小型メモリに加え、携帯電話やPDAが組織内で再利用されるケースも増えている。大切なデータがメディアに残ったまま再利用されれば、物理的、道理的にそれにアクセスできる人物なら誰でもその情報を見ることができる。こうした状況でストレージメディアの情報が適切に抹消されていなければ、大切なデータが意図せず流出する恐れがある。

　では、メディアを破棄せずに再利用したい場合はどう対応すべきなのか。情報流出を防ぐため、重要なデータが保存してあるメディアを再利用する前にどう処理すべきかを定めた明確な消去・廃棄ポリシーを確立することが必須になる。例えば、重要度の低いデータの保存にメディアを再利用する場合、あるいはあまりセキュアでない環境で利用する場合、単純な消去ではなくパージする必要がある。

　消去とは、データでもディスクでもファイル復旧ユーティリティでもメディア上のデータを読み取れない状態にすることをいう。一方、パージとはデータを削除して高度な攻撃から保護することをいう。リースしたり借りたりしていた機器を返すなど、メディアが組織を離れる場合は、非リムーバブルメディアをすべてパージするまで返却してはならない。

　ほとんどのメディアは、Darik's Boot and Nuke（DBAN）などの上書きソフトを使ってデータを消去できる。DBANはWeb上で無償配布されており、ほとんどのコンピュータのHDDを安全に消去してくれるブートディスクだ。一方、データをパージするためには、カリフォルニア大学が設計したSecure Eraseなどのユーティリティを使う必要がある。消磁装置を使うこともできるが、これは実質的にディスクドライブを破壊して永久に使えなくしてしまう。パージまたは消去のプロセスが完了したことを確認し、抹消のプロセスを文書化して再利用前にデータとメディア、消去されたデータを記録することが大切だ。

　メディアは小型化する一方でストレージ容量が大きくなり、簡単に使い回して再利用できてしまうため、情報流出を防ぐためにはセキュアな抹消モデルを厳密に守ることが必要になる。決定フローチャートは、メディアを再利用する前にどちらの抹消モデルが適当かをユーザーがチェックする助けになる。決定フローチャートは単純なイエス／ノーの質問に答えていくだけで、正しい対応を決める手助けをしてくれる。米標準技術局（NIST）の「Guidelines for Media Sanitization（リンク先はPDF）」の20ページ目に、優れた事例が掲載されている。

　なお、クラウドサービスを使用している企業の場合は、持続メディアを再利用する前にセキュアな消去またはパージを行ってデバイスのセキュリティを保証するよう、契約でサービス提供事業者に義務付ける必要がある。

本稿筆者のマイケル・コッブ氏は、ITトレーニングと情報セキュリティサポート、分析を手掛けるコンサルティング企業Cobweb Applicationsの創業者でマネージングディレクターを務める。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を保有。共著書に「IIS Security」があり、大手IT出版物に多数の技術記事を寄稿している。