最終更新：2026年10月28日
業者の案内や社内規程で「NIST SP 800-88 準拠」という言葉を見かけても、何が書かれた文書なのか、何を満たせば「準拠」なのかは意外と知られていません。結論からいうと、NIST SP 800-88 は「データの機密性に応じて、Clear・Purge・Destroy のどの水準で消去するかを決め、結果を確認して記録に残す」ための考え方を示したガイドラインです。
この記事の要点
- NIST SP 800-88 は、米国国立標準技術研究所（NIST）が発行する媒体のサニタイズ（データ消去）のガイドライン。最新版は Rev.2（2025年9月）で、2014年12月の Rev.1 を置き換えた
- 消去の水準は Clear（クリア）・Purge（パージ）・Destroy（破壊）の3つ。媒体の種類ではなく、データの機密性と、媒体を再利用するか・組織の外に出るかで選ぶ
- Rev.2 では、媒体ごとの具体的な手順表が削除され、手法の詳細は IEEE 2883 などの規格に任された。代わりに、組織として消去の方針・確認・記録を整える「消去プログラム」が中心になった
- 複数回の上書き（いわゆる DoD 方式）は不要と明記。磁気消去は Destroy ではなく Purge の手法と整理された
データ消去の方法ごとの比較は「データ消去方法の選び方」、削除・初期化との違いは「パソコンのデータ「完全消去」とは？」で解説しています。
1. NIST SP 800-88とは
NIST SP 800-88 は、米国商務省の機関である米国国立標準技術研究所（NIST：National Institute of Standards and Technology）が発行する特別刊行物（Special Publication）で、正式名称は「Guidelines for Media Sanitization（媒体のサニタイズに関するガイドライン）」です。パソコンやサーバーの記憶装置、スマートフォン、紙の書類などを廃棄・再利用・社外に出す前に、記録された情報をどう消すかを定めています。
| 項目 | 内容 |
|---|---|
| 正式名称 | NIST SP 800-88 Rev. 2, Guidelines for Media Sanitization |
| 発行 | 米国国立標準技術研究所（NIST） |
| 最新版 | Rev.2（2025年9月確定。草案は2025年7月） |
| 置き換えた版 | Rev.1（2014年12月） |
| 著者 | Ramaswamy Chandramouli 氏（NIST）、Eric Hibbard 氏（Samsung Semiconductor） |
| 補足資料 | FAQ（2026年7月16日公開） |
| 原文 | NIST CSRC の公開ページ（英語・無料） |
Rev.2 は「サニタイズ」を、想定する労力（時間・予算・資源）の範囲では、媒体上の対象データにアクセスできない状態にする処理と定義しています。「絶対に復元できない」ではなく、「誰が、どれだけの手間をかけても読めないようにしたいか」で水準を決める、という考え方が出発点です。
もともとは米国の連邦機関向けの文書ですが、本文は対象読者を「連邦機関や企業から家庭の利用者まで」としています。日本の法律で使用が義務づけられているものではありませんが、企業の情報セキュリティ規程や、データ消去を委託するときの基準として参照されることが多い文書です。
2. 3つの消去水準｜Clear・Purge・Destroy
NIST SP 800-88 の中心は、消去の水準をClear（クリア）・Purge（パージ）・Destroy（破壊）の3つに分けたことです。違いは「どこまでの復元の試みに耐えるか」と「消去後に媒体を使えるか」にあります。
| 水準 | 想定する復元の試み | 主な手法（Rev.2の記載） | 媒体の再利用 |
|---|---|---|---|
| Clear | 利用者と同じインターフェース（通常の読み書き）を使った、単純で非侵襲的な復元 | 利用者が読み書きできる全領域の上書き（通常1回）。上書きできない機器は工場出荷状態へのリセット | ○ 使える |
