自治体のHDD処分、初期化だけでは不十分？｜総務省ガイドラインに沿った5つの手順

庁舎の倉庫に積まれた入れ替え前のパソコン。リース満了が近づいた業務端末。返却の期限は迫っているのに、判断の根拠がどこにも見つからない。

そんな場面に立たされている担当者の方は少なくないと思います。

総務省のガイドラインは全編で400ページを超えます。機器の廃棄に関する記述を探し当てても、「消去」「除去」「破壊」といった見慣れない言葉が並ぶ。結局どこまでやれば足りるのか、読み解くだけで時間が過ぎてしまうかもしれません。

前任者から引き継いだ手順書が、改定前のまま止まっているケースもあるでしょう。

やっかいなのは、この作業に「なんとなく大丈夫」が通用しないことです。住民情報を扱う自治体では、万一のときに説明責任が発生します。処分した1台について、いつ誰がどんな方法で消したのか。数年後に問われて答えられる形で残っているかどうかが、実は分かれ目になります。

この記事では、自治体のHDD処分について、令和8年3月に改定された総務省ガイドラインをもとに整理して話します。

処分対象の洗い出しから、消去方式の選び方、物理破壊と磁気消去の使い分け、リース返却時の契約確認、そして消去証明書の残し方まで。5つの手順に分けて順番に見ていきます。

読み終えるころには、自庁の手順書のどこに手を入れればいいかが見えているはずです。

自治体のHDD処分に潜む情報漏えいリスク

初期化しただけではデータは消えない

「初期化したから、もう大丈夫」。庁舎の倉庫で埃をかぶった古いパソコンを前に、そう思ったことはありませんか。正直、ここがいちばん危ないポイントです。

フォーマットでは、データそのものは媒体に残り続けます。消えているのは「どこに何があるか」を示す目次だけ。本棚の索引を破り捨てても、本は棚に並んだままですよね。

総務省ガイドラインでも「OS及び記録媒体の初期化（フォーマット等）による方法は、ハードディスク等の記録媒体にデータの記録が残った状態となるため、適当でない」と明記されています。

求められているのは、一般に入手できる復元ツールを使っても復元が困難な状態にすること。ここが出発点です。

意外と知られていませんが、これは机上の心配ごとではありません。令和元年12月には、リース返却されたHDDが委託先の社員によって持ち出され、ネットオークションで転売される事案が起きました。転売されたHDDは3,900個超と報じられ、自治体の情報管理を大きく揺さぶりました。出典：ジチタイワークスWEB

なお、万が一こうした事案が起きてしまったとき、最初の動き方で被害の広がり方が変わります。廃棄の手順とあわせて、事後の対応も一度目を通しておくと安心です。

総務省ガイドラインが示す廃棄ルール

では、どこまでやれば十分なのでしょう。判断の土台になるのが「地方公共団体における情報セキュリティポリシーに関するガイドライン」です。令和8年3月27日に改定され、機器の廃棄・データ消去の章が大きく書き換わりました。出典：総務省

いちばんの変化は、抹消方法が「消去」「除去」「破壊」の3つに整理されたことです。

抹消方法	主な手段	残るリスク
消去	消去ソフトによる上書き	OSが認識できない領域は残る
除去	専用コマンド・消磁・暗号化消去	媒体が非対応の場合あり
破壊	穿孔・圧壊・シュレッダー	破片から読まれる可能性

この3つを、情報の機密性に応じて使い分けます。分類はマイナンバー利用事務系の住民情報、自治体機密性2以上、自治体機密性1の3段階。上に行くほど求められるレベルが上がる仕組みですね。

この考え方の源流は、米国国立標準技術研究所（NIST）のSP800-88です。Clear・Purge・Destroyという世界標準を、日本の自治体向けに整理し直したものと言えます。なお同文書は2025年9月にRev.2へ更新されています。出典：NIST

マイナンバー利用事務系だけ特別な理由

3段階のなかで、いちばん厳しい扱いを受けるのがマイナンバー利用事務系。社会保障、地方税、防災、戸籍事務などの情報システムとデータが該当します。

なぜここだけ別格なのか。理由はシンプルで、住民一人ひとりの生活に直結する情報だからです。過去の検討会でも、住民への説明責任という観点から物理的破壊が最も確実と整理された経緯がありました。

ただ、令和8年3月の改定で大きな変化がありました。物理破壊しか認められていなかったこの領域でも、「除去」による対応が選べるようになったのです。背景にあるのはリユースの困難さとコスト負担でした。出典：総務省

