‏الملف المحذوف

في نظام الملفات التقليدي يُوصف الملف ببيانات وصفية: مدخل في الدليل وسجل يشير إلى الكتل التي تحمل محتواه. يزيل الحذف العادي هذا السجل أو يُعلّمه، ويعيد الكتل إلى قائمة المساحة الحرة. أما الكتل نفسها فلا تُمس، فيبقى المحتوى سليماً بوصفه بقايا البيانات حتى يخصص نظام الملفات تلك المساحة لغيرها. وقد لا يحدث ذلك أبداً في وحدة تخزين قليلة الاستخدام، بينما قد يحدث خلال دقائق في وحدة مزدحمة. لذلك تصف كلمة «محذوف» ظهور الملف، لا وجود بياناته.

المرحلة الأخيرة وحدها، أي المحو الآمن، تتلف البيانات بالمعنى الحقيقي، وهي وحدها التي يمكن توثيقها بوصفها إتلافاً.

1. 1

   سلة المحذوفات

   يُنقل الملف ولا يُحذف، فيبقى ظاهراً ويمكن استعادته.

2. 2

   إفراغ السلة

   تُزال مدخلة الدليل، ويبقى المحتوى مساحةً غير مخصصة.

3. 3

   مكتوب فوقه

   تُكتب بيانات جديدة على بعض الكتل الأصلية أو عليها كلها، فيصبح الاسترجاع جزئياً ثم مستحيلاً.

4. 4

   ممحو بشكل آمن

   يُتلف المحتوى عمداً بالكتابة فوقه، أو بالمحو التشفيري للمفتاح الذي يحميه، أو بأمر تنظيف على مستوى الجهاز.

بما أن المحتوى يبقى بعد بياناته الوصفية، تمسح أدوات الاسترجاع المساحة غير المخصصة بحثاً عن بنى يمكن التعرف عليها، مثل توقيعات الملفات والترويسات والتخطيطات المعروفة. ثم تعيد تجميع الملفات دون أي معلومات من الدليل، وتُعرف هذه التقنية بـ File Carving. وتعتمد التحقيقات الجنائية الرقمية على ذلك، فالمستندات المحذوفة وشظايا الرسائل والصور من النتائج المعتادة. والخاصية نفسها تجعل الحذف العادي ضابطاً غير كافٍ حين يغادر الجهاز المؤسسة، ويصبح ذلك طريقاً إلى سرقة البيانات.

حتى الملف المحذوف بشكل آمن قد يبقى في مكان آخر، لأن الأنظمة الحديثة تنسخ المحتوى تلقائياً، غالباً عبر النسخ الاحتياطية. لذلك يبدأ الحذف الفعّال بجرد: يجب معرفة أين توجد البيانات، لا كيف تُحذف نسخة واحدة منها.

في وسائط التخزين الوميضي (SSD وeMMC وبطاقات الذاكرة) يدير المتحكم توزيع البيانات داخلياً عبر موازنة التآكل والمساحة الاحتياطية. لذلك قد لا تصل الكتابة التي يطلبها نظام التشغيل إلى الخلايا المادية التي كانت تحمل البيانات الأصلية، ولهذا فإن الكتابة فوق القطاعات واحداً تلو الآخر غير موثوقة على هذه الوسائط. والطرق المعتمدة هي أمر التنظيف أو المحو الآمن الخاص بالجهاز، أو المحو التشفيري: أي تشفير الوسيط من البداية ثم إتلاف المفتاح، فيصبح كل النص المشفّر المتبقي عديم الفائدة في خطوة واحدة. ويبقى الإتلاف المادي الخيار الأخير للوسائط التي لا يمكن التحقق منها أو الوثوق بها.

تفرض أطر حماية البيانات ألا تُحفظ البيانات مدة أطول مما يلزم. ويمنح GDPR الأفراد حق المحو في حالات محددة. وتساعد جداول الاحتفاظ وإجراءات المحو القابلة للتحقق وتوثيق التخلص من الوسائط المؤسسات على الوفاء بهذه الالتزامات. كما ينبغي ألا تغادر الحواسيب المحمولة والأقراص والهواتف المسحوبة من الخدمة المؤسسة وهي ما تزال تحمل سجلات قابلة للاسترجاع.