退職者PCは初期化してよい？保全の判断基準と残すべき証拠

2026年9月9日 2026年9月23日

デジタル・フォレンジック調査ラボ

退職者から返却された会社PCを、すべて一律にフォレンジック保全する必要があるとは限りません。ただし、情報持ち出し、データ削除、顧客引き抜き、会計不正などの具体的な兆候がある場合は、初期化・再利用によって、後から確認できる証拠が失われる可能性があります。

まずは、退職時の状況に応じて「通常返却」「簡易確認」「証拠保全・フォレンジック」を分けて判断しましょう。具体的な疑いがあるPCは、初期化・再配布をいったん止め、会社側のログやメールの保存期限も並行して確認することが初動になります。

退職者PCの初期化判断だけでなく、ディスクイメージ、ハッシュ値、原本管理、社内不正発覚時の初動など証拠保全全体について確認したい場合は、証拠保全・調査実務で、主な判断基準と保全方法をまとめています。

退職者PCをすぐ初期化してよいかを判断する

次の分類は、企業が対応を決めるための実務整理です。法的な絶対基準や、不正の有無を判定する基準ではありません。

対応	判断材料の例	初期化前に行うこと
通常返却	具体的な懸念がなく、引継ぎ・資産返却が完了し、社内の保全指示もない	業務データの引継ぎ、必要な記録の保存、アクセス停止、担当者の確認を経て、通常の初期化・再配布へ進む
簡易確認	直前のアクセス増加、USB利用、引継ぎ内容の食い違いなど、説明を確認したい点がある	初期化を保留し、会社側の既存ログと業務上の理由を照合する。確認範囲・結果・残った不明点を記録する
証拠保全・フォレンジック	持ち出し対象を特定した相談、説明のつかない大量削除、重要情報に関するDLPアラート、不自然な会計記録、紛争に発展する可能性などがある	社内確認が終わるのを待たず、PCと関連記録の保全範囲を決める。必要に応じて法務・弁護士・調査会社につなぐ

大量ダウンロードには引継ぎ作業、USB接続には会社指定のバックアップなど、正当な理由も考えられます。個人メール・クラウドの利用履歴や、顧客の失注、引継ぎ拒否だけで不正と断定することもできません。

見るべきなのは、対象データ、時期、操作内容、業務上の必要性、社内承認との整合性です。例えば、価格表への集中アクセスと外部共有が同時期に記録されている場合は、それぞれの記録を失わないよう保存する合理性が高まります。

役職や退職理由だけで一律に決めず、扱っていた情報の重要性、具体的な懸念、将来必要になる記録を合わせて検討します。

退職者PC保全の判断フロー

PC返却時に、具体的な不正兆候・紛争・保全指示があるか確認する。 ある場合は初期化を止め、保全範囲の検討へ進みます。会社側ログの確認完了を待つ必要はありません。
具体的な兆候はないが、説明を確認したい点があるか確認する。 ある場合は、対象PCを操作する前に、管理者が取得できる会社側の記録で簡易確認を行います。
簡易確認で業務上の理由を確認できたか判断する。 説明と記録が整合し、他に保全の必要がなければ通常返却へ進みます。疑いが残る場合や、必要なログが未取得・期限切れで判断できない場合は、PCを残す必要性を改めて判断します。
保全の必要がないと判断したら、承認者と判断理由を記録して初期化・再配布する。 保全する場合は、保存対象・担当者・見直し時期を決めます。

ログの保存期限が迫っている場合は、この判断と並行して必要な記録を確保します。「ログが見つからなかった」は、「問題がなかった」と同じではありません。

初期化を止めたら、まず何を残すか

最初に、返却日時、使用者、PCの資産番号・製造番号、受領者、電源状態、保管場所を記録します。会社側で分かる範囲で、最終利用日、退職日、懸念が生じた出来事と日時も整理してください。

すでに担当者がPCを起動したり、ファイルを開いたりした場合は、その事実も記録します。操作したから直ちに調査不能になるわけではありませんが、退職者の操作と返却後の操作を区別する材料になります。

電源が切れているPCは、確認目的で安易に起動しないでください。一方、起動中のPCを一律に強制終了することも適切とは限りません。 メモリ上の情報が失われたり、暗号化されたデータに再アクセスできなくなったりする可能性があるためです。画面・電源状態を記録し、電源や通信の扱いを担当者・専門家と判断します。IDF「証拠保全ガイドライン第10版」

漏えいや遠隔操作が進行している場合は、情報システム担当者がアカウント停止や端末隔離など必要な封じ込めを行い、実施時刻と内容を記録します。保全を理由に、不正アクセスを放置する必要はありません。

