デバイスをワイプする

お客様のアカウントに関連付けられているAbsolute 製品ライセンスに応じて、ワイプ機能が利用できない場合があります。

ワイプ機能を使用すると、Windows および Mac デバイス を再利用、再販売、または破棄する前に、すべての機密データを遠隔で削除することができます。このプロセスは データのサニタイズ デバイス上に保存されているデータを恒久的に削除または破壊するプロセスです。サニタイズしたデバイスには使用可能なデータが残らず、削除または破壊したデータは高度なフォレンジックツールを使っても復旧することができません。と呼ばれます。

デバイスから個々のファイルまたはフォルダーを削除するには、ファイル削除リクエストを送信します。

ワイプ機能では、次の 2 種類のデータサニタイズプロセスを使用してデバイスをワイプします。

  • 暗号消去
  • 全ファイル削除

ワイプ機能は非常に破壊的であり、デバイスに展開された後にリクエストをキャンセルしたり元に戻したりすることはできません。ワイプリクエストが間違って送信された、または悪意をもって送信された場合の影響を抑えるため、リクエストの対象は最大100台のデバイスに制限されます。それ以上の数のデバイスをワイプするには、別のリクエストを送信します。

デバイスのワイプの詳細を確認するには、Learning Hubにアクセスしてください。Learning Hub にアクセスするには、クイックアクセスツールバーの (ヘルプとサポート) をクリックし、その後リソース > Learning Hubをクリックします。

暗号消去は以下のデバイスで実行できます。

  • BitLocker Drive Encryption (BitLocker) によって暗号化された Windows デバイス
  • FileVault によって暗号化された Mac デバイス

暗号消去では、 暗号消去 デバイス上に保存されているデータを恒久的に削除または破壊するプロセスです。サニタイズしたデバイスには使用可能なデータが残らず、削除または破壊したデータは高度なフォレンジックツールを使っても復旧することができません。 データサニタイズプロセスを採用しています。このプロセスでは、すべての暗号化キーを削除し、オペレーティングシステムを含むデバイス上のすべてのデータを事実上取得不可能にします。

暗号消去は、NIST Special Publication 800-88、Guidelines for Media Sanitization (媒体サニタイズガイドライン)で定義されているパージ規格に適合し、HIPAAに準拠しています。パージではデータの上書きは行われませんが、迅速かつ効果的なデータサニタイズ方法として認められています。

暗号消去のしくみについて詳しくは、Absolute デバイスワイプデータシートを参照してください。

デバイスの暗号化キーが遠隔でバックアップされている場合は、キーがすでにサニタイズされているか、将来の使用から保護されていることが確実である場合を除き、暗号消去をデータサニタイズ方法として使用しないでください。暗号消去を使用する前に検討すべき事柄については、NISTSpecial Publication 800-88、Guidelines for Media Sanitization (媒体サニタイズガイドライン) の2.6 Use of Cryptography and Cryptographic Erase (暗号の使用と暗号消去) セクションを参照してください。

デバイスに暗号消去リクエストを展開すると:

  • デバイスの暗号化キーが削除されます。暗号化テキストはデバイスに残りますが、暗号化キーがなければ暗号化データを読むことはできません。
  • 暗号消去の完了後、サニタイズ証明書が生成され、アクションリクエストで利用できるようになります。

  • デバイスによっては、ワイプ済みのデバイスの電源をオンにすると、以下のページのいずれかが表示されます。

    • Windows:BitLocker リカバリーページ

    • Mac:以下のいずれか 1 つを示すログインページ：

      • ユーザー名 "Device Wiped"
      • 削除されたユーザープロフィールのキャッシュされたユーザー名

      どちらの場合も、ユーザーはログインできません。

ワイプ済みデバイスを再使用するも参照してください。

フルディスク暗号化ステータスポリシーがデバイス上でアクティブ化されていること。

暗号消去リクエストは以下のデバイスのみでサポートされます。

デバイスがこれらの要件を満たさない場合、暗号消去オプションを使用できません。全ファイル削除オプションを使用してデバイスをワイプします。

デバイスが Absolute モニタリングセンターに定期的に接続している必要があることにも注意してください。

暗号消去リクエストは以下のデバイスではサポートされません。

「全ファイル削除」ワイプは、暗号化デバイスおよび非暗号化デバイスで実施できます。

「全ファイル削除」ワイプオプションは、すべてのファイルのコンテンツを一連の 0 と 1 で上書きするデータサニタイズプロセスであり、ファイルを読み取ることも復旧することも実質的にできなくなります。その後ファイルの名前が変更および削除され、OS 以外のデータとユーザープロフィールデータがすべて削除されます。Windows デバイスでは、オペレーティングシステムを無効化することもできます。

