中小企業のIT機器廃棄・データ消去ガイド｜PCやスマホを安全に処分して情報漏えいを防ぐ実践手順

2026年7月14日

「古いPCを廃棄したとき、中のデータはちゃんと消えているのだろうか」——そう気になりながらも、業者に引き渡してそのままにしているケースは少なくありません。

実は、Windowsの「初期化（工場出荷状態に戻す）」だけでは、ハードディスクやSSDのデータは完全には消えません。専用の復元ツールを使えば、顧客リスト・財務データ・パスワード情報が取り出せてしまいます。2023年以降、廃棄・リース返却したPCから個人情報が流出する事故が中小企業でも相次いで確認されています。

この記事では、従業員10～100名規模の中小企業を対象に、PC・スマートフォン・タブレット・USBメモリなどのIT機器を安全に廃棄するための、データ消去の方法・業者の選び方・廃棄証明書の管理まで、5ステップで解説します。

なぜ「初期化」だけではデータは消えないのか

Windowsの初期化（リセット）やMacの「消去」機能は、ファイル管理情報を削除するだけで、データそのものはストレージに残り続けます。「削除済み」と記録されても、専用の復元ソフトを使えばファイルを元通りに取り出せます。

特に注意が必要なのは次のデバイスです。

・HDD（ハードディスクドライブ）搭載PC: 上書き消去をしない限りデータが残る。10年前の機種でも同様
・SSD搭載PC・ノートPC: HDDと異なる記録方式のため、単純上書きが効きにくいケースがある
・スマートフォン・タブレット: メーカー初期化後も、解析ツールで連絡先・写真・業務アプリデータが復元されることがある
・USBメモリ・外付けHDD: 「削除してゴミ箱を空にした」だけでは実質的に何も消えていない

業務で使うIT機器には顧客の氏名・住所・メールアドレス、見積書・契約書・財務データ、社員の給与情報・個人情報、取引先へのログイン情報など、漏れると取返しのつかない情報が詰まっています。個人情報保護法上も、廃棄時の適切な措置が求められており、対応を怠ると行政指導や損害賠償請求につながりかねません。

中小企業での情報漏えいリスク全体については、中小企業の情報漏えい防止ガイドで内部不正・紛失・クラウド誤設定の3大リスクをまとめて解説しています。

データ消去の方法3種類と選び方

廃棄前のデータ消去には大きく3つの方法があります。機器の種類・台数・コストに応じて選んでください。

方法	概要	費用目安（1台あたり）	向いているケース
論理消去（ソフトウェア上書き）	専用ソフトでデータ領域を複数回上書きする	無料～5,000円	HDD搭載PCを数台まとめて処理したい場合
物理破壊（穿孔・シュレッダー）	ストレージを機械で物理的に破壊・粉砕する	1,000～5,000円	SSD・スマホ・USBなど確実性を優先したい場合
認定業者によるデータ消去サービス	専門業者が消去→証明書を発行。出張対応も可	3,000～10,000円	台数が多い・証明書が必須・自社処理が難しい場合

SSDを搭載した比較的新しいPCは、論理消去より物理破壊か認定業者への依頼が確実です。HDDであれば、「DBAN（Darik’s Boot and Nuke）」などの無料の消去ツールで対応できますが、操作ミスで消去が不完全になるリスクもあるため、台数が多い場合は専門業者に任せるほうが安心です。

安全に廃棄するための5ステップ

1. 廃棄対象機器の棚卸し

まず、会社が保有するIT機器をすべてリストアップします。「廃棄台帳」として、以下の情報を記録してください。

・機器の種類（PC・スマホ・タブレット・USBなど）
・メーカー・型番・シリアル番号
・使用していた社員名・部署
・取得年月（購入・リース開始）
・廃棄予定理由（故障・更新・リース満了など）

IT資産の管理台帳をまだ整備していない場合は、中小企業のクラウド型IT資産管理ツール導入ガイドも参考にしてください。PC・ライセンス・備品の棚卸しを自動化できます。

