攻撃者が悪意のあるアプリケーションを使い、特定のパターン（報告書はこれを「ワーストケースパターン」と呼ぶ）でデータを書き込むことで、この攻撃が実現する。このパターン書き込みによって、近隣のメモリセルでエラーが発生する。

　他のアプリケーションが利用するページに、データの読み取り障害を引き起こすこともできる。攻撃者は悪意のあるアプリケーションを使い、短時間に大量の読み取り操作を実行して、部分的にデータが書き込まれたページや、まだデータが書き込まれていないページを破損させる。

　こうした悪用の背後にあるテクノロジーを厳密に理解するのは難しいが、その考え方は明確だ。

　MLC方式のNAND型フラッシュメモリにある脆弱性は、1つのメモリセルで3bitのデータを保持できる「TLC」（Triple Level Cell）のNAND型フラッシュメモリにも潜む可能性が高い。TLC方式でもデータ書き込みプロセスは同様だからだ。ただしカーネギーメロン大学の報告書は、TLC方式については特に言及していない。一方で前述のような脆弱性の悪用方法は、3次元（3D）構造のNAND型フラッシュメモリに対して機能する恐れはなさそうだ。

　カーネギーメロン大学の報告書は、SSDの脆弱性を軽減する提案を幾つか示している。SSDを制御する「SSDコントローラー」を介してデータをバッファー（一次記憶）メモリに送り込むこと、メモリセルの保持データを判別する「しきい値電圧」の変更を無効にすることなどだ。どの提案を採用するかはSSDベンダーによって異なる。

あらゆる要素に存在するリスク

　こうした脆弱性の重要性を疑問視する業界関係者も少なくない。最新のSSDテクノロジーは既にこれらの問題に対処済みで、最近のメモリコントローラーと暗号化手法も問題の軽減に一役買っているというのが、こうした関係者の主張だ。問題はハードウェア自体ではなく、ファームウェアやソフトウェアにあると指摘する関係者もいる。

　IT部門がSSDのセキュリティに対して、あまりにも無頓着であることも問題だ。例えば時代遅れのテクノロジーを基盤とするMLC方式のNAND型フラッシュメモリに、機密データを保存しているIT部門は少なくない。「Rowhammer」（「Row Hammer」とも）の影響を受けやすい、DRAM内蔵型のSSDを運用するIT部門もある。Rowhammerは、特定のメモリセルへの連続したアクセスにより、隣接したメモリセルの内容が書き換わるハードウェア脆弱性だ。

　IT部門は、SSDの安全性を評価することが重要だ。手始めにSSDのファームウェアから評価するとよい。ファームウェアが常に最新状態になっているかどうかを確認しよう。新しいSSDを導入する場合でも、既存SSDのメンテナンスをする場合でも、それは同じだ。主要なSSDベンダーは、ファームウェアを更新するための具体的な情報とツールを提供している。評価は厄介なプロセスになる場合もあるが、手間を掛ける価値は十分ある。

　導入するSSDの設計方法と製造方法も把握する必要がある。非常に機密性の高いデータを保存する場合は、特に欠かせない。例えばSSDが組み立てられた国で、セキュリティリスクが発生しているかどうかを見極める必要がある。ハードエアやファームウェアのセキュリティ対策に関するベンダーの説明に、根拠があるかどうかも確認が必要だ。

　製造プロセスではSSDの脆弱性につながる巧妙な変更が加えられる可能性がある。非常に機密性の高いデータを保存する企業は、購入前にSSDの製造プロセスと、ファームウェアのプログラミングプロセスを徹底的に把握する必要がある。

　SSDの購入や導入は、セキュリティリスクを呼び込む要因の一部でしかない。役割を終えたSSDを企業がどう扱うかによって、もっと大きなセキュリティリスクが生じる可能性がある。

　使用済みSSDのデータを削除するためには、ドライブをIT資産の廃棄ベンダーに送ったり、その仕事をITセキュリティコンサルティング会社に委託したりするのが一般的だ。一方でこうした社外の事業者が、データを永続的に削除する能力があるかどうかに注意を払う企業は、ほとんどない。

　SSDを再フォーマットしているだけ、もしくはHDD向けの消去手法を利用している企業もある。こうした方法では、SSDから機密データを全て削除することはできない。役割を終えたSSDの廃棄方法が適切かどうかを評価していないIT部門は、企業全体をリスクにさらす恐れがある。