データ消去レベルについて
総務省の改定ガイドラインでは、データの機密性・内容に応じて3種類の処理パターンに分類し、データ消去を行うことと規程しています。例えば各種医療機関や各自治体が保有するPCの記憶媒体を処分する際には、保存しているデータの内容・機密性により、以下の消去レベルでの処理が推奨されています。
必要とされるデータ消去レベル
1.マイナンバー利用事務系の領域において住民情報を保存する記憶媒体のデータ消去
庁舎及び管理下→Clear以上
契約事業者内→Destroy
2. 機密性2以上に該当する(1の情報は除外)情報を保存する記憶媒体のデータ消去
庁舎及び管理下→Clear以上
契約事業者内→Purge以上
3. 機密性1に該当する情報を保存する記憶媒体のデータ消去
庁舎及び管理下→Clear以上
契約事業者内→Clear以上
※NIST(アメリカ国立標準技術研究所)において規定されている消去レベルは以下の基準が目安となります。
1. Destroy(デストロイ)…媒体の再生に対して耐えること
2.Purge(パージ)…研究所レベルのアタックに耐えること
3. Clear(クリア)…キーボードアタックに耐えること
2021年度に改定された総務省のデータ消去ガイドラインによると、ソフトによって行う上書き方式の消去、磁気によって行う磁気データ消去、物理破壊の3種類の消去方式を用いて、情報の機密性に応じたデータ消去を行うこととあります。個人情報を扱う事業者や庁舎にはこのガイドラインに準拠した情報の取り扱いが求められています。しかしながら、契約事業者によるインシデントがニュースになるケースが頻繁しているのが現状で、当社では個人情報を取り扱う事業者としてのリスク管理の重要性を徹底して全社員に周知する努力をしています。