HDD転売事件について、情シス視点で考えたこと。
界隈で盛り上がっているこの件で。誰がどれだけ悪いみたいな、なにかを叩くような話ではなくて、情シスとしてどうすれば防げたか的な視点で考えたことを書こうと思う。
確実にデータを消してから社外に出す
サーバ等、物理インフラを管理する情シスが気にするべき唯一のポイントはここですね。リース会社のさらにその奥にある破壊請負業者がどのような管理体制であったかは手も足も出せませんので。そこは発注元のリース会社が負うべき責任範囲かと（ずさんな管理体制の会社を選定した責任がある）。
サーバがリース契約ではなく自社資産であり、かつ、破壊を業者に委託しているような場合でしたら業者を選定した責任が自社にも少なからず発生しますね。
で、どうやって確実にデータを消すかという話ですが。
神奈川県知事が（１回目の）記者会見で「これからは返却時に県職員の目の前で物理破壊させる」という内容を言ってました（多少、言い回しは違ったかもしれませんが）。これは、社外に出す前に（リース会社に返却する前に）（県職員の手で）物理破壊する、ということですよね。
お気持ちはわかるのです。物理破壊という手段が、再生不可能であることが誰の目にもあきらかですし。なにより、破壊する行為も、治具があれば一瞬で完了できます。私自身も、物理破壊が許される契約なら１００パーセントやってます。磁気の力でディスクを再起不能にするという「消磁」という方法を使う場合もあります。これも物理破壊の一種で、時間もかけずに確実に破壊できます。
ですが、物理破壊という手段を契約上とれない局面がよくあるんです。例えば、使える状態で返却せねばならない契約の「リース」「レンタル」等ですね。
そうなると、論理破壊（ソフトウエア消去）ということになるんだけど、これがけっこうな手間です。時間もかかります。ソフトウエア消去をどのようなアルゴリズムで行うかも選択肢がいくつもあり、どれを選ぶかの判断など専門的な要素が多分に入ってくる。ソフトウエア消去に時間をかければかけるほどデータの復元性が低くなる（復元の難易度が上がる）のでしょうが、どこまでやるかはおそらくその会社の運用ルール（セキュリティルール）に基づくものになる。
よくありがちなのが、この辺りのソフトウエア消去の手段の指示がやや甘く、自社の情シスの担当者に委ねられているケースです。消去ソフトウエアがうまく起動できないサーバや、専用の治具が必要なストレージ製品もある。消せたことの証拠、記録の保管管理や、消せたことの確認をどうするかまで定義できてない。人手不足のなか、なかなか手が回らないですよね。わかります。
でも、そこをどこまでやるか、ってことに向き合うということが、今回の事件からの学びなのかなと思ってます。情報について責任を持つ担当部門として。
個人的な話になりますが、私は来年に相当数のサーバを返却予定をしており「確実な消去」「消去記録の保全」について、手順や手法をあらためて見直そうと考えています。
まとめ
返却の際は、社外へ出す前に物理破壊。ただし、契約上できない時にソフトウエア消去をどういう手段でどのレベルまで行うか、確実性をどう担保するか（記録保管、チェック体制）を情シス内で議論を尽くす必要ありです。
Appendix 1.参考記事
本記事に紹介されている消去操作を私もやったことがあります。Windows10のインストールメディアを使ったソフト消去で、「diskpart」というコマンドを使います。お金をかけずに「ドライブ全体にゼロデータを1回書き込む」ことが可能で、手軽さと確実さのバランスが良いと思います。より手間と時間をかけることになりますが、確実性を高めたければ「cipher（３回の書き込み）」というコマンドもあるとのこと。
この記事が気に入ったらサポートをしてみませんか？