ファイルシュレッディングと通常削除：Gutmann、DoD、NISTが実際に意味するもの

通常の削除はファイルシステム上の参照を取り除くだけで、シュレッダーは指定したデータの上書きを試みます。しかし、どちらの操作も、すべてのコピーと物理的な記憶領域が消去済みであることを単独では証明しません。適切な方法は、ファイルシステム、ドライブの種類、デバイスの対応状況、データの機密度によって変わります。

通常の削除が残していくもの

NTFS では、ファイルを削除するとディレクトリとファイルシステム上の参照が取り除かれ、そのクラスタは再利用可能になります。これはファイルの上書きとは別物です。再利用されるまでの間、データは読み取り可能なまま残る可能性がありますが、復元できるとは限りません。バックアップ、スナップショット、アプリケーションのキャッシュなど、別の場所にコピーが存在することもあります。対応するストレージでは、Windows は解放されたクラスタに対して TRIM/UNMAP 通知を送ることがあります。これはデバイスへのヒントであって、時間管理され検証された安全な消去の約束ではありません。

Microsoft Learn：Windows の削除通知（TRIM/UNMAP）

DoD、Gutmann、NIST：これらのラベルの今日での意味

シュレッダーは領域を解放する前にファイルのデータを上書きしようとしますが、スナップショット、バックアップ、ジャーナル、リマップ済み領域に残るコピーまで確実に消せるわけではありません。DoD 5220.22-M は多くのツールが名乗るレガシーなラベルです。NIST の資料によれば、DoD は2006年にセキュリティマニュアルから上書きの仕様を削除しており、ソフトのプリセットは現行の政府認証の証明にはなりません。Gutmann の35パスシーケンスは1996年に、当時の複数の符号化方式を想定して発表されたもので、著者自身が後の後書きで「単一の符号化を使うドライブではシーケンス全体が無意味」と述べています。NIST SP 800-88 Rev. 2（2025）は、Clear メソッドでは多パス上書きは不要で、通常はユーザーがアドレス指定できる領域への1回の上書きで足りるとしています。それでも方法は媒体に合わせる必要があります。予備領域とウェアレベリングを持つ SSD では、通常の書き込みではすべてのフラッシュセルに確実に到達できません。

DoD 5220.22-M — レガシーなラベル。プリセットを現行の認証と見なさず、ツールが実際に何をしているか確認しましょう
Gutmann の35パス — 1996年に歴史的な符号化方式向けに作られたシーケンス。著者自身、近代的なドライブでは全シーケンスが不要と説明しています
NIST SP 800-88 Rev. 2 — 記録媒体のサニタイズの枠組み。Clear は通常1回の上書きで、より高い保証には Purge や Destroy が必要な場合もあります
HDD でのファイルシュレッディング — 指定した論理的なファイルデータは上書きできますが、コピーを見落とす可能性があり、デバイス全体の消去にはなりません
SSD とフラッシュ — ウェアレベリングと予備セルがあるため、ファイル単位の上書きではすべての物理コピーに確実に届きません。TRIM だけでは検証済みのサニタイズではありません
cipher /w:<folder> — Windows は1つのファイルではなく、ボリューム全体の利用可能な空き領域を上書きします。デバイス全体の消去コマンドではありません

ファイル、ドライブ、リスクに合わせて方法を選ぶ

稼働中の HDD 上の機密ファイルなら、信頼できる上書きツールでファイルの論理位置からの復元を難しくできますが、よそに残るコピーまでは消せません。パソコンを手放す前に、記録媒体とリスクに見合った方法でストレージデバイス全体を消去しましょう。メーカーまたは OS がサポートする手順を使い、結果を確認します。SSD では、ファイル単位のシュレッディングや TRIM だけに頼らないこと。サポート対象のデバイスレベルのサニタイズ、Secure Erase、リセット手順を探してください。暗号消去は厳格な前提条件が満たされる場合のみ選択肢になります。たとえば、対象データが最初から暗号化されていたこと、鍵の管理が信頼できることが必要です。まず必要なデータをバックアップし、次にアカウントからサインアウトして、デバイスが引き渡し可能な状態か確かめましょう。