| Purge | 最先端の実験室レベルの技術による復元 | 機器の専用サニタイズコマンドによる上書き・ブロック消去・暗号化消去、磁気消去（磁気媒体のみ） | △ 再利用できる状態を保つ（磁気消去は使えなくなる場合あり） |
| Destroy | 最先端の実験室レベルの技術による復元 | 分解（崩壊）・焼却・溶解・粉砕・細断 | × 使えなくなる |
Clear（クリア）
通常の読み書きコマンドを使って、利用者が読み書きできる領域をすべて別のデータで書き換える方法です。上書きを提供しないスマートフォンや複合機などでは、メーカーの初期化（工場出荷状態へのリセット）がClearにあたる場合もあります。Rev.2 は、上書きは実験室レベルの技術でも復元を難しくすることが多いとしつつ、SSD のように予備領域を持つ媒体では、利用者から見えない領域にデータが残る点を注意しています。
Purge（パージ）
媒体を再利用できる状態に保ちながら、実験室レベルの技術でも復元できないようにする方法です。HDD・SSD が備える専用のサニタイズコマンド（通常の読み書きでは届かない領域まで処理するもの）や暗号化消去が代表例です。Rev.2 は「可能な場合は Clear ではなく Purge を使うべき」としています。磁気消去（デガウス）も Purge の手法ですが、対象は HDD や磁気テープなどの磁気媒体に限られます。仕組みや保磁力、SSDに効かない理由は「磁気消去（消磁・デガウス）とは？」で解説しています。
Destroy（破壊）
実験室レベルの技術でも復元できず、媒体が二度と使えなくなる方法です。Rev.2 は代表的な手法として、分解（崩壊）・焼却・溶解・粉砕・細断を挙げています。
注意したいのは、壊したように見えても Destroy とは限らないことです。Rev.2 は、曲げる・切る、ドリルで穴を開けるといった手法は部分的な損傷にとどまり、実験室レベルの技術で読み出せる部分が残る場合があると書いています。さらに、記録密度や部品の硬さが増すにつれ一部の破壊手法は効かなくなるとして、粉砕・細断は「最も低いセキュリティ区分のデータ以外では避けるべき」としています。FAQ では、機密性の高いデータについて、磁気媒体は強力な消磁装置、SSD などそれ以外の媒体は焼却・溶解を使うべきだと補足しています。
3. Rev.1からRev.2で変わったこと
Rev.2 の付録D（変更履歴）とFAQによると、主な変更点は次のとおりです。
| 変更点 | Rev.1（2014年） | Rev.2（2025年） |
|---|---|---|
| 文書の重心 | 媒体ごとの具体的な消去手順（表形式） | 組織として消去の方針・確認・記録を整える「消去プログラム」 |
| 媒体別の手順 | 付録の表で、HDD・SSD・スマホなどの手順を個別に記載 | 表を削除。暗号化消去を除き、手法の詳細は IEEE 2883、NSA の仕様、組織が承認した規格に従う |
| 対象媒体の呼び方 | 電子媒体（ソフトコピー） | 情報記憶媒体（ISM）。クラウドやオブジェクトストレージも含める |
| 上書き回数 | — | Clear に複数回の上書きは不要と明記。DoD 5220.22-M の記述は時代遅れと位置づけ |
| 磁気消去 | Purge の手法 | 適用範囲を絞り、媒体が動かなくなっても Destroy にはあたらないと明記 |
| 消去の確認 | 「検証（verification）」の記述が多く、抜き取り検査にも言及 | 「消去の保証」を、検証（verification）と妥当性確認（validation）の2段階で整理。全数・抜き取りの読み出し検査は、組織が求めない限り不要 |
| 判断の流れ | 判断図あり | 最初の分岐を「媒体を再利用するか」にした新しい判断図 |
| 暗号化消去 | 付録で解説 | 本文に統合し、鍵の扱いや前提条件を整理 |
| 証明書の様式 | 見本あり | 見本を更新（付録C） |
実務への影響が大きいのは、「この媒体はこう消せばNIST準拠」という早見表がなくなったことです。Rev.1 の表を根拠に社内手順を作っている場合は、Rev.2 の考え方（機密性・再利用・管理の範囲で水準を決め、手法は IEEE 2883 などで選ぶ）に沿って見直す必要があります。
