初期化しても消えません――繰り返されるデータ消去の落とし穴：“迷探偵”ハギーのテクノロジー裏話（3/3 ページ）

[萩原栄幸，ITmedia]

「ファイルの完全削除」は？

　ファイル単位の場合、HDDなどの媒体全体の完全削除と違う点は、「物理的に隙間なく完全にデータを上書きすればOK」とはならないことである。先にOSがファイルの「管理簿情報」を識別すると述べた。だが、「本当にそのアドレス（データの実態が置かれた場所）だけをみているのか？　一時的にでも別の場所に置かれてはいないか？」と考えると分かりやすい。

　PCでは作業時に、ファイルのデータの一部や管理簿情報を一時的に本来置かれている場所とは違う場所に格納している。それは、レジストリ属性の場所だったり、バッファ領域だったり、キャッシュだったりと、その時々で異なる。

　SSDでの「ファイルの完全削除」は、その特性から保証させるものではない。HDDは専用ソフトで「未使用領域を完全削除すれば良い」とした。しかし、今まで「（正確には違うが）」と何カ所も注釈を付けているのは、理論的に「完全削除」というのが正確な表現ではないからだ。日常の使い方からみて、「これならまず大丈夫」という意味である。

　もちろん詳しい分析によって、レジストリにファイルの残骸が見つかったたり、SSDで既に使用回数のしきい値を超えてアクセスできないセルの中に痕跡が見つかったというケースもある。だが、このような分析が必要になるのは犯罪捜査のような場面である。そのわずかな情報の痕跡を見つけないと企業が大きな損害を被る――このような可能性を突きつめて、企業がPCの利用を禁止するような状況になったらいかがだろうか。企業の経済活動を考慮するなら、「完全消去は理論的に不可能」と理解するのはいいとしても、実際に使う場面に適した防衛策を講じる方が得策だと筆者は考える。

　まとめるとポイントは次の通りだ。

• どの媒体でも「ファイルの完全削除」は難しい（あくまで理論的な見解）
• 媒体全体の「データ部分の削除」では、実質的には専用ソフトで1〜2回全体を上書きすればよい（現実的な見解であり理論的ではない）
• 「ファイルの削除」はSDカードやUSBメモリならば媒体ごと削除してもさほど時間もかからないのでその方向で検討していただきたい。HDDには現実的には専用ソフトで「空き領域の完全削除」をするのがよい

最近人気のSSDは？

　最近のノートPCではSSDを標準装備とするなど、時代はだんだんとHDDからSSDに移りつつあるようだ。SSDは専用のデフラグ処理を行わないと、HDD以上に処理速度が遅くなってしまうなど小まめに保守しなければいけないという特徴がある。SSDとHDDとの一番の違いはデータの一部を変更するという処理が極めて苦手という点だ。なぜなら、SSDには「書き換え」という概念が存在しない。しかも、「読込の単位」と「消去の単位」が違う。

　例えば、「A」という文書ファイルの中の住所欄に変更があったとしよう。100人の名簿の中で変更点は1人分である。SSDには書き換えという概念がないので、「消去」「書き込み」「読み込み」という処理をすることになる。だが1回の消去単位は100人で、つまり全部が消えてしまう。それはまずいので、1人ずつ（読み込みは1人単位）でほかの領域に退避させ、その後に100人全体が消去される。そしてまた1人ずつ格納していき、変更点だけは新しい情報を読み込んで新しい名簿情報として書き込みを終了する。実際は読み書きの単位が2キロバイト、消去の単位が256キロバイトという感じだ。

　つまり、たった1人分のデータを修正するだけで「読み込み100回＋消去1回＋書き込み100回」という作業が発生する。

企業で廃棄するなら？

　企業で媒体を安全に廃棄したい場合、現状ではさまざまな方法が取られているが、基本的には「再利用は考えず、情報漏えいを防ぐためにも安全かつ完全にHDDを読めないようにする」という方向になってきた。某メーカーはHDDを粉砕することを推奨していたが、それではトレーサビリティが無くなる。「製造番号が“12345678”のHDDはこれです」と粉砕でボロボロの姿になったHDDを見せられても、それを証明できるだろうか。

　筆者は油圧ドリルで穴を開ける方法が望ましいと思う。数カ所に穴を空ければ製造番号を目視確認できるので、企業としては安心できるだろう。

---

　余談だが、米国では2001年の同時多発テロで粉々になったHDDの復元に成功したという話題があった。だが、その費用はどうみても億単位では済まないほどである。

　「理論的に考えれば、HDDを粉々にしても安全ではない」と指摘する方がいると思う。しかし、現実的に考えればそれは見当違いになりかねないし、機密情報の価値が仮に1億円としてそれ以上の金額を払ってまで復元しようという発想はビジネスの現場にはない。必ず「コストパフォーマンス」「費用対効果」がモノを言うからだ。

萩原栄幸

日本セキュリティ・マネジメント学会常任理事、一般社団法人「情報セキュリティ相談センター」事務局長、社団法人コンピュータソフトウェア著作権協会技術顧問、ネット情報セキュリティ研究会相談役、CFE 公認不正検査士。旧通産省の情報処理技術者試験の最難関である「特種」に最年少（当時）で合格した実績も持つ。

情報セキュリティに関する講演や執筆を精力的にこなし、一般企業へも顧問やコンサルタント（システムエンジニアおよび情報セキュリティ一般など多岐に渡る実践的指導で有名）として活躍中。「個人情報はこうして盗まれる」（KK ベストセラーズ）や「デジタル・フォレンジック辞典」（日科技連出版）など著書多数。