Εξυγίανση Δεδομένων (sanitization)

Η συνήθης διαγραφή είναι λογιστική πράξη. Το λειτουργικό σύστημα αφαιρεί την εγγραφή του αρχείου από το ευρετήριο του συστήματος αρχείων και σημειώνει τον χώρο ως διαθέσιμο, ενώ τα υποκείμενα bytes παραμένουν στο μέσο αποθήκευσης μέχρι να τα αντικαταστήσει κάτι άλλο. Αυτά τα υπολειπόμενα δεδομένα ονομάζονται remanence. Η εξυγίανση στοχεύει τα ίδια τα δεδομένα και όχι το ευρετήριο. Εφαρμόζει φυσικές ή λογικές τεχνικές που δεν αφήνουν τίποτα ανακτήσιμο, είτε το μέσο πρόκειται να πουληθεί, να επιστραφεί σε εκμισθωτή, να μεταφερθεί σε περιβάλλον διαφορετικής ευαισθησίας είτε να απορριφθεί.

Στην καθημερινή γλώσσα, οι λέξεις διαγραφή, σβήσιμο και καθαρισμός χρησιμοποιούνται χαλαρά και συχνά ως ταυτόσημες. Τα επίσημα πρότυπα κάνουν το αντίθετο και ορίζουν κάθε όρο πριν τον χρησιμοποιήσουν, επειδή η διαφορά ανάμεσα σε μια γρήγορη μορφοποίηση και μια επαληθευμένη εξάλειψη (purge) είναι η διαφορά ανάμεσα σε διαρροή δεδομένων και ασφαλή απόρριψη.

Το πλαίσιο αναφοράς είναι το NIST Special Publication 800-88, Guidelines for Media Sanitization. Ορίζει τρεις ενέργειες αυξανόμενης ισχύος:

1. 1

   Εκκαθάριση (Clear)

   Αντικαθιστά τον διευθυνσιοδοτήσιμο χώρο αποθήκευσης με σταθερό μοτίβο, με τυπικές εντολές ανάγνωσης και εγγραφής. Προστατεύει από ανάκτηση με συνήθη εργαλεία λογισμικού, εφόσον το μέσο παραμένει σε ελεγχόμενο περιβάλλον.

2. 2

   Εξάλειψη (Purge)

   Εφαρμόζει προηγμένες τεχνικές, όπως τον απομαγνητισμό, τη διαγραφή μπλοκ ή την κρυπτογραφική διαγραφή, ώστε η ανάκτηση να καθίσταται ανέφικτη. Προστατεύει από τεχνικές εργαστηρίου αιχμής.

3. 3

   Καταστροφή (Destroy)

   Καθιστά το μέσο φυσικά άχρηστο με τεμαχισμό, αποσύνθεση, κονιοποίηση ή αποτέφρωση. Προστατεύει από οποιονδήποτε, με κόστος το ίδιο το μέσο.

Τρεις παράγοντες καθορίζουν το σκαλοπάτι: η εμπιστευτικότητα των δεδομένων του μέσου, το αν το μέσο θα μείνει μέσα στον οργανισμό ή θα τον εγκαταλείψει, και τι υποστηρίζει τεχνικά το μέσο. Η κρυπτογράφηση αλλάζει τον υπολογισμό. Σε έναν καλά διαχειριζόμενο κρυπτογραφημένο δίσκο, η κρυπτογραφική διαγραφή, δηλαδή η καταστροφή του κλειδιού, δίνει σε δευτερόλεπτα προστασία επιπέδου εξάλειψης. Γι' αυτό το NIST συνιστά την κρυπτογράφηση των δεδομένων από τη στιγμή της εγγραφής και τη θεώρηση της καταστροφής του κλειδιού ως πλήρους μεθόδου εξυγίανσης. Μια τεχνική που λειτουργεί σε μία τεχνολογία αποθήκευσης μπορεί να είναι αναποτελεσματική σε άλλη:

• Μαγνητικοί δίσκοι και ταινίες: η απευθείας αντικατάσταση είναι γενικά αποτελεσματική. Ο απομαγνητισμός αφαιρεί πλήρως τα μαγνητικά πεδία και καθιστά το μέσο άχρηστο.
• Μέσα flash (SSD, USB): η εξισορρόπηση φθοράς και η υπερδέσμευση χώρου κρατούν κελιά εκτός ελέγχου του κεντρικού υπολογιστή. Γι' αυτό προτιμώνται οι εντολές εξυγίανσης της ίδιας της συσκευής ή η κρυπτογραφική διαγραφή.
• Κινητές και ενσωματωμένες συσκευές: οι λειτουργίες επαναφοράς διαφέρουν σε ισχύ και ενδέχεται να μην καλύπτουν την αφαιρούμενη αποθήκευση. Κάθε στοιχείο χρειάζεται δική του αντιμετώπιση.
• Οπτικά μέσα: δεν μπορούν να αντικατασταθούν. Η καταστροφή είναι η μόνη αξιόπιστη επιλογή.
• Δίσκοι με βλάβη: ένα μέσο που δεν δέχεται πλέον εντολές δεν μπορεί να επαληθευτεί, οπότε η τεκμηριωμένη φυσική καταστροφή είναι η εναλλακτική λύση.