「全ファイル削除」ワイプは、NIST Special Publication 800-88、Guidelines for Media Sanitization (媒体サニタイズガイドライン)で定義されているクリア規格に適合し、HIPAAに準拠しています。デバイスでアクションが処理されると、コンソールにログファイルがアップロードされます。その後、ログファイルをアクションリクエストからダウンロードして、適合性を示すことができます。

ワイプ済みデバイスを再使用するも参照してください。

「全ファイル削除」ワイプリクエストは、サポートされるバージョンの Windows または Mac オペレーティングシステムを実行しているデバイスでサポートされます。これらのデバイスは、Absolute モニタリングセンターに定期的にチェックインしている必要があります。

「全ファイル削除」ワイプリクエストは、以下のデバイスではサポートされません。

以下のシステムディレクトリーは、「全ファイル削除」セキュリティアクションを使用しても削除されません。

  • C:\boot.ini
  • C:\bootmgr
  • C:\ntldr
  • C:\bootsect
  • C:\NTDETECT.COM
  • C:\pagefile.sys
  • C:\swapfile.sys
  • C:\boot\
  • C:\System Volume Information\
  • C:\Internet Explorer\
  • C:\Windows\
  • **\\WWANSVC\\**
  • **\\WLANSVC\\**
  • *.PAC

ワイプリクエストでWindows OS を無効化オプションを選択した場合、以下のファイルは削除されることに注意してください。

  • C:\boot.ini
  • C:\bootmgr
  • C:\ntldr
  • C:\NTDETECT.COM
  • C:\boot\

上記のファイルに加えて、「全ファイル削除」セキュリティアクションは、以下のファイル/フォルダーを削除することはできません。

  • サードパーティ製ツールによって暗号化またはロックされたファイル/フォルダー。
  • サードパーティ製ツールによって暗号化またはロックされたボリューム内に格納されているファイル/フォルダー。
  • 隠しパーティションに格納されているファイル/フォルダー。
  • 引き継がれた権限が無効化されているためアクセスできないファイル/フォルダー。
  • 当該エリアがすでにスキャンされた後にユーザーによって作成されたファイル/フォルダー。
  • Windows オペレーティングシステムによって自動的に再作成されたファイル/フォルダー。

以下のシステムディレクトリーは、「全ファイル削除」セキュリティアクションを使用しても削除されません。

  • /Library
  • /Library/*
  • /System
  • /System/*
  • /sbin
  • /sbin/*
  • /usr
  • /usr/*
  • /bin
  • /bin/*
  • /private
  • /private/*
  • /dev
  • /dev/*
  • /etc
  • /etc/*
  • /var
  • /var/*
  • /tmp
  • /tmp/*
  • /mach_kernel
  • /Developer
  • /Developer/*
  • /home
  • /home/*
  • /net
  • /net/*
  • *.fseventsd
  • *AftIICopyfiles.sh
  • *AftIIInstall.sh
  • *ARAT.tar.gz
  • *ARAT.tar.gz.MD5
  • *stopAndRemoveAFRAT.sh
  • *.DocumentRevisions-V*
  • *.Spotlight-V*

上記のファイルに加えて、「全ファイル削除」セキュリティアクションは、以下のファイル/フォルダーを削除することはできません。

  • サードパーティ製ツールによって暗号化またはロックされたファイル/フォルダー。
  • サードパーティ製ツールによって暗号化またはロックされたボリューム内に格納されているファイル/フォルダー。
  • 隠しパーティションに格納されているファイル/フォルダー。
  • 引き継がれた権限が無効化されているためアクセスできないファイル/フォルダー。
  • 当該エリアがすでにスキャンされた後にユーザーによって作成されたファイル/フォルダー。

