•「情報セキュリティ」の用語解説で『「正しくなくても構わない情報」「使えなくても良い情報」を組織は管理する必要はない。』と記載した。

•ISO/IEC 27001:2022(JIS Q 27001:2023)で、新たに採用された「管理策8.10情報の削除」は、この観点での管理策と考えることができる。組織が管理対象としている情報の中で「必要でなくなったもの」は削除した方が良いということである。

•「必要でなくなった」というのは「持っていても益がない」ということ。そして、情報システム内にあることで、「記憶容量が無駄になる」「検索の速度が遅くなる」など運用の邪魔になる。

•さらに、もしこの情報が「機密性がある」場合は、漏洩時のリスクがある。利益を生まない情報を保持してリスクだけを持っているのは意味がないので削除すべきである。

•しかし、上記の観点は今に始まったことではない。2022年に新たな管理策として、この管理策が採用された背景にはGDPR(EU一般データ保護規則)を始めとする各国での個人情報保護法制があると推測される。「個人情報」は個人から使用目的を限定して預かっているものなので、使用目的が終わったら「使用してはいけないもの」になるというのが主流の考え方となっている。そこで、「利用目的が終了した情報」は、「使えなくても良い情報で、機密性だけある情報」となってしまうため、これを速やかに削除すべしと考えることとなる。

◆ありそうな反論についてあらかじめコメントします。
「業務上使わないけど法的理由で保管している情報」→「使えなくていい情報」ではない。「要求されたら出さないといけない情報」なので可用性を保つ必要がある情報。
「情報に誤りがあったことを示すために保管している情報」→ 「使えなくていい情報」 でも「誤っていても構わない情報」でもない。「後日の検証に備えて(つまり、可用性が必要)、誤った状態を維持しておかないといけない（さらに完全性も必要）情報」。

V.01.00 20260822 New