2. データのバックアップと移行確認

廃棄前に、必要なデータが別の場所に保管されているかを必ず確認します。「消去してから気づいた」では手遅れです。

・クラウドストレージやファイルサーバーにデータが移行済みか確認
・ブックマーク・ソフトのライセンスキー・設定情報のバックアップ
・スマートフォンの場合は連絡先・写真・業務アプリのデータを移行

バックアップが完了したら、担当者と上長のダブルチェックでサインオフしてください。このステップを省略した結果、必要なデータごと廃棄してしまうトラブルが実際に起きています。

3. データ消去の実施

バックアップの確認が取れたら、いよいよデータを消去します。

HDDのソフトウェア消去: DBANなどのブータブルツールを使い、HDDを複数回上書きします。米国防総省基準（DoD 5220.22-M）に対応した設定を選ぶと確実性が上がります。消去完了後、ツールが生成するログを廃棄台帳に添付してください。

SSDの消去: 各メーカー（Samsung、Crucial、WD等）が提供する専用の「セキュア・イレース」ツールを使います。Secure Eraseに対応していないSSDは、物理破壊が最も確実な選択です。

スマートフォン・タブレット: AndroidはiPhone同様「工場出荷状態へのリセット」後に、設定から「すべてのデータを消去」を実行します。業務利用のスマートフォンについては、MDM（モバイルデバイス管理）ツールを使っている場合、管理画面からリモートワイプをかけてから返却・廃棄すると確実です。

USBメモリ・外付けHDD: フォーマットだけでは不十分です。専用ツールでの消去か、物理破壊（シュレッダーまたは穿孔）を推奨します。

4. 廃棄業者の選定と依頼

自社でのデータ消去が難しい場合、または消去後の機器を安全に処理したい場合は、専門業者に依頼します。業者を選ぶ際のチェックポイントは以下の通りです。

・産業廃棄物収集運搬許可: 都道府県知事の許可を受けているか
・データ消去証明書の発行: 機器ごとの証明書を発行してくれるか
・消去規格の明示: どの規格（NIST SP 800-88、DoD等）で消去するか説明してくれるか
・作業立会いの可否: 希望すれば消去・破壊の様子を確認できるか
・機密保持契約（NDA）の締結: 受け渡しから廃棄完了までの情報管理責任を明確にしているか

「無料回収」を謳う業者の中には、適切な消去処理をせずに転売しているケースが報告されています。価格だけで選ばず、上記の基準で判断してください。

5. 廃棄証明書の取得と保管

廃棄が完了したら、業者から「データ消去証明書」または「廃棄証明書」を受け取り、廃棄台帳とあわせて保管します。この証明書が、後から情報漏えいの疑いが出たときの「我々は適切に対処した」という証拠になります。

・証明書には機器のシリアル番号・消去方法・消去日時が記載されているか確認
・物理破壊の場合は破壊の証拠写真を添付してもらうと安心
・証明書は最低5年間保管することを社内ルールに定める

証明書が手元にない場合、リース返却後に情報漏えいが発覚しても「自社の責任ではない」と証明できません。証明書の取得は必須と考えてください。

費用の目安と予算の組み方

IT機器廃棄にかかる費用は、機器の種類・台数・方法によって大きく変わります。以下に目安をまとめます（2026年7月時点・税込）。

処理方法	費用目安（1台あたり）	備考
ソフトウェア消去（自社実施）	無料（人件費のみ）	ツールは無料。1台あたり30分～2時間かかる
ソフトウェア消去（業者依頼）	2,000～5,000円	証明書発行込み。10台以上でまとめ割引あり
物理破壊（穿孔）	1,500～4,000円	HDD・SSD単体の場合。PC本体は別途処分費
物理破壊（シュレッダー）	3,000～8,000円	USBメモリ・SDカード等の小型メディア向け
出張消去・廃棄サービス	5,000～12,000円	社内で作業を完結できるため、輸送リスクなし