保全対象については、予定されている再セットアップ、遠隔ワイプ、廃棄処理も確認します。復元ソフトのインストールや、本人のユーザーでの試行的なログインは避けましょう。

BitLockerなどの暗号化を利用している場合は、会社が管理する回復キーの所在と利用権限も確認します。機器構成の変更等で回復キーが必要になることがあります。キーはPC本体と分け、アクセスを制限して管理してください。Microsoft「BitLocker recovery overview」

簡易確認は、会社側の既存記録から始める

ここでいう簡易確認は、会社が管理するログや引継ぎ記録を使った確認です。PCのイメージを取得する証拠保全とは異なります。

例えば、退職直前の大量ダウンロードが気になる場合は、対象ファイル、日時、利用アカウント、承認された業務との関係を確認します。USB利用が気になる場合は、既存の端末管理・EDR・DLP等の記録に、対象端末や機器を特定する情報があるかを確認します。

ただし、USBを接続した記録だけでは、どのファイルをコピーしたかまでは分からない場合があります。個人メールやクラウドへのアクセス記録も、送信・アップロードした内容そのものを示すとは限りません。確認できる範囲は、取得済みのログと製品・設定に依存します。USB調査で確認できることと限界

確認結果は、「異常なし」の一言で終わらせず、次の内容を残します。

確認したシステム、アカウント、期間と時刻の基準
実際に確認できた操作と、業務上の説明
記録されていない操作、取得できなかった期間などの限界
初期化を進めるか、保留するかの判断者と理由

具体的な対象ファイルが見つかった、説明と記録が食い違う、PC内の削除痕跡を調べる必要が生じた、といった段階では、簡易確認を続けるより保全を優先するか検討します。

PC本体だけでなく、会社側のログ・メールも確認する

PCを倉庫に置いていても、クラウドの監査ログが期限で消えれば、その部分は後から確認できなくなる可能性があります。反対に、PC内の情報が失われても、会社側の記録が残っていれば確認を進められる場合があります。

すべてを一律に収集するのではなく、確認したい出来事に応じて対象を選びます。

証拠源	保存を検討するもの	退職時に確認する点
会社PC・関連媒体	必要な実ファイル、端末内の操作痕跡、必要に応じたフォレンジックイメージ、会社管理のUSB媒体	初期化・上書きの予定、暗号化、原本の管理者
Microsoft 365／Google Workspace	Gmail・Exchangeのメールと添付、OneDrive・SharePoint・Google Driveのファイル、共有設定、関連監査ログ	利用製品、取得できるイベント、保持設定・ライセンス、アカウント削除の予定
Teams・Slack等	関連する会話、添付ファイル、必要な管理記録	契約・設定で取得できる範囲、削除・保持の扱い
ファイルサーバー・CRM	顧客情報や価格表などの対象データ、アクセス・変更・出力の記録	ログが有効だったか、対象期間が残っているか
VPN・EDR・DLP・端末管理	ログイン、外部送信、USB利用等について取得済みのログ・アラート	記録の意味、端末・利用者との対応、保存期限
入退室・社用スマホ	関係する日時の記録、業務上の連絡・ファイル等	PCの出来事と照合する必要性、取得権限と対象範囲

ログを出力するときは、取得日時、取得者、抽出条件、対象期間、タイムゾーンも残します。画面のスクリーンショットは状況説明に役立ちますが、可能な範囲で元のエクスポートデータやメール・添付ファイルも確保します。

個人メールや個人クラウドが関係していても、まずは会社のメール環境・端末管理記録など、会社が適法に管理できる範囲を確認します。PCに保存されたパスワードやログイン状態を使って、本人の私的アカウントへ無断でアクセスする進め方は避け、必要な取得方法を法務等と検討してください。

退職日の「アクセス停止」と「アカウント削除」を分ける

退職後の利用を認めないアカウントは、社内の退職手続きに沿ってアクセスを止めます。ログイン停止、必要なパスワード変更、セッション失効、権限の見直しなどが対象です。

一方、アカウントそのものの削除、メール・クラウドデータの削除、ライセンス解除は、記録の保持に影響する場合があります。利用を止める処理と、データを消す処理は別々に承認・実施すると整理してください。

Microsoft 365の公式退職者対応手順でも、サインインのブロック、メールの保存、OneDriveへのアクセス確保、ライセンス解除、アカウント削除は別の手順として扱われています。保全が必要な場合は、利用中のサービスごとに保持の条件を確認します。Microsoft「以前の従業員を削除する」