選択肢が増えた分、判断する側の責任も増えます。除去は処理前後の写真で確認しづらいため、ログ等の証跡を残すことが不可欠です。

ちなみに「マイナンバー利用事務系」という区分そのものが、三層分離の考え方から来ています。この構造を押さえておくと、廃棄以外の場面でも判断がぐっと楽になりますよ。

情報セキュリティポリシーの確認事項

ガイドラインを読んだあと、いきなり機器を触るのは少し待ってください。個人的におすすめしたいのは、自庁の情報セキュリティポリシーを先に開くことです。

ガイドラインはあくまで総務省が示す参考資料。実際に職員を縛るのは、各自治体の基本方針・対策基準・実施手順のほうですから。

確認したいのは3つです。情報資産の分類と取扱制限、機器の廃棄等に関する規定、そして記録の取り扱い。

ガイドラインの例文には「情報資産の廃棄やリース返却等を行う者は、行った処理について、日時、担当者及び処理内容を記録しなければならない」とあり、情報セキュリティ管理者の許可も求められています。この記録こそが、あとで自分たちを守る証拠になります。

処分対象のHDD・記憶媒体を洗い出す

ポリシーの確認が済んだら、いよいよ現物と向き合う番。ここで意外と時間を取られるのが、対象の洗い出しです。

記録媒体は大きく3種類。HDDや磁気テープなどの磁気媒体、SSDやUSBメモリのフラッシュメモリ媒体、CD-Rなどの光学媒体ですね。この違いが後の工程を左右します。消磁は磁気媒体にしか効きませんし、HDD用シュレッダーではSSDのメモリチップを壊しきれません。

置き場所も広く見ておきたいところ。サーバの内蔵ディスク、外付けストレージ、職員の端末やタブレット。窓口裏の複合機や、書庫の奥のバックアップテープも忘れがちです。

故障で交換した記録媒体が、修理のとき業者へそのまま渡っていないか。ここは見落としが起こりやすい箇所です。

洗い出しのコツは台帳づくり。型番、シリアル番号、使用していたシステム、機密性の分類。この4つを並べるだけで判断がぐっと楽になります。

対象が見えてきたら、次は消し方の話へ。どの方法を選ぶのが正解なのか、順番に見ていきましょう。

情報漏えいを防ぐHDD処分5つの手順

NIST基準に沿う消去・除去・破壊

ここからは、実際の消し方の話に入ります。まず押さえたいのが、3つの抹消方法の「強さの順番」です。

いちばん軽いのが消去。データ抹消ソフトなどで、OSからアクセスできる領域を上書きします。次が除去で、専用コマンドや消磁、暗号化消去によって記録媒体の全領域を対象にする方法。そして最後が破壊です。

NISTの文書では、それぞれClear（単純な復元操作では戻せない）・Purge（研究所レベルの技術でも戻せない。媒体は再利用できる）・Destroy（研究所レベルでも戻せず、媒体自体が二度と使えなくなる）と定義されています。出典：IPA（NIST SP800-88 Rev.1 日本語訳）

大事なのは、「どれかひとつを選ぶ」という発想ではないことです。

たとえばマイナンバー利用事務系の媒体を庁舎の外へ持ち出すとき。まず庁内で消去を済ませてから業者に引き渡す、という流れになります。手元で一段階落としてから渡す。この順番が、運搬中のリスクをぐっと下げてくれるのです。

上書き消去ソフトと専用コマンド

では、庁内でできる「消去」を具体的に見ていきましょう。いちばん身近なのが、データ抹消ソフトによる上書き消去です。

ただ、ここに落とし穴があります。

総務省ガイドラインが「消去」の水準として示しているのは、HDDならランダムなデータを1回以上、USBメモリやSSDなら2回以上の上書きです。フラッシュメモリはウェアレベリングという機能で領域を均等に使うため、1回では実際に書き込まれず、消したいデータが残る可能性があるのです。出典：総務省

もうひとつの選択肢が、記録媒体の専用コマンドです。媒体ごとに使えるコマンドが違うので、表で整理しておきますね。

媒体	主なコマンド	確認したいこと
HDD	SECURITY ERASE UNIT（Enhanced Erase mode）／SCSI SANITIZE	対応可否・ロック解除
SSD	BLOCK ERASE／NVM Express SANITIZE	接続方式・正常終了ログ
共通	暗号化消去	事前の暗号化有効化

全領域が対象になるぶん確実ですが、注意点も。媒体が非対応だったり、誤操作を防ぐ機能がかかっていたりすると実行できません。実行後にログで正常終了を確認する作業も必要になります。

暗号化消去は、鍵を消して復号できなくする方法。処理が一瞬で終わるのが魅力です。

ただし、データを保存する前から暗号化機能を有効にしておくことが大前提。あとから有効にしても意味がありません。バックアップした回復キーやTPM内の鍵まで消さないと完了しない点も見落としがちです。

