ISMS・Pマーク・マイナンバー対応のHDD物理破壊と証明書
ISMS・プライバシーマーク・マイナンバー管理の監査や取引先の要件に合わせて、破壊完了証明書と立会い（任意）の形を整えます。要件のすり合わせは電話・メールで。
このページの要点
- ISMS/Pマーク情報資産の物理破壊の記録づくりを支援
- 証跡媒体ごとの記録を載せた一覧証明書（標準）＋写真付き証明書（任意）で運用ルールに組み込みやすい
- マイナンバー特定個人情報を含む媒体の破壊にも対応（仕様書に装置や貫通箇所数の要件がある場合は作業前にご確認ください）
ISMS（情報セキュリティマネジメントシステム）やプライバシーマークの認証を運用している企業、マイナンバーを含む個人情報を扱う組織では、HDD・PCの廃棄プロセスについても監査や取引先から証跡の提出を求められることがあります。当社では、こうした場面で活用しやすい証明書・記録の整備に対応しています。
ISMS・Pマーク監査での証跡要件
求められる記録の考え方
ISMSやプライバシーマークの運用では、廃棄した情報資産について、いつ、どのように処分したかを示す記録が求められることがあります。媒体単位でのシリアル番号・破壊方式・作業日時を記載した記憶装置物理破壊完了証明書は、こうした監査対応の資料としてご活用いただけます。
IT資産管理台帳との突合
監査では、台帳に記録された資産と、実際に処分した媒体が一致しているかを確認されることがあります。その際は、証明書に記載される媒体ごとのシリアル番号を、お客様の台帳側の記録と突き合わせる形で確認できます。
マイナンバー・個人情報の廃棄
読み出せない状態にする
マイナンバーを含む個人情報が記録された媒体を廃棄する際は、データを読み出せない状態にしたうえで、その処理を記録に残すことが重視されます。当社が受託する作業は専用機による物理破壊（穿孔・せん断）で、記録面または記録チップそのものを壊し、通常の手段では読み出せない状態にします。なお、データ消去ソフトやデガウスの作業受託は行っておりません（方式の解説は方式トップをご覧ください）。
個人情報の取り扱いと委託先の管理
個人情報を含む媒体の処理を社外へ委託する場合、委託先の選定と管理も監査の対象になります。当社がお預かりした情報の取り扱いについては個人情報保護方針（プライバシーポリシー）に記載しています。自社に破壊機を導入して内製する選択肢と委託を、費用と証跡の両面で比べたい場合はHDD破壊機を買う・借りる vs 委託（費用と証跡の比較）をご覧ください（破壊する側と確認する側が同じ組織になる点が、監査では論点になります）。
規格から見た処理の水準
NIST SP 800-88が整理する3つの水準では、物理的な破壊はDestroyに分類されます。ただしDestroy とみなされるかは破壊の程度によります（最先端の実験室的手法でも復元できない状態に至ったか）。水準の整理と媒体別の方式の選び方はデータ消去・HDD破壊の基準にまとめています。
仕様書・取引先要件への対応
仕様書の記載をすり合わせる
仕様書や取引先のセキュリティ要件で、証明書の記載項目や立会いの可否が指定されている場合は、事前にご相談ください。証明書の記載項目は3項目（シリアル番号・破壊方式・作業日時）で追加・変更はできないため、要件を満たせるかを作業前にご確認いただき、立会いなどは要件に応じて対応できる範囲をご案内します。
要求元別・求められる証跡と当社で用意できるもの
「何を求められているか」は要求元によって書きぶりが違いますが、突き詰めると読み出せない状態にした処理とその記録の2点に集約されます。要求元別に整理すると次のとおりです。
| 要求元 | 求められる証跡 | 当社で用意できるもの |
|---|---|---|
| ISMS（情報セキュリティマネジメントシステム） | 廃棄した情報資産について、いつ・どのように処分したかを示す記録 | 媒体ごとのシリアル番号・破壊方式・作業日時を記載した記憶装置物理破壊完了証明書（一覧形式・標準発行。後日お渡し） |
| プライバシーマーク | 個人情報を含む媒体を、復元できない状態にしたことの記録 | 同上の証明書に加え、立会い（任意）や写真付き証明書（破壊後の状態写真）を組み合わせ可能 |
| マイナンバー（特定個人情報） | 特定個人情報を含む媒体を読み出せない状態にする処置と、その記録 | 専用機による物理破壊（穿孔・せん断）と、媒体ごとの記録を記載した証明書 |
| 取引先監査・仕様書 | 仕様書で指定された記載項目・処理方式・立会いの可否 | 記載項目（3項目・変更不可）のご説明、立会い（任意）のご案内 |
いずれの要求元でも、当社が用意できるのは物理破壊の実施と、その記録です（破壊後の機器の扱いは破壊後の機器の買取対応をご覧ください）。第三者機関による証明制度についてはADEC第三者証明とは（制度の解説）で扱っています。
証明書・記録の整え方
証明書と立会いの組み合わせ
証跡の種類と料金の一覧は証明書・コンプライアンスのトップページに、法人での運用フローと台数割引は法人・オフィスの機器処分にまとめています。廃棄機器からの漏えいがどう起きるかを社内で共有する資料としては廃棄したHDDからの情報漏えいはなぜ起きるかをご利用ください。
立会い（任意。Chain of Custodyの補強）や写真付き証明書の組み合わせ方は、監査や取引先から求められる内容をうかがってご案内します（証明書の記載項目は3項目（シリアル番号・破壊方式・作業日時）で、追加・変更はできません）。どのような形にすればよいか分からない場合も、目的をお伝えいただければご提案します。
監査・取引先要件で必要な証跡を洗い出す電話・メールフォーム
ISMS・Pマークの監査や取引先への対応でお困りの際は、お電話・メールでご相談ください。必要な証跡の形を一緒に整理します。
ISMS・Pマーク対応のよくある質問
監査で提出できる証明はもらえますか？
媒体ごとのシリアル番号・破壊方式・作業日時の3項目を記載した証明書を発行しています。記載項目の追加・変更はできないため、監査で別の項目を求められている場合は作業前にご確認ください。
仕様書に合わせられますか？
仕様書の内容を確認のうえ、立会いの有無などは対応可能な範囲ですり合わせいたします。証明書の記載項目は3項目（シリアル番号・破壊方式・作業日時）で、追加・変更はできません。