4. DoD方式（複数回の上書き）はもう基準ではない
データ消去ソフトの説明でよく見る「DoD 5220.22-M 方式（3回上書き）」は、米国国防総省のマニュアルに由来する方式です。Rev.2 は脚注で、国防総省は2006年に上書きの仕様をこのマニュアルから削除したと説明しています。
Rev.2 本文は、かつては1回から最大39回まで上書きを繰り返す方法が使われていたと紹介したうえで、予備領域を持つSSDなどではこうした方法でほとんど機密性が守れないため避けるべきとしています。FAQ でも、複数回の上書きは不要で、フラッシュ媒体の寿命を大きく縮めるおそれがあると答えています。
つまり、「何回上書きしたか」は消去の確かさの指標になりません。確認すべきなのは、媒体に合った手法か（SSDなら専用コマンドや暗号化消去か）、全領域が処理されたか、結果を確認して記録したかです。消去ソフトの選び方は「データ消去ソフト無料おすすめ10選」で、SSDで上書きが効きにくい理由とあわせて解説しています。
5. 媒体ごとの注意点｜HDD・SSD・スマホ・クラウド
Rev.2 は媒体別の手順を IEEE 2883 などに任せていますが、本文やFAQには媒体ごとの注意点が書かれています。
| 媒体 | Rev.2・FAQが示す注意点 |
|---|---|
| HDD | 上書きは有効だが、故障して動かない HDD は上書きできない。磁気消去は、消磁装置の強さを媒体の保磁力（磁気の強さ）に合わせる必要があり、高保磁力の最近の HDD では力不足の装置も多い |
| SSD・フラッシュメモリ | 予備のセルやウェアレベリング（書き込みの分散）があるため、通常の上書きでは過去のデータをすべて消せない。磁気消去は使ってはいけない（完了しても何も消えていないことがある）。専用のサニタイズコマンドや暗号化消去を使う |
| スマートフォン・複合機など | 上書きの手段がなく、メーカーの初期化が Clear の唯一の選択肢になる場合がある。1台の中に複数の記憶部品を持つことも多い |
| クラウド・仮想環境 | 利用者は物理的な媒体に触れられないため、暗号化消去が唯一の Purge の手段になることが多い。鍵の管理と消去が追跡できるか、契約で確認する |
また Rev.2 は、媒体の一部だけを消す「部分的な消去」は、データが他の領域にこぼれているおそれがあるため、できる限り媒体全体を消すことが望ましいとしています。SSD の処分方法は「SSDの正しい処分方法」、スマートフォンは「スマホの処分方法6選」でも解説しています。
6. 暗号化消去（CE）が認められる条件
暗号化消去（CE：Cryptographic Erase）は、データを暗号化している鍵を消すことで、データそのものを読めなくする方法です。最近のSSDの多くは内部で常に暗号化しているため、短時間で処理できる Purge の手法として Rev.2 が唯一詳しく扱っている手法です。ただし、次のような条件を満たす必要があります。
- 暗号の強さ：暗号アルゴリズム（AES など）の強度が128ビット以上で、鍵を作る乱数の強さが鍵の長さ以上であること
- 鍵の確実な消去：データ暗号化鍵や、それを包む鍵などを、ゼロ化（zeroization）の手法で消去すること
- 暗号化前のデータが残っていないこと：暗号化を始める前に、機密データが平文のまま保存されていなかったこと
- 実装の信頼性：米国の連邦機関は、FIPS 140 の検証を受けた暗号モジュールを使うこと
企業で暗号化消去を使う場合も、「機器が暗号化に対応している」だけで十分とは限りません。いつから暗号化していたか、鍵がどこに保管されていたかを確認できない端末は、他の方法と組み合わせて消去するのが安全です。
7. どの水準を選ぶか｜Rev.2の判断の考え方
Rev.2 は、水準は媒体の種類ではなく、データの機密性で決めるとしています。機密性を低・中・高の3区分で評価したうえで、次の点を考えます。
- 媒体を再利用するか：社内で使い回す、寄付する、売却する予定がなければ、破壊がもっとも簡単で費用のかからない方法になりうる
