Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第7部 7-8

USBメモリの管理ルールと廃棄方法｜記録媒体の利用制限からデータ消去まで

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • USBメモリの利用を制限したいとき／記録媒体を廃棄するとき
  • 古いパソコンや複合機、外付けHDDを処分する前に、データを確実に消したいとき
  • 取引先のチェックシートで「記録媒体の管理」や「廃棄の方法」を聞かれたとき

読み終えたあと、社内でこう言えます

「USBメモリの使い方と捨て方のルールを、台帳つきで整理しました」

結論：記録媒体の管理とは、USBメモリや外付けHDDを、使い始めから捨てるまで台帳で追い、情報が漏れないようにすることです。使うときは会社が支給したものだけを、暗号化して、台帳に載せて使います。捨てるときは、ファイルの削除や初期化では足りません。消去ソフト・暗号化消去・物理的な破壊のどれかで復元できなくし、誰が確かめたかを記録します。業者に頼むなら、消去証明書を受け取ります。

記録媒体は、支給する・暗号化する・台帳で追う・復元できないように消すの順で管理する

USBメモリは何が危ない？

記録媒体（データを保存して持ち運べるもの）には、USBメモリ、外付けHDD・SSD、SDカード、DVDなどがあります。小さく安く便利な分、次の3つの危なさがあります。

危なさ起きること主な対策
なくす顧客名簿の入ったUSBメモリを、電車や飲食店に置き忘れる暗号化、持ち出しの許可制、台帳
持ち込む私物や拾ったUSBメモリから、ウイルスが社内に入る私物の禁止、挿したら自動で検査
捨てる削除したはずのデータを、廃棄後に第三者が復元する復元できない方法で消す、記録を残す

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」も、個人データを入れた媒体を持ち運ぶときの漏えい防止と、復元できない方法での廃棄を、事業者が講じる措置として挙げています。

USBメモリの利用を制限するには？

制限の強さは3段階あります。業務で本当に使う場面があるかで選びます。

段階やり方向いている会社
禁止Windowsのグループポリシーや端末管理（MDM）で、記録媒体の読み書きを止めるデータの受け渡しがクラウドで済む会社
許可制会社が支給し、暗号化したものだけを使う。台帳で番号と持ち主を管理する現場や取引先との受け渡しで、どうしても使う会社
自由制限なしおすすめしません。私物の持ち込みと紛失を止められない

CISAも、記録媒体の利用を止めるか限ることを対策の1つに挙げ、その前に業務への影響を確かめ、利用ルールを定めるよう勧めています。いきなり禁止にせず、まず使っている場面を社員に聞いてから決めると、抜け道が生まれにくくなります。

台帳に書く項目

許可制にするなら、次の列の台帳を作ります。表計算ソフトで十分です。

列書く例
管理番号USB-05（本体にラベルを貼る）
種類・容量USBメモリ（暗号化機能つき）64GB
使う人・用途工事部 担当者名、協力会社との図面の受け渡し
貸出・返却日10月6日貸出、10月8日返却
廃棄日・方法・確認者破砕、確認者は総務 担当者名

台帳は、情報資産台帳の一部として持つと、棚卸しのときに一緒に確かめられます。

たとえば社員40人の工務店では（架空の例）

協力会社と図面をUSBメモリでやり取りしていた工務店を考えます。社員が私物のUSBメモリを使っており、何本あるのか誰も分かりませんでした。この会社は、次のように変えました。

  1. 暗号化機能つきのUSBメモリを5本だけ買い、番号を振って総務の鍵付き引き出しに置いた。
  2. 使うときは台帳に名前と日付を書き、使い終えたら中身を消して返す決まりにした。
  3. 受け渡しの多い協力会社とは、パスワードつきの共有リンクに切り替えた。
  4. 私物のUSBメモリは、会社のパソコンに挿さない決まりにし、入社時に説明した。

暗号化しておけば、なくしたときの対応も軽くなります。個人データが高度に暗号化されていれば、個人情報保護委員会への報告がいらない場合があります。なくしたときの動きは会社のパソコン・スマホをなくしたらにまとめています。

記録媒体を廃棄するときは、どう消す？

ファイルを削除したり、ごみ箱を空にしたりしても、データは媒体に残っていることがあります。IPAの「5分でできる！情報セキュリティ自社診断」も、ファイル削除の操作だけでは復元されるおそれがあると注意しています。

媒体の消去は、米国国立標準技術研究所（NIST）のSP 800-88が国際的によく参照されます。2025年9月に改訂版のRev.2が出ており、消去の方法を次の3つに分けています。

方法どこまで消すか例
Clear（消去）通常の読み書きの範囲で、簡単な復元ができない状態にする消去ソフトで全領域を上書きする
Purge（除去）研究所レベルの手段でも、復元が現実的でない状態にする暗号化消去（暗号鍵を消す）、機器に備わった消去機能
Destroy（破壊）復元も再利用もできない状態にする破砕、溶解、焼却

SSDやUSBメモリは、内部でデータの置き場所を入れ替える仕組みがあります。そのため、上書きソフトがすべての領域に届かないことがあります。再利用しないなら破壊、再利用するなら暗号化消去や機器の消去機能と覚えておくと選びやすくなります。

個人情報保護委員会の通則編は、個人データを入れた機器や媒体の廃棄を「復元不可能な手段」で行うよう求めています。中小規模の事業者向けの例として、責任ある立場の人が廃棄を確かめることを挙げています。

廃棄を業者に頼むときに確かめることは？

パソコンや複合機、サーバーのハードディスクは、専門の業者に消去や破壊を頼むことも多いです。通則編は、委託した場合に証明書などで確実に消したことを確かめることも重要としています。頼む前に、次の点を文面で確かめます。