また、ファイルサイズが非常に大きく (> 1 GB)、デバイスの空き容量を超過している場合、そのファイルは削除できないことに注意してください。

「全ファイル」ワイプリクエストを送信する前に、以下の検討事項に注意してください。

ワイプ済みデバイスを再使用するも参照してください。

Mac デバイスで全ファイル削除のワイプ機能を有効にするには、まず Mobile Device Management (MDM) アプリケーションを使用してカスタムプロファイルを設定し、デバイスに展開する必要があります。具体的には、これらのデバイスのデスクトップ、ドキュメント、およびダウンロードフォルダーでファイルを削除できるようにするため、以下の重要なステップを実施する必要があります。

ステップ 1: カスタムプロファイルをダウンロードします。ファイル (FileDelete_MDMProfile_v1_0.mobileconfig) を .mobileconfig ファイル拡張子と一緒に保存してください。

ステップ 2: カスタムプロファイルをアップロードし、MDM サーバー上で設定します。詳細については、MDMのマニュアルを参照してください。

ステップ 3: MDMサーバーで、該当する Mac デバイスにプロファイルを割り当てて展開します。詳細については、MDMのマニュアルを参照してください。

Windows デバイスでワイプを送信する前に、Reach スクリプトを実行してデバイスのファイルリストを取得することができます。その後、取得したいファイルをアップロードできます。

お客様のアカウントに関連付けられているAbsolute 製品ライセンスに応じて、Reach スクリプトが利用できない場合があります。

Windows デバイスに保存されているファイルのリストを取得するには、以下の Reach スクリプトを実行します。

Retrieve a list of files from a device

このスクリプトは、ファイルの完全なパス、作成日、最終書き込み時間、ファイルサイズなど、各ファイルに関する詳細情報を含むレポートファイルを生成します。この情報を使用してファイルアップロードスクリプトを実行できます。

このスクリプトの詳細については、設定 > スクリプトライブラリーに移動し、スクリプト名を検索してください。詳細情報はスクリプトに記載されています。

Windows デバイスからファイルを取得するには、以下のスクリプトのいずれかを実行します。

スクリプト名 説明
Upload files to Dropbox カスタム Dropbox アプリの権限を使用して、Windows デバイスから Dropbox にファイルをアップロードします。
Upload files to FTP server Windows デバイスから FTP サーバーにファイルをアップロードします。
Upload files to network shared folder UNC パスを使用して、Windows デバイスからネットワーク共有フォルダーにファイルをアップロードします。

これらのスクリプトはレポートファイルを生成し、そのレポートファイルはアップロードされたファイルと同じ場所にアップロードされます。レポートファイルには、成功したファイルアップロードの詳細に加えて、重複したファイル、ファイルが見つからない、ファイルのアップロード失敗など、発生したエラーに関する詳細が含まれます。

各スクリプトの詳細については、設定 > スクリプトライブラリーに移動し、スクリプト名を検索してください。詳細情報は各スクリプトに記載されています。

ワイプリクエストを送信するには、ユーザー役割にデバイスのワイプおよびファイル削除の実行権限が付与されている必要があります。システム管理者、セキュリティ管理者、セキュリティパワーユーザーのデフォルトユーザー役割には、これらの権限が付与されています。

暗号消去リクエストのステータスを追跡してサニタイズ証明書を確認およびダウンロードするには、ユーザー役割にデバイスワイプの閲覧権限が付与されている必要があります。すべてのデフォルトの管理者役割とセキュリティパワーユーザーの役割にこの権限が付与されています。

全ファイル削除リクエストのステータスを追跡してログファイルを確認およびダウンロードするには、ユーザー役割にファイル削除の閲覧権限が付与されている必要があります。すべてのデフォルトの管理者役割とセキュリティパワーユーザーの役割にこの権限が付与されています。

リクエストを送信するには:

  1. デバイスワイプおよびファイル削除の実行権限を持つユーザーとして、Secure Endpoint Console へログインします。

  2. 下記のいずれかを実行します。

    デバイスのデバイス詳細ページで、 ワイプをクリックします。

    デバイスが適格性要件を満たさない場合、そのデバイスがワイプアクションの対象ではないことを示すメッセージが表示されます。キャンセルをクリックします。

    1. ナビゲーションバーから、ワイプアクションをサポートするページを開きます。たとえば、 デバイスをクリックしてデバイス > すべてのデバイスページを開きます。
    2. 作業エリアで、検索フィールドまたはフィルターを使用して、ワイプしたいデバイスを検索します。
    3. 結果グリッドで、リクエストに含めるデバイスをそれぞれ選択します。連続したデバイスを選択するには、最初のデバイスを選択し、Shift キーを長押ししながら最後のデバイスを選択します。すべての選択を削除するには、すべて消去をクリックします。最大 100 台のデバイスまで選択できます。それ以上の数のデバイスをワイプするには、別のリクエストを送信します。
    4. ワイプをクリックします。デバイスのワイプダイアログが開きます。
  3. [オプション] ダイアログの上部にあるデバイスワイプ - <日付> をクリックし、このリクエストをアクションリクエストで特定および追跡しやすくなるようなリクエスト名を入力します。
  4. [オプション] 説明を追加 (オプション)をクリックし、リクエストの説明を入力します。

  5. 選択したデバイスの適格性に応じて、以下の1つを実行します：

    暗号消去オプションがデフォルトで選択されています。以下の1つを実行します：

    • 暗号化済みデバイスで暗号消去を実施するには:

      1. 暗号消去オプションを選択したままにします。
      2. 管理者認証セクションが表示された場合、1 台以上の Mac デバイスを選択しています。選択したデバイスの管理者権限を持つユーザーの管理者ユーザーと管理者パスワードを入力します。管理者の資格情報は、Mac デバイスのワイプで必要になります。

      3. 1 台以上の Windows デバイスを選択し、各デバイスのワイプ完了後に Absolute アカウントからこれらのデバイスを登録解除したい場合、ワイプ完了後にデバイスを登録解除チェックボックスを選択します。

        このオプションは、ユーザー役割にデバイス登録解除の実行権限がある場合のみ、利用できます。なお、Mac デバイスは、このオプションの設定やユーザーの権限を問わず、ワイプリクエストの処理後に必ず登録解除されます。

    • 暗号化済みデバイスのすべてのファイルを上書きするには、全ファイル削除オプションを選択し、オプションの下で以下を実行します。

      1. データを <#> 回上書きチェックボックスを選択し、フィールドをクリックして、ファイルの内容を非機密データ (0 と 1 を並べたもの) で上書きする回数を選択します。データの上書き回数は 1 回、3 回、または 7 回を選択できます。

        NIST Special Publication 800-88、Guidelines for Media Sanitization (媒体サニタイズガイドライン)で定義されているクリア規格に適合するには、データ上書き1回のみが必要です。他のデータ消去規格では、それ以上の上書き回数が要求される場合があります。

      2. 1 台以上の Windows デバイスを選択した場合、以下の設定を行います。

        • Windows OS を無効化:

          • 各デバイスで OS とユーザープロフィールデータ以外のすべてのデータを削除するには、このチェックボックスをオフにしておきます。
          • 各デバイスで OS とユーザープロフィールデータ以外のすべてのデータを削除し、各デバイスのオペレーティングシステムを無効化するには、このチェックボックスをオンにします。この場合、システムファイルは削除され、Windows をリブートできなくなります。

          ワイプ済みデバイスを再使用するも参照してください。

        • ワイプ完了後にデバイスを登録解除する:

          各デバイスのワイプ完了後に Absolute アカウントからデバイスを登録解除したい場合、このチェックボックスをオンにします。

          このオプションは、ユーザー役割にデバイス登録解除の実行権限がある場合のみ、利用できます。なお、Mac デバイスは、このオプションの設定やユーザーの権限を問わず、ワイプリクエストの処理後に必ず登録解除されます。

    全ファイル削除が唯一利用できるオプションです。オプションの下で、以下を実行してワイプリクエストを設定します。

    1. データを <#> 回上書きチェックボックスを選択し、フィールドをクリックして、ファイルの内容を非機密データ (0 と 1 を並べたもの) で上書きする回数を選択します。データの上書き回数は 1 回、3 回、または 7 回を選択できます。

