ユーザーは、ハードドライブ上のファイルを削除すると、その文書はもう存在しないと考えるかもしれません。しかし、IT専門家はデータそのものが残っている可能性を理解しています。
それでも、経験豊富なIT専門家でさえ、ハードドライブのファイル消去方法の違いやデータ上書き規格、またそれらの方法でハードドライブからデータを消去できない場合について理解していないことがあります。情報の機密性によっては、IT専門家はより高度な消去方法を実施するか、ハードドライブそのものを破壊する必要があるかもしれません。
ハードドライブやフラッシュドライブがデータを保存する仕組みについても少し触れますが、デジタルフォレンジックやコンプライアンスを担当するセキュリティ専門家にとって、この議論は決して学術的なものではありません。
基本的なデータ消去
ハードドライブ（またはUSBドライブ）を引き続き使用する場合、オペレーティングシステムからファイルを削除するだけで問題ありません。ただし、ユーザーにはデスクトップのごみ箱を空にする必要があることを念押しすべきです。そうしなければ、ファイルは単にごみ箱フォルダーへ移動しただけだからです。
ユーザーがごみ箱フォルダーを空にすると、オペレーティングシステムはストレージのディレクトリからファイル情報を削除します。以前そのファイルが使用していたと記録されているストレージ領域は、上書き可能としてマークされます。
重要なのは、ハードドライブが新しいデータで上書きするまで、ファイルデータそのものはハードドライブ上に残っているという点です。ただし、ストレージデバイスが使われ続ける限り、時間の経過とともに削除済みファイルはいずれ新しいデータで上書きされます。
こちらもお読みください：データ損失防止（DLP）ソリューションのトップ9
ハードドライブとその消去方法
ユーザーは、ハードドライブ（磁気プラッターまたはフラッシュメモリ）、USBドライブ（フラッシュメモリ）、共有ネットワークドライブにデータをローカル保存します。ネットワークドライブには、仮想と物理、クラウドベースとローカルサーバーベースのものがあり、単一のハードドライブの場合もあれば、複数のハードドライブにデータを書き込む独立ディスク冗長アレイ（RAID）の場合もあります。
ここでは主に物理ドライブを扱いますが、同じ原則は仮想ドライブにも当てはまります。仮想ドライブが大規模な物理ハードドライブの一部であっても、複数の物理ハードドライブにまたがっていても、コンピューターのメモリ上だけに存在していても、仮想ドライブのデータはいずれ、保存のためにフラッシュメモリまたは物理プラッターに書き込まれる可能性が高いからです。
どのドライブでも、より徹底した消去方法の仕組みを理解するには、ハードドライブのデータ保存に関する技術的な詳細を理解する必要があります。具体的には、ファイルがストレージに書き込まれる仕組み、ハードドライブ技術の種類、そしてハードドライブ上のデータがオペレーティングシステムからアクセスできなくなるタイミングについて、基本的な知識が必要です。
ファイル書き込みの基礎
オペレーティングシステムがドライブにファイルを書き込む必要がある場合、ドライブを調べて空き領域を探します。この領域は、ドライブ上の1つ以上のセクターで構成されます。
ハードドライブのセクター容量は時代とともに変化してきましたが、現在のドライブでは512バイトから4096バイトのセクターが使われています。ファイルがセクターの領域をすべて使わなければ、セクターの一部は空白になります。その後ファイルのサイズが大きくなれば、追加のセクターを使用します。
オペレーティングシステムはその後、ファイルとドライブ上の対応する場所のディレクトリを管理します。セクターは連続している必要がないため、ハードドライブをしばらく使うと、ファイルがさまざまな場所に書き込まれて非効率になることがあります。ただし、一部のハードドライブクリーンアップアプリケーションは、連続したセクターを最大限に活用できるよう、ドライブ上のファイルを再編成または書き換えます。
ファイルを単純に削除すると、オペレーティングシステムのファイルディレクトリからそのファイルが削除されます。しかし、ハードドライブ上のファイルの各種セクターに書き込まれたデータが置き換えられるわけではありません。
こちらもお読みください：GRCツールとソフトウェアのトップ製品
磁気ドライブとフラッシュドライブの違い