  1. 消し方：上書き消去か、暗号化消去か、破砕か。SSDならどう扱うか。
  2. 対象の特定：台数と、機器ごとの製造番号（シリアル番号）を一覧にして渡す。
  3. 証明書：製造番号ごとに、消去や破壊の日付と方法が書かれた証明書をもらえるか。
  4. 運ぶ間：回収から処理までの保管と運搬の方法。写真や作業記録を出してもらえるか。
  5. 再委託：別の会社に作業を回すか。回すなら、その会社にも同じ条件がかかるか。

リース返却や修理に出すときも同じです。返す前に自社で消すのか、業者が消すのかを契約で決めておきます。委託を終えるときのデータの扱いは委託の終了の節で扱います。

チェックシートではこう聞かれる

よくある設問答え方の例
USBメモリなどの記録媒体の利用を制限していますか。はい。会社が支給した暗号化機能つきの媒体だけを許可し、台帳で貸出と返却を管理しています。私物の接続は禁止しています。
記録媒体を廃棄する際、データを復元できない方法で消去していますか。はい。再利用しない媒体は物理的に破壊し、総務の責任者が確認して台帳に記録しています。
廃棄を外部に委託する場合、消去の証明を取得していますか。はい。製造番号ごとに消去方法と日付が書かれた証明書を受け取り、5年間保管しています。
記録媒体の持ち出しを記録していますか。いいえ。現在は口頭で許可しています。〇月から、台帳に持ち出し日と返却日を記録します。

証明書の保管期間は、取引先との契約や社内規程に合わせて決めてください。

試験ではここが問われる

SG・SPREAD・支援士・CISSP 2

  • 媒体の管理：SGシラバスの「媒体の管理」では、可搬媒体の持ち込み・持ち出し・廃棄の手順が問われます。
  • 削除と消去の違い：ファイルの削除やクイックフォーマットでは、データは復元できることがあります。
  • NIST SP 800-88の3区分：Clear（通常の手段で復元できない）、Purge（高度な手段でも現実的に復元できない）、Destroy（再利用もできない）。
  • 暗号化消去（CE）：暗号化しておいた媒体の鍵を消すことで、データを読めなくする方法。SSDで有効です。
  • 英語：media sanitization（媒体の消去）、data remanence（消したはずのデータが残ること）。CISSPでは資産の保護の分野で出ます。

確認問題

問1 NIST SP 800-88の消去の区分のうち、「再利用もできない状態にする」ものはどれですか。

  1. ア Clear
  2. イ Purge
  3. ウ Destroy
  4. エ Backup
答えと解説
正解：ウ　Destroyは破砕などで媒体そのものを使えなくします。ClearとPurgeは、媒体を再利用できる余地を残した消し方です。エは消去の区分ではありません。

問2 社員15人の税理士事務所（架空）が、顧客データの入っていた古いノートパソコン（SSD）を処分します。最も適切な対応はどれですか。

  1. ア ファイルをすべて削除し、ごみ箱を空にしてから家電量販店の回収に出す
  2. イ 初期化（クイックフォーマット）だけして、中古業者に売る
  3. ウ 専門業者に破壊を頼み、製造番号ごとの証明書を受け取り、責任者が確かめて記録する
  4. エ 社員が自宅に持ち帰って保管する
答えと解説
正解：ウ　削除やクイックフォーマットでは復元できることがあります。SSDは上書きが届かない領域もあるため、再利用しないなら破壊が確実です。委託するなら証明書で確かめ、記録を残します。エは紛失のおそれを広げます。

問3 暗号化消去（CE）の説明として、最も適切なものはどれですか。

  1. ア 媒体の全領域に0を3回書き込む方法
  2. イ 暗号化された媒体の鍵を消して、データを読めなくする方法
  3. ウ 強い磁気をかけて媒体を壊す方法
  4. エ ファイル名を暗号に置き換えて見えなくする方法
答えと解説
正解：イ　はじめから暗号化して使い、廃棄のときに鍵を消します。データが残っていても読めません。アは上書き消去、ウは磁気消去（HDD向け）の説明です。エでは中身は読めてしまいます。

よくある質問

USBメモリを全面禁止にしてもいいですか？
はい、業務に支障がなければ全面禁止が最も管理しやすい方法です。ただし、使う場面が残っていると、隠れて私物を使う人が出ます。先に使っている場面を聞き取り、クラウドでの共有など代わりの手段を用意してから禁止にしてください。
初期化（フォーマット）すればデータは消えますか？
いいえ、クイックフォーマットではデータは復元できることがあります。再利用するなら消去ソフトや機器の消去機能を、再利用しないなら物理的な破壊を使ってください。SSDやUSBメモリは上書きが届かない領域もあるため、破壊か暗号化消去が確実です。
データ消去証明書は、自分で消した場合も必要ですか？
自社で消した場合は、証明書の代わりに社内の記録を残します。台帳に、日付・方法・作業した人・確かめた人を書けば、取引先への説明に使えます。業者に頼んだ場合は、業者の証明書を受け取ってください。

この記事のまとめ

媒体の設問は、根拠つきの回答案で返す

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートに、御社の媒体の扱いに合わせた回答を作ってお返しします。ルールが未整備の項目は、台帳の作り方と予定の書き方も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. NIST「SP 800-88 Rev. 2 Guidelines for Media Sanitization」（2025年9月）
  2. NIST「SP 800-88 Rev. 2 FAQ」
  3. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）10-5 物理的安全管理措置
  4. IPA「5分でできる！情報セキュリティ自社診断」（ガイドライン付録3）
  5. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）
  6. CISA「Block or Restrict Removable Media（CM0054）」
  7. IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.1