Google Workspaceでは、管理者によるユーザー停止だけでデータが削除されるわけではありません。一方、退職者データをVaultで保持する場合は、ユーザー削除や必要なライセンスの扱いに注意が必要です。「停止したから全部保存された」「Vaultを導入しているから削除してよい」とは判断せず、対象データ・保持設定・契約を確認してください。Google「ユーザーを一時的に停止する」、「退職するユーザーのデータを保持する」

退職後のログインが見つかった場合は、時刻、接続元、対象アカウント、操作記録を確保し、必要なアクセス停止を行います。記録だけで本人の操作と断定せず、既存セッションや連携サービスなどの可能性も含めて確認します。

普通のバックアップとフォレンジック保全は何が違うか

通常のバックアップは、業務データの引継ぎや復旧が主な目的です。フォレンジック保全は、後日の解析に必要なデータを、取得方法や管理経緯を説明できる形で残すことを目的とします。

方法	主な目的	判断上の注意点
必要ファイルのコピー・通常バックアップ	業務継続・データ復旧	コピー対象に含まれない削除領域や操作痕跡は残らない。バックアップ方式によって取得範囲が異なる
フォレンジック保全	操作痕跡や実ファイル等を後から検証できるようにする	目的と機器の状態に応じて取得方法・範囲を選び、取得記録と管理履歴を残す。過去の全情報を必ず取得できるわけではない

ファイルを選んでコピーする方法と、媒体をビット単位で取得する方法では、残る情報が異なります。ただし、製品名が「バックアップ」であっても取得方式はさまざまです。名称だけで判断せず、必要な領域・記録を取得できているかを確認します。NIST SP 800-86

フォレンジックイメージを取得する場合には、適用可能な場面で書き込み防止機器等を使い、取得データのハッシュ値を確認し、原本・保全データ・解析用データを区別して管理します。誰が、いつ、何を取得し、誰に引き渡したかの記録も重要です。ハッシュ値の一致はデータの同一性を確認する材料ですが、それだけで操作した人物や不正の意図まで証明するものではありません。IDF「証拠保全ガイドライン第10版」

PC本体を未使用のまま確保することは初動として有用です。ただし、それだけでクラウドの記録や揮発性情報まで保存したことにはなりません。また、イメージを取得した後も、取得範囲の検証、暗号化への対応、原本を残す必要性の確認が済むまでは、再配布の可否を別途判断します。

当社の公開事例に見る「実ファイルを残す意味」

株式会社赤井事務所が公開している、会社Gmailから個人メールへのファイル送信を検証した事例では、Google Workspace側の記録とPC側のデータを照合しています。

公開事例で確認した対象	確認できたこと・限界
5ファイル	過去の受信メール添付、PCから回収した実ファイル、外部宛て送信メール添付の3者について、SHA-256の一致を確認した
別の3ファイル	Driveからのダウンロード、PCへの取得、個人メールへの送信という時系列を確認した。一方、保全時にPC側の実ファイルを回収できず、PC側ファイルと送信添付のバイト単位の同一性までは確認できなかった

この事例が示すのは、操作の記録を追えることと、送信された内容を実ファイルで照合できることは別だという点です。将来の確認では、ログだけでなく実ファイルやメール添付が必要になる場合があります。当社公開事例：個人メールへのファイル送信の調査

なお、この公開情報だけでは、退職時点で予防的な保全を行っていたか、PC側の3ファイルを回収できなかった原因が初期化だったかは判断できません。「初期化前に保全したことで解決した事例」として紹介できるものではありません。

ディスクイメージ、ハッシュ値、Write Blocker、Chain of Custodyなど、フォレンジックにおける証拠保全の具体的な考え方については、デジタルフォレンジックの証拠保全とは？原本・ディスクイメージ・ハッシュ値の意味で詳しく解説しています。

すでに初期化・再配布したPCでも調査できるか

初期化済みの場合

初期化したから何も分からないとも、必ず復元できるともいえません。初期化の方式、SSD・HDDの違い、暗号化、SSDのTRIM、経過時間、その後の書き込み等で条件が変わります。

Windowsにも、個人用ファイルを残すリセットや、すべて削除するリセットなどの選択肢があります。また、SSDでは不要になった領域を通知するTRIMと、その後の装置側の処理がデータの残存に関係します。「初期化した」という説明だけで復元可能性を決めることはできません。Microsoft「PCをリセットする」、Microsoft「TRIM and Unmap hints」

初期化した日時・方法、実施者、その後の利用状況を記録し、追加のセットアップや復元ソフトの試行を止めて相談します。並行して、既存バックアップ、メール、クラウド、ファイルサーバー、端末管理ログが残っているかを確認してください。