      NIST Special Publication 800-88、Guidelines for Media Sanitization (媒体サニタイズガイドライン)で定義されているクリア規格に適合するには、データ上書き1回のみが必要です。他のデータ消去規格では、それ以上の上書き回数が要求される場合があります。

    2. 1 台以上の Windows デバイスを選択した場合、以下の設定を行います。

      • Windows OS を無効化:

        • 各デバイスで OS とユーザープロフィールデータ以外のすべてのデータを削除するには、このチェックボックスをオフにしておきます。
        • 各デバイスで OS とユーザープロフィールデータ以外のすべてのデータを削除し、各デバイスのオペレーティングシステムを無効化するには、このチェックボックスをオンにします。この場合、システムファイルは削除され、Windows をリブートできなくなります。

        ワイプ済みデバイスを再使用するも参照してください。

      • ワイプ完了後にデバイスを登録解除する:

        各デバイスのワイプ完了後に Absolute アカウントからデバイスを登録解除したい場合、このチェックボックスをオンにします。

        このオプションは、ユーザー役割にデバイス登録解除の実行権限がある場合のみ、利用できます。なお、Mac デバイスは、このオプションの設定やユーザーの権限を問わず、ワイプリクエストの処理後に必ず登録解除されます。

    ダイアログに、暗号化済みデバイスとその他のデバイスの 2 つのセクションが表示されます。その他のデバイスセクションは、リクエストに含まれるデバイスのうち、暗号化されていない、部分的に暗号化されている、あるいは BitLocker Drive Encryption または FileVault 以外の製品によって暗号化されているデバイスを指します。

    1. 暗号化済みデバイスセクションで、以下の1つを実行します：

      • 暗号化済みデバイスで暗号消去を実施するには:

        1. 暗号消去オプションを選択したままにします。
        2. 管理者認証セクションが表示された場合、1 台以上の Mac デバイスを選択しています。管理者権限のあるユーザーの管理者ユーザーと管理者パスワードを入力します。これらの資格情報は、Mac デバイスのワイプで必要になります。

      • 暗号化済みデバイスのすべてのファイルを上書きするには、全ファイル削除オプションを選択します。

    2. オプションの下で、以下を実行してワイプリクエストを設定します。

      1. データを <#> 回上書きチェックボックスを選択し、フィールドをクリックして、ファイルの内容を非機密データ (0 と 1 を並べたもの) で上書きする回数を選択します。データの上書き回数は 1 回、3 回、または 7 回を選択できます。

        NIST Special Publication 800-88、Guidelines for Media Sanitization (媒体サニタイズガイドライン)で定義されているクリア規格に適合するには、データ上書き1回のみが必要です。他のデータ消去規格では、それ以上の上書き回数が要求される場合があります。

      2. 1 台以上の Windows デバイスを選択した場合、以下の設定を行います。

        • Windows OS を無効化:

          この設定は、「全ファイル削除」ワイプのみに適用されます。

          • 各デバイスで OS とユーザープロフィールデータ以外のすべてのデータを削除するには、このチェックボックスをオフにしておきます。
          • 各デバイスで OS とユーザープロフィールデータ以外のすべてのデータを削除し、各デバイスのオペレーティングシステムを無効化するには、このチェックボックスをオンにします。この場合、システムファイルは削除され、Windows をリブートできなくなります。

          ワイプ済みデバイスを再使用するも参照してください。

        • ワイプ完了後にデバイスを登録解除する:

          各デバイスのワイプ完了後に Absolute アカウントからデバイスを登録解除したい場合、このチェックボックスをオンにします。

          この設定は、ユーザー役割にデバイス登録解除の実行権限がある場合のみ、利用できます。なお、Mac デバイスは、このオプションの設定やユーザーの権限を問わず、ワイプリクエストの処理後に必ず登録解除されます。

  6. デバイスを確認で、ワイプするデバイスのリストを確認して確定します。デバイスが暗号化されている場合、リストは暗号化済みデバイスとその他のデバイスに分割されます。選択したアクションの適格性要件を満たさないデバイスは、アクションリクエストでアクションステータスが「失敗」と表示されることに注意してください。
  7. 確認の下のチェックボックスを選択し、ワイプがデバイスで進行し始めた後はアクションを停止またはキャンセルできないことに同意してください。
  8. x デバイスをワイプをクリックします。