物理ハードドライブでは、磁気プラッターとフラッシュメモリという2種類の技術のいずれかが使われています。これら2つの技術の違いは、データの保存方法とメディアの経年劣化の管理方法が異なるため、消去の際に重要になります。
磁気プラッター式ハードドライブ
磁気ハードドライブは、ドライブ内部のプラッターを磁化することで、ハードドライブ上のセクターにデータを保存します。ドライブ上の一部のセクターは、ハードドライブを管理し、オペレーティングシステムと通信するファームウェア用に割り当てられます。
ドライブが古くなると磁化が弱まり、データを読み取るハードドライブヘッドは、バイナリファイルの0と1を区別するのに苦労するようになります。バイナリデータがエラーの所定のしきい値を下回ると、ハードドライブはそのセクターを故障中と判定し、データをハードドライブ上の新しいセクターにコピーします。
通常、磁気ドライブのファームウェアが、再割り当てされた不良セクターについてオペレーティングシステムに通知することはありません。代わりに、ハードドライブを管理するファームウェアが、再割り当てされたセクターへのオペレーティングシステムからの呼び出しを自動的に新しいセクターへ振り替えます。
フラッシュメモリ式ハードドライブ
フラッシュドライブは、ハードドライブまたはUSBフラッシュドライブ内部のフローティングゲート型メモリーチップにあるトランジスターをプログラムします。メモリはセルに書き込まれます。セルは、磁気ハードドライブのセクターとサイズおよび機能が同等です。別のチップまたはメモリーチップの一部が、フラッシュドライブを管理し、オペレーティングシステムと通信するファームウェア用に割り当てられます。
ドライブが古くなると、フラッシュドライブの管理アルゴリズムは各メモリセルへの読み書き回数を数えます。読み書き処理が所定の回数に達すると、そのセルは故障のリスクがあると見なされ、不良としてマークされ、データが新しいセルにコピーされます。
磁気ドライブと同様に、ファームウェアが不良セルや新しいセルへのデータコピーについてオペレーティングシステムに通知することはありません。代わりに、管理ソフトウェアがその処理を見えない形で管理し、データ要求を新しい場所へ振り替えます。
アクセスできないドライブデータ
通常、オペレーティングシステムはすべてのハードドライブのかなりの部分にアクセスできません。ハードドライブを管理するファームウェアはアクセスや上書きから保護されており、ハードドライブの一部は不良セクターの将来の交換用としてファームウェアに予約されています。
不良セクターも通常、オペレーティングシステムから利用できません。データ復旧ツールはドライブのファームウェアを使って故障しかけたセクターからデータを読み取ろうとできますが、そのためには専門的な機器とソフトウェアが必要です。
データ復旧ツールと市場が重なる、当社の最良のランサムウェア削除・復旧サービスガイドを参照してください。
ハードドライブ上の一部のセクターは、オペレーティングシステムから隠されたり、別のオペレーティングシステムに割り当てられたりすることもあります。たとえば、コンピューターをLinuxまたはWindowsのいずれかで起動するよう設定し、それぞれのオペレーティングシステムが、異なるファイルシステム技術でフォーマットされたハードドライブの異なる部分にアクセスするようにできます。
それほど一般的ではありませんが、データを隠すためにドライブ上に意図的に隠しセクターを作成する人もいます。無害な理由による場合もありますが、法執行機関は、違法行為に関連するデータを隠すためにこの手法が使われていることをしばしば発見します。
こちらもお読みください：最良のデジタルフォレンジックツールとソフトウェア
ドライブの再フォーマット
コンピューターを新しいユーザーに引き渡したり、ハードドライブを取り外して別のマシンに取り付けたりする場合、新しいユーザーが以前のデータにアクセスできないようにしたいと考えるでしょう。この場合、通常はオペレーティングシステムを使ってハードドライブを再フォーマットします。
ドライブを再フォーマットすると、ハードドライブ上のすべてのファイルディレクトリが削除され、オペレーティングシステムから見えるすべてのセクターがファイル保存に利用できるようになります。しかし、このレベルのデータ消去では、ドライブ上のすべてのデータが削除されるとは限りません。
