‏المحو الآمن (Purge)

المحو الآمن (purge) هو إزالة البيانات من وسائط التخزين بشكل دائم وغير قابل للعكس، بحيث يتعذّر استردادها حتى بالتقنيات المخبرية المتقدمة. تُسمّى البيانات المتبقية بعد الحذف العادي بقايا البيانات، والمحو الآمن موجَّه أساسًا للقضاء عليها.

ما يتجاوز المحو الآمن هو التدمير المادي، كالتقطيع أو الحرق، وهو ما يجعل الوسيط غير صالح للاستخدام. أما المحو الآمن فيُبقي الجهاز صالحًا للعمل، لذلك يناسب الوسائط التي ستظل قيد الاستخدام.

عندما يحذف المستخدم ملفًا، يزيل نظام التشغيل اسمه من فهرس نظام الملفات ويعلّم المساحة على أنها فارغة. تبقى بايتات الملف المحذوف على الوسيط إلى أن تُكتب فوقها بالصدفة، وغالبًا ما تستطيع الأدوات العادية استردادها في هذه الأثناء.

يكتب المسح (clearing) فوق البيانات مرة واحدة بنمط ثابت، وهذا يحمي من استردادها بأدوات البرمجيات العادية. أما المحو الآمن فأقوى، لأنه يجعل الاسترداد مستحيلًا حتى بالتقنيات المخبرية. يوضّح الجدول ما يمنعه كل مستوى.

الإطار المرجعي هو NIST Special Publication 800-88، Guidelines for media sanitization. يحدد سلّم clear-purge-destroy ويربط أنواع الوسائط (الأقراص المغناطيسية، وSSD، والأشرطة، وذاكرة flash، والأجهزة المحمولة) بالتقنيات المناسبة لكل منها. ومن طرق المحو المعترف بها:

يُطبَّق المحو الآمن في مراحل محددة من عمر الوسيط، وليس بعد كل عملية حذف:

• قبل أن يغادر قرص أو حاسوب محمول أو هاتف أو شريط المؤسسة، مثل البيع أو التبرع أو إعادة التدوير أو إعادة المعدات المستأجرة
• عندما ينتقل الوسيط بين بيئات ذات مستويات حساسية مختلفة
• عندما تتجاوز البيانات فترة الاحتفاظ بها بدلًا من بقائها في مكانها، كما في البيانات المتقادمة التي لم يعد أحد يحتاجها
• في الاستجابة للحوادث، عندما تتسرب البيانات إلى نظام أقل حماية

الكتابة فوق البيانات غير موثوقة على وسائط flash. فـ تسوية التآكل (Wear Leveling) والتوفير الزائد (Over-Provisioning) يعنيان أن المضيف لا يستطيع ضمان إعادة كتابة كل خلية فعلية. لذلك تُفضَّل في أقراص SSD أوامر sanitize المدمجة في القرص أو المحو التشفيري، ويبقى المحو التشفيري بقوة إتلاف المفتاح الذي يقف خلفه تمامًا.

يغطي المحو الآمن وسيطًا واحدًا. فقد تظل النسخ الاحتياطية ولقطات النظام والنسخ الظلّية تحتوي على البيانات، وتحتاج إلى معالجة مماثلة. ويشمل المصطلح أيضًا البيانات المنطقية، مثل السجلات المحذوفة من قاعدة بيانات أو صندوق بريد أو أرشيف عند انتهاء فترة احتفاظها.

التحدي هنا هو الاكتمال، لا الفيزياء. فقد يبقى السجل في النسخ المتماثلة، وسجلات المعاملات، وفهارس البحث، وعمليات استخراج مستودعات البيانات، والتقارير المخزنة مؤقتًا، والنسخ الاحتياطية السابقة. لذلك ينسّق المحو المنطقي الإجراءات عبر كل النسخ. وبالنسبة للنسخ الاحتياطية التي لا يمكن تعديلها بشكل انتقائي، فإن الحل المعتاد هو انتهاء الاحتفاظ، مع النص عليه صراحةً في جدول الاحتفاظ.

يظهر المحو المنطقي أيضًا في وحدة تحكم Anexet DLP. تحذف نافذة حذف الحوادث الحوادث الأقدم من عدد أيام محدد، أو تُبقي آخر N حادثة فقط، أو تزيل كل ما سبق تاريخًا مختارًا. أما تبويب تخزين البيانات في Reports Server فيحدد المدة التي تُحفظ فيها البيانات المجمعة، وهي هنا آخر 180 يومًا.

1 / 2

• 
• 

يعتمد القرار على ثلاثة عناصر: حساسية البيانات الموجودة على الوسيط، وما إذا كان الوسيط سيُعاد استخدامه داخل المؤسسة أو خارجها، وما يدعمه الوسيط ماديًا. وتقع الأخطاء عندما تختلط هذه العناصر، كأن تُطبَّق طريقة إعادة الاستخدام على جهاز سيُباع، أو يُتلف عتاد صالح للعمل دون حاجة.

1. 1

   صنّف البيانات

   حدّد أولًا مدى حساسية البيانات الموجودة على الوسيط.

2. 2

   تحقق من مسار إعادة الاستخدام

   تأكد مما إذا كان الوسيط سيبقى في بيئة بالحساسية نفسها أم سيغادر المؤسسة.

3. 3

   اختر الطريقة المناسبة

   يناسب الإتلاف الوسائط الحساسة التي تغادر المؤسسة. ويناسب أمر sanitize المدمج إعادة الاستخدام على المستوى نفسه، ويناسب المحو التشفيري الوسائط المشفرة ذات المفاتيح المُدارة جيدًا.

تكمن أهمية التحقق في أن السياسات التنظيمية والمدققين يطلبون عادةً دليلًا على نجاح عملية التطهير. لذلك تُفحص البقايا بعد التنفيذ.

بما أن المحو الآمن لا رجعة فيه، فهو يحتاج إلى تفويض وسجل. تشمل الضوابط المعتادة مُعتمِدًا مسمّى، والتحقق من أن أمرًا قانونيًا أو تحقيقًا مفتوحًا لا يشمل البيانات. وتتطلب أيضًا شهادة تسجّل الوسيط أو مجموعة البيانات، والطريقة، والمشغّل، والتاريخ، ونتيجة التحقق. وعند إسناد التخلص من الوسائط إلى جهة خارجية، تصبح سلسلة الحراسة وشهادات الإتلاف الصادرة عن المورّد جزءًا من هذا السجل.