システムが自動的に暗号消去リクエスト、ファイル削除リクエスト、またはその両方を作成します。作成されたリクエストのタイプは、リクエスト内のデバイスの数、デバイスの暗号化ステータス、およびワイプ設定によって決定されます。もっと見る

各リクエストのステータスは保留中に設定されます。リクエストは、Absolute モニタリングセンターへの次回の正常な接続時に各デバイスに展開されます。これは、デバイスがオンラインであると仮定して、Absolute Resilience アカウントでは数分以内、Absolute Control アカウントでは 15 分以内に発生します。その後、リクエストのステータスは処理中に更新されます。リクエストにデュアル認証が必要な場合、リクエストはアクションリクエストの承認保留中セクションに残ります。リクエストが承認されるまで、このアクションはデバイスに送信されません。

リクエストを送信したら、履歴エリアに移動して以下を実行することができます。

  • リクエストのステータスを追跡する
  • リクエストが処理された後にサニタイズ証明書を確認する
  • リクエストが処理された後にログファイルを確認する (暗号消去リクエストのみに適用)

  • 保留中のステータスのデバイスでリクエストをキャンセルする

    保留中ステータスのリクエストはまだデバイスに展開されていませんので、キャンセルすることができます。

  • 送信されたリクエストに関連付けられてるイベントを表示する

履歴エリアに、以下のようにリクエストが表示されます。

  • 暗号消去オプションを選択している場合:

  • 「全ファイル削除」オプションを選択している場合、またはこのオプションが一部のデバイスに自動的に適用されている場合:

つまり、両方のオプションが同じリクエストに適用される場合、暗号消去リクエストとファイル削除リクエストの2つの個別のリクエストが自動的に作成されることになります。アクションリクエストでは、各リクエストのヘッダーにあるリンクを使用して、これらのリクエスト間を移動することができます。

例

10 台のデバイスに対するワイプリクエストを送信します。デバイスの設定および暗号化ステータスに基づいて、アクションリクエストに 2 つのリクエストが表示されます。各リクエストのヘッダーには以下の説明が含まれます。

  • 暗号消去リクエストの説明：このリクエストの 7 個のデバイスで暗号消去を実施し、残り 3 個のデバイスで全ファイル削除を実施することで、10 個のデバイスをワイプします
  • ファイル削除リクエストの説明：このリクエストの 3 個のデバイスで全ファイル削除を実施し、残り 7 個のデバイスで暗号消去を実施することで、10 個のデバイスをワイプします

各説明のリンク付きテキストをクリックして、2 つのリクエスト間を移動できます。

デバイスのワイプ後に、デバイスを再使用できるよう準備することができます。必要な手順は、ワイプの種類、デバイスプラットフォーム、およびワイプリクエストで選択したオプションによって異なります。

ワイプの種類 プラットフォーム 詳細
暗号消去 Windows または Mac デバイスを再イメージ化します。
全ファイル削除 Windows

オペレーティングシステムを無効化しているかどうかに応じて、以下のいずれかを実行します。

  • Windows OS を無効化オプションを選択した場合:

    以下のデータが削除されます。

    • OS とユーザープロフィールデータ以外のすべてのデータ
    • オペレーティングシステムの起動時に使用されたシステムファイル

    Windows オペレーティングシステムを起動することはできません。デバイスを再イメージ化します。

  • Windows OS を無効化オプションを選択していない場合:

    OS とユーザープロフィールデータ以外のすべてのデータが削除されます。場合によっては、キャッシュされたユーザープロフィールがまだ存在することがありますが、ユーザーはログインできません。

    デバイスを再使用するには、Windows System File Checker を使用して失ったシステムファイルを復元し、その後新しいユーザープロファイルを作成できることがあります。これらの手順を実行してもシステムが正常に機能しない場合は、デバイスを再イメージ化してください。

    デバイスのワイプ後に一部のアプリケーションを再インストールしようとすると、アプリケーションが正常にアンインストールされなかったというエラーメッセージが表示される場合があります。
Mac 新しいユーザープロフィールを作成します。デバイスを再イメージ化する必要はありません。