Η ίδια λέξη χρησιμοποιείται και για εγγραφές, όχι μόνο για μέσα: εξυγίανση μιας βάσης δεδομένων, ενός γραμματοκιβωτίου ή ενός μισθωτή στο cloud στο τέλος μιας περιόδου διατήρησης. Εδώ η δυσκολία είναι η πληρότητα και όχι η φυσική. Η εγγραφή μπορεί να επιβιώσει σε αντίγραφα, αρχεία καταγραφής συναλλαγών, ευρετήρια αναζήτησης, εξαγωγές αποθηκών δεδομένων και αντίγραφα ασφαλείας που δημιουργήθηκαν πριν από την εξυγίανση. Τα αντίγραφα που δεν μπορούν να επεξεργαστούν επιλεκτικά αντιμετωπίζονται συνήθως αφήνοντας τη διατήρηση να λήξει. Αυτό πρέπει να δηλώνεται ρητά στο πρόγραμμα διατήρησης και όχι να μένει σιωπηρό.

Η αποθήκευση στο cloud προσθέτει συμβατική διάσταση. Όταν ένας διαγραμμένος τόμος επιστρέφει τα μπλοκ του σε κοινή δεξαμενή, το αν αυτά μηδενίζονται πριν από την επανακατανομή εξαρτάται από την πλατφόρμα και όχι από τον μισθωτή. Η δέσμευση εξυγίανσης του παρόχου, δηλαδή τι κάνει όταν απελευθερώνεται ένας τόμος και ποια αποδεικτικά στοιχεία παράγει, γίνεται μέρος της συμφωνίας παροχής υπηρεσιών.

Μια εξυγίανση που δεν μπορεί να αποδειχθεί δεν ικανοποιεί έναν ελεγκτή. Οι ώριμες διαδικασίες απόρριψης καταγράφουν για κάθε συσκευή τα στοιχεία του πίνακα. Όταν η απόρριψη ανατίθεται σε εξωτερικό φορέα, η αλυσίδα επιμέλειας και τα πιστοποιητικά του προμηθευτή προστίθενται στο αρχείο. Το προκύπτον απόθεμα απαντά στο ερώτημα που θέτουν οι αρχές μετά από ένα περιστατικό: πώς γνωρίζει ο οργανισμός ότι καμία συσκευή δεν έφυγε από τον έλεγχό του με δεδομένα ακόμη πάνω της;

Στο Anexet Inventory, κάθε συσκευή έχει κάρτα με τύπο, κατασκευαστή, σειριακό αριθμό, αριθμό απογραφής, κατάσταση και τοποθεσία. Το απόθεμα υλικού είναι το σημείο εκκίνησης για το αρχείο απόρριψης: δείχνει ποια συσκευή είναι ποια πριν φύγει οτιδήποτε από το κτίριο.

Οι περισσότερες αποτυχίες εξυγίανσης οφείλονται σε διαδικασία και όχι στην τεχνική. Αυτό που κρατά κλειστά τα κενά είναι η αντιμετώπιση της εξυγίανσης ως προγραμματισμένου βήματος του κύκλου ζωής με ορισμένο υπεύθυνο, και όχι ως αυτοσχέδιας εργασίας τη στιγμή της απόρριψης. Τυπικές αστοχίες είναι οι εξής:

• Γρήγορη μορφοποίηση ενός τόμου και χαρακτηρισμός του ως εξυγιασμένου.
• Αντικατάσταση σε πολλαπλά περάσματα σε SSD του οποίου τα αποσυρμένα κελιά διατηρούν τα παλιά δεδομένα.
• Εξυγίανση του φορητού υπολογιστή, αλλά παράλειψη του τηλεφώνου, των ταινιών αντιγράφων ασφαλείας ή των εφεδρικών δίσκων σε ένα συρτάρι.
• Απώλεια ίχνους του μέσου μεταξύ απόσυρσης και απόρριψης, το διάστημα στο οποίο οι συσκευές χάνονται συχνότερα. Ένα μητρώο διαχείρισης πάγιων IT υπάρχει ακριβώς για να κλείσει αυτό το κενό.

Ξεκινήστε από τα μέσα που περιέχουν τα πιο ευαίσθητα δεδομένα και από όσα εξέρχονται από τον οργανισμό, όπως μισθωμένοι φορητοί υπολογιστές και επιστραφέντες δίσκοι. Έπειτα συμπεριλάβετε τα αντίγραφα ασφαλείας και τους εφεδρικούς δίσκους που δεν εμφανίστηκαν ποτέ στο απόθεμα.