データ消去証明書は、事業者が実施したデータ消去について、対象・方法・実施日・確認結果などを記録した書面または電子記録です。クラウドストレージの解約時は、証明書にどのデータがどの方法で消去されたと記録されているかを確認します。契約書や仕様書は消去範囲・時期などのルール確認には使えますが、実際に消去が完了したことを示す記録とは区別して扱う必要があります。
本記事では、本体データ・バックアップ・複製・ログという確認対象ごとの整理と、証明書で確認したい項目、契約時の質問票を解説します。
Contents
なぜ解約後のデータ消去確認が必要なのか
クラウドサービスの利用契約中は、預託データの管理状況を定期的に評価することが一般的ですが、契約終了後の取り扱いまで評価するケースは多くありません。Assuredが2024年5月9日に実施した調査（Assured調べ、調査件数は設問により2,192サービス／2,141サービス）では、約15％のクラウドサービスでサービス利用終了時のデータの取り扱いが契約や規約上明確になっておらず、約14％はサービス利用終了時または利用者からの指示があった場合でもデータを削除していないことが報告されています。
出典：Assured
削除を行うサービスであっても、あらかじめ定めた期間の経過後に自動的に削除するケースと、利用者からの依頼があった場合にのみ削除するケースがあり、依頼をしなければ削除されないサービスもある点に注意が必要です。委託終了時にどこまで消去されるかを契約時点で確認し、消去完了を証拠として残せる仕組みがあるかどうかを評価することが、情シス・法務・購買・監査それぞれの立場で重要になります。
解約時に確認する4つのデータ領域
解約後のデータ消去を確認する際は、利用者が操作する本体データだけでなく、バックアップ、複製（レプリカ）、ログも分けて確認すると、確認漏れを防ぎやすくなります。
- 本体データ（論理削除）：管理画面やAPI上で削除済みとして扱われるデータ。画面上から見えなくなったことと、基盤上の対象データがサニタイズされたことは同義とは限りません。
- バックアップ：障害復旧やサービス継続のために別途保管される複製データ。本体データを削除しても、バックアップには一定期間残る場合があります。
- 複製（レプリカ）：可用性確保のために複数拠点・複数媒体へ分散保存されたデータ。
- ログ：アクセス履歴や操作履歴など、データ本体とは別に保持される記録。
消去証明書や契約書がどのデータ領域までを対象としているかを確認しないと、本体データは削除されていても、バックアップや複製、ログには関連データが残存している状態を見落とすおそれがあります。
確認対象ごとのチェックポイント
契約終了時のデータ消去は、一般的なタイミングを一律に当てはめず、サービスごとの契約・仕様で次の点を確認します。
| 確認対象 | 契約・仕様で確認する事項 | 消去確認で見るポイント |
| 本体データ | 削除が実行される契機、解約から削除までの期間 | 利用者から見えなくなる時点と消去完了時点が同じか |
| バックアップ | 保持期間、ローテーション、契約終了時の取り扱い | 本体削除後の残存期間と、消去証明の対象に含まれるか |
| 複製（レプリカ） | 複製先への削除反映方法 | 複製先が消去対象に含まれるか |
| ログ | 保持目的、保持期間、契約終了後の取り扱い | ログに含まれる利用者情報の範囲と削除方針 |
具体的な保持期間や削除スケジュールは事業者・契約内容によって異なるため、契約書、規約、仕様書、消去証明書などで個別に確認することが前提になります。
暗号鍵破棄という消去方式
暗号化された対象データについて、復号に必要な鍵をサニタイズし、復号後のデータを回復できない状態にする「Cryptographic Erase（CE）」があります。NIST SP 800-88 Rev. 2「Guidelines for Media Sanitization」（2025年9月公表）は、CEをPurgeに用いられる論理的なサニタイズ技法の一つとして整理しています。クラウドストレージのような論理・仮想ストレージでは有力な選択肢になり得る一方、暗号方式や鍵管理などの前提条件を満たす必要があります
ただし、暗号鍵破棄を採用しているかどうか、またその方式の詳細は事業者ごとに異なります。証明書や契約書、仕様書に「暗号鍵破棄の有無」「対象範囲」「実施条件」などが明記されているかを個別に確認してください。
出典：NIST
データ消去証明書で確認したい項目
