0円（Excel1枚から）
2	使用中の全PCで暗号化（BitLocker／FileVault）を有効にする	手放すときの作業が数時間から数分になる。紛失時にも効く	0円（Windows Pro／macOS標準）
3	回復キーの保管先を決める	鍵を失うと生きている端末のデータも取り出せなくなる	0円〜（管理ツールで自動収集）
4	故障品・保証交換に出す機器の扱いを決める	壊れた機器は消去コマンドを送れず、保証交換だと戻ってこない	0円
5	廃棄・返却の手順を1枚に書く	担当者が変わっても同じやり方になる。規程に紐づける	0円
6	「責任ある立場の者が確認する」担当を決める	ガイドラインが中小企業に求めている手法そのもの	0円
7	消去の実施と、証明書または実施記録の取得	法令上の「復元不可能な手段」と記録を満たす	外注なら1台あたり数千円
8	年1回、台帳と現物を突き合わせる	「行方が分からない機器」を早く見つけられる	0円（棚卸に組み込む）

この8つのうち、実務でいちばん効くのは2番（先に暗号化する）です。
これを済ませておくと、7番の費用が下がり、しかも在職中の紛失・盗難というまったく別のリスクにも同時に効きます。

どんな製品で支えられる？

廃棄・返却の作業そのものは人が行いますが、その前提になる「台帳」「暗号化キーの管理」「遠隔での消去」「消す前のバックアップ」「手順の周知」は、ツールで自動化できます。

当社（株式会社アーデント）が取り扱っている製品を、この記事で説明した論点との対応で並べます。

項目	LANSCOPE エンドポイントマネージャー	ISM CloudOne	CLOMO MDM	クラウドバックアップ powered by Acronis	セキュリオ
提供元	エムオーテックス（MOTEX）	クオリティソフト	アイキューブドシステムズ	Acronis（アクシルビット提供）	LRM
主な役割	IT資産管理＋操作ログ＋MDM	IT資産管理＋エンドポイント統制	MDM（モバイル端末管理）	バックアップ	セキュリティ教育・規程運用
廃棄・返却で支える手順	手順1・2・3・8	手順1・8	手順1・7（スマホ）	手順（消す前に残す）	手順5・6
資産台帳（どの機器に何があるか）	◯（プリンターやルーターなどエージェントを入れられない機器も登録可・最大10,000件）	◯（Windows/Mac/iOS/Android を自動収集）	◯（デバイス基本情報を自動取得）	—	—
暗号化キーの管理	◯ BitLocker回復キー／FileVault復旧キーを自動取得	—	◯（証明書連携オプション）	—	—
遠隔でのロック・データ削除	◯（リモートロック・ワイプ）	◯（スマートデバイス管理）	◯（リモートロック／初期化）	—	—
外部デバイス（USB等）の制御	◯ 記録メディア制御	◯ 外部デバイス制御（利用申請ワークフロー標準）	—	—	—
消す前のデータ退避	—	—	—	◯（PC・サーバー・NAS・M365等）	—
手順の周知・教育	—	—	—	—	◯ eラーニング／規程運用
初期費用（税別）	30,000円／契約	30,000円	19,800円	0円	100,000円
月額の目安（税別）	ベーシック 500円／台（プランⅢ）	PC 600円／台〜（1〜）	基本利用料 2,100円＋300円／台	100GB 3,000円	50名以下 18,000円（ARライト）
デジタル化・AI導入補助金	◯	◯	◯	◯	◯
詳細ページ	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

※料金はいずれも税別の目安です。ライセンス数・契約期間・オプション構成によって変わります。正式なお見積りはお問い合わせください。

選び方の考え方はシンプルです。
PCが中心なら台帳と暗号化キー管理を持つIT資産管理ツール（LANSCOPE／ISM CloudOne）、社用スマホが多いならMDM（CLOMO MDM）、消す前の退避が課題ならバックアップ（Acronis）から着手してください。
手順を社内に定着させる段階になったら、教育・規程運用（セキュリオ）を足します。

費用はどれくらい？補助金は使える？

費用は「日々の管理にかかる費用」と「手放すときに1回かかる費用」に分かれます。

手放すときに1回かかる費用の目安

消去を専門業者に外注する場合の費用は、業者が公開している価格例では次のような水準です。

作業	公開されている価格例の水準
HDDの物理破壊（穴あけ）	1台あたり 1,500〜3,000円程度
SSDの粉砕	1台あたり 5,000円程度（機械の消耗が大きく割高）
出張対応（自社に来てもらう）	1回あたり 15,000〜30,000円程度の出張費
データ消去証明書の発行	簡易版で5,000円／件、詳細版で3,000円／台程度

