ゲットイット、ネットワーク機器で、国際標準のデータ消去規格「NIST SP800-88Rev.1 」における「Purge」相当のデータ消去に成功

株式会社ゲットイットは、Cisco社製ネットワーク機器における「Purge(パージ・除去)」相当のデータ消去に成功しました。検証は、アイフォレンセ日本データ復旧研究所株式会社下垣内太氏にご協力いただきました。

株式会社ゲットイット（本社：東京都中央区、代表取締役：廣田優輝）は、IT機器のデータ消去における国際標準規格「NIST SP800-88Rev.1」での「Purge」に相当するデータ消去に成功しました。Cisco社製のネットワーク機器において、「Purge」レベルの消去に民間企業が成功した例は国内で初めてです。

データ消去を自己証明に頼ってきた国内市場。国際規格に当てはめ研究実施。

企業のIT機器の適正運用（ITAD）は、廃棄コストを下げ、機器リユースによる環境貢献効果も伴う有効な施策として注目を高めています。世界のITAD市場は2022年の155億米ドル(約2兆円)から、2027年には235億米ドル（約3兆円）にまで成長するといわれています（※1）。データセンター大手のマイクロソフトは、新センターの設立時に「サーキュラーセンター」と呼ばれるIT資産のリユースやリサイクルを行う施設を併設し、サーバーのリユース率を2025年までに90％にする目標を掲げるなど、企業の取り組みも加速しています。

一方国内では、IT機器の適正運用への関心はこれからというフェーズです。運用のためには適切なデータ消去が必要になりますが、消去後の安全性については従来、実施企業による自己証明が一般的で、消去状況を第三者が把握するための物差しや、客観的な信頼性が乏しいのが実態でした。

ゲットイットはこの状況を解消するため、「第三者機関によるデータ消去プロセスの認定」の取得（※2）などに取り組み、毎年50を超える企業や、地方自治体（例：船橋市役所）のIT機器運用をサポートしてきました。今回の検証も、HDDなどの記憶媒体に比べマイナーな存在である「ネットワーク機器」にも国際規格NISTを適用し、より信頼性の高いデータ消去を目指す目的で行われたものです。

※1　出典：株式会社グローバルインフォメーション　市場調査レポート「IT資産処分の世界市場：サービスタイプ別、資産タイプ別（パソコン/ノートパソコン、サーバー、モバイル機器、ストレージ機器、周辺機器）、組織規模別（中小企業、大企業）、エンドユーザー別、地域別 – 2027年までの予測」（https://www.gii.co.jp/report/mama1109883-it-asset-disposition-market-by-service-type-asset.html）　

※2　https://www.get-it.ne.jp/news_220627/

国際規格NIST ガイドライン内の二つのデータ消去規格：ClearとPurge

NISTはNational Institute of Standards and Technologyの略で「米国国立標準技術研究所」を指します。「NIST SP800-88 Rev.1」はNISTが発行したIT機器のデータ消去に関するガイドラインで、現在の国際的な標準とされ、総務省は「地方公共団体における情報セキュリティポリシーに関するガイドライン」において、この規格に準拠してIT機器を処理するよう指示しています。

その消去レベルは通常、「Clear（クリア）＝「データ復旧ソフト等では復旧が困難なレベル」で十分とされます。しかしマイナンバーなど、より機密度の高い情報を扱う際には、上位概念である「Purge（パージ）」＝「特殊な設備と特殊な技能があってもデータ復旧が難しいレベル」の消去を要求しています（※3）。

※3　Clear・Purgeについて詳しくはこちらのホワイトペーパー(対象はHDD)もご参照ください。https://www.get-it.ne.jp/%e7%a0%94%e7%a9%b6%e6%89%80%e3%81%a7%e3%82%82%e5%be%a9%e5%85%83%e3%81%8c%e9%9b%a3%e3%81%97%e3%81%84%e6%b6%88%e5%8e%bb%e6%96%b9%e5%bc%8f-purge%e3%81%ab%e8%bf%ab%e3%82%8b/

今回、ゲットイットはCisco社製ネットワーク機器「WS-C3560V2-24TS-E V05 スイッチ」と「CISCO1812 V05、CISCO1941/K9 V05、CISCO2901/K9 V06 ルータ」に対して、データ消去（メーカーであるCisco社が提供する、工場出荷時のデフォルト設定にリセットする手順に基づいた消去）を行い、そのデータ消去結果がどのレベルに相当するかを検証しました。

その結果、まずは標準的に十分なレベルである「Clear」相当の消去が証明されました。続いてゲットイットでは、「Clear」の後も残存するデータを研究所レベルの特殊な方法で探索し、そのうえで、Flash領域の特殊消去法によるデータ消去を試行しました。この結果検証をデータ復旧／データ・フォレンジックの専門家であるアイフォレンセ日本データ復旧研究所株式会社下垣内太氏に依頼したところ、NISTの規定する「Purge」に相当する消去レベルを得ていることが証明されました。

