第6章 データのライフサイクルと削除
本章では、暗号化されたデータ（暗号文のチャンクとマニフェスト）のライフサイクル、すなわち作成、保持、期限切れ、削除について定義します。 ゼロ知識の境界を保ちながら、ユーザーと監査担当者にとって予測しやすい動作を実現することが目的です。
6.1 データの種類
- 暗号文のチャンク：オブジェクトストレージに保存される、暗号化されたファイルの断片。
- マニフェスト：ダウンロードや組み立てに必要な公開パラメータ（CEK は含まない）。
- 状態：認可、進捗、TTL、取り消しフラグ、および最小限の配信の証跡。
6.2 削除の意味づけ
- 送信者が行った削除や取り消しによって、以降のアクセスは必ず失敗しなければなりません（MUST。トークンの無効化、または状態によるアクセス拒否）。
- 削除は、可能な範囲で関連するオブジェクト（チャンクとマニフェスト）のクリーンアップを開始することが望まれます（SHOULD）。
- システムの動作は、受信者に対して一貫していなければなりません（MUST）。取り消された転送や期限切れの転送には、明確な理由を表示する必要があります。
6.3 有効期限のポリシーと自動クリーンアップ
6.3.1 有効期限の起点
- 転送には
expiresAtポリシー（プランに応じた保存期間、またはユーザーが選択した TTL）を設定することが望まれます（SHOULD）。 - 期限が過ぎた後は、暗号文が一時的に残っていても、アクセスを拒否しなければなりません（MUST）。
6.3.2 自動クリーンアップ
- バックグラウンドのクリーンアップによって、期限切れのチャンクとマニフェストを妥当な期間内に削除することが望まれます（SHOULD）。
- クリーンアップは、再試行や部分的な失敗に耐えられるようにしておく必要があります（冪等な削除）。
6.3.3 期限切れ後の UX 上の制約
- 受信者には、明示的な「期限切れ」の状態と次の手順（送信者に連絡する）を必ず表示しなければなりません（MUST）。
- 送信者が管理画面で「期限切れ」と「取り消し済み」を区別できることが望まれます（SHOULD）。
6.4 ユーザーに示す保証
- 削除や取り消しは、アクセス制御の面では直ちに有効にならなければなりません（MUST。フェイルクローズ）。
- ストレージからの物理的な削除は、時間差で行われてもかまいません（MAY）。ただし、アクセスは、再び有効にならない限り拒否され続けなければなりません。
- ログと証跡は最小限にとどめ、機密情報（フラグメントや CEK）を含めてはなりません。
6.5 関連するクレーム ID
- 正式な対応表は、付録：クレーム IDを参照してください。