※上記は複数の消去事業者が公開している価格例をもとにした水準感で、当社の価格ではありません。台数・方式・証明書の詳細度で大きく変わるため、必ず個別に見積りを取ってください。

いちばん安い選択肢が、いちばん確実とは限りません。この表でもっとも安いのは「HDDの穴あけ」ですが、先に説明したとおりNIST Rev.2は穴あけを「部分的な損傷にとどまり、実験室レベルの技術ではアクセス可能な部分が残る場合がある」と評価しています。
価格だけで選ぶと、費用を払ったのにDestroyを達成できていない、という状態になりえます。見積りを取るときは「その方法はClear／Purge／Destroyのどれですか」と聞いてください。

この表を見ると、暗号化を先にしておく効果がはっきりします。
PC30台を入れ替えるとき、1台あたり物理破壊3,000円＋詳細な証明書3,000円で計算すると6,000円×30台＝180,000円＋出張費です。
一方、あらかじめ暗号化しておけば、多くのケースで鍵の破棄と実施記録で足り、証明書が必要な端末を絞り込めます。

日々の管理にかかる費用（30名・PC30台・社用スマホ20台のモデル）

項目	費用（税別）
LANSCOPE エンドポイントマネージャー初期費用	30,000円（初年度のみ）
同ベーシック 500円／台 × 30台 × 12か月	180,000円／年
CLOMO MDM 初期費用	19,800円（初年度のみ）
同基本利用料 2,100円／月 × 12か月	25,200円／年
同ライセンス 300円／台 × 20台 × 12か月	72,000円／年
クラウドバックアップ（Acronis 100GB）	36,200円／年
BitLocker／FileVault による暗号化	0円（OS標準機能）
初年度合計	約363,200円（月あたり約30,300円）
2年目以降（年額）	約313,400円（月あたり約26,100円）

月あたり約3万円で、「どの機器に何が入っているか」が常に分かり、暗号化キーが自動で集まり、スマホは遠隔で消せて、消す前のデータ退避もできる状態になります。
そのうえで、手放すときの1台あたりの費用が下がります。

デジタル化・AI導入補助金は使える？

上に挙げた製品は、いずれもデジタル化・AI導入補助金（旧「IT導入補助金」から改称）を活用して導入できるITツールです。
アーデントは同補助金の支援事業者として、ツール選定から申請、導入・運用支援までをまとめてお手伝いしています。

項目	内容（2026年度）
補助上限	最大450万円
補助率	原則1/2（小規模事業者は要件により最大4/5）
セキュリティ対策推進枠	5万円〜150万円（小規模2/3・中小1/2、サービス利用料は最大2年分）
申請に必要なもの	SECURITY ACTION の自己宣言ID／GビズID
注意点	交付決定前に発注したものは補助の対象外

補助金の要件は年度・公募回ごとに変わります。最新の公募要領を必ずご確認いただくか、当社にご相談ください。
とくに「交付決定前の発注は対象外」という原則は毎年変わらないため、買ってから申請することはできません。導入時期から逆算してご相談ください。

よくある質問

Q. パソコンを買い替えるとき、古いPCはどうすればいいですか？

A. まず「必要なデータを移し終えたか」を確認してから、次の順番で進めてください。
①データ・ライセンス・多要素認証の登録を新しい端末へ移す ②クラウドサービスから全部サインアウトする ③台帳に「廃棄予定」として記録する ④暗号化していた端末なら鍵を破棄（暗号化消去）、していなければドライブの消去コマンドか物理破壊 ⑤実施内容を記録し、外注した場合は証明書を受け取る。
いちばん多い失敗は「一時的に倉庫に置いておく」まま数か月が過ぎ、行方が分からなくなることです。置き場所は施錠し、いつまでに処理するかを決めてください。

Q. Windowsの「このPCを初期状態に戻す」だけでは不十分ですか？

A. 手放す機器では不十分な場合があります。
この機能には「ファイルの削除のみ」と「ドライブを完全にクリーンアップする」の2つの選択肢があり、前者を選ぶとデータは復元できる状態で残ります。後者を選べば上書き処理が行われますが、それでもNISTの区分では原則Clear（いちばん弱い段階）に相当し、上書きが届かない領域は残ります。
第三者に渡す機器では、ドライブ自身の消去コマンドを使うか、暗号化消去を使うか、物理破壊するのが正解です。