隠しセクターはオペレーティングシステムに認識されないため、再フォーマットを免れる可能性があります。不良セクターも再フォーマット時にはアクセスできません。
データ上書き方法
企業や個人がノートパソコン、スマートフォン、デジタルビデオレコーダーを新しいものに買い替えても、古い機器は通常、他の人がまだ利用できます。機器を売却または寄付する場合でも、以前の所有者は新しいユーザーが自分のデータにアクセスできる状態を望みません。
ハードドライブの再フォーマットで十分な場合もありますが、より高い確実性を得るためにさまざまなドライブ消去規格が用意されています。各手法は、ハードドライブで利用可能なすべてのセクターに新しいデータを上書きします。
これらの規格の中で、ATA Secure Eraseはハードドライブ上のデータを1回のパスで上書きするため、最も効率的なデータ消去規格です。この消去方法は一般的にほとんどの用途で許容できると考えられており、Secure Erase処理後にデータ復旧に成功する可能性はほぼゼロです。
1TBのハードドライブのデータを上書きするには、1回のパスでも4～6時間かかる可能性があることに注意してください。ドライブが古い、または故障しかけている場合は、さらに時間がかかります。ほとんどの人にとって、3～7回の上書きによる追加のセキュリティはメリットにならず、Secure Eraseで十分です。
消去に失敗する可能性がある場合
最も堅牢なデータ上書きアルゴリズムであっても、ハードドライブ上のすべてのデータを消去できないことがあります。
ソフトウェアベースのハードドライブ消去の多くは、オペレーティングシステムを介してドライブにアクセスします。これらのアプリケーションは、不良セクターや隠しセクターに含まれるデータを認識、アクセス、削除、上書きできません。
ハードドライブに直接アクセスするハードウェアを購入することもできますが、単にLinuxまたはWindowsの軽量版を実行するだけのハードウェアもあり、その場合はコンピューターと同じ消去上の制限があります。不良セクターを上書きする必要がある購入者は、使用するツールまたはソフトウェアがハードドライブのファームウェアレベルでデータにアクセスできることを確認しなければなりません。
ファームウェアレベルのハードドライブパスワードが原因でアクセスできないハードドライブもあります。この場合、データにアクセス、削除、上書きする前にパスワードを解除する必要があります。
また、制御用ファームウェアが破損していたり、ファームウェアを含むハードドライブのセクターが故障していたりすることもあります。この場合、ドライブの上書きを実行するための管理用ファームウェアを利用できません。
一部のデータ復旧専門家は、ファームウェアを復旧または修復して、故障したドライブからデータを読み取れるようにできます。ドライブが故障していても、磁気プラッターやメモリーチップにはデータが残っている可能性があり、多くの時間や費用をかける強い意志のある人なら読み取れるかもしれません。
完全な破壊
データを絶対に確実に破壊しなければならない場合、ストレージメディアそのものを破壊する必要があります。磁気ハードドライブの場合、消磁装置を使えば、ファームウェアセクターを含むすべてのセクターでドライブを使用できなくできます。
シュレッダーは磁気ハードドライブとフラッシュハードドライブの両方に使用でき、実用的なデータ復旧には小さすぎる破片にドライブを裁断します。ドリルでドライブをほぼ読み取り不能にすることもできますが、データ復旧の専門家が、破壊されていないプラッターやメモリーチップの部分からデータを抽出する可能性はあります。
完全な破壊による保証が必要になる人は、おそらく多くありません。しかし、国家安全保障など、データにアクセスできないことを保証するため、まずハードドライブを上書きし、その後物理的にも破壊する必要がある用途は常に存在します。
いくつかの視点
消去したハードドライブからデータを抽出できる可能性と、実際に抽出される可能性には大きな違いがあります。ほとんどの場合、安全な消去またはハードドライブの再フォーマットで、データ復旧の現実的な可能性をなくすには十分です。
複数回の上書きによる専門的な消去には、ハードウェアまたはソフトウェアソリューションの購入が必要で、実行にはITの時間とリソースも消費します。選択する消去レベルは、用途、データの価値、利用可能なリソースに適したものであるべきです。
次の記事：