Webを購読する
先日セキュリティの本を出版したのだが、最後まで内容に含めるべきか悩んだ挙げ句カットした項目がいくつかある。
今回起こった「行政文書含まれたハードディスクのデータが外部に流出した問題」は、まさしく掲載しようかと悩んだ内容である。
PCのデータ移行やPC処分などの本は多数執筆しており、その中でPC処分やハードディスク処分に関しては「データ消去を謳う業者を信用するな」と一度記述してみることが多い。
しかし、実際にきちんとデータを消去・処分している会社の存在や、その業務に真面目に従事している従業員がいることを思い浮かべると、やはり「信用するな」という一文は掲載すべきではないという決断を下していた。
今回データ流出の問題を起こした会社は、結果本来データを完全消去して処分すべきハードディスクを社員がオークションに出品したことに起因するものだが、一言で言ってしまえばこれは「会社の責任」である。
会社は該当社員に対して被害届を出しているようだが、消去して処分すべきハードディスクをきちんと管理していないからこそ（社員が自由に触れられ、盗める状態にあるからこそ）起こる問題だ。
会社として完全消去確認も、物理的処分確認も行っていないお粗末な状態だからこそ起こる問題ということだ。
またこのような会社に、大手や官庁がデータ消去を依頼していたことを考えると、正直今回露呈した問題は氷山の一角なのではないかと思う。
今回は、たまたまITリテラシーが低い社員がマヌケにもデータを完全消去していないハードディスクをそのまま転売することにより問題が発覚したわけだが（発覚してくれた、という言い方もできる）、会社に少しでも頭の良い社員がいたとすれば、すでに黙ってデータを抜いて持ち出し、重要情報を蓄積して「機会」を狙っているだろう。
トップページや他のサービス紹介は生きているものの、「PCの入れ替えや処分のご相談」をクリックすると、
---
Forbidden
You don't have permission to access /solution-service/ on this server.
---
と表示される。
そして、そのソースを見てみると・・・というかHTML・・・
実は筆者は過去「某家電販量販店」に勤務していた経験があり（表彰された経験さえある、私は文章を書くより話すほうが遥かに得意だ）、その業務内にユーザーのPC困りごと系の解決を有料で引き受けるサービスも請け負う立場にあった。
ちなみに状況としては、その店舗においてPCを扱える唯一の存在が「私」であったため、PCに関するあらゆる業務は私に一任され、その他社員は誰も私がどのような業務を行っているかをチェックする仕組みはなかった。
つまり、預かったPCをどのように扱うか、あるいは扱ったかは「私」にしかわからない状態であったため、「その某家電販量販店が信用できるか否か」など関係なく、事実上作業を担当する従業員のモラルだけが頼りの状態だったのである。
もう20年前以上の話であり、現在もこのような脆弱な体制であるかは不明だ。
しかし、その業者がかなり信頼のおける実績があったとしても、よほどのチェック体制をとっていない限り、結局はそのストレージに対して作業を行う従業員のモラル次第であることが実情なのである。
つまり、どこまでいっても「データ消去」「データサルベージ」を他社（他者）に依頼している限り、データが漏えいするリスクを拭うことはできないのだ。
デスクトップ操作やエクスプローラーで「ファイルを消去」しても、あるいはストレージをフォーマットしても、ちょっとした知識があればデータは復元できる。
また、他社（他者）に「データの完全消去」を依頼しても、先に示したとおり「絶対にデータ漏えいはない」とあらかじめ外から確認する方法はない。
ではどうすればよいのか。それは「PCやストレージを処分するときは、自分自身で完全消去を行えばよい」ということになる。
PCやデバイスをオークションに出品する際なども同様だ。
ちなみにWindows 10であれば「OSを失わずストレージ上のデータを完全に消去する」ことが可能であり、またストレージ全体を完全抹消するのであればツールを利用することで比較的簡単に実行できる。
そして、万全を期すのであれば、一度「ストレージの暗号化」してから、「データの完全消去」を行うことで、データ漏えいのリスクはほぼなくすことが可能だ。
この辺の手順は 「https://win10.jp」 で解説することとしよう。
今回起こった「行政文書含まれたハードディスクのデータが外部に流出した問題」は、まさしく掲載しようかと悩んだ内容である。