- 組織の管理下に残るか：リース返却、売却、リサイクル業者への引き渡しなどで媒体が組織の外に出る場合は、より慎重に判断する。保守業者に預ける場合でも、守秘の契約と安全な運搬があれば管理下とみなせる
- 費用・環境・契約：リース返却の契約、環境への配慮、媒体の再利用の価値、物理的な破壊の難しさを考えると、Destroy より Purge（場合によっては Clear）が適することもある
Rev.2 は中程度の機密性のデータについて、時間・知識・設備を持つ相手には一部が読み出されうるリスクを受け入れたうえで、Clear を選ぶことも認めています。これらの考え方を、企業でよくある場面に当てはめると次のようになります（弊社が整理した目安で、Rev.2 の記載そのものではありません）。
| 場面 | 考え方の目安 |
|---|---|
| 社内で別の社員に再配布する | 媒体は管理下に残る。データの機密性に応じて Clear または Purge |
| リース返却・レンタル返却 | 媒体は外に出るが再利用が前提。Purge（専用コマンドや暗号化消去）を基本に、消去の記録を残す |
| 売却・下取り | 媒体は外に出て第三者が使う。Purge を基本にする |
| 個人情報・機密情報を扱った端末の廃棄 | 再利用しないなら破壊も選択肢。Purge か物理的な破壊かを、機密性と手法の確かさで選び、記録を残す |
| 故障して動かない HDD・SSD | 上書きやコマンドが使えないため、物理的な破壊が現実的な選択肢になる |
8. 消去の確認と証明書に残す項目
Rev.2 は、消去したら終わりではなく、結果を確かめて記録することまでを求めています。
検証（verification）と妥当性確認（validation）
- 検証：消去が技術的に正しく完了したかを確かめる作業。ソフト消去ならツールの完了表示やエラーの有無、破壊なら破壊後の残骸と使用した装置を確認する
- 妥当性確認：検証の結果を、データの機密性に照らして「この消去で十分か」を判断する手続き。不十分なら、別の手法やより高い水準でやり直す
Rev.2 は、妥当性確認で消去が不十分と判断される例として、SSD を磁気消去して完了したがデータは消えていない、予備領域のある媒体を通常の上書きで消して大量のデータが残った、認められていない装置や校正されていない装置を使ったといったケースを挙げています。
証明書に記録する項目
Rev.2 は、消去した媒体ごとに消去証明書（Certificate of Sanitization）を作成するよう求め、少なくとも次の項目を記録するとしています。紙でも電子記録でもかまいません。
| 区分 | 記録する項目 |
|---|---|
| 媒体の情報 | メーカー、型番、シリアルナンバー、組織の資産番号（あれば）、媒体の種類、媒体の出どころ（利用者・パソコンなど）、消去前の機密区分（任意） |
| 消去の内容 | 消去の水準（Clear・Purge・Destroy）、手法（磁気消去・上書き・ブロック消去・暗号化消去など）、使用したツールとバージョン、検証の方法 |
| 実施者・確認者 | 氏名、役職、日付、場所、連絡先、署名 |
あわせて Rev.2 は、媒体が組織に入ったとき・使われていた場所を離れたとき・消去後の行き先に着いたときの記録がそろってはじめて、組織がすべての媒体を消去できているかを確認できる、としています。証明書を受け取ったら、IT資産台帳と突き合わせて保管しておくことが大切です。証明書の使い方は「データ削除証明書とは」で解説しています。
9. 「NIST準拠」の業者に確認すべきこと
NIST SP 800-88 には、業者や製品を認定する仕組みはありません。FAQ でも NIST は特定の製品を推奨しないと述べています。そのため「NIST準拠」という表示だけでは、どの水準で、どの手法を使って消去したのかはわかりません。委託する前に、次の点を確認してください。
- 水準と手法：Clear・Purge・Destroy のどれにあたる処理か。具体的にどの手法（専用コマンド、暗号化消去、磁気消去、破壊の方式）か
- SSD の扱い：SSD に磁気消去や通常の上書きだけを使っていないか