別の社員へ再配布した場合

再セットアップやOS更新、アプリ追加、新しい利用者によるファイル作成で、以前のデータが上書きされたり、複数人の操作記録が混在したりする可能性があります。ただし、再利用した時点で必ず調査不能になるわけではありません。

新しい利用者への業務影響を考慮して代替機を手配するなど、追加利用を止める方法を検討します。返却日、初期化日、再配布日、新しい利用者と利用期間を整理し、旧利用者の記録と区別できるようにします。

退職後に初めて疑いが出た場合も、まずはPCの所在・現在の状態と、会社側ログの残存状況を確認するところから始めます。

保全期間と判断する担当者を決める

退職者PCの保全期間を、一律に「何か月」「何年」と決めることは適切ではありません。少なくとも、業務データの保存義務、調査のための保全、クラウドログの製品上の保持期間は分けて考える必要があります。

保全を決めたときに、目的、対象期間、保存対象、責任者、次の見直し日、解除を承認する人を記録します。具体的な調査・紛争が進行している場合は、定期削除をそのまま実施せず、法務等と保持の継続を判断します。保全目的がなくなったデータは、他の保存義務も確認したうえで、社内規程に沿って削除・廃棄します。

担当	主に整理すること
情報システム	PC・アカウントの特定、ログの有無と期限、アクセス停止、初期化作業の保留
人事・総務	退職・返却手続き、引継ぎ、就業規則・利用規程、保管場所と受渡記録
法務・外部弁護士	調査目的と範囲、プライバシー、紛争対応、保全の継続・解除の判断材料
内部監査・経営者等	懸念の整理、調査権限・予算・担当者の決定、判断の承認
フォレンジック調査会社	取得可能性、保全方法・範囲、取得データの検証、必要に応じた解析

会社規模や体制によって、一人が複数の役割を兼ねることもあります。重要なのは、初期化を実施する人と、保全の必要性を判断する人との間で確認が抜けないことです。

会社所有PCであっても、無制限に中身を調べてよいとは一般化できません。利用目的、管理権限、就業規則・利用規程、私的情報が含まれる可能性を踏まえ、必要な範囲と閲覧者を限定します。個人情報保護委員会も、個人データを扱う従業者のモニタリングについて、目的の特定・周知、責任者や権限、運用ルール等を示しています。個人情報保護委員会 Q5-7

初期化の前に、次の対応を決める

具体的な懸念がなく、引継ぎと必要な記録の保存を終えていれば、通常のIT資産管理として初期化・再配布を進められる場合があります。確認したい点が残るなら、会社側ログを追加確認し、判断がつくまでPCの初期化を保留します。

具体的な持ち出し・削除の疑いがある場合や、紛争に備えて状態を残す必要がある場合は、PCと関連するメール・クラウドのどこまでを保全するか検討してください。

株式会社赤井事務所／デジタルフォレンジックPROでは、PC等の証拠保全と、必要に応じたPC・メール・クラウド等のフォレンジック調査に対応しています。保全のみを先に行うか、解析まで進めるかを検討する際は、PCの電源・初期化の状況、懸念の内容、会社側に残るログを整理してご相談ください。

具体的な不正の有無や責任追及を検討する段階では、法務・弁護士と連携し、何を明らかにする必要があるかを定めて調査範囲を決めます。

まとめ

退職者PCは、すべてを一律にフォレンジック保全する必要はありません。ただし、初期化・再利用へ進む前に、後日の確認に必要な記録がないかを判断することが重要です。

具体的な懸念がない場合は、業務データの引継ぎ、必要な記録の保存、アクセス停止を終え、担当者の確認を経て通常の初期化・再配布へ進みます。
説明を確認したい点がある場合は、会社側の既存ログで簡易確認を行います。確認範囲と限界を記録し、「ログがない」ことを「不正がない」ことと取り違えないでください。
具体的な持ち出し・削除の疑いや紛争の可能性がある場合は、初期化を保留し、PC・メール・クラウド等の保全範囲を法務や専門家と検討します。USB接続やログインの記録だけで、持ち出した内容や操作者まで断定できるわけではありません。

初動では、返却日時・PCの識別情報・電源状態・返却後の操作を記録します。電源が切れたPCを安易に起動せず、起動中のPCも一律に強制終了せず、暗号化や進行中の被害を踏まえて扱いを判断してください。必要なアクセス停止と、証拠になり得るデータの削除は分けて進めます。

すでに初期化・再配布していても、それだけで調査不能とは決まりません。追加利用を止める方法を検討し、初期化方法・利用経緯と、会社側に残るログやバックアップを確認することが次の行動になります。