PCのデータ移行やPC処分などの本は多数執筆しており、その中でPC処分やハードディスク処分に関しては「データ消去を謳う業者を信用するな」と一度記述してみることが多い。
しかし、実際にきちんとデータを消去・処分している会社の存在や、その業務に真面目に従事している従業員がいることを思い浮かべると、やはり「信用するな」という一文は掲載すべきではないという決断を下していた。
○大手金融機関や各省庁からもデータ消去依頼を受けている大手会社が起こしたデータ漏えい事件
今回データ流出の問題を起こした会社は、結果本来データを完全消去して処分すべきハードディスクを社員がオークションに出品したことに起因するものだが、一言で言ってしまえばこれは「会社の責任」である。
会社は該当社員に対して被害届を出しているようだが、消去して処分すべきハードディスクをきちんと管理していないからこそ（社員が自由に触れられ、盗める状態にあるからこそ）起こる問題だ。
会社として完全消去確認も、物理的処分確認も行っていないお粗末な状態だからこそ起こる問題ということだ。
またこのような会社に、大手や官庁がデータ消去を依頼していたことを考えると、正直今回露呈した問題は氷山の一角なのではないかと思う。
今回は、たまたまITリテラシーが低い社員がマヌケにもデータを完全消去していないハードディスクをそのまま転売することにより問題が発覚したわけだが（発覚してくれた、という言い方もできる）、会社に少しでも頭の良い社員がいたとすれば、すでに黙ってデータを抜いて持ち出し、重要情報を蓄積して「機会」を狙っているだろう。
○蛇足（この項目はそのうち消します 12/16）
この記事を書くことに決めたのは、データ漏えいを起こした会社のWebサイトにアクセスしたからだ。トップページや他のサービス紹介は生きているものの、「PCの入れ替えや処分のご相談」をクリックすると、
---
Forbidden
You don't have permission to access /solution-service/ on this server.
---
と表示される。
そして、そのソースを見てみると・・・というかHTML・・・
○データ消去を謳う業者を完全に信頼できない理由
実は筆者は過去「某家電販量販店」に勤務していた経験があり（表彰された経験さえある、私は文章を書くより話すほうが遥かに得意だ）、その業務内にユーザーのPC困りごと系の解決を有料で引き受けるサービスも請け負う立場にあった。
ちなみに状況としては、その店舗においてPCを扱える唯一の存在が「私」であったため、PCに関するあらゆる業務は私に一任され、その他社員は誰も私がどのような業務を行っているかをチェックする仕組みはなかった。
つまり、預かったPCをどのように扱うか、あるいは扱ったかは「私」にしかわからない状態であったため、「その某家電販量販店が信用できるか否か」など関係なく、事実上作業を担当する従業員のモラルだけが頼りの状態だったのである。
もう20年前以上の話であり、現在もこのような脆弱な体制であるかは不明だ。
しかし、その業者がかなり信頼のおける実績があったとしても、よほどのチェック体制をとっていない限り、結局はそのストレージに対して作業を行う従業員のモラル次第であることが実情なのである。
つまり、どこまでいっても「データ消去」「データサルベージ」を他社（他者）に依頼している限り、データが漏えいするリスクを拭うことはできないのだ。
○ストレージ上のデータ「完全消去」は自分で行うのが基本
デスクトップ操作やエクスプローラーで「ファイルを消去」しても、あるいはストレージをフォーマットしても、ちょっとした知識があればデータは復元できる。
また、他社（他者）に「データの完全消去」を依頼しても、先に示したとおり「絶対にデータ漏えいはない」とあらかじめ外から確認する方法はない。
ではどうすればよいのか。それは「PCやストレージを処分するときは、自分自身で完全消去を行えばよい」ということになる。
PCやデバイスをオークションに出品する際なども同様だ。
ちなみにWindows 10であれば「OSを失わずストレージ上のデータを完全に消去する」ことが可能であり、またストレージ全体を完全抹消するのであればツールを利用することで比較的簡単に実行できる。
そして、万全を期すのであれば、一度「ストレージの暗号化」してから、「データの完全消去」を行うことで、データ漏えいのリスクはほぼなくすことが可能だ。
この辺の手順は 「https://win10.jp」 で解説することとしよう。
