Archivo Eliminado

En un sistema de archivos convencional, un archivo se describe con metadatos: una entrada de directorio y un registro que apunta a los bloques con su contenido. La eliminación ordinaria borra o marca ese registro y devuelve los bloques a la lista de espacio libre. Los bloques en sí no se tocan, así que el contenido sobrevive íntegro, como remanencia de datos, hasta que el sistema asigna ese espacio a otra cosa. En un volumen poco usado quizá nunca ocurra. En uno muy activo puede ocurrir en minutos. Por eso, «eliminado» describe si el archivo es visible, no si sus datos siguen ahí.

Solo la última etapa, el borrado seguro, destruye los datos en un sentido real, y solo esa puede documentarse como destrucción.

1. 1

   Papelera de reciclaje

   El archivo se mueve y no se elimina. Sigue visible y se puede restaurar.

2. 2

   Papelera vaciada

   Se borra la entrada de directorio. El contenido queda como espacio no asignado.

3. 3

   Sobrescrito

   Se escriben datos nuevos sobre parte o la totalidad de los bloques originales. La recuperación pasa a ser parcial y luego imposible.

4. 4

   Borrado de forma segura

   El contenido se destruye a propósito: por sobrescritura, por borrado criptográfico de la clave que lo protege o con un comando de saneamiento del dispositivo.

Como el contenido sobrevive a sus metadatos, las herramientas de recuperación buscan en el espacio no asignado estructuras reconocibles, como firmas de archivo, cabeceras y formatos conocidos. Reconstruyen los archivos sin ninguna información de directorio, en una técnica llamada file carving. La investigación forense se basa en esto: documentos eliminados, fragmentos de mensajes e imágenes son hallazgos habituales. La misma propiedad hace que el borrado ordinario sea un control insuficiente cuando un dispositivo sale de la organización, y eso es una vía habitual hacia el robo de datos.

Incluso un archivo borrado de forma segura puede sobrevivir en otro lugar, porque los sistemas modernos duplican el contenido automáticamente, a menudo mediante copias de seguridad y servicios de sincronización. Por eso, eliminar bien empieza por un inventario: hay que saber dónde existen los datos, no solo cómo borrar una copia.

En el almacenamiento flash (SSD, eMMC, tarjetas de memoria), el controlador decide internamente dónde se colocan los datos mediante nivelación de desgaste y sobreaprovisionamiento. Por eso, una sobrescritura enviada por el sistema operativo puede no llegar a las celdas que contenían los datos originales. Sobrescribir sector a sector no es fiable en estos soportes. Los métodos aceptados son el comando de saneamiento o borrado seguro del propio dispositivo, o el borrado criptográfico: cifrar el soporte desde el principio y destruir la clave, lo que deja inservible todo el texto cifrado restante en un solo paso. La destrucción física es la última opción para soportes que no se pueden verificar ni considerar fiables.

Los marcos de protección de datos exigen no conservar los datos más tiempo del necesario. El RGPD reconoce a las personas el derecho de supresión en determinadas circunstancias. Los calendarios de conservación, los procedimientos de borrado verificables y el registro de la eliminación de soportes ayudan a las organizaciones a cumplir estas obligaciones. Además, los portátiles, discos y teléfonos retirados no deben salir de la organización con registros aún recuperables.