PC廃棄時のデータ消去証明書・証跡管理とは？
ISMS・Pマーク対応企業が確認すべき記録項目

A. データ消去証明書は重要な書類ですが、証明書だけで十分とは限りません。

証明書があっても、どの端末に対する証明書なのか、いつ作業したのか、誰が確認したのか、端末台帳と紐づいているのかが分からなければ、監査や取引先説明で使いにくくなることがあります。

証跡管理では、消去証明書に加えて、端末台帳、作業記録、作業報告書、確認履歴を一連の記録として管理することが重要です。

A. ISMSやPマークでは、情報資産や個人情報を適切に管理しているかが重要になります。

PCやストレージの廃棄・返却時も、情報資産管理や個人情報管理の一部として見られることがあります。そのため、データ消去を実施したかだけでなく、対象端末、消去方法、消去結果、確認履歴などを説明できる状態にしておくことが望ましいです。

実際にどこまで確認されるかは、監査の範囲、社内規程、取引先の要求内容によって異なります。

A. リース返却前も、データ消去の記録を残しておくことが望ましいです。

リース返却では、端末自体はリース会社へ返却されるため、返却前にデータを消去したかを社内で説明できる状態にしておく必要があります。

消去証明書を取得する場合は、リース会社の管理番号、社内の資産番号、シリアル番号などを紐づけ、返却対象の端末と照合できるようにしておくと管理しやすくなります。

A. 社内でデータ消去する場合でも、証跡を残すことは可能です。

ただし、消去作業を行うだけでなく、消去対象、実施日、消去方法、消去結果、作業担当者、確認者、消去ログの保管場所などを記録しておく必要があります。

法人向けのデータ消去ソフトを活用する場合は、消去ログや作業結果を出力できるか、端末台帳と紐づけられるかを確認しておくとよいでしょう。

A. 外部委託しても、社内側の証跡管理が不要になるわけではありません。

委託先から消去証明書や作業報告書を受け取ったあと、対象端末、台数、シリアル番号、作業結果が依頼内容と一致しているかを社内で確認することが重要です。

また、委託先を選ぶ際は、消去証明書や作業報告書にどの情報が記載されるか、対象端末をどのように特定するか、端末台帳と照合しやすい形式で報告を受け取れるかを確認しておくとよいでしょう。外部委託の場合も、証明書や報告書を端末台帳と紐づけ、社内確認日や確認者を記録しておくことで、監査や取引先説明に備えやすくなります。

A. 物理破壊を行う場合でも、どの端末やストレージを破壊したのかを記録として残しておくことが重要です。

破壊後は、HDDやSSDのシリアル番号、搭載されていたPC、社内の資産番号などを確認しにくくなることがあります。

そのため、物理破壊前に端末情報を記録し、破壊証明書や作業報告書と端末台帳を紐づけておくと、後から説明しやすくなります。

A. 起動しないPCや故障端末は、通常のソフトウェア消去ができないことがあります。

そのため、あらかじめ故障端末の扱いを決めておくことが重要です。たとえば、ディスクを取り外して物理破壊する、専門業者に委託する、オンサイトで確認するなど、端末の状態に応じた処理方法を定めておくとよいでしょう。

また、一時保管中の故障端末にデータが残っている可能性もあるため、保管場所、管理責任者、処理予定日を記録しておくことが大切です。

A. データ消去証跡の保管期間は、法令、社内規程、契約条件、監査要件、取引先からの要求によって異なります。

一律に何年保管すべきと決めるのではなく、自社の文書管理規程や情報セキュリティ規程に合わせて、消去証明書、作業報告書、端末台帳、確認履歴の保管期間を決めておくとよいでしょう。重要なのは、保管期間だけでなく、必要なときに検索・照合できる状態で保管しておくことです。

A. まずは、現在のPC廃棄・リース返却時の記録が、端末台帳と紐づいているかを確認することから始めるとよいでしょう。

具体的には、次の3点を確認します。

– 廃棄・返却した端末を資産番号やシリアル番号で特定できるか

– 消去証明書や作業報告書を端末台帳から確認できるか

– 誰が作業結果を確認したか、確認日が残っているか

この3点が確認できれば、証跡管理の土台を整えやすくなります。そのうえで、消去方法の選定ルール、故障端末の扱い、保管ルールの標準化を進めるとよいでしょう。