証明書に記載がない事項は、その証明書単体では消去実施を確認できません。契約時には、証明書の発行可否に加え、少なくとも以下の事項を記載・確認できるかを確認します。
- 消去対象データの範囲（本体データ・バックアップ・複製・ログの内訳）
- 消去方式（Cryptographic Eraseなど、採用した方式・技法）
- 消去の実施日時
- 消去の実施者・実施部門
- バックアップや複製先を含めた消去完了の範囲
- 消去結果の検証・確認方法とその結果
- 消去完了を確認した担当者の署名または承認記録
NIST SP 800-88 Rev. 2の「Certificate of Sanitization」のサンプルでも、サニタイズ方法や技法に加えて、Verification/Status（検証・状態）やValidation（妥当性確認）などを記録する形式が示されています。
これらの項目がすべて揃わない場合でも、どの項目が証明可能で、どの項目は別資料で確認する必要があるかを事前に把握しておくことで、監査時の説明資料を整理しやすくなります。
監査権・確認方法
契約上、利用者が事業者のデータ消去状況をどのような手段で確認できるかも確認します。確認手段は、利用者による直接監査だけでなく、消去証明書、第三者監査報告書、認証、事業者による個別報告などが考えられます。監査権が定められている場合も、対象範囲・実施条件・頻度などに制約があるため、解約時のデータ消去が確認対象に含まれるか、証明書の発行時期と併せて確認してください。
契約時に確認する質問例
委託終了時のデータ消去について、契約前・契約更新時に事業者へ確認しておきたい質問を整理しました。
- 解約後、本体データ・バックアップ・複製・ログはそれぞれいつ削除されますか
- バックアップの保持期間はどのように定められていますか
- 暗号鍵破棄を含む消去方式について、契約書・仕様書に明記されていますか
- 消去完了を証明する書面または電子記録は発行されますか。発行される場合、どの範囲を証明しますか
- 消去証明書は解約手続き完了後、どのくらいの期間で発行されますか
- 利用者側が消去状況を確認・監査できる権利や、代替となる確認手段は用意されていますか
- 利用者からの削除依頼がない場合、データは自動的に削除されますか、それとも保持され続けますか
これらの回答が契約書・規約・仕様書のいずれにも記載がない場合は、口頭確認だけで終わらせず、書面や電子メールなど記録に残る形で確認することを推奨します。
よくある誤解
- 「論理削除＝完全消去」ではない：管理画面上で削除表示になっても、バックアップや複製にデータが残っている場合があります。
- 「削除できる」＝「自動的に削除される」ではない：削除機能があっても、利用者からの依頼がなければ削除されない運用のサービスもあります。
- 証明書があればすべてのデータ領域が証明されているとは限らない：証明書の記載範囲が本体データのみで、バックアップや複製、ログの消去について触れていない場合も考えられます。記載範囲を個別に確認する必要があります。
FAQ
Q. クラウド解約後のデータ消去は、証明書でどこまで確認できますか？
証明書に記載されている項目の範囲で確認できます。対象データの範囲、消去方式、実施日時、実施者、検証・確認結果などを確認し、バックアップや複製、ログなど記載がない対象については、契約書・仕様書や別の確認資料も併せて確認してください。
Q. 消去証明書がないサービスは利用できませんか？
証明書の発行有無は事業者ごとに異なります。証明書がない場合でも、契約書や仕様書で消去義務・対象範囲・期限を確認し、第三者監査報告書や事業者の実施報告など、別の確認手段が提供されていれば評価材料にできます。ただし、契約書や仕様書は消去条件を定めるものであり、それだけでは実際の消去完了を示す記録にはなりません。必要な証跡の種類は、取り扱う情報の重要度や自社の監査要件に応じて判断してください。
Q. バックアップに残ったデータはいつ消えますか？
事業者・契約内容によって保持期間や削除タイミングが異なります。一律の期間はないため、契約書・規約・仕様書・消去証明書などで個別に確認してください。
まとめ
クラウドストレージの解約時は、本体データ、バックアップ、複製（レプリカ）、ログを分けて、削除の対象範囲・時期・方法と、その実施結果をどの記録で確認できるかを整理することが重要です。消去証明書が発行される場合は、対象範囲、消去方式、実施日時、実施者、検証・確認結果などを確認し、証明書で確認できない事項については、契約・仕様上のルールと別の確認手段を切り分けて把握してください。