- 故障品の扱い：動かない媒体をどう処理するか
- 確認の方法：消去ツールのログ、破壊後の写真など、何で完了を確かめるか
- 証明書の記載項目：シリアルナンバー単位か、水準・手法・ツールまで書かれるか
- 運搬と保管：消去までの間、媒体がどこを通り、誰が扱うか
業者選びの全体の考え方は「PC処分業者の選び方」、法人の処分にかかわる法令は「法人パソコンの処分・廃棄方法」で解説しています。
10. HAKUの消去方法とRev.2の区分
弊社が行っている3つの消去方法と、Rev.2 の区分との関係は次のとおりです。
| 弊社の方法 | 内容 | Rev.2 での位置づけ |
|---|---|---|
| ソフトウェア消去 | 専用の消去ソフトで記憶領域を処理し、消去完了後にレポートを出力。媒体は再利用できる | Clear または Purge の論理的な手法（使うコマンドによる） |
| 磁気消去 | 強磁気データ消去装置「MagWiper」で HDD・磁気テープの磁気記録を消去。SSD には使わない | Purge の物理的な手法（磁気媒体のみ） |
| 物理破壊 | HDD は油圧式破壊機で4点を圧壊し、記録面のプラッタを変形・破断。SSD は多点穿孔で基板上のICチップを破断。写真付きの証明書も発行できる | 媒体を再使用できない状態にする物理的な手法 |
無料回収では、機器の状態に応じて弊社がこの3つの方法から選んで消去します。消去方法を指定したい場合や、1台ごとの写真で記録を残したい場合は、有償のHDD・SSD物理破壊サービスをご利用ください。消去方法ごとの作業内容は「データ削除について」で写真つきで紹介しています。
なお、前の節で紹介したとおり、Rev.2 は穴あけなどが部分的な損傷にとどまる場合があるとし、FAQ は機密性の高いデータについて焼却・溶解などを示しています。国の機密に準じる情報など、特に高い水準を社内規程で定めている場合は、規程が求める手法を委託先が実施できるかを事前に確認してください。
まとめ
NIST SP 800-88 は「この方法なら安全」という手順書ではなく、データの機密性に応じて水準を選び、媒体に合った手法で消し、結果を確かめて記録するための枠組みです。
- 最新版は Rev.2（2025年9月）。Rev.1 の媒体別の手順表はなくなり、手法の詳細は IEEE 2883 などに任された
- 水準は Clear・Purge・Destroy の3つ。可能なら Clear より Purge を使う
- 複数回の上書き（DoD方式）は不要。SSD に磁気消去や通常の上書きだけを使わない
- 穴あけ・曲げは部分的な損傷にとどまる場合があり、粉砕・細断も機密性の高いデータには向かないとされた
- 消去後は、シリアルナンバー・水準・手法・ツール・確認方法・実施者を証明書に残し、台帳と突き合わせる
株式会社HAKUにご相談ください
株式会社HAKUは、パソコン・サーバー・記憶装置の回収からデータ消去、証明書の発行まで一貫して対応しています。
- ソフトウェア消去・磁気消去・物理破壊の3方式に対応。SSD には磁気消去を使わない運用を徹底
- 無料回収では処分料・データ消去・証明書の発行が0円（出張回収は地域ごとの台数条件あり、郵送は送料のみご負担）
- 消去方法を指定したい場合や、1台ごとの写真付き証明書が必要な場合は有償のHDD・SSD物理破壊サービス（お客様先での立会い破壊にも対応）
- プライバシーマーク取得・ADEC消去プロセス認証★★★取得、2026年9月時点で累計取引社数15,000社
まずはお気軽にお問い合わせください。お見積り・ご相談は無料です。
お問い合わせはこちら | HDD・SSD物理破壊サービス | 料金・台数条件の一覧
データ消去・HDD／SSD物理破壊はHAKUへ
無料回収（東京・埼玉・千葉・神奈川の法人）／持込（千代田区）／全国郵送
Pマーク取得 ／ ADEC消去プロセス認証★★★取得 ／ 累計取引社数15,000社突破
手塚久雄
株式会社HAKU 代表取締役
パソコン処分・データ消去専門業者「株式会社HAKU」代表。法人のパソコン処分・データ消去を手がけ、Pマーク取得・ADEC消去プロセス認証★★★取得のもと安全な処分を提供しています。