Q. 従業員10名の小さな会社でも、消去証明書は必要ですか？

A. 全台に詳細な証明書をつける必要はありません。
個人情報保護法ガイドラインは、中小規模事業者（従業員100人以下）向けの手法として「削除・廃棄したことを、責任ある立場の者が確認する」ことを挙げています。NISTも「機密度がきわめて低いデータの機器が大量にある場合は、証明書を作らない選択をしてもよい」としています。
現実的な運用は、個人情報や設計情報が入っていた端末に絞って証明書を取得し、それ以外は台帳への記録＋責任者の確認で足りるという形です。ただしマイナンバーを扱っていた機器については、記録の保存と証明書の確認がより明確に求められているため、優先して残してください。

Q. リース会社が「返却後にこちらで消去します」と言っています。それで足りますか？

A. 口約束では足りません。3点を書面で確認してください。
①どの段階（上書きのみ／ドライブの消去コマンド／物理破壊）で消すのか ②返却から消去までの間、機器はどこでどう保管されるのか ③シリアル番号が記載された消去証明書を1台ごとに発行してもらえるか。
2019年の神奈川県の事件は、まさに「リース会社が返却後に処分を委託する」経路で、その委託先の担当者が持ち出したケースでした。返却したから責任が消えるわけではありません。
なお、物理破壊ができない場合でも、返却前にクラウドサービスからサインアウトし、保存されたパスワードとCookieを消す作業は自社でできます。これは必ずやってください。

Q. 買取業者に売れば、消去費用を売却額で相殺できますか？

A. 可能ですが、売る場合は物理破壊ができないという制約が生まれます。再利用するために、媒体は使える状態で渡さなければなりません。
したがって売却ではPurge（ドライブの消去コマンドや暗号化消去）で処理し、証明書を取得するのが基本です。「買取額から消去費を引く」という提案を受けたときは、その消去がClearなのかPurgeなのかを必ず確認してください。また、機器を引き取ってから消去するまでの保管方法も確認しておくと安全です。

Q. HDDに穴を開けてもらえば、それで確実ですか？

A. 「穴を開けた」ことは、NISTの基準では最上位のDestroyを達成した証明にはなりません。
NIST SP 800-88 Rev.2 は、曲げる・切る・穴を開けるといった手法は「媒体を部分的に損傷させるだけにとどまり、最新の実験室レベルの技術を用いればアクセス可能な部分が残る場合がある」と明記しています。粉砕・裁断についても「機密度がもっとも低い区分のデータ以外には用いるべきではない」としています。
また磁気破壊（消磁）はSSDには効かず、Rev.2執筆時点ではDestroyの承認された手法とみなされていません。
物理破壊を選ぶなら手法まで確認し、それ以上に「先に暗号化しておく」ほうが確実で安価です。

Q. 「3回上書きしています」と言われました。それで十分ですか？

A. その根拠として挙げられる規格は、もう存在しません。
NIST SP 800-88 Rev.2 の脚注は「2006年、米国国防総省はNISPOM（DoD 5220.22-M）から上書きに関する仕様を削除した」と記しており、改訂内容の説明でも「Clearの方法は複数回の上書きが不要であることが明確化された。これは一定の上書き回数とパターンを義務づける、時代遅れとなったDoD 5220.22-Mの記述に反論するものである」と明言しています。
問題は回数ではなく届く範囲です。OSから見えない領域（HPA・DCO・再割り当て済セクタなど）には上書きが届かず、ADECのガイドブックは「複数回の上書きを実行しても変化することは無い」としています。
確認すべきは回数ではなく、「デバイス消去コマンドを使っていますか（＝Purgeですか）」という1点です。

Q. 複合機やコピー機も対象になるのですか？

A. なります。多くのオフィス複合機は内部にストレージを持ち、コピー・スキャン・FAX・プリントしたデータや宛先の登録情報が本体に残ります。
NISTは「ほとんどのオフィス機器はClearの機能しか持たず、Purgeの機能は持たない」と明記しているため、メーカーに「初期化機能は目次を消すだけか、上書きやブロック消去まで行うか」を確認するのが実務です。取り外せるストレージがあれば、抜き出してPCと同じ手順で処理するのが最も確実です。
あわせて、宛先やFAX番号の登録削除、ネットワーク設定の初期化、そしてNISTが推奨する白紙／全面黒／白紙の3枚を印刷する作業（トナーやドラムに残る印刷の痕跡を減らすため）も行ってください。