物理破壊以外の方法が、IT機器の循環型経済の鍵

ゲットイットは「Sustainable Computing ®」を掲げ、IT機器のリユース・リサイクルを推進しています。「物理破壊」では機器をリユースすることはできません。「磁気破壊」を選んだ際もリユースはできません。それに対し、適切なソフトウェア消去を選択した場合は撤去費、消去費を上回る買い取り額を提示できる場合があり、企業側は従来の「コスト」を「投資」に転換することが可能になります。

また、たとえばサーバーを新しく調達することに比べ、リユースサーバーを調達する場合、CO2の排出量を99.8%削減するというデータ（ゲットイット自社算出）もあります。コストを下げ、循環型経済に寄与するビジネスモデルはESG経営が重要視される時代状況にマッチし、企業のROIを向上させる施策です。その基盤が「データ消去」による安全性の確保であり、今回の検証結果は、データ消去の知見全体の向上に寄与することでデータ消去への信頼感を高め、IT機器の循環型経済を実現する一助になると考えています。

下垣内太（しもがいとだい）氏

1998年に現在のアイフォレンセ日本データ復旧研究所（株）を創業し、20年以上におよびデータ復旧、データ消去、デジタル・フォレンジック分野で研究と実務に従事。2018年にはIDF技術開発賞を受賞。テレビや新聞ではデータ復旧の達人と呼ばれ、CODE BLUEやHTCIAなどの国際カンファレンス講演に加え、裁判所・検察・警察でのデジタル証拠に関する講義実績も豊富。一般社団法人日本データ復旧協会の常任理事でもあり、ADEC（データ適正消去実行証明協議会）の消去ソフトウェアの動作結果検証も担う。

「今回のデータ消去検証を通じて、調査対象の機器においては、製造元指定の処理でネットワーク設定情報等は消去され、データ復旧ソフト等の使用による復旧及び復元は不可能であるClear（消去）と呼ばれる状況であることを確認しました。さらに対象機器の回路基板に半田付けされた実装部品を外し、特殊な方法で探索すると、IPアドレスを含む設定情報の残存が検出されましたが、ゲットイット社が開発した消去技術を用いた場合には、そのような設定情報は一切検出されないPurge（除去）と呼ばれる結果が得られることが確認されました。」

沼田理（ぬまたまこと）氏

PHILIPS社などで技術開発に従事したのち、1986年より株式会社ワイ・イー・データにて、フロッピーディスクドライブ、ハードディスクドライブ等の磁気記憶装置の設計開発に携わる。2001年、日本のデータ復旧サービスのパイオニア、オントラック事業部に異動し、2006年より事業部長。データ復旧関連複数社において顧問。ADEC（データ適正消去実行証明協議会）技術顧問。神奈川県情報流出事件以降は、新ガイドライン作成へ向けた行政からの技術諮問に応じるなど活動中。

「データ消去というと、HDDやSSDのような記憶媒体が対象で、ネットワーク機器は忘れられた存在である。しかし、これら機器の内部のフラッシュメモリーには、ファームウェアや社内ネットワークの設定情報が書き込まれているので、不用意な管理では脅威に繋がることは、あまり認識されていない。これら機器に対するPurge消去を実現し、安全・安心な環境をユーザに提供しようとする試みは、まさに先進的なリユース「Sustainable Computing ®」であると言える。」

株式会社ゲットイット

都内2,000㎡倉庫（勝どきZETTA）の豊富な在庫量と、マルチベンダー対応の技術力で、企業の抱えるITの「困った」を解決。サーバー・ネットワーク機器等ITハードウェアの専門家として、レガシーシステム運用に必要なEOSL保守（第三者保守）から、検証環境構築のための機器レンタル、情報機器処分（ITAD）に伴うデータ消去や買取りサービス、コスト削減のリユース販売まで、1社1社のオーダーに応える形で様々なハードウェア関連サービスを提供。株式会社ゲットイットは、持続可能な社会発展へ向けた「SDGs」への関心の高まりを受け、「使えるものは、長く使う」「使い終わったものは、次につなげる」の２点を掲げ、保守による機器の長寿命化や機器のリユース・リサイクルにより、IT ハードウェアの持続可能な運用のための総合サービス「Sustainable Computing ®」を展開しています。

社名：株式会社ゲットイット
URL ：https://www.get-it.ne.jp
所在地　：東京都中央区築地3-7-10 JS築地ビル4F
代表者　：廣田優輝
設立：2001年4月
事業内容：ITハードウェアサービス：第三者保守、EOSL保守、販売、買取り、修理、レンタル、移設、構築、データ消去　等