従業員30人規模で3～4年に一度PCを入れ替える場合、1回あたり20～30台の廃棄が発生します。専門業者に依頼した場合の総コストは10万～25万円程度が目安です。

補助金の活用: IT機器廃棄費用そのものを補助する制度は現時点（2026年度）では一般的ではありません。ただし、IT資産管理ツールの導入はIT導入補助金の対象となる場合があります。廃棄台帳の整備を含めたIT資産管理の効率化を目的に、ツール導入と組み合わせて検討する価値があります。

よくある失敗と回避策

失敗1: 「初期化したから安心」でそのまま廃棄

前述の通り、OSの初期化だけではデータは消えません。「廃棄前に専用ツールで消去する」または「認定業者に依頼する」を社内ルールとして明文化してください。

失敗2: リース返却をリース会社に丸投げ

リース契約が終了すると、機器はリース会社に返却します。このとき「向こうでどうにかしてくれるだろう」と思いがちですが、リース会社のデータ消去対応はまちまちです。契約書でデータ消去の方法と証明書発行について事前に確認しておきましょう。返却前に自社でデータ消去し、そのログを保管する方法が最も確実です。

失敗3: 廃棄台帳を作らず、後で追跡できない

「どのPCを、いつ、どんな方法で廃棄したか」の記録がないと、万一情報漏えいが発生したときに調査できません。廃棄台帳は紙でもクラウドスプレッドシートでも構いませんが、必ず作成・保管してください。

失敗4: 個人所有PCの業務利用（BYOD）を廃棄時に見落とす

社員が個人のPCやスマホを業務利用している（BYOD: Bring Your Own Device）場合、そのデバイスには業務データが入っています。退職時や機種変更時に、業務データの削除確認を怠るとリスクになります。BYODを許可している場合は、退職者対応フローに「業務データの消去確認」を組み込んでください。

失敗5: 廃棄証明書をもらわない（またはすぐ捨てる）

証明書は受け取っても、すぐに捨ててしまうケースがあります。個人情報保護委員会からの調査や取引先からの問い合わせに備え、最低5年間は保管するルールを設けてください。

社内ルールとして整備すべき3つの項目

IT機器廃棄に関するトラブルを防ぐためには、個別対応だけでなく、社内ルールとして仕組み化することが重要です。以下の3点を情報セキュリティポリシーまたは社内規程に明記してください。

1. 廃棄手順の標準化: 「廃棄前のデータ消去→廃棄台帳への記録→証明書の取得」を必須プロセスとして定め、担当者が誰でも同じ手順で対応できるようにします。

2. 承認フローの設置: IT機器の廃棄は、総務または情シス担当者と上長の承認なしに実施できないようにします。個人の判断で廃棄されるリスクを防げます。

3. 年1回の廃棄台帳レビュー: 廃棄台帳を年次で棚卸しし、廃棄予定機器が放置されていないか確認します。保管期間を超えた機器が現場の倉庫に眠っているケースは珍しくありません。

セキュリティ全般のガバナンス体制については、姉妹サイトセキュリティマスターズ.TOKYOでより詳しく解説しています。技術的なセキュリティ対策まで踏み込みたい場合はあわせてご覧ください。

本記事のまとめ

IT機器廃棄時のデータ漏えいは、「初期化したから安心」という誤解から生まれる事故です。正しい手順を踏むだけで、このリスクはほぼゼロにできます。

ステップ	やること	ポイント
1. 棚卸し	廃棄対象機器をリストアップ	型番・シリアル番号・使用者を記録
2. バックアップ確認	必要なデータの移行を確認	ダブルチェックでサインオフ
3. データ消去	専用ツールまたは物理破壊	SSDは物理破壊か専門業者が確実
4. 業者依頼	産廃許可・証明書発行業者を選定	「無料回収」業者は慎重に選ぶ
5. 証明書保管	廃棄証明書を台帳と一緒に保管	最低5年間保管を社内ルール化