Q. 情シス担当がいませんが、何から相談すればいいですか？

A. まずは「いま社内にどんな機器が何台あるか」の棚卸しからご相談ください。
この記事の7つの手順のうち1〜5は費用がほとんどかからず、そのうち最も効くのは2番（使用中の全PCで暗号化を有効にする）です。BitLockerもFileVaultもOS標準機能なので追加費用は0円です。
ただし回復キーの管理を人手で行うと必ず抜けが出るため、IT資産管理ツールで自動収集する構成をおすすめしています。当社では、機器の棚卸し、暗号化の全社展開、廃棄・返却の手順書づくり、そして補助金の申請までをまとめてお手伝いできます。

まとめ

業務で使ったパソコンやスマホを手放すとき、「初期化した」「ゴミ箱を空にした」だけではデータは消えていません。
個人情報保護法のガイドラインは、機器を廃棄する場合は「復元不可能な手段で行わなければならない」と義務として定めており、あわせて削除・廃棄した記録の保存と、委託した場合は証明書による確認が重要だとしています。
世界標準である NIST SP 800-88 は2025年9月に Rev.2 へ改訂されました。3段階（Clear／Purge／Destroy）の枠組みは維持されており、工場出荷状態に戻す操作は最も弱いClear止まりで、Rev.2は「可能な場合にはClearではなくPurgeを使うべき」と明記しています。

そして「3回上書きすれば安心」も「穴を開ければ確実」も、どちらも成り立ちません。
Rev.2の脚注は「2006年に米国国防総省がNISPOMから上書き仕様を削除した」と記し、改訂の説明ではDoD 5220.22-Mの複数回上書きの記述を「時代遅れ」と明言しています。ADECのガイドブックも、OSから見えない領域には上書きが届かず「複数回の上書きを実行しても変化することは無い」としています。
穴あけについてはRev.2が「部分的な損傷にとどまり、実験室レベルの技術ではアクセス可能な部分が残る場合がある」と評価し、粉砕・裁断は機密度が最も低いデータ以外には使うべきでないとしています。磁気破壊はSSDに効かず、Destroyの承認手法ともみなされていません。

2019年に発覚したHDD転売事件では、リース会社の委託先の担当者が機器を持ち出し、同社全体で7,844台が転売されていました。
記憶領域があるものは3,904個に及び、そのうち回収できたのは29個にとどまりました。一度社外に出た媒体は、事実上戻ってきません。
そしてマニフェスト（産業廃棄物管理票）はデータを消した証明にはなりません。必要なのはシリアル番号単位の消去証明書で、Rev.2は「Clear／Purge／Destroyのどれか」と「上書きか、ブロック消去か、暗号化消去か」を分けて記録させています。
スマホのリモートワイプはClear止まりで結果を検証できず、複合機はほとんどの機種がClearまでしかできません。

しかし、いちばん現実的な答えは費用のかからないところにあります。
あらかじめBitLocker／FileVaultで暗号化しておけば、手放すときの作業は「鍵を捨てるだけ」になり、数時間の処理が数分で終わります。OS標準機能なので追加費用は0円で、しかも在職中の紛失・盗難というまったく別のリスクにも同時に効きます。
7つの手順のうち1〜5は費用がほとんどかからず、費用が発生するのは6の消去作業からです。
まずは「どの機器に何が入っているか」の台帳づくりと、使用中の全PCの暗号化から始めてください。

株式会社アーデントでは、IT資産の棚卸しから暗号化の全社展開、廃棄・返却の手順書づくり、そしてデジタル化・AI導入補助金を活用したコスト削減までをワンストップでご支援しています。
「これから何台か入れ替える予定がある」「リース返却が近い」という段階でご相談いただくのが、いちばん費用を抑えられるタイミングです。

機器の廃棄対策を相談する

法人向けセキュリティソフト　7社料金 10秒一括比較はこちら➡

運営会社	株式会社アーデント
所在地	〒150-0002 東京都渋谷区渋谷3-15-5 パールビル3階
電話番号	03-5468-6097
営業時間	10:00〜19:00（土日祝・年末年始除く）
URL	https://ardent.jp/