HDD消去の一元管理、豊前市にて実証実験（株式会社ゲットイット）

株式会社ゲットイット（本社：東京都中央区、代表取締役：廣田優輝）は、福岡県豊前市において、地方自治体／行政機関・データ消去業者・買取り業者・廃棄業者など、複数組織にまたがるデータ消去業務の一元管理システム「ETTMS」（Erasure Trace Tracking Management System：消去証跡追跡管理システム）の実証実験を、2021年11月9日～11月10日の期間に実施しました。

 

ETTMSの実証実験は、現在、複数自治体において実施・進行していますが、本件は、当社が自治体において実施したETTMS実証実験としは、2自治体目（※1）となります。

 

ETTMS実証実験　背景と概要

2019年12月に報道された自治体で使用されたIT機器のリース返却後に発生した情報流出事件を受けて、データ消去業務を外部委託した場合の情報漏洩リスクの問題が広く認識されることとなりました。

 

同様の事件に対する再発防止策は、2020年12月28日改定の総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和2年12月版）」（※2 以下、新ガイドライン）にも盛り込まれ、現在、各自治体に対して「​情報の機密性に応じた機器の廃棄等の方法」と、その「確実な履行を担保する方法」が求められています。

 

当社では、新ガイドラインに則ったハイレベルなデータ消去の運用を実現するため、複数自治体においてデータ消去の一元管理システム「ETTMS」の実証実験を進めており、この度、その一環として豊前市での実証実験を実施しました。

 

新ガイドラインに則ったデータ消去を、自治体職員がシステム上で一元管理

新ガイドラインで求められるデータ消去の管理を徹底するためには、従来、自治体職員は、庁舎内におけるデータ消去作業を記録し、委託事業者に対して適切な監督を行い、メール／FAX／郵送などによってデータ消去証明書を提出させ保管し、全ての情報機器に記録されていたデータが、漏れなく、確実に抹消されたことを管理しなければなりませんでした。

 

こうした複雑な管理業務に対して、ETTMSでは、データ消去が必要な全ての記憶媒体に対して、追跡IDのQRコードを発行し、庁舎内におけるClearレベルのデータ消去作業（※3）、委託業者への輸送、委託業者における指定レベル（主にPurgeレベル／Destroyレベル ※4）の最終的なデータ消去作業の、全行程を追跡管理・一元管理することが可能です。

 

ETTMSは、データ消去作業に関する管理を、全て単一のシステム上で完結させることで、新ガイドラインで求められるデータ消去管理を、自治体職員に過度の負担をかけることなく実現します。ETTMSの導入により、自治体は、住民より預かった情報の漏洩リスクを低減するとともに、職員の管理業務を軽減することで、自治体の本来的な住民サービスに注力することが可能となります。

 

ETTMSについてより詳しくは以下をご参照ください。
https://www.get-it.ne.jp/ettms/

 

ETTMS 実証実験　作業工程および結果

 

実証実験後の豊前市担当者へのヒアリング

◆ ETTMSの追跡情報によって、消去の進捗をリアルタイムで確認することができ、今まで不透明だったデータ消去作業が可視化された。
◆ ETTMSを活用することで、データ消去の庁舎内作業および外部委託の際の履歴の管理にかかる労力が軽減された。また、機密性に応じて求められる処理が異なる場合など、管理が煩雑になるケースにおいては、一元管理システムを用いることで、効率的に管理を行い、人為的なミスの予防も期待できると感じた。

 

本リリースに関するお問い合わせ先

株式会社ゲットイット
担当者　：川澄（カワスミ）
メール　：pr@get-it.ne.jp
電話番号：03-5166-0900

 

注解

※1
当社によるETTMS実証実験の初回は、福岡市にて実施しました。
これは、ADEC（データ適正消去実行証明協議会）会員企業による自治体を対象としたETTMS実証実験では2つめの実証実験であり、また、政令指定都市としては、全国初のケースとなりました。
福岡市でのETTMS実証実験について、より詳しくは、以下をご参照ください。https://www.get-it.ne.jp/interview_ettms_fukuoka-city/

