スマホ・タブレットのデータ消去 — 初期化だけで大丈夫か

パソコンのHDDでは、初期化（フォーマット）はファイルの管理情報をリセットするだけで、記録面にはデータがそのまま残ります。この点はデータ消去と物理破壊の違い（初期化では消えない理由）で詳しく扱っています。ところがスマートフォン・タブレットの「すべての設定とコンテンツを消去」は、これとは異なる考え方で作られています。

iPhone・iPadの消去の考え方（暗号鍵の破棄）

iPhone・iPadは、本体のストレージに書き込まれるデータが端末内部の鍵で暗号化される構造になっており、初期化の操作はその鍵を破棄することによって、暗号化されたままのデータを復号できない状態にする——という考え方で設計されています。データそのものを1バイトずつ上書きするのではなく、読むための鍵を捨てることで読めなくする方式です。数百GBの領域を上書きする必要がないため、短時間で完了するのはこのためです。

この方式は、規格の世界では暗号化消去（Cryptographic Erase）と呼ばれ、NIST SP 800-88 では Purge（パージ）に分類される技法のひとつとして位置づけられています。水準の整理はデータ消去・HDD破壊の基準（Clear・Purge・Destroyの3水準）をご覧ください。ただし、この方式が有効に働くには鍵の管理機構が正常に動作していることが前提であり、対応の有無や挙動は機種・OSのバージョンにより異なります。

Androidの暗号化と初期化

Android端末も、一定のバージョン以降は本体ストレージの暗号化が標準的に有効となる方向で仕様が整理されてきました。そのうえで初期化（ファクトリーリセット）を行う流れになりますが、暗号化が有効かどうか、初期化時に鍵の破棄まで行われるかどうかは、機種・メーカー・OSのバージョンによって差があります。特に発売から年数が経っている端末や、メーカー独自のカスタマイズが入った端末では前提が揃わない場合があるため、機種名とOSのバージョンを確認したうえでメーカーの案内を参照することをおすすめします。

なお、初期化の前に端末を暗号化する設定が有効になっているかを確認する、という手順が案内されることがありますが、これも設定画面の場所や項目名が機種により異なります。本記事では具体的な操作手順の断定は避け、「暗号化が有効であることを確認したうえで初期化する」という原則だけをお伝えします。

SIMカード・SDカードは別扱い

ここが最も見落とされやすい点です。本体の初期化は、本体の記憶領域に対して行われる処理であり、差し込まれているSIMカードやmicroSDカードの中身までは対象になりません。SIMカードには電話番号に紐づく契約情報や、機種によっては連絡先が保存されていることがあります。microSDカードには写真・動画・書類などが大量に入っているのが普通です。

初期化の操作でSDカードの内容も消すかどうかを選べる機種もありますが、選択肢の有無は機種により異なるうえ、SDカードはフラッシュメモリの特性上、削除操作だけでは読み出せる状態が残ることがあります。取り外して別途処理するのが安全側の判断です。カード類そのものの処分はUSBメモリ・SDカードの破壊（1点¥110〜）をご覧ください。

クラウド側に残るデータ

端末を初期化しても、写真・連絡先・書類などがクラウドに同期されている場合、そのデータはクラウド側に残ります。これは端末の処分とは別の問題ですが、「端末を初期化したからデータは消えた」と考えると認識がずれます。逆に、アカウントをサインアウトしないまま端末だけ初期化すると、次の所有者が端末を有効化できない状態になることもあります。次章のとおり、アカウントの整理は初期化の前に行うのが基本です。当社が取得した個人情報の取り扱いについては個人情報保護方針（プライバシーポリシー）に記載しています。

同じ「スマホを手放す」でも、手放し方によってデータ消去の責任が誰に残るかと処分の記録が残るかが変わります。この2点で整理すると、自分がどの手段を選ぶべきかが見えてきます。

上の3つは、いずれも初期化が正しく行われたかどうかを後から確認する手段が残らない点が共通しています。個人利用で記録が不要なら問題になりにくい一方、法人が社用端末を手放す場合は、監査や取引先からの照会に対して説明する材料が必要になります。手放し方の条件は事業者・自治体・時期により異なりますので、利用前に各窓口の最新の案内をご確認ください。

「責任主体」と「記録」の2軸で考える

比較表の2列目と3列目が、実務上いちばん効いてくる項目です。データ消去の責任が自分に残る手段を選んだ場合、初期化の前提（暗号化が有効・端末が正常に動作する）が満たされていたかどうかを、自分で確認・記録しておく必要があります。廃棄した機器からの情報漏えいがどのような経路で起きるかは廃棄したHDDからの情報漏えいはなぜ起きるかで整理しています。組織として漏えい対策を組み立てる場合の考え方は情報漏えい対策としての記憶媒体の破壊をご覧ください。

個人の1台と、法人の数十台では、必要な作業が変わります。技術的な処理内容は同じでも、台数分の管理と記録という工程が加わるためです。

台数管理と証跡

まず、回収した端末の台数と個体を確定させます。IT資産管理台帳に登録されている端末と、実際に回収できた端末を突き合わせ、差分（返却されていない端末）を洗い出す作業です。この突合が済んでいないと、処分の記録を作っても台帳と合いません。当社では破壊した端末1台ごとに証明書を発行し、資産管理番号を併記した形での発行もご相談いただけます。写真付きは1台につき1枚 ¥550（税込）、一覧形式は最大20台まで1枚 ¥2,200（税込）です。監査・入札で求められる証跡の整え方はISMS・Pマーク・マイナンバー対応の証跡をご覧ください。

MDMの解除

社用端末はMDM（モバイルデバイス管理）で一元管理されていることが多く、管理下に置かれたままの端末は、初期化しても再び管理プロファイルが適用される、あるいは第三者が利用できない状態になることがあります。処分にあたっては、管理コンソール側で対象端末の登録を解除しておく必要があります。物理破壊を依頼する場合も、破壊してしまうと管理コンソール側から端末を操作できなくなるため、解除は破壊前に済ませておくのが確実です。解除の手順は導入しているMDM製品により異なります。

回収から破壊までの記録を途切れさせない

各拠点から端末を集約し、まとめて処分するまでの間に、いつ・どこに・何台あったかの記録が途切れると、後から説明ができなくなります。引き渡しから破壊完了までの記録を連続させる考え方は、立会いや作業写真によって補強できます。詳しくは立会い・作業動画/写真による破壊の可視化をご覧ください。台数がまとまっている場合は、出張して現地で破壊する方法もあります（出張オンサイト破壊（東京23区¥8,800・税込））。