物理破壊と磁気消去を分ける判断軸

さて、庁内で消去を済ませたあと。破壊にするか除去にするか、悩ましいところですよね。

令和8年3月版のガイドラインが判断の例として挙げているのが「リユースするかどうか」です。再利用しないなら破壊、再利用するなら除去。そう整理すると、迷いが減ります。

ただしUSBメモリと光学媒体は例外で、破壊しか選択肢がありません。消磁を選んだ場合も再利用できなくなることがあるので、そこは事前に確認しておきたいところです。

破壊を選ぶ場合、媒体ごとに手段が変わります。

媒体	推奨される破壊方法	注意点
HDD	多点方式の穿孔・専用シュレッダー	最下層の円盤まで貫通が必要
SSD・USB	圧壊処理・専用シュレッダー	HDD用粉砕機では壊しきれない
光学媒体	メディアシュレッダー等	記録層の破壊が必須

HDDは筐体に対して小さめの円盤が入っている製品もあり、適当な位置に穴を開けても円盤に届かないことがあります。

磁気消去、いわゆる消磁は速さが魅力です。ただ、万能ではありません。SSDには効きませんし、HDDとSSDを組み合わせたハイブリッドタイプや、熱アシスト記録（HAMR）を採用した製品にも通用しないとされています。装置の劣化や連続使用による温度上昇にも注意が必要ですね。

穿孔だけで済ませている自治体は少なくありません。ですが、穴の開いていない部分には磁気が残るという指摘もあります。庁内でソフト消去か磁気消去を先に済ませ、そのうえで壊す。この組み合わせがもっとも安心できる形です。

リース返却とADEC認証業者選び

リース機器の返却は、自庁の判断だけで動けない分だけ厄介です。勝手に穴を開けたら、返せなくなってしまいますからね。

だからこそ、ガイドラインは調達の段階から手を打つよう求めています。マイナンバー利用事務系の機器をリースで調達する場合、契約終了後のデータ抹消方法を入札の仕様書に明記し、契約に位置づけることが望ましいとされています。

それ以外の機器についても、調達の段階で廃棄方法を仕様に盛り込んでおくことが推奨されました。「返すときにどうするか」を、借りるときに決めておく。この発想の転換が鍵になります。

すでに走っている契約はどうするか。神奈川県では、リース業者と個別に交渉し、契約変更が難しい場合は満了後に県が買い取って物理破壊まで実施する形をとったそうです。台数の少ない業者とは、契約している部署が直接交渉したとのこと。手間はかかりますが、参考になる進め方ですね。出典：ジチタイワークスWEB

業者選びの目安のひとつが、ADEC（データ適正消去実行証明協議会）の認証です。消去ソフトの能力を検証する消去技術認証と、事業者の作業環境や業務フローを審査する消去プロセス認証の2種類があります。

プロセス認証は現地審査を経て判定され、認証期間は1年。継続には再審査が必要とされています。詳しい要件や認証取得企業は、公式サイトで確認するのが確実です。出典：ADEC

認証の有無だけで安全性が保証されるわけではありません。再委託の範囲、作業場所の入退室管理、作業記録の残し方。契約前に確認したい項目は意外と多いのです。

消去証明書と検証結果を台帳へ

最後の仕上げが、記録です。ここを丁寧にやっておくと、あとで本当に助かります。

令和8年3月版では、職員の立ち会いの範囲が整理されました。庁舎内で行う作業は、指定した方法で抹消されたかを職員が目視で確認し、作業記録を作ることが必須。一方、委託先の施設での作業には立ち会いまでは求められません。そのかわり、作業完了証明書での確認が必須とされています。

証明書に何を書いてもらうか。ここは契約時に決めておくのが鉄則です。

• 破壊：処理前後の証拠写真、シリアルナンバー、提出期限
• 除去：抹消方法と作業履歴、正常終了した証跡
• 共通：作業日時、作業者、作業場所

そして、消えたことをどう確かめるか。NISTのガイドラインでは、アクセス可能な全領域を読み取る完全検証がもっとも確実とされています。時間が許さない場合は、媒体全体から擬似ランダムに位置を選ぶサンプリング検証も示されていますよ。

集めた証明書と検証結果は、情報資産台帳へ紐づけて保存します。日時・担当者・処理内容。この3点がそろっていれば、数年後に「あの機器はどう処分したのか」と問われても落ち着いて答えられます。

住民の情報をお預かりする立場として、いちばん心強いのは「記録が残っている」という事実かもしれません。ひとつずつ手順を踏んでいけば、HDDの処分は決して怖い作業ではないのです。

まとめ：自治体のHDD処分を安心して進めるために

最後に、大切なポイントをもう一度確認しましょう。

ひとつずつ手順を踏めば、HDDの処分は決して難しい作業ではありません。今日確認したポイントを、ぜひ自庁の手順書に一行ずつ書き足すところから始めてみてくださいね。