 

※2 「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和2年12月版）」
新ガイドラインが求める情報資産廃棄時のデータ消去について、詳しくは以下をご参照ください。
iii - 49、​iii - 51　（7）機器の廃棄等
iii - 52　図表 24　情報の機密性に応じた機器の廃棄等の方法
参照：https://www.soumu.go.jp/menu_news/s-news/01gyosei07_02000107.html

 

※3 Clearレベルのデータ消去
総務省ガイドラインなどが参照している、米国国立標準技術研究所（NIST）による「SP800-88 Rev.1」において示されている、記憶媒体に含まれる情報の機密度に応じて適用されるべきデータ消去のランクのうち、最も基本的なレベルとされるもの。（詳しくは※4参照）

 

※4 Purgeレベル／Destroyレベルのデータ消去
NIST SP800-88 Rev.1 では、以下の3つの消去レベルが示されている。
・クリア消去/Clear：OS経由でアクセス可能な領域に対する消去（HDDに対する1回上書きなど）
・パージ消去/Purge：OSでは認識できない領域も含めた消去（Enhanced SecureEraseなど）
・デストロイ/Destroy：データの読出しを完全に不可能とするレベルでの破壊（破砕、溶解など）

 

詳細については、以下のホワイトペーパーをご参照ください。
「3回上書き過去のもの　『データ消去』の正しい知識」
執筆：沼田理（株式会社ゲットイット技術顧問）
​https://www.get-it.ne.jp/index.php/archives/14870

 

また、「パージ消去/Purge」については、以下のホワイトペーパーをご参照ください。
​「研究所でも復元が難しい消去方式Purge（パージ消去）に迫る」
https://www.get-it.ne.jp/index.php/archives/15780

 

※5 機密性2
「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和2年12月版）」（※2参照）によれば、「機密性2」に該当する情報資産とは「行政事務で取り扱う情報資産のうち、秘密文書に相当する機密性は要しないが、直ちに一般に公表することを前提としていない情報資産」（ii - 16）とされ、「復元不可能な処理」を施すことが求められている。

 

株式会社ゲットイット

都内2,000㎡倉庫（勝どきZETTA）の豊富な在庫量と、マルチベンダー対応の技術力で、企業の抱えるＩＴの「困った」を解決。サーバー・ネットワーク機器等ＩＴハードウェアの専門家として、レガシーシステム運用に必要なEOSL保守（第三者保守）から、検証環境構築のための機器レンタル、情報機器処分（ITAD）に伴うデータ消去や買取りサービス、コスト削減のリユース販売まで、１社１社のオーダーに応える形で様々なハードウェア関連サービスを提供。株式会社ゲットイットは、持続可能な社会発展へ向けた「SDGs」への関心の高まりを受け、「使えるものは、長く使う」「使い終わったものは、次につなげる」の２点を掲げ、保守による機器の長寿命化や機器のリユース・リサイクルにより、ＩＴ ハードウェアの持続可能な運用のための総合サービス「Sustainable Computing ®」※ を展開しています。

社名　　：株式会社ゲットイット

URL　　：https://www.get-it.ne.jp

所在地　：東京都中央区築地3-7-10 JS築地ビル4F

代表者　：廣田 優輝

設立　　：2001年4月

事業内容：ITハードウェアサービス：第三者保守、EOSL保守、販売、買取り、修理、レンタル、移設、構築、データ消去　等

 

※Sustainable Computing ®（サステナブルコンピューティング）とは、「使えるものは、長く使おう」「使い終わったものは、次につなげよう」をコンセプトにゲットイットが考案した「ITハードウェアの持続可能な運用のための総合サービス」の名称です。

 

本リリースに関するお問い合わせ先

株式会社ゲットイット
担当者　：川澄（カワスミ）
メール　：pr@get-it.ne.jp
電話番号：03-5166-0900