Qué abarca el término
El saneamiento de medios se aplica siempre que un medio de almacenamiento sale del control de un propietario. Se revende una laptop, se devuelve un servidor arrendado, una memoria USB pasa de un proyecto a otro, un disco averiado vuelve al proveedor y las cintas de respaldo llegan al fin de su periodo de retención. En todos los casos, el siguiente poseedor no debe poder recuperar lo que almacenó el anterior.
El término abarca más que las computadoras, porque el almacenamiento se esconde en dispositivos que nadie considera discos: unidades internas y externas, memorias USB, tarjetas de memoria y SSD portátiles, teléfonos y tablets con memoria flash integrada, cintas y discos ópticos, y el disco o módulo flash interno de impresoras, escáneres y equipos de red. Cada medio extraíble que cambia de manos requiere la misma decisión.
Borrado, purgado o destrucción
El saneamiento no es un único nivel de intensidad, sino una escalera. La NIST SP 800-88 nombra sus tres peldaños, y elegir el correcto depende de qué tan sensibles eran los datos y de adónde va el medio: a un entorno similar, a uno menos confiable o fuera de la organización. Cada peldaño es un método de saneamiento con sus propios límites.
| Resultado | Qué hace | Uso típico |
|---|---|---|
| Borrado (Clear) | Sobrescribe los datos para que fallen las herramientas comunes de recuperación | Medio reutilizado dentro de la organización al mismo nivel de sensibilidad |
| Purgado (Purge) | Elimina los datos de modo que la recuperación sea inviable, incluso con técnicas de laboratorio | Medio que sale de la organización o pasa a un uso menos sensible |
| Destrucción (Destroy) | Deja el medio ilegible e inutilizable: trituración, incineración, desintegración | Medios averiados, no regrabables o altamente sensibles que se desechan |
Por qué la eliminación no es saneamiento
Cuando un sistema operativo elimina un archivo, quita la entrada del sistema de archivos que apunta a los datos y marca el espacio como libre. Los bytes permanecen en el medio hasta que se reutiliza ese espacio, y mientras tanto suelen poder recuperarse con utilidades de uso común. Ese residuo se llama remanencia. Un formateo rápido no es más fuerte, porque reescribe el índice y no necesariamente el área de datos.
El saneamiento también debe alcanzar datos que el sistema actual no puede ver: sectores reasignados en una unidad con fallas, el área de sobreaprovisionamiento de un SSD, particiones dejadas por instalaciones anteriores y el espacio sobrante al final de bloques sobrescritos a medias. Por eso actúa sobre el propio almacenamiento y es un paso obligatorio antes de que cualquier medio cambie de manos.
Qué hace difícil a la memoria flash
La sobrescritura, la técnica clásica de borrado, se diseñó para discos magnéticos, donde el host direcciona cada sector. La memoria flash rompe ese supuesto. El nivelado de desgaste (wear leveling) y el sobreaprovisionamiento hacen que el controlador escriba en celdas que el host no ve, así que una pasada de sobrescritura no puede demostrar que llegó a cada copia física. En SSD, memorias USB y teléfonos, el saneamiento depende de comandos nativos del dispositivo o del borrado criptográfico, que destruye la clave de cifrado en lugar de los datos.
El borrado criptográfico es rápido y completo cuando el medio estuvo cifrado desde el primer día de uso, pero solo es tan confiable como la gestión de claves que lo respalda. Una clave depositada en custodia, respaldada o filtrada puede deshacer el borrado. Para medios que no pueden ejecutar un comando de saneamiento y nunca estuvieron cifrados, la destrucción física suele ser la única respuesta defendible.
Verificación y registro
Una acción de saneamiento que no se puede demostrar, a ojos de un auditor, no ocurrió. Los programas maduros tratan la acción y su registro como un solo control. El operador ejecuta la técnica, toma una muestra del resultado para confirmar que los datos desaparecieron y emite un certificado. Si el desecho se subcontrata, la cadena de custodia y los certificados del proveedor se suman al registro. La secuencia habitual es esta:
- 1
Ejecutar la técnica
El operador aplica el método de saneamiento elegido al medio.
- 2
Muestrear el resultado
Una muestra confirma que los datos ya no se pueden recuperar.
- 3
Emitir el certificado
El certificado indica el medio, la técnica, la herramienta, el operador, la fecha y el resultado.
Saber qué medios existen
Un certificado solo puede identificar un medio que alguien registró. El Anexet Inventory mantiene una ficha de cada dispositivo con tipo, fabricante, número de serie, estado y ubicación, de modo que el número de serie del certificado coincida con un registro del inventario. Anexet no sanea medios por sí mismo. Aporta el inventario en el que se apoya el registro de saneamiento.
Dónde encaja el saneamiento en la política
El saneamiento es un control del ciclo de vida, no un evento aislado. Conecta el inventario de activos, que sabe qué medios existen y dónde están, con el esquema de clasificación de datos, que define qué tan fuerte debe ser el saneamiento, y con el calendario de retención, que define cuándo termina el plazo de conservación de los datos.
Los requisitos escritos aparecen en varios marcos. La NIST SP 800-88 trata el tema directamente, la ISO/IEC 27001 exige manejo documentado de los medios hasta su desecho, y las normas sectoriales para datos de tarjetas de pago y de salud también exigen un desecho controlado. Dentro de la organización, el propietario de los datos clasifica, TI ejecuta y seguridad verifica. La política fija además los valores predeterminados para las salidas comunes: reutilización interna, devolución de equipo arrendado, reventa, reciclaje y destrucción.
Una unidad retirada es una fuga de datos que todavía no ha ocurrido. El saneamiento es lo que lo mantiene así.
Anexet Team