廃棄するハードディスクのデータを完全に消去する：Tech TIPS

ディスクを破棄したり、譲渡したりする場合には、あらかじめディスクの内容を消去しておかないと情報が漏えいする危険性がある。単純にファイルを削除しただけでは、ファイルを復活させることもできる。データを完全に消去するためには、ディスク全体に渡ってデータを完全に上書きする必要がある。

» 2008年07月18日 00時00分公開

[小林章彦，デジタルアドバンテージ]

連載目次

解説

　コンピュータやハードディスクを破棄したり、他人に譲渡したりする場合、内部のデータを完全に消去しておかないと、そこから社内の機密情報や顧客情報、メール・アドレスなどが漏えいしてしまう危険性がある。実際、中古で購入したコンピュータのハードディスクに対してデータ復元ソフトウェアを実行したところ、ある医療機関が健康保険組合などに医療費を請求するために作成した診療報酬明細書の画像データが取り出せた、という事例が総務省の「国民のための情報セキュリティサイト」で報告されている。

国民のための情報セキュリティサイト（総務省）

　このような事態が生じるのは、ディスク内のデータを「完全に消去」することが難しいからだ。この例でも、ある医療機関はコンピュータを廃棄する際に（中古業者への売却やリース終了による返却など）、情報漏えいが起こらないようにハードディスク内のすべてのファイルを削除していたに違いない。しかし単にすべてのファイルを削除しただけでは、ディスクの内容を「完全に消去」したことにはならない。

　これはWindowsのファイル・システムでは、ファイル管理領域と実データ領域が分かれて格納されているためだ。ファイル管理領域には、実データ領域の位置情報やファイル名、フォルダ名、作成日時などの情報が収められている。ファイルを削除しても、ファイル管理領域に削除したというフラグが付けられるだけで、実データ領域はそのまま残った状態にある。またWindowsでディスクをフォーマットした場合でも、ディスクに何らかのデータを書き込み、初期化しているように見えるが、実際にはファイル管理領域の情報が消去されているにすぎない。そのため、データ復元ソフトウェアを使うことでデータを復活させることができるわけだ。

　完全にディスクの内容を消去するためには、ディスク上のすべてのセクタに渡って何らかのデータを上書きしなければならない。単純に「0」や「1」をディスク全体に書き込むだけでも、データ復元ソフトウェアを使ったデータの復活は行えなくなる。ただしこうした単純なデータの書き込みでは、ディスクを分解して、プラッタ上の残留磁気を読み取るといった方法によってデータが読み取られてしまう可能性もある。そのため、米国国家安全保障局や米国国防総省などは、データ消去のための標準方式を定めている。


方式名	書き込みデータ	合計書き込み回数
ゼロ書き込み	「0x00」	任意
ランダム書き込み	乱数	任意
米国国家安全保障局方式（NSA）	セクタ単位の乱数 → ファイル単位の乱数 → 00	3
旧NSA	「0xFF」 → 「0x00」 → 「0xFF」 → 「0x00」	4
NCSC方式（NCSC-TG-025）	固定値3回	3
米国陸軍方式（AR380-19）	乱数 → 固定値2回	3
米国国防総省方式（DoD5220.22-M）	固定値 → 補数 → 乱数 → 検証	3
Gutmann方式	乱数4回 → 固定値27回 → 乱数4回	35
主なデータ消去の方式「0」や「1」データを1回書き込むだけでは、それ以前のデータの形跡（残留磁気情報など）を完全に消すことができないため。何度か書き込みを繰り返す必要がある。書き込みデータや回数は、データ消去ソフトウェアによって異なる場合がある。

　ただこうした方法は、ディスク全体に対して何度もデータを書き込むため、ディスクの容量などによっては、1日以上の時間がかかることもある。社団法人電子情報技術産業協会（JEITA）の「パソコンの廃棄・譲渡時におけるハードディスク上のデータ消去に関するガイドライン」では、データ消去の有効な方法として、「1回固定データによる塗りつぶし消去を行えば十分だが、2回消去を行えば一般的に完全といえる」と述べているように、固定データを2回書き込む程度で十分だろう。もちろん情報漏えいのリスクが高い研究所などで利用していたディスクについては、より完全にデータの消去が可能な米国国家安全保障局方式などを利用した方がよい。

パソコンの廃棄・譲渡時におけるハードディスク上のデータ消去に関する留意事項［PDF］（電子情報技術産業協会）

　こうした操作を行うツールは、パッケージ・ソフトウェアやフリーソフトウェアとしていくつも提供されている。また、専門に請け負う事業者も存在する。大量のディスクを処理しなければならないような場合は、事業者に依頼するとよいが、通常のクライアントPCで利用していたディスクを何台か処理する程度ならば、フリーソフトウェアを利用してしまうのも手だ。そこで、ここではフリーソフトウェアの「Darik's Boot and Nuke（DBAN）」を取り上げ、ディスクのデータを完全に消去する方法を紹介する。

