評価基準 No.3-1-4-7
機密区分に応じた情報の管理

どのような取組の実施が考えられるか？

・文書整備としては、情報取扱規程・手順等に抹消処理に関する事項を記載することが考えられる。

・具体的な抹消処理の実施方法としては、廃棄対象物により、記憶媒体を物理的に破壊する方法と、論理的にデータを消去する方法の 2 つがある。ここで重要となるのは、データを復元できない状態にすることである。どちらの方法であっても、不適切な手段や手順（例：ディスクフォーマットによるデータ消去、暗号化消去に用いた鍵の不完全な廃棄、誤った手順による不完全な物理破壊）であれば、データが復元されてしまう可能性があるため、一定の性能が保証された専用のデータ消去ツールの利用や、信頼できる専門業者への委託など安全な手段をとることが望ましい。

・また、保存データの機密度が極めて高く、より確実にデータ消去を行いたい場合には自社で論理的にデータを消去した上で専門の業者に委託し物理的破壊を行うなど、複数の方法・手段を組み合わせるとよい。

この解説は評価基準 No.3-1-4-7、No.3-1-4-8 に共通です。

どのような記録の保管が考えられるか？

・委託先へ論理的な暗号化消去を依頼する場合には、消去証明書（第三者証明が望ましい）を、物理破壊などを行う場合には廃棄証明書を受領し、保管することが考えられる。

・社員自らによる媒体の物理破壊の場合、破壊前後の写真を撮るなど当該媒体を確実に破壊したことを証明できる証跡を保管するなどの方法が考えられる。

この解説は評価基準 No.3-1-4-7、No.3-1-4-8 に共通です。

参考となる資料はあるか？

・以下の資料が参考となる。

-総務省セキュリティポリシーガイドライン改定 「機器の廃棄・データ消去」における補足について（総務省）(https://www.soumu.go.jp/main_content/001066789.pdf)

-データ適正消去実行証明協会(https://adec-cert.jp/)

この解説は評価基準 No.3-1-4-7、No.3-1-4-8 に共通です。