社用PCの調達コストが高騰し「中古品を活用しよう」という発想が広がる中、立命館大学情報理工学部教授の上原哲太郎氏は、中古PCには「前の持ち主の亡霊」とも言えるリスクが潜んでいるとして注意を呼びかけている。
事案の詳細
元記事は、半導体価格の高騰などを背景に社用PCの価格が上昇し、「中古品を使ってコストを抑えよう」という動きが広がる状況を踏まえ、中古PCの導入時に生じ得る注意点を取り上げている。中古品は価格面で魅力がある一方で、前の所有者が使っていた痕跡や設定、契約関係が想定外の形で残り、業務利用に影響しうるという問題意識が示されている。
記事では、こうしたリスクを「前の持ち主の亡霊」という表現で説明している。中古PCは、外観やスペックだけでは分からないデータの残存、ソフトウェアライセンス、企業向け管理ツール（MDMなど）の設定といった“過去の利用の影響”が潜む可能性があり、購入後にその存在に気づくと、利用者側が情報漏えいリスクやライセンス違反、遠隔操作の可能性などの不利益を被るおそれがある。
この点について元記事は、上原教授に取材し、中古PCを社用として使う際の懸念や注意点を整理している。中古調達を前提にするなら、価格だけでなく、データ消去の確実性、バンドルされているOSやOfficeなどのライセンスの正当性、前の持ち主の管理ツールが残っていないかといった事項を導入時に確認し、必要な手当てが不可欠だという文脈で論じられている。
元記事では、情報機器リユース事業者などが一般的に採用している認定済みのデータ消去ツールや手順に基づき、中古PC・中古HDDのデータを完全消去する取り組みが紹介されているほか、過去に中古HDDから自治体の業務データが流出した事例などを踏まえ、個人間売買やネットオークション利用時には特に注意が必要だと指摘している。
影響と背景
社用PCの価格高騰という課題が背景にあり、コスト削減策として中古品の検討が進みやすい状況がある。一方で、業務端末は社内情報や業務アカウント、顧客情報などに直結するため、端末の来歴に起因する問題が起これば、業務継続や情報管理の観点で影響が広がり得る。
元記事では、売り手・買い手の双方にとってのリスクが整理されている。売り手側には、十分なデータ消去が行われていないまま再販され、第三者によって過去の機密情報を復元される情報漏えいリスクがある。一方、買い手側には、ボリュームライセンスをばら売りした違法・不適切なライセンスを付帯した中古PCを購入してしまうライセンス違反リスクや、企業向けMDMなどの管理ツール設定がBIOSレベルで残存し、前の持ち主側から遠隔操作や制御が理論上可能となるリスクがあると説明されている。
ただし、上原教授によれば、認定事業者を介した中古PCの再販では、多くの事業者が適切なデータ消去に相当気を配っているため、データ復元による情報漏えいが発生する確率は高くないとされる。一方で、ソフトウェアライセンス違反のインシデントは散発的に発生しており、中古PC購入時にライセンスの来歴を確認せず、結果として違反状態に陥るケースがある点が課題として示されている。管理ツールを悪用した遠隔操作については現時点で具体的なインシデントは報じられておらず、理論上の懸念にとどまるものの、「こうした可能性を認識し、事前チェックを行うことが重要だ」と警鐘を鳴らしている。
元記事は、その「安さ」と引き換えに見落としやすいポイントがあることを、専門家の見解とともに注意喚起する内容になっており、特に重要インフラや高い可用性が求められる環境では、来歴の分からない中古PCを使うべきではないといった指摘も紹介している。
対策・今後の展望
元記事の問題提起から読み取れる要点は、中古PCを社用で使う場合、購入時点で“前の持ち主に由来する要素”が残っていないかを前提に確認し、必要な手当てを行うことが重要だということだ。コスト面で中古を選ぶ判断そのものを否定するのではなく、信頼できる認定事業者を選び、データ消去証明書などのエビデンスを確認することや、ライセンス・管理ツールの状態確認を導入プロセスに組み込むことが求められるという整理である。
- 調達の段階で、社用利用に適した状態にできるかを確認する（価格・性能だけで判断しない）。具体的には、販売事業者が認定されたデータ消去手順を実施しているか、消去証明書や来歴情報を提供できるか、付帯するOSやOfficeなどのライセンスが正規のものであり、ボリュームライセンスの不適切な分割販売ではないかを確認する。
- 導入の段階で、前の利用者の痕跡が残らないようにする前提で手順を用意する。社内側でも再度フル消去やOS再インストールを行うほか、企業向けMDMや資産管理ツールなど、前の持ち主が導入していた管理ソフトやエージェントが残っていないか、BIOSレベルの管理機能が有効化されたままになっていないかを点検する。
- 運用の段階で、端末が業務に与える影響を踏まえ、管理の範囲と責任を明確にする。特に重要インフラや機密情報を扱う部署では中古PC利用の可否をポリシーで定め、許容する場合でもメモリやストレージなど一部部品のみ中古品を活用し、本体は既存機を継続利用するなど、リスクとコストのバランスを踏まえた選択肢を検討することが提案されている。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIの中小企業向けMDR運用や診断の現場では、端末の入れ替え時に「初期化や再設定が不十分なまま使い始める」例が目立つ。特に資産管理台帳の未整備や、誰が初期状態や消去証明書を確認したか曖昧なまま運用が始まるケースが未対策で残りやすい。また、中古PCをネットオークションなどで調達し、販売事業者による消去手順やライセンスの正当性を確認せずに業務利用する事例も見られ、情報漏えいとライセンス違反の両面でリスクを抱えた状態になりがちだ。
【観点②：セキュリティ専門家でない人への平易な解説】例えるなら、中古の鍵付きロッカーを買ったのに「前の利用者の合鍵がどこかに残っているかもしれない」状態で使うようなものです。つまり、中古PCは見た目がきれいでも、前の使い方の影響――古いデータや設定、ライセンスや管理ツールなど――が残っている可能性がある、ということです。社用PCとして使う場合には、「鍵（アカウントや権限）を入れる前に、合鍵や前の持ち主の鍵束が残っていないか」を確認する感覚が重要になります。
【観点③：中小企業が今週中にできること】まず中古PCを導入したら、業務で使う前に「社内の決まった手順で確認した」記録を残してください。具体的には、データ消去の実施有無と方法、消去証明書の有無、OSやOfficeなどのライセンス種別・来歴、管理ツールの残存有無をチェック項目として明文化します。次に、総務や情シスの担当者へ「中古端末は導入時チェックが必須」と周知し、担当者と手順の窓口を決めます。最後に、業務アカウントを入れる前に端末の状態確認を行う流れを徹底し、「中古PCは新品と同じだろう」とみなして安易に利用開始しない文化を社内に根付かせることが、前の持ち主の亡霊リスクを抑える第一歩になります。