操作方法

　まずDBANツールをダウンロードする。DBANは、CD／DVDイメージ（ISOイメージ）とフロッピー・ディスク・イメージの2種類が提供されている。CD-Rもしくはフロッピー・ディスクにイメージを書き込むと、起動可能なCD-Rまたはフロッピー・ディスクが作成できる（ISOイメージのCD-Rへの書き込み方法は、TIPS「.ISOファイルをCD-Rに書き込む」を参照のこと）。

Darik's Boot and Nuke（DBAN）［英語サイト］

　あとはこのCD-R／フロッピー・ディスクで、データを消去したいディスクが接続されているコンピュータを起動すればよい。DBANが起動したら、最初の画面で［ENTER］キーを押し、データ消去方式などが選択可能となる対話モードに入るとよい。

DBANの起動画面
通常は［ENTER］キーを押し、データ消去方式などが選択可能となる対話モードを利用する。

　対話モードの画面では、認識したハードディスク名などが表示される。なおUSB接続のハードディスクのうち、USB-IDEブリッジが利用されているものは、DBANが対応していないことからディスクが認識できない場合があるということだ。

DBANの対話モードの初期画面
認識したハードディスク名や現在選択されているオプションなどが確認できる。
　 （1）認識したハードディスク名。複数のハードディスクが接続されている場合は、ここに認識したすべてのハードディスク名が表示される。
　 （2）現在選択されているオプションが表示される。

　左上には、現在選択されている擬似乱数生成アルゴリズム（PRNG）やデータ消去方式（Method）、検証頻度（Verify）、実行回数（Rounds）などのオプションが表示される。デフォルトは、それぞれMersenne Twister（詳細は、「Mersenne Twister Home Page」参照のこと）、DoD Short、最後に1回、1回実行となっている。この設定を変更したい場合は、「P」キーで乱数生成アルゴリズム、「M」でデータ消去方式、「V」キーで検証頻度、「R」キーで実行回数の変更が行える。選択可能なデータ消去方式は下表のとおりである。


方式名	説明
Quick Erase	「0x00」の1パス
RCMP TSSIT OPS-II	カナダ王室山岳警察方式で乱数を値を変えて8パス
DoD Short	米国国防総省方式の簡易版で3パス
DoD 5220.22-M	米国国防総省方式で7パス
Gutmann Wipe	Gutmann方式で35パス
PRNG Stream	乱数の1パス
DBANがサポートするデータ消去方式

擬似乱数生成アルゴリズムの選択画面
「Mersenne Twister」と「ISAAC」の2種類から選択できる。カーソル・キーで上下させて、［スペース］キーで選択する。擬似乱数生成アルゴリズムとして、Mersenne Twisterの方が長周期、高次元均等分布を実現しているということだ。

データ消去方式の選択画面
「Quick Erase」など6種類の方式から選択できる。Quick EraseやPRNG Streamは1パスで終了だが、実行回数を2回にすることでセキュリティを高めることができる。

検証頻度の選択画面
「Verification Off（検証なし）」「Verify Last Pass（パスの最後に検証）」「Verify All Passes（すべてのパスで検証）」の3種類から選択できる。通常は「Verify Last Pass」を選択しておけばよい。

　オプションを設定したら、対話モードの初期画面でデータ消去を行いたいハードディスクを［スペース］キーで選択し（消去対象のドライブは［wipe］と表示される）、［F10］キーを押すと、データの消去が開始される。あとはDBANが終了するのを待てばよい。作業の進行状況は画面の右上に表示されるので、ハングアップしていないかどうかの確認も可能だ。ディスク全体に対して何度も書き込むので、実行時間はかなりかかるので、注意していただきたい。手元の環境（Pentium 4のPCに40GbytesのIDEディスク 1台という構成）では、デフォルト・オプション設定で（書き込み3回＋検証読み出し1回）、終了までに1時間ほどかかった。

　なおDBANは、対話モードで起動後はオンメモリで実行されるのでCD-Rを抜いてしまっても構わない（フロッピー・ディスクで実行した場合は、最後にフロッピー・ディスクにログが書き込まれるので、ディスクは抜かない方がよい。CD-Rで実行した場合もフォーマット済みのフロッピー・ディスクを差しておけばログが書き込まれる）。

